Часть 2. Специальные аспекты работы с базами данных

Защита данных в базе

2.2.1. Общие вопросы защиты данных

Термин “защита данных” означает, во-первых, предупреждение несанкционированного или случайного доступа к данным, их изме­нения или разрушения со стороны пользователей. И во-вторых, преду­преждение изме­нения или разрушения данных при сбоях аппаратных и программных средств и ошибках в работе пользователей.

Защита данных обеспечивает их безопасность и секретность. Эти две функции тесно связаны между собой и для их реализации исполь­зуются од­ни и те же технические методы защиты данных в БД. Но ме­жду этими функ­циями существует и принципиальное различие. Под функцией безопасности понимается защита данных от непреднаме­ренного доступа к данным и.воз­можности их искажения со стороны пользователей, а также при сбоях в аппаратуре или программных средствах. Поэтому обеспечение безопасности это внутренняя задача поскольку связана с его нормальным функциони­рованием. Под функцией секретности понимается защита данных от предна­меренного доступа пользователей или посторонних лиц. Обеспечение сек­ретности требует разделение всей хранимой в БД информации на доступные данные и данные, которые должны исполь­зоваться конфиденциально (т.е. либо сами содержат секретную инфор­мацию, либо ее можно получить из них с помощью специальной алго­ритмической обработки). Решение этого вопроса выходит за рамки БД и находится в компетенции юридических органов или администра­ции предприятия, для которого создается Б Д.

Рассмотрим техническую сторону методов обеспечения защиты данных в базе.

Можно выделить уровни доступа к БД для различных категорий поль­зователей; 1) неограниченный доступ ко всем отношениям в БД и их объ­ектам; 2) неограниченный доступ к группе отношений и их объ­ектам; 3) ограниченный доступ к группе отношений и их объектам.

На уровне отношения различают следующие уровни доступа:

1) неограниченный доступ ко всему отношению для всех типов операций;

2) запрет на доступ к любым частям отношения для всех типов операций;

3) доступ к любой части отношения, но без права изменения его содер­жимого;

4) доступ к любой части отношения, но с правом изменения значений только для атрибутов A₁, А₂,.. А_n;

5) неограниченный доступ только к одному кортежу отношения для всех типов операций;

6) доступ только к одному кортежу отношений без права изме­нения со­держимого этого кортежа;

7) неограниченный доступ только к атрибутам A₁, А₂,.. A_n от­ношения для всех типов операций и запрет доступа к остальным атри­бутам отношения;

8) доступ только к атрибутам А₁, А₂,.. А_n отношения без права изменения их значений и запрет доступа к остальным атрибутам отношения;

9) доступ только к атрибутам A₁,A₂,…A_n отношения с правом изменения значений только для атрибутов A₁..A_p, где (A₁.. A_p)Ì(A₁, А₂,... A_n) и запрет доступа к остальным атрибутам отношения;

10) доступ в соответствии с пунктами 1,3,4,5,6,7,8,9, но с ограни­чени­ем по интервалу времени (с t₁ no t₂);

11) доступ в соответствии с пунктами 1,3,4,5,6,7,8,9, но с разре­шением изменения значений атрибутов только в случае выполнения условий F₁, F₂,.. F_n соответственно для значений атрибутов A₁,А₂,..A_n (напри­мер, если значение атрибута не превышает некото­рой величины Z);

12) разрешение права применения вычислительных операторов (суммирова­ние, вычитание и т.п.) к атрибутам А₁,А₂,..А_n, без права доступа к этим атрибутам или изменения их значений.

Приведенный список уровней доступа показывает требуемый диапазон работы и необходимую гибкость системы зашиты данного общего назначе­ния. В настоящее время нет реальных систем, в кото­рых были бы реализо­ваны все эти возможности для защиты данных.

Поскольку большинство СУБД работает под управлением операционных систем ЭВМ, для защиты данных в БД широко применяются средства защиты, представляемые операционными системами.

Рассмотрим основные методы и приемы зашиты данных.

