Концептуальные подходы к защите БД (основные,базовые средства защиты СУБД )

⇐ ПредыдущаяСтр 6 из 11Следующая ⇒

Методы защиты баз данных в различных СУБД несколько отличаются друг от друга. Анализ современных СУБД фирм Borland и Microsoft показывает, что они условно делятся на две группы: основные и дополнительные.

К основным средствам защиты относится:

· защита паролем;

· шифрование данных и программ;

· разграничение прав доступа к объектам базы данных;

· защита полей и записей таблиц БД.

Защита паролем представляет собой простой и эффективный способ защиты БД от несанкционированного доступа. Пароли устанавливаются пользователями или администраторами БД. Учет и хранение паролей выполняется самой СУБД. Обычно, пароли хранятся в определенных системных файлах СУБД в зашифрованном виде. После ввода пароля пользователю СУБД предоставляются все возможности по работе с БД.

Парольная защита является достаточно слабым средством, особенно если пароль не шифруется. Основной ее недостаток состоит в том, что все пользователи, использующие одинаковый пароль, с точки зрения вычислительной системы неразличимы. Неудобство парольной защиты для пользователя состоит в том, что пароль надо запоминать или записать. При небрежном отношении к записям пароль может стать достоянием других.

Более мощным средством защиты данных от просмотра является их шифрование. Шифрование – это преобразование читаемого текста в нечитаемый текст, при помощи некоторого алгоритма; применяется для защиты уязвимых данных.

Процесс дешифрования восстанавливает данные в исходное состояние.

В целях контроля использования основных ресурсов СУБД во многих системах имеются средства установления прав доступа к объектам БД. Права доступа определяют возможные действия над объектами. Владелец объекта (пользователь, создавший объект), а также администратор БД имеют все права. Остальные пользователи к разным объектам могут иметь различные уровни доступа. Разрешение на доступ к конкретным объектам базы данных сохраняется в файле рабочей группы.

Файл рабочей группы содержит данные о пользователях группы и считывается во время запуска. Файл содержит следующую информацию: имена учетных записей пользователей, пароли пользователей, имена групп, в которые входят пользователи.

По отношению к таблицам могут предусматриваться следующие права доступа:

· просмотр (чтение) данных;

· изменение (редактирование) данных;

· добавление новых записей;

· добавление и удаление данных;

· изменение структуры таблицы.

К данным, имеющимся в таблице, могут применяться меры защиты по отношению к отдельным полям и отдельным записям.

Защита данных в полях таблиц предусматривает следующие уровни прав доступа:

· полный запрет доступа;

· только чтение;

· разрешение всех операций (просмотр, ввод новых значений, удаление и изменение).

По отношению к формам могут предусматриваться две основные операции:

· вызов для работы и проектирование (режим Конструктора). Запрет вызова Конструктора целесообразно выполнять для экранных форм готовых приложений, чтобы конечный пользователь случайно не изменил приложение;

· защита отдельных элементов. Например, некоторые поля исходной таблицы вообще могут отсутствовать или скрыты от пользователя, а некоторые поля - доступны для просмотра.

Отчеты во многом похожи на экранные формы. На отчеты, так же как и на формы, может накладываться запрет на вызов средств их разработки.

ВЫВОД: Концептуальные подходы к защите БД включают в себя следующие вопросы:

· управление доступом и модели безопасности;

· методы идентификации, аутентификации и авторизации;

· шифрование данных;

· использование SQL в построении защиты.(GRANT, REVOKE)

Билет № 11

1. методы управления риском.1. уклонение от риска;

Обобщенный параметр, учитывающий ценность ресурса, уровень угрозы и степень уязвимости, называется уровнем риска. Риск можно рассматривать и как вероятность наступления нежелательного события, и как обобщенный ущерб – в случае наступления этого события.

Целям безопасности конфиденциальной информации служат методы управления риском. Существуют четыре стратегии:

1. уклонение от риска;

2. передача риска;

3. ограничение риска;

4. сокращение риска.

Бизнес всегда связан с риском. Полностью обезопасить себя от риска можно только отказавшись от бизнеса. Способ столь же радикальный, как и применение гильотины в качестве средства от головной боли. Следовательно, уклонение от риска может быть выбрано только в случае явной и очень серьезной опасности. Методы уклонения от риска наиболее распространены в хозяйственной практике, ими пользуются предприниматели, предпочитающие действовать наверняка.

