Захист баз даних
Роботу підготував Милованов Сергій
ГОУ СПО Жірновскій нафтовий технікум
2005
Вступ
Сучасне життя немислима без ефективного
управління. Важливою категорією є системи обробки інформації, від яких
багато в чому залежить ефективність роботи будь-якого підприємства чи установи. Така
система повинна:
забезпечувати отримання загальних та/або деталізованих
звітів за підсумками роботи;
дозволяти легко визначати тенденції зміни
найважливіших показників;
забезпечувати отримання інформації, критичною по
часу, без істотних затримок;
виконувати точний і повний аналіз даних.
Сучасні СУБД в основному є додатками
Windows, так як дана середу дозволяє більш повно використовувати можливості
персональної ЕОМ, ніж середу DOS. Зниження вартості високопродуктивних
ПК обумовив не тільки широкий перехід до середовищі Windows, де розробник
програмного забезпечення може меншою мірою піклуватися про розподіл
ресурсів, а також зробив програмне забезпечення ПК в цілому і СУБД зокрема
менш критичними до апаратних ресурсів ЕОМ. Серед найбільш яскравих представників
систем управління базами даних можна відзначити: Lotus Approach, Microsoft
Access, Borland dBase, Borland Paradox, Microsoft Visual FoxPro, Microsoft
Visual Basic, а також баз даних Microsoft SQL Server і Oracle, що використовуються в
додатках, побудованих за технологією "клієнт-сервер».
Проблема забезпечення захисту інформації є однією
з найважливіших при побудові надійної інформаційної структури установи на базі
ЕОМ. Ця проблема охоплює як фізичний захист даних і системних програм,
так і захист від несанкціонованого доступу до даних, що передаються по лініях зв'язку
і перебувають на накопичувачах, що є результатом діяльності як
сторонніх осіб, так і спеціальних програм-вірусів. Таким чином, в поняття
захисту даних включаються питання збереження цілісності даних і управління доступу
до даних (санкціонування).
Технологічний аспект цього питання пов'язаний з
різними видами обмежень, які підтримуються структурою СУБД і повинні
бути доступні користувачу. До них відносяться:
-обмеження поновлення певних атрибутів з метою
збереження необхідних пропорцій між їхніми старими і новими значеннями;
-обмеження, які потребують збереження значень поля
показника в певному діапазоні;
-обмеження, пов'язані із заданими функціональними
залежностями.
Зазвичай в СУБД в мову маніпулювання даними вже
закладаються необхідні компоненти реалізації зазначених обмежень. Проблема
забезпечення санкціонуванні використання даних є неоднозначною, але
в основному охоплює питання захисту даних від небажаної модифікації або
знищення, а також від несанкціонованого їх читання.
У даній роботі я зачіпаю основні аспекти захисту
баз даних, їх реалізацію на прикладах конкретних СУБД, а так само юридичну
сторону даного питання.
Захист інформації
Поняття захисту інформації
Захист інформації - комплекс заходів, спрямованих
на забезпечення найважливіших аспектів інформаційної безпеки (цілісності,
доступності і, якщо потрібно, конфіденційності інформації та ресурсів,
що використовуються для введення, зберігання, обробки і передачі даних) [1].
Система називається безпечною, якщо вона, використовуючи
відповідні апаратні й програмні засоби, керує доступом до
інформації так, що тільки належним чином авторизовані особи або ж
що діють від їх імені процеси отримують право читати, писати, створювати та
видаляти інформацію.
Очевидно, що абсолютно безпечних систем немає, і тут
мова йде про надійну систему у розумінні «система, якій можна довіряти» (як
можна довіряти людині). Система вважається надійною, якщо вона з використанням
достатніх апаратних і програмних засобів забезпечує одночасну обробку
інформації різного ступеня секретності групою користувачів без порушення прав
доступу.
Основними критеріями оцінки надійності є:
політика безпеки і гарантованість.
