第2章数据库的安全性与完整性

数据库安全性与完整性王志波武汉大学计算机学院数据库安全性与完整性数据库安全性介绍数据库安全控制方法MySQL用户创建与授权数据库完整性武汉大学计算机学院数据库安全性在共享数据库中数据的同时，必然带来数据库的安全性问题什么是数据库安全性？对数据库进行安全控制，保护数据库以防止不合法的使用所造成的数据泄露、更改或破坏不单单数据库存在安全性问题，所有计算机系统都有安全性问题数据库的安全性和计算机系统的安全性是紧密联系、互相支持的武汉大学计算机学院数据库安全标准1991年4月，美国国家计算机安全中心颁布了《可信计算机系统评估标准关于可信数据库系统的解释》（TrustedDatabaseInterpretation,TDI,即紫皮书）TDI标准将数据安全划分为4组7级A1级：验证设计B3级：安全域B2级：结构化保护B1级：标记安全保护C2级：受控的存取保护C1级：自主安全保护D级：最小保护DBMS常用的安全级别是C2级、C1级和B2级武汉大学计算机学院数据库安全标准C2级。控制式访问保护级，具有主体与客体分离、身份标识与鉴别、数据完整性保护、自主访问控制、审计与资源隔离功能。其安全的核心是审计，是安全产品的最低档次B1级：满足C2级标准，具有强制访问控制。其安全的核心是强制访问控制，适于网络方式，被认为真正的安全产品，满足此级别的产品前一般冠以“安全”或“克星”字样B2级：满足B1级标准，具有预防隐蔽通道、建立形式化的安全模型。其安全的核心是预防隐蔽通道与安全的形式化，适用于网络方式。武汉大学计算机学院数据库安全性与完整性数据库安全性介绍数据库安全控制方法MySQL用户创建与授权数据库完整性武汉大学计算机学院数据库系统安全模型武汉大学计算机学院操作请求网络控制OS保护DBDBMS安全控制身份认证访问控制视图限制数据加密审计追踪数据库安全控制方法身份认证最外层安全保护措施：用户标识与识别访问控制定义用户权限、合法权限检测视图限制对无权存取的用户隐藏保密数据审计追踪监视追踪用户存取活动数据加密采用加密技术武汉大学计算机学院身份认证系统内部记录所有合法用户的标识，每次用户访问时，系统进行核对用户标识与识别用户名和口令指纹认证虹膜认证数字签名武汉大学计算机学院访问控制定义用户权限定义用户使用数据库的权限，并将用户权限登记到数据字典中合法权限检查若用户的操作请求超出了定义的权限，系统将拒绝执行此操作用户权限组成：数据对象和操作类型3种常用访问控制方法自主访问控制强制访问控制基于角色访问控制武汉大学计算机学院自主访问控制用户对于不同的数据对象有不同的存取权限，不同的用户对同一对象也有不同的权限，而且用户还可将其拥有的存取权限转授给其他用户特点：灵活简便用户可利用DBMS的授权功能主动实施访问控制受主体随意性的影响较大，适于单机方式下的安全控制存在“失控”问题仅仅对数据的存取权限进行安全控制，对数据本身并无安全性标记武汉大学计算机学院强制访问控制基于被访问对象的信任度进行权限控制每一个数据对象被标以一定的密级每一个用户也被授予某一个级别的许可证敏感度标记被分成若干级别，例绝密、机密、可信、公开等对于任意一个对象，只有具有合法许可证的用户才可以存取适用于对数据有严格而固定密级分类的部门武汉大学计算机学院基于角色访问控制介于自主访问控制与强制访问控制之间的一种“中性”策略角色是一个或一群用户在组织内的成为或一个任务的集合角色可以根据组织中的不同工作创建，然后根据用户的自测分配角色及进行角色转换对不同的角色定义不同的存取权限称为授权只有系统管理员能分配角色和权限定义用户只有通过角色享有对应的访问权限武汉大学计算机学院基于角色访问控制介于自主访问控制与强制访问控制之间的一种“中性”策略角色是一个或一群用户在组织内的成为或一个任务的集合角色可以根据组织中的不同工作创建，然后根据用户的自测分配角色及进行角色转换对不同的角色定义不同的存取权限称为授权只有系统管理员能分配角色和权限定义用户只有通过角色享有对应的访问权限武汉大学计算机学院如何实现访问控制用户分类与权限系统用户（DBA）：拥有数据库系统提供的全部权限数据对象的属主：创建某个数据对象的用户一般用户：经过授权的用户公共用户：全体数据库用户常用权限数据访问权限读、插入、修改等数据库管理权限索引、修改、撤销等武汉大学计算机学院SQLServer系统管理员DBA数据库对象用户数据库访问用户其他控制方法视图机制通过视图机制把要保密的数据对无权存取的用户隐藏起来，从而自动地对数据提供一定程度的安全保护审计追踪对选定的用户动作的监控和记录，以监测可能的不合法行为数据加密以密码形式存储和传输数据武汉大学计算机学院数据库安全性与完整性数据库安全性介绍数据库安全控制方法MySQL用户创建与授权数据库完整性武汉大学计算机学院用户创建连接各个数据库最好不要用root账号，需要分配对应的账户，保证数据库的安全与方便用户管理武汉大学计算机学院创建用户：CREATEUSER`username`@`host`IDENTIFIEDBY`password`username:用户名host:本地登陆是localhost,远程登陆是%通配符，还可以指定ippassword：用户登陆密码例：CREATEUSER`user1`@`localhost`IDENTIFIEDBY`123`//允许本地登陆CREATEUSER`user2`@`%`IDENTIFIEDBY`123`//允许用户远程登陆用新建用户登陆：mysql-uuser1-p用户授权授权用户在给定的数据库对象上进行特定的操作数据库对象：表/视图、列、域等操作：INSERT,UPDATE,DELETE,SELECT,REFERENCES,TRIGGER,UNDER,USAGE等武汉大学计算机学院授权用户：将对指定操作对象的指定操作权限授予指定的用户GRANT<权限>[,<权限>]…|ALLON