Методы уклонения от риска наиболее распространены в хозяйственной практике, ими пользуются предприниматели, предпочитающие действовать наверняка. Методы уклонения от риска подразделяются на:

• отказ от ненадежных партнеров, т.е. стремление работать только с надежными, проверенными партнерами, не расширение круга партнеров; отказ от участия в проектах, связанных с необходимостью расширить круг партнеров, отказ от инвестиционных и инновационных проектов, уверенность в выполнимости или эффективности которых вызывает сомнения;

• отказ от рискованных проектов, т.е. отказ от инновационных и иных проектов, реализуемость или эффективность, которых вызывает сомнение;

• страхование рисков, основной прием снижения риска, страхование вероятных потерь служит не только надежной защитой от неудачных решений, но и повышает ответственность лиц, принимающих решения, принуждая их серьезнее относится к разработке и принятию решений, регулярно проводить защитные мероприятия в соответствии со страховыми контрактами. Правда, трудно использовать механизм страхования при освоении новой продукции или новых технологий, так как страховые компании не располагают в таких случаях достаточными данными для проведения расчетов;

• поиск гарантов, т.о. при поиске гарантов, как и при страховании, целью является перенос риска на какое-либо третье лицо. Функции гаранта могут выполнять различные субъекты (различные фонды, государственные органы, предприятия) при этом необходимо соблюдать принцип равной взаимной полезности, т.е. желаемого гаранта можно заинтересовать уникальной услугой, совместной реализацией проекта;

• увольнение некомпетентных работников.

Криптография (Введение). Терминология.

Криптография (от др.-греч. κ ρ υ π τ ό ς – скрытый и γ ρ ά φ ω – пишу) – наука о методах обеспечения конфиденциальности (невозможности прочтения информации посторонним) и аутентичности (целостности и подлинности авторства, а также невозможности отказа от авторства) информации.

Изначально криптография изучала методы шифрования информации – обратимого преобразования открытого (исходного) текста на основе секретного алгоритма и/или ключа в шифрованный текст (шифротекст). Традиционная криптография образует раздел симметричных криптосистем, в которых зашифрование и расшифрование проводится с использованием одного и того же секретного ключа. Помимо этого раздела современная криптография включает в себя асимметричные криптосистемы, системы электронной цифровой подписи (ЭЦП), хеш-функции, управление ключами, получение скрытой информации, квантовую криптографию.

Криптография не занимается: защитой от обмана, подкупа или шантажа законных абонентов, кражи ключей и других угроз информации, возникающих в защищенных системах передачи данных.

Криптография – одна из старейших наук, её история насчитывает несколько тысяч лет.

Терминология

· Открытый (исходный) текст – данные (не обязательно текстовые), передаваемые без использования криптографии.

· Шифротекст, шифрованный (закрытый) текст – данные, полученные после применения криптосистемы (обычно – с некоторым указанным ключом).

· Ключ – параметр шифра, определяющий выбор конкретного преобразования данного текста. В современных шифрах криптографическая стойкость шифра целиком определяется секретностью ключа (Принцип Керкгоффса).

· Шифр, криптосистема – семейство обратимых преобразований открытого текста в шифрованный.

· Шифрование – процесс нормального применения криптографического преобразования открытого текста на основе алгоритма и ключа, в результате которого возникает шифрованный текст.

· Расшифровывание – процесс нормального применения криптографического преобразования шифрованного текста в открытый.

· Асимметричный шифр, двухключевой шифр, шифр с открытым ключом – шифр, в котором используются два ключа, шифрующий и расшифровывающий. При этом, зная ключ зашифровывания, нельзя расшифровать сообщение, и наоборот.

· Открытый ключ – тот из двух ключей асимметричной системы, который свободно распространяется. Шифрующий для секретной переписки и расшифровывающий – для электронной подписи.

· Секретный ключ, закрытый ключ – тот из двух ключей асимметричной системы, который хранится в секрете.

· Криптоанализ – наука, изучающая математические методы нарушения конфиденциальности и целостности информации.

· Криптоаналитик – человек, создающий и применяющий методы криптоанализа.

· Криптография и криптоанализ составляют криптологию, как единую науку о создании и взломе шифров (такое деление привнесено с запада, до этого в СССР и России не применялось специального деления).

· Криптографическая атака – попытка криптоаналитика вызвать отклонения в атакуемой защищенной системе обмена информацией. Успешную криптографическую атаку называют взлом или вскрытие.

· Дешифрование (дешифровка) – процесс извлечения открытого текста без знания криптографического ключа на основе известного шифрованного. Термин дешифрование обычно применяют по отношению к процессу криптоанализа шифротекста (криптоанализ сам по себе, вообще говоря, может заключаться и в анализе шифросистемы, а не только зашифрованного ею открытого сообщения).

· Криптографическая стойкость – способность криптографического алгоритма противостоять криптоанализу.

· Имитозащита – защита от навязывания ложной информации. Имитозащита достигается обычно за счет включения в пакет передаваемых данных имитовставки.

· Имитовставка – блок информации, применяемый для имитозащиты, зависящий от ключа и данных.

· Электронная цифровая подпись, или электронная подпись – асимметричная имитовставка (ключ защиты отличается от ключа проверки). Другими словами, такая имитовставка, которую проверяющий не может подделать.

· Центр сертификации – сторона, чья честность неоспорима, а открытый ключ широко известен. Электронная подпись центра сертификации подтверждает подлинность открытого ключа.

· Хеш-функция – функция, которая преобразует сообщение произвольной длины в число («свёртку») фиксированной длины. Для криптографической хеш-функции (в отличие от хеш-функции общего назначения) сложно вычислить обратную и даже найти два сообщения с общей хеш-функцией.

⇐ Предыдущая 1 2 3 4 567 8 9 10 Следующая ⇒