Політика безпеки, будучи активним компонентом
захисту (включає в себе аналіз можливих загроз і вибір відповідних заходів
протидії), відображає той набір законів, правил і норм поведінки,
яким користується конкретна організація при обробці, захисту і
розповсюдженні інформації.
Вибір конкретних механізмів забезпечення безпеки
системи здійснюється відповідно до сформульованої політикою безпеки.
гарантованість, будучи пасивним елементом захисту,
відображає міру довіри, який може чинити архітектурі і реалізації
системи (іншими словами, показує, наскільки коректно вибрані механізми,
що забезпечують безпеку системи).
У надійної системи повинні реєструватися всі
відбуваються події, що стосуються безпеки (повинен використовуватися механізм
підзвітності протоколювання, що доповнює аналізом запомненной інформації,
тобто аудитом).
При оцінці ступеня гарантоване, з якою систему
можна вважати надійною, центральне місце займає достовірна (надійна)
обчислювальна база. Достовірна обчислювальна база (ДВІ) являє собою
повну сукупність захисних механізмів комп'ютерної системи, яка
використовується для перетворення в життя відповідної політики безпеки.
Надійність ДВБ залежить виключно від її реалізації
і коректності введених даних (наприклад, даних про благонадійність
користувачів, які визначаються адміністрацією).
Кордон ДВБ утворює периметр безпеки. Компоненти
ДВБ, що знаходяться всередині цієї межі, повинні бути надійними (отже, для
оцінки надійності комп'ютерної системи досить розглянути тільки її ДВБ).
Від компонентів, що перебувають поза периметра безпеки, взагалі кажучи, не
потрібно надійності. Однак це не повинно впливати на безпеку системи. Так
як зараз широко застосовуються розподілені системи обробки даних, то під «периметром
безпеки "розуміється межа володінь певної організації, в
підпорядкуванні якої знаходиться ця система. Тоді за аналогією те, що знаходиться
всередині цього кордону, вважається надійним. За допомогою шлюзовий системи, яка
здатна протистояти потенційно ненадійною, а може бути навіть і
ворожому оточенню, здійснюється зв'язок через цей кордон.
Контроль допустимості виконання суб'єктами
певних операцій над об'єктами, тобто функції моніторингу, виконується
достовірної обчислювальної базою. При кожному зверненні користувача до
програмами чи даними монітор перевіряє допустимість даного звернення
(узгодженість дії конкретного користувача зі списком дозволених для
нього дій). Реалізація монітора звернень називається ядром безпеки, на
базі якої будуються всі захисні механізми системи. Ядро безпеки повинен
гарантувати власну незмінність.
Захист ПК від несанкціонованого доступу
Як показує практика, несанкціонований доступ
(НСД) представляє одну з найбільш серйозних загроз для зловмисного
заволодіння захищається інформацією в сучасних АСОД. Як не здасться
дивним, але для ПК небезпека даної загрози у порівнянні з великими ЕОМ
підвищується, чому сприяють такі об'єктивно існуючі обставини:
1) переважна частина ПК розташовується безпосередньо
в робочих кімнатах фахівців, що створює сприятливі умови для доступу
до них сторонніх осіб;
2) багато ПК служать колективним засобом обробки
інформації, що знеособлює відповідальність, у тому числі і за захист
інформації;
3) сучасні ПК оснащені незнімними накопичувачами на
ЖМД дуже великої місткості, причому інформація на них зберігається навіть у
знеструмленому стані;
4) накопичувачі на ГМД виробляються в такому масовій кількості,
що вже використовуються для поширення інформації так само, як і паперові
носії;
5) спочатку ПК створювалися саме як персональне
засіб автоматизації обробки інформації, а тому й не оснащувалися
спеціально засобами захисту від несанкціонованого доступу.
У силу сказаного ті користувачі, які бажають
зберегти конфіденційність своєї інформації, повинні особливо подбати про
оснащенні використовуваної ПК високоефективними засобами захисту від несанкціонованого доступу.
