网络数据库安全机制研究
摘要
网络数据库系统是开放环境下的信息仓库，管理着大量数据信息。同时可能受到来自多方面频繁的安全攻击，从而导致一系列安全问题。一旦出现数据丢失、损坏、非法篡改或失密会造成很大的损失。如今，网络数据库相关安全机制的研究随着网络和数据库技术的发展而不断深化，网络数据库的安全管理日益成为人们关注的焦点之一。
网络数据库的安全机制涉及的内容十分广泛。从体系结构和软件层次上思考，笔者将其分为网络安全机制、服务器操作系统安全机制、数据库管理系统安全机制和应用系统安全机制四层。在这个层次结构中，每一层都有自己的一套机制，完成自己的任务，实现一定的安全内容。各层之间相互联系，构成一套完整的安全策略。每层都是目前安全研究的热门课题。
笔者在讨论有关安全技术和数据库应用技术基本理论的基础上，将加密技术、身份验证、存取控制等安全技术相结合，着重针对应用系统安全机制和服务器安全机制中的访问控制问题进行分析研究。对目前一个迅速发展的网络数据库管理系统MySQL的安全机制进行分析，给出了在网络数据库应用系统中设计和实现安全访问控制的一般方法。
DBMS本身具备安全管理功能，防止非授权用户对数据库进行非法存取。而前端(客户层和中间层)应用系统的安全性主要是防止非授权用户对应用系统进行不符合应用逻辑的非法执行，其安全管理主要取决于具体系统，须由开发者自行设计。如何将后台DBMS的安全机制与前端应用系统的安全机制有机结合，形成统一完整并适应大系统管理需求的安全控制系统，论文给出了一个扩展RBAC模型。其应用方法具有普遍性，且授权维护方便、可控性强、易移植。
在web服务器的访问控制中，目前多是基于对单个用户的管理，或简单的矩阵式管理，无法适应企业级或大系统的管理需求。如何利用现有安全手段提高web服务器安全，为网络数据库的安全访问提供一个可信的面向角色的平台。论文承接客户端所赋予的前后统一的角色信息，利用加密算法构造能提供身份认证、完整性和保密性的cookie，来实现基于角色的安全的web访问控制机制。
八硕士学位论文
④ALASTER’S TffeSIS
最后在一个以Linux为网络服务器，MySQL为网络数据库管理系统的平台
上，利用前面研究的部分技术实现对网上教学系统的安全控制。
Network databse is the information warehouse under opening condition, which manages a lot of datum. On the same time.it has to be confronted with various security attack. Once the data information in the network database was lost, damaged or juggled.it would make enormous loss. Today, the security managerment of network database is become more and more important.
The security mechanism of network database is related with many aspects.Though the analysis of architecture and software arrangement, I divide this problem into four layers: network security mechanism, DBMS security mechanism, operating system(server) security mechanism and application system security mechanism. Each aspect is the hotspot of the security research nowadays.
This thesis, based on the security technology and the database theory,combined with the encrpytion techniques, identification techniques and access control theory etc, mainly makes research on the access control in the security mechanism of server,client application
and a rapidly developing DBMS----Mysql. It gives the way of design and
realization of security control in network database application system.
DBMS has its own security management, which prevent the non_accredited user from dealing with the datum in the database. The security problem of the application programme is to prevent the non_accredited user from doing the illogical application performance on application system. Its realization lies on the developer of the programmer. How to combine the security machenism of the DBMS and the application programme into an integrated and uniform security control
system? The thesis puts forward an extended RBAC model. Its application way makes the authority and maintance easy. It is easy to control, and easy to explant.
Current way to access control on web server mostly based on indiviual user, or the simple matrix management, which can't meet the management needs of large system. How to use the existing security approaches to improve the web server access control security. The thesis uses encrypt arithmetic to construct security cookie, to realize the secure role_based web access control.
Finally the author uses part of the research result in a project --Network Teaching System to realize the security access control.