<对象类型>

<对象名>[,<对象类型><对象名>]…TO<用户>

[,<用户>]…|PUBLIC[WITHGRANTOPTION]对不同类型的操作对象有着不同的操作权限PUBLIC是公共账户WITHGRANTOPTION允许被授权用户再把授予他的特权授予其他用户用户授权武汉大学计算机学院授予全部权限：GRANT<权限>[,<权限>]…|ALLPRIVILEGESONdatabasename.tablenameTO`username`@`host`[WITHGRANTOPTION]ALLPRIVILEGES:授予全部权限databasename:要授权的数据库名称，如果是全部的数据库，用*tablename：表名称，如果是全部的表，用*例：将数据库stu_info所有权限给user1GRANTALLPRIVILEGESONstu_info.*TO`user1`@`localhost`;用户授权武汉大学计算机学院例：只将表格student的所有权限给user2GRANTALLPRIVILEGESONstu_info.studentTO`user2`@`localhost`;例：只将表格course的插入权限给user2GRANTINSERTONstu_info.courseTO`user2`@`localhost`;授权后记得刷新系统权限表：FLUSHPRIVILEGES;用户授权及查看武汉大学计算机学院例：授权用户查询、插入、更新、删除给user1GRANTSELECT,INSERT,UPDATE,DELETEONstu_info.s_cTO`user2`@`localhost`;查看用户权限：SHOWGRANTSforusername@localhost;例：SHOWGRANTSforroot@localhost;SHOWGRANTSforuser1@localhost;权限回收武汉大学计算机学院收回权限：REVOKE<权限>[,<权限>]…|ALLPRIVILEGESONdatabasename.tablenameFROM`username`@`host`;例：收回user对student表格的操作权限REVOKEALLPRIVILEGESONstu_info.studentFROM`user1`@`localhost`;修改用户密码武汉大学计算机学院修改密码：GRANTALLPRIVILEGESONdatabasename.*TOusername@`host`IDENTIFIEDBY`newpwd`;例：修改user1的密码为`234`GRANTALLPRIVILEGESON*.*TOuser1@`localhost`IDENTIFIEDBY`234`;删除用户武汉大学计算机学院方式1：DELETEFROMmysql.userWHEREUser=`username`andHost=`localhost`;FLUSHPRIVILEGES;例：删除user1DELETEFROMmysql.userWHEREUser=`user1`andHost=`localhost`;方式2：DROPuserusername@`%`;DROPuserusername@`localhost`;例：删除user2DROPUSERuser2@`localhost`;实验内容1：创建用户user3，密码`123`,可以从本地登陆创建用户user4，密码`123`,可以从本地登陆尝试分别用user3和user4连接数据库查看系统中的数据库,命令：SHOWDATABASES;授予user3用户操作stu_inf