Основні механізми захисту ПК від НСД можуть бути представлені
наступним переліком:
1) фізичний захист ПК і носіїв інформації;
2) впізнання (аутентифікація) користувачів і використовуваних
компонентів обробки інформації;
3) розмежування доступу до елементів, що захищається інформації;
4) криптографічне закриття захищається інформації,
що зберігається на носіях (архівація даних);
5) криптографічне закриття захищається інформації в
процесі безпосередньої її обробки;
6) реєстрація всіх звернень до захищається інформації.
Нижче викладаються загальний зміст і способи використання перерахованих
механізмів.
Захист інформації в базах даних
У сучасних СУБД підтримується один з двох
найбільш загальних підходів до питання забезпечення безпеки даних:
вибірковий підхід і обов'язковий підхід. В обох підходах одиницею даних
або «об'єктом даних», для яких повинна бути створена система безпеки,
може бути як вся база даних цілком, так і будь-який об'єкт всередині бази даних.
Ці два підходи відрізняються наступними властивостями:
У разі виборчого управління деякий
користувач володіє різними правами (привілеями чи повноваженнями) при
роботі з даними об'єктами. Різні користувачі можуть володіти різними правами
доступу до одного і того ж об'єкту. Виборчі права характеризуються
значною гнучкістю.
У разі виборчого управління, навпаки, кожному
об'єкту даних присвоюється певний класифікаційний рівень, а кожен
користувач володіє деяким рівнем допуску. При такому підході доступом до
визначеного об'єкта даних мають тільки користувачі з відповідним
рівнем допуску.
Для реалізації виборчого принципу передбачені
наступні методи. У базу даних вводиться новий тип об'єктів БД - це
користувачі. Кожному користувачеві в БД присвоюється унікальний ідентифікатор.
Для додаткового захисту кожен користувач крім унікального ідентифікатора
забезпечується унікальним паролем, причому якщо ідентифікатори користувачів у
системі доступні системного адміністратора, то паролі користувачів зберігаються
найчастіше в спеціальному кодованому вигляді і відомі тільки самим
користувачам.
Користувачі можуть бути об'єднані в спеціальні
групи користувачів. Один користувач може входити в кілька груп. У
стандарті вводиться поняття групи PUBLIC, для якої повинен бути визначений
мінімальний стандартний набір прав. За умовчанням передбачається, що кожен
знову створюється користувач, якщо спеціально не вказано інше, відноситься до
групі PUBLIC.
Привілеї або повноваження користувачів або груп --
це набір дій (операцій), які вони можуть виконувати над об'єктами БД.
В останніх версіях ряду комерційних СУБД з'явилося
поняття «ролі». Роль - це пойменований набір повноважень. Існує ряд
стандартних ролей, які визначені в момент встановлення сервера баз даних. І
є можливість створювати нові ролі, групуючи в них довільні
повноваження. Введення ролей дозволяє спростити управління привілеями
користувачів, структурувати цей процес. Крім того, введення ролей не
пов'язане з конкретними користувачами, тому ролі можуть бути визначені й
сконфігуровані до того, як визначені користувачі системи.
Користувачеві може бути призначена один або кілька
ролей.
Об'єктами БД, які підлягають захисту, є всі
об'єкти, що зберігаються в БД: таблиці, представлення, збережені процедури і тригери.
Для кожного типу об'єктів є свої дії, тому для кожного типу об'єктів
можуть бути визначені різні права доступу.
На самому елементарному рівні концепції забезпечення
безпеки баз даних виключно прості. Необхідно підтримувати два
фундаментальних принципи: перевірку повноважень і перевірку автентичності
(аутентифікацію).
Перевірка повноважень заснована на тому, що кожному
користувачеві або процесу інформаційної системи відповідає набір дій,
які він може виконувати по відношенню до певних об'єктів. Перевірка
автентичності означає достовірне підтвердження того, що користувач або
процес, який намагається виконати санкціонована дія, дійсно той, за
кого він себе видає.
