趙登峰ZHAO Deng-feng；許英杰XU Ying-jie；王諍WANG Zheng

（66440 部隊(duì)62 分隊(duì)，石家莊 050081）

（Unit 62 of Army 66440，Shijiazhuang 050081，China）

1 探討數(shù)據(jù)庫安全訪問機(jī)制的意義

現(xiàn)階段數(shù)據(jù)庫技術(shù)在全世界范圍內(nèi)已經(jīng)得到了廣泛的應(yīng)用，同時(shí)數(shù)據(jù)庫系統(tǒng)的安全問題也變成了人們關(guān)注的焦點(diǎn)，而圍繞數(shù)據(jù)庫的訪問控制就是數(shù)據(jù)庫安全的主要工作。訪問控制不僅是信息安全保障機(jī)制的核心內(nèi)容[1]，也是實(shí)現(xiàn)數(shù)據(jù)保密性和完整性機(jī)制的主要手段。為了保證計(jì)算機(jī)系統(tǒng)在合理情況下使用，訪問控制需要限制訪問主體對訪問客體的訪問權(quán)限；用戶及代表一定用戶利益的程序能做什么，及做到什么程度取決于訪問控制機(jī)制。

2 數(shù)據(jù)庫安全訪問控制機(jī)制的分類

為了實(shí)現(xiàn)對信息的保護(hù)，訪問控制機(jī)制需要運(yùn)用到數(shù)據(jù)庫安全保護(hù)中，對以下幾類行為進(jìn)行必要的控制：讀取數(shù)據(jù)、運(yùn)行可執(zhí)行文件、發(fā)起網(wǎng)絡(luò)連接等等。

分析目前相關(guān)的研究可以發(fā)現(xiàn)，訪問控制機(jī)制主要分為以下三大類：[2]

2.1 自主訪問控制 自主訪問控制（DAC）是建立在系統(tǒng)承認(rèn)客體是通過“擁有”與主體聯(lián)系起來的基礎(chǔ)之上的，有了這一基礎(chǔ)，主體自然具備該客體的所有訪問權(quán)限，同時(shí)主體還能夠把這些權(quán)限的一部分或者全部轉(zhuǎn)讓給其他的用戶。每當(dāng)主體訪問其他的用戶時(shí)，都必須進(jìn)行存取檢查。

2.2 強(qiáng)制訪問控制 強(qiáng)制訪問控制（MAC）管理是由系統(tǒng)或數(shù)據(jù)庫管理員負(fù)責(zé)的，它提供的是客體在主體之間共享的控制，系統(tǒng)擁有者的安全策略決定了它的安全性。雖然DAC 屬于系統(tǒng)安全策略的一部分，但是客體的擁有者才對其擁有決定權(quán)，原則上系統(tǒng)安全管理人員無權(quán)干預(yù)授權(quán)的傳遞和轉(zhuǎn)讓?？腕w的DAC 方式可能會(huì)被客體的擁有者改變，但是客體的擁有者不能改變客體的MAC 方式。以BLP（Bell-LaPadula）為模型逐漸發(fā)展起來的MAC，主體和客體都具有安全級(jí)，其中密級(jí)和范圍是安全級(jí)的兩個(gè)元素?？腕w所含信息的敏感程度由客體的安全級(jí)顯示，主體的可信度由主體的安全級(jí)顯示。

以下兩個(gè)規(guī)則是實(shí)施強(qiáng)制訪問控制時(shí)必須遵守的規(guī)則：一是不能上讀：主體只能讀安全級(jí)受其安全級(jí)支配的客體；二是不準(zhǔn)下寫：主體只能寫安全級(jí)支配其安全級(jí)的客體。由于MAC 實(shí)施訪問控制時(shí)是建立在安全等級(jí)的基礎(chǔ)上的，所以它能夠躲避很多病毒的攻擊。

