笔记——数据库系统概述——数据库安全性

最新推荐文章于 2023-03-10 11:03:26 发布

陆林好汉

最新推荐文章于 2023-03-10 11:03:26 发布

阅读量759

点赞数

分类专栏：数据库文章标签：数据库 sql

本文链接：https://blog.csdn.net/Greenxiaojing/article/details/129102425

版权

数据库专栏收录该内容

10 篇文章 1 订阅

订阅专栏

数据库安全性

4.1数据库安全性概述

数据库（资料）的安全性是指保护数据库以防止不合法使用所造成的数据泄露、更改或破坏。

数据库的不安全因素：

非授权用户对数据库的恶意存取和破坏；

数据库中重要或敏感的数据被泄露；

安全环境的脆弱性。

4.2数据库安全性控制

安全性控制的一般方法有：用户标识鉴定、存取控制、审计、资料加密和视图的保护五级安全措施。

4.2.1用户身份鉴别

用户身份鉴别是数据库管理系统提供的最外层安全保护措施。（静态口令鉴别、动态口令鉴别、生物特征鉴别、智能卡鉴别）

4.2.2存取控制

数据库安全最重要的一点就是确保只授权给有资格的用户访问数据库的权限，同时令所有未被授权的人员无法接近数据，这主要通过数据库系统的存取控制机制实现。

存取控制机制主要包括定义用户权限和合法权限检查，定义用户权限和合法权限检查机制一起组成了数据库管理系统的存取控制子系统。

授权编译系统和合法权检查机制一起组成了安全性子系统。

存取权限包括两方面的内容：要存取的资料对象、对此资料对象进行操作的类型。

在数据库的安全性控制中，授权的数据对象的范围越小，授权子系统就越灵活。

C2级的数据库管理系统支持自主存取控制，B1级的支持强制存取控制。

4.2.3自主存取控制方法

用户权限由两个要素组成：数据库对象和操作类型。
在数据库系统中，定义存取权限称为授权。在非关系系统中，用户只能对数据进行操作，存取控制的数据库对象也仅限于数据本身。在关系数据库系统中，存取控制的对象不仅有数据本身（基本表中的数据、属性列上的数据），还有数据库模式（包括模式、基本表、视图和索引的创建等）。

4.2.4授权：授予与收回

Grant 权限[,权限]…
On 对象类型对象名[,对象类型对象名]…
To 用户[,用户]…（或public）
[with grant option];

语义：将对指定操作对象的指定操作权限授予指定的用户。如果指定with grant option，则获得该权限的用户还可以把这种权限再授予其他的用户。不允许循环授权。对属性列授权时必须明确指出相应的属性列名。

例：把查询Student表和修改学生学号的权限授给用户U4。
Grant update(sno),select on table Student to U4;

Revoke 权限[,权限]…
On 对象类型对象名[,对象类型，对象名]…
From 用户[,用户]… [cascade|restrict];（默认级联cascade）

创建数据库模式的权限
对创建数据库模式一类的数据库对象的授权则由数据库管理员在创建用户时实现。
Create user username [with] [dba|resource|connect];

只有系统的超级用户才有权创建一个新的数据库用户。

默认用户为connect权限，拥有该权限的用户不能创建新用户，不能创建模式，也不能创建基本表，只能登录数据库，由数据库管理员或其他用户授予他应有的权限，根据获得的授权情况他可以对数据库对象进行权限范围内的操作；

拥有resource权限的用户能创建基本表和视图，成为所创建对象的属主，但不能创建模式，不能创建新的用户。数据库对象的属主可以使用grant语句把该对象上的存取权限授予其他用户；

拥有dba权限的用户是系统中的超级用户，可以创建新的用户、创建模式、创建基本表和视图等，dba拥有对所有数据库对象的存取权限，还可以把这些权限授予一般用户。

4.2.5数据库角色

数据库角色是被命名的一组与数据库操作相关的权限，角色是权限的集合。可以为一组具有相同权限的用户创建一个角色。

角色的创建：create role 角色名

给角色授权：grant 权限 [,权限]… on 对象类型对象名 to 角色[,角色]…

将一个角色授予其他的角色或用户：grant 角色1[,角色2]… to 角色3[,用户1]… [with admin option]

一个角色包含的权限包括直接授予这个角色的全部权限加上其他角色授予这个角色的全部权限

角色权限的收回：revoke 权限[,权限]… on 对象类型对象名 from 角色[,角色]…

4.2.6强制存取控制方法

强制存取控制方法是指系统为保证更高程度的安全性，按照TDI/TCSEC标准中安全策略的要求所采取的强制存取检查手段。在强制存取控制中，数据库管理系统所管理的全部实体被分为主体和客体两大类。主体是系统中的活动实体，既包括数据库管理系统所管理的实际用户，也包括代表用户的各进程；客体是系统中的被动实体，是受主体操纵的，包括文件、基本表、索引、视图等。对于主体和客体，数据库管理系统为他们每个实例指派一个敏感度标记，绝密TS、机密S、可信C、公开P。主体的敏感度标记称为许可证级别，客体的敏感度标记称为密级。强制存取控制机制就是通过对比主体的敏感度标记和客体的敏感度标记，最终确定主体是否能够存取客体。***仅当主体的许可证级别大于或等于客体的密级时，该主体才能读取相应的客体；仅当主体的许可证级别小于或等于客体的密级时，该主体才能写相应的客体。***强制存取控制是对数据本身进行密级标记，无论数据如何复制，标记与数据是一个不可分的整体，只有符合密级标记要求的用户才可以操纵数据，从而提供了更高级别的安全性。实现强制存取控制时要首先实现自主存取控制。