Система призначення повноважень має до певної міри
ієрархічний характер. Найвищими правами і повноваженнями володіє
системний адміністратор або адміністратор сервера БД. Традиційно тільки цей
тип користувачів може створювати інших користувачів і наділяти їх
певними повноваженнями.
СУБД в своїх системних каталогах зберігає як опис
самих користувачів, так і опис їх привілеїв по відношенню до всіх
об'єктам.
Далі схема надання повноважень будується за
наступним принципом. Кожен об'єкт в БД має власника - користувача, який
створив цей об'єкт. Власник об'єкта володіє всіма правами-повноваженнями на
даний об'єкт, до того ж він має право надавати іншим користувачам
повноваження по роботі з даним об'єктом або забирати у користувачів раніше
надані повноваження.
У ряді СУБД вводиться наступний рівень ієрархії
користувачів - це адміністратор БД. У цих СУБД один сервер може керувати
безліччю СУБД (наприклад, MS SQL Server, Sybase). В СУБД Oracle застосовується
однобазовая архітектура, тому там вводиться поняття подсхеми - частини загальної
схеми БД і вводиться користувач, що має доступ до подсхеме. У стандарті SQL не
визначена команда створення користувача, але практично у всіх комерційних
СУБД створити користувача можна не тільки в інтерактивному режимі, а й
програмно з використанням спеціальних збережених процедур. Однак для
виконання цієї операції користувач повинен мати право на запуск
відповідної системної процедури.
У стандарті SQL визначені два оператори: GRANT і
REVOKE відповідно надання та скасування привілеїв.
Оператор надання привілеїв має наступний
формат:
GRANT (а користувач user3
має право переглядати всі рядки в таблиці Таb1.
При призначення прав доступу на операцію модифікації
можна уточнити, значення яких стовпців може змінювати користувач. Припустимо,
що менеджер відділу має право змінювати ціну на надані послуги.
Припустимо, що ціна задається в стовпці COST таблиці Таb1. Тоді операція
призначення привілеїв користувачеві user3 може змінитися і виглядати наступним
так:
GRANT SELECT. UPDATE
(COST) ON Tab1 TO user3
Якщо наш користувач user1 припускає, що
користувач user4 може заміщати його у разі його відсутності, то він може
надати цьому користувачеві всі права по роботі зі створеною таблицею Таb1.
GRANT ALL
PRIVILEGES
ON Tab1
TO user4 WITH GRANT
OPTION
У цьому випадку користувач user4 може сам призначати
привілеї для роботи з таблицею Таb1 під час відсутності власника об'єкта
користувача user1. Тому у випадку появи нового оператора користувача
user5 він може призначити йому права на введення нових рядків у таблицю командою
GRANT INSERT
ON Tab1 TO user5
Якщо при передачі повноважень набір операцій над
об'єктом обмежений, то користувач, якому передані ці повноваження, може
передати іншому користувачеві тільки ті повноваження, які є у нього, або
частина цих повноважень. Тому якщо користувачеві user4 були делеговані
такі повноваження:
GRANT SELECT. UPDATE. DELETE
ON Tab1
TO user4 WITH GRANT
OPTION,
то користувач user4 не зможе передати повноваження на
введення даних користувачу user5, тому що ця операція не входить у список
дозволених для нього самого.
Крім безпосереднього призначення прав по роботі з
таблицями ефективним методом захисту даних може бути створення уявлень,
які будуть містити тільки необхідні стовпці для роботи конкретної
користувача та надання прав на роботу з даним поданням
користувачеві.
Так як уявлення можуть відповідати підсумковим
запитам, то для цих уявлень неприпустимі операції зміни, і,
отже, для таких уявлень набір допустимих дій огр?? яка б радикально обмежувала
операцією SELECT. Якщо ж подання відповідають вибірці з базової
таблиці, то для такого подання допустимими будуть всі 4 операції: SELECT,
INSERT, UPDATE і DELETE.
Для скасування раніше призначених привілеїв в стандарті
SQL визначений оператор REVOKE. Оператор скасування привілеїв має наступний
синтаксис:
REVOKE (