网络数据库的安全机制涉及的内容十分广泛。从体系结构和软件层次上思考，笔者将其分为网络安全机制、服务器操作系统安全机制、数据库管理系统安全机制和应用系统安全机制四层。在这个层次结构中，每一层都有自己的一套机制，完成自己的任务，实现一定的安全内容。各层之间相互联系，构成一套完整的安全策略。每层都是目前安全研究的热门课题。
笔者在讨论有关安全技术和数据库应用技术基本理论的基础上，将加密技术、身份验证、存取控制等安全技术相结合，着重针对应用系统安全机制和服务器安全机制中的访问控制问题进行分析研究。对目前一个迅速发展的网络数据库管理系统MySQL的安全机制进行分析，给出了在网络数据库应用系统中设计和实现安全访问控制的一般方法。
DBMS本身具备安全管理功能，防止非授权用户对数据库进行非法存取。而前端(客户层和中间层)应用系统的安全性主要是防止非授权用户对应用系统进行不符合应用逻辑的非法执行，其安全管理主要取决于具体系统，须由开发者自行设计。如何将后台DBMS的安全机制与前端应用系统的安全机制有机结合，形成统一完整并适应大系统管理需求的安全控制系统，论文给出了一个扩展RBAC模型。其应用方法具有普遍性，且授权维护方便、可控性强、易移植。
在web服务器的访问控制中，目前多是基于对单个用户的管理，或简单的矩阵式管理，无法适应企业级或大系统的管理需求。如何利用现有安全手段提高web服务器安全，为网络数据库的安全访问提供一个可信的面向角色的平台。论文承接客户端所赋予的前后统一的角色信息，利用加密算法构造能提供身份认证、完整性和保密性的cookie，来实现基于角色的安全的web访问控制机制。
八硕士学位论文
④ALASTER’S TffeSIS
最后在一个以Linux为网络服务器，MySQL为网络数据库管理系统的平台
上，利用前面研究的部分技术实现对网上教学系统的安全控制。
Network databse is the information warehouse under opening condition, which manages a lot of datum. On the same time.it has to be confronted with various security attack. Once the data information in the network database was lost, damaged or juggled.it would make enormous loss. Today, the security managerment of network database is become more and more important.
The security mechanism of network database is related with many aspects.Though the analysis of architecture and software arrangement, I divide this problem into four layers: network security mechanism, DBMS security mechanism, operating system(server) security mechanism and application system security mechanism. Each aspect is the hotspot of the security research nowadays.
This thesis, based on the security technology and the database theory,combined with the encrpytion techniques, identification techniques and access control theory etc, mainly makes research on the access control in the security mechanism of server,client application
and a rapidly developing DBMS----Mysql. It gives the way of design and
realization of security control in network database application system.
DBMS has its own security management, which prevent the non_accredited user from dealing with the datum in the database. The security problem of the application programme is to prevent the non_accredited user from doing the illogical application performance on application system. Its realization lies on the developer of the programmer. How to combine the security machenism of the DBMS and the application programme into an integrated and uniform security control
system? The thesis puts forward an extended RBAC model. Its application way makes the authority and maintance easy. It is easy to control, and easy to explant.
Current way to access control on web server mostly based on indiviual user, or the simple matrix management, which can't meet the management needs of large system. How to use the existing security approaches to improve the web server access control security. The thesis uses encrypt arithmetic to construct security cookie, to realize the secure role_based web access control.
Finally the author uses part of the research result in a project --Network Teaching System to realize the security access control.