2.3 基于角色的訪問控制[3]基于角色的訪問控制（RBAC）最早是由Ravi Sandu 提出的，它是美國George Mason 大學(xué)的一位教授，該機(jī)制具有解決很多復(fù)雜問題的能力。基于角色的訪問控制主要包括會(huì)話、用戶、角色、許可等主要概念，其中角色是訪問權(quán)的集合。一旦某一個(gè)用戶擁有一個(gè)角色時(shí)，那么這個(gè)角色所有的訪問權(quán)也同時(shí)被這個(gè)用戶擁有了。用戶和角色之間是多對多的關(guān)系，同時(shí)這也是角色和許可之間的關(guān)系。用戶只要進(jìn)入RBAC 模型系統(tǒng)中，就會(huì)得到一個(gè)會(huì)話，同時(shí)激活一個(gè)角色，有可能這個(gè)角色是該用戶的全部角色的子集，那么此時(shí)對于這個(gè)用戶來說，就擁有了全部被激活的角色所包含的訪問權(quán)。這就是基于角色的訪問控制最大的優(yōu)勢，它很容易實(shí)施最小特權(quán)原則。由于在應(yīng)用層內(nèi)角色的邏輯意義更為明顯和直接，所以RBAC 很適合于數(shù)據(jù)庫應(yīng)用層的安全模型。

3 幾種數(shù)據(jù)庫安全訪問控制機(jī)制的優(yōu)缺點(diǎn)

在數(shù)據(jù)庫系統(tǒng)的訪問控制的發(fā)展歷程中，最早出現(xiàn)的訪問控制安全策略是自主訪問控制（DAC），同時(shí)它也是在現(xiàn)階段流行的Unix 類操作系統(tǒng)中最常見的。它有以下不足：資源管理比較分散；用戶間的關(guān)系不能在系統(tǒng)體現(xiàn)出來，不易管理等，它最大的缺點(diǎn)是無法對系統(tǒng)中信息流進(jìn)行很好的保護(hù)，很容易泄露信息，也無法抵御病毒的攻擊。而強(qiáng)制訪問控制雖然能夠較好地解決特洛伊木馬的問題，但缺點(diǎn)是應(yīng)用的領(lǐng)域比較窄，完整性方面控制不夠。目前基于角色的訪問控制是最先進(jìn)的，它是一種策略無關(guān)的訪問控制技術(shù)，并且具有自我管理的能力。唯一的不足時(shí)還處于發(fā)展階段，不是十分成熟。

4 數(shù)據(jù)庫安全訪問控制機(jī)制的發(fā)展方向

當(dāng)前社會(huì)各項(xiàng)先進(jìn)技術(shù)相互交融、相互滲透已經(jīng)是趨勢，隨著數(shù)據(jù)庫技術(shù)、網(wǎng)絡(luò)通信技術(shù)、面向?qū)ο蠹夹g(shù)等技術(shù)的不斷相互滲透和融合，用戶對數(shù)據(jù)庫安全的需求也同過去相比發(fā)生了很大的改變，提出了很多新的問題，使得數(shù)據(jù)庫安全面臨著很多的挑戰(zhàn)。數(shù)據(jù)庫安全訪問控制機(jī)制主要向以下拓展：進(jìn)一步擴(kuò)展DAC 的授權(quán)表示能力，并開發(fā)通用的描述安全策略的語言，使DAC 能直接支持各種安全策略；RBAC 期待進(jìn)一步的研究和應(yīng)用于實(shí)際的DBMS。盡管目前的一些DBMS 支持基于角色的策略，但還未充分開發(fā)RBAC 的潛力，特別地，基于角色的策略可滿足分離責(zé)任的要求，但目前的DBMS 并未實(shí)現(xiàn)這一點(diǎn)。

5 結(jié)束語

從對有關(guān)數(shù)據(jù)庫安全訪問控制技術(shù)發(fā)展文獻(xiàn)的調(diào)研和綜述可以看出：數(shù)據(jù)庫的安全問題越來越受到重視，尤其是網(wǎng)絡(luò)技術(shù)的飛速發(fā)展，在網(wǎng)絡(luò)中運(yùn)行的數(shù)據(jù)庫服務(wù)器安全機(jī)制問題，更使得數(shù)據(jù)庫研究者需要重新考慮在新情況下對傳統(tǒng)技術(shù)的改進(jìn)。從廣度上講，新問題的出現(xiàn)需要我們開拓思路，尋求創(chuàng)新性的技術(shù)突破。

[1]宋志敏，南湘浩，唐禮勇，等.數(shù)據(jù)庫安全的研究與進(jìn)展[J].計(jì)算機(jī)工程與應(yīng)用，2001，01：85-87.

[2]李躍明.數(shù)據(jù)庫系統(tǒng)的創(chuàng)新發(fā)展[J].電腦知識(shí)與技術(shù)，2011（2）.

[3]魏紅霞.信息管理中數(shù)據(jù)庫系統(tǒng)的應(yīng)用[J].煤炭技術(shù)，2012（6）.