Идентификация пользователя. Перед началом сеанса с систе­мой поль­зователи должны идентифицировать себя и подтвердить под­линность своей идентификации, т.е. что они именно те лица, за ко­торых себя выдают. Для особо важной информации эти два шага могут многократно повторяться. Процесс идентификации пользователя вы­полняется с помощью либо сис­темного идентификационного номера пользователя, либо номера терминала, запросившего сеанс работы. В последнем случае необходимо использовать организационные меры, обеспечивающие возможность работы с определенно­го терминала только определенных лиц. Процесс подтверждения подлиннос­ти пред­ставляет собой обмен между пользователем и системой информаци­ей, известной только системе и пользователю. В простейшем случае про­цесс подтверждения подлинности может отсутствовать, и система за­щиты использует только процесс идентификации пользователя. Под­тверждение подлинности реализуется специальной процедурой, обычно не сложной, но характеризующейся очень низкой вероятностью ее раскрытия. Это может быть одноразовые пароли, ответы на неко­торые вопросы или реализация некоторых алгоритмов.

Управление доступом. В ряде случаев информация о составе разре­шенных пользователю операций оказывается недостаточной для решения вопроса о допустимости выполнения этих операций с конкретными данными. Поэтому каждое групповое данное должно иметь связанный с ним набор ог­раничений доступа. Этот набор огра­ничений содержит: условие, которому должен удовлетворять пользо­ватель, чтобы иметь доступы к групповому данному; пароль, предъ­являемый при выборке некоторых комбинаций данных из группового данного; пароль, предъявляемый при модификации этих данных, и т.п.

В общем случае для решения вопроса о доступе пользователя к дан­ным в составе СУБД должна быть специальная программа, прове­ряющая зап­рос пользователя на основании его паспорта, набора огра­ничений и конк­ретных значений данных в БД и решающая вопрос о разрешении или запре­щении доступа. Алгоритм подобной программы базируется на аксиоме безо­пасности и реализует различные проверки.

Аксиома безопасности. Если комбинация атрибутов А дос­тупна (зап­рещена) пользователю Х в зависимости от условия В, то ка­ждая подкомбинация А также доступна (запрещена) пользова­телю Х по условию В.

Состав проверок может быть, например, следующим.

1. Все ли отношения, упомянутые в запросе, доступны пользова­телю Х?

2. Все ли объекты, упомянутые в запросе, доступны пользова­телю Х?

3. Все ли комбинации атрибутов, упомянутые в запросе, дос­тупны пользо­вателя X?

4. Задано ли квалифицирующее выражение, которое ограничи­вает для поль­зователя Х диапазон значений атрибутов, и если да, то лежат ли их значения внутри диапазона, доступного для X?

Если в результате проверок будет получен отрицательный от­вет, то программа информирует пользователя об отклонении его за­проса.

Защита данных при статической обработке. Кроме обычных проблем предотвращения несанкционированного доступа к БД для статических процедур существуют свои специфические про­блемы защиты дан­ных.

Первый подход защиты данных заключается в том, что если и не иск­лючить полностью возможность раскрытия индивиду­альных данных, то по крайней мере сделать эту возможность доста­точно трудной.

Второй подход заключается в следующем. Если ключ записи со­стоит из Х полей и в запросе допускается специфицировать не более Y (Y<Х) полей ключа (т.е. выполняется поиск по частичному соот­ветствию ключа), то никакая статическая функция, использующая только операции сложе­ния, вычитания, умножения и деления, не позво­лит определить значение дан­ного в конкретной записи.

Физическая защита. Подходы, рассмотренные выше, недостаточны для защиты БД от лиц, желающих ее использовать в обход системы. Примером обхода системы яв­ляется физическое извлечение части БД; похищение флоппи дисков или винчестера, контроль передачи по линии связи между удаленным термина­лом, за которым работает истинный пользователь, и системой и т.п.

Основная мера защиты при подобных ситуациях - использова­ние спе­циальных методов кодирования данных. Один из простейших методов – перекомпоновка символов в кортеже, записи, сообщении. Другой метод заключается в замене символа (или группы символов) другим (или группой символов) этого же либо другого алфавита и др. Физическая за­щита связана также с защитой данных от сбоев в аппаратных и программ­ных сред­ствах. В этом случае используется средства ОС - хранение поко­лений данных, формирование контрольных точек и выполнение при необхо­димости рестарта, ведение системных журналов и т.п.