引文
[1] 薛华成，管理信息系统(第二版)，清华大学出版社，1993
[2] Salemi J，客户／服务器实用技术指南，电子工业出版社，1994
[3] Mark Swank;Drew Kittel,Wold Wide Web数据库开发人员指南，机械工业出版社，1998．6
[4] www.isbase.com绿色兵团，讨论网络攻击和相关的防御
[5] home.is.ac/information.htm信息安全国家重点实验室，网络安全问题的讨论与对策，
[6] 谢希仁，计算机网络，电子工业出版社，1999
[7] Ganesh Prasad等，Linux部署专业技术，人民邮电出版社，2001
[8] 宋志敏 南相浩，数据库安全的研究与进展，计算机工程与应用，2001．1
[9] 邵佩英，数据库安全应用服务器的研究与实现，软件学报，2001．1
[10] Silberschatz，数据库系统概念，机械工业出版社，2000
[11] C.J.Data，数据库系统导论，机械工业出版社，2001
[12] 萨师煊 王珊，数据库系统概论(第三版)，高等教育出版社，2000
[13] www.safe999.com.cn曙光公司的安全性技术站点
[14] www.itsec.gov.cn安全标准
[15] Paul DuBios,MySQL网络数据库指南，机械工业出版社，2001
[16] www.mysql.com mysql官方网站
[17] www.oracle.com oracle官方网站
[18] R.Sandhu,E.Coyne,H.Feinstein,C.Youmen,Role-Based Access Con_trol Models,IEEE Computer,1996
[19] R.Sandhu,Role-Based Access Control,Advance in Computers,1998
[20] 李孟珂 余祥宣，基于角色的访问控制控制技术及应用，计算机应用研究，2000(10)
[21] 吴煲宁 孙志挥，基于角色的 CIPS 动态功能授权系统的设计与实现，计算机工程与应用，2001．2
[22] 蔡菁，基于角色的数据库权限管理，微型电脑应用，2000．8
[23] 刘红岩 何军，PowerBuilder原理与应用指南，电子工业出版社，1999．6
[24] Willlam B.Heys,PowerBuilder 6开发指南，电子工业出版社，1999．3
[25] 陈庆章 林建明，WWW 与数据库集成系统的用户权限管理，计算机工程与应用，2001．6
[26] John F Barley,Role Based Access Control for World Wide Web, ACM,1997
[27] 王虹宇 张福利，Linux服务器管理员教程，国防工业出版社，2001
[28] 陈向阳 方汉，Linux 实用大全，科学出版社，1997
[29] 谭毓安，网络攻击防护编码技术，北京希望电子出版社，2002
[30] 樊宸丰 林东，网络信息安全与PGP加密，清华大学出版社，1998
[31] Bruse Schneier，应用密码学(协议算法与C源程序)，机械工业出版社，2000．1
[32] www.gnupg.org,GPG官方网站
[33] www.cpan.org,perl官方网站
[34] 张峰 王小妮，采用SSL保障系统安全的一种方法，北京机械工业学院学报，2001．9
[35] D Kristol, L Montulli, Http state managerment mechanism, RFC 2965, Network Working Group, Internet Engineering Task Force, 2000
[36] www.nsficys.com绿盟科技——安全技术
[37] 王宏健 王辉 邵佩英，在web上实现基于角色的访问控制的一种方法，计算机工程与应用，2001．5
[38] Booch, G.Jacobson, The unified modeling language use guide, Addison-Wesley, 1998
[39] Paul Whitehead; Eric Kramer, peri，清华大学出版社，2001．8
[40] J S Park, R Sandhu, Smart certificates; Extending X.509 for secure attribute services On the Web.In:Proc of the 22nd National Infromation Systems Security Conf.1999
[41] 麦奇，深入php4编程技术，中国石化出版社，2000．1
[2] Salemi J，客户／服务器实用技术指南，电子工业出版社，1994
[3] Mark Swank;Drew Kittel,Wold Wide Web数据库开发人员指南，机械工业出版社，1998．6
[4] www.isbase.com绿色兵团，讨论网络攻击和相关的防御
[5] home.is.ac/information.htm信息安全国家重点实验室，网络安全问题的讨论与对策，
[6] 谢希仁，计算机网络，电子工业出版社，1999
[7] Ganesh Prasad等，Linux部署专业技术，人民邮电出版社，2001
[8] 宋志敏 南相浩，数据库安全的研究与进展，计算机工程与应用，2001．1
[9] 邵佩英，数据库安全应用服务器的研究与实现，软件学报，2001．1
[10] Silberschatz，数据库系统概念，机械工业出版社，2000
[11] C.J.Data，数据库系统导论，机械工业出版社，2001
[12] 萨师煊 王珊，数据库系统概论(第三版)，高等教育出版社，2000
[13] www.safe999.com.cn曙光公司的安全性技术站点
[14] www.itsec.gov.cn安全标准
[15] Paul DuBios,MySQL网络数据库指南，机械工业出版社，2001
[16] www.mysql.com mysql官方网站
[17] www.oracle.com oracle官方网站
[18] R.Sandhu,E.Coyne,H.Feinstein,C.Youmen,Role-Based Access Con_trol Models,IEEE Computer,1996
[19] R.Sandhu,Role-Based Access Control,Advance in Computers,1998
[20] 李孟珂 余祥宣，基于角色的访问控制控制技术及应用，计算机应用研究，2000(10)
[21] 吴煲宁 孙志挥，基于角色的 CIPS 动态功能授权系统的设计与实现，计算机工程与应用，2001．2
[22] 蔡菁，基于角色的数据库权限管理，微型电脑应用，2000．8
[23] 刘红岩 何军，PowerBuilder原理与应用指南，电子工业出版社，1999．6
[24] Willlam B.Heys,PowerBuilder 6开发指南，电子工业出版社，1999．3
[25] 陈庆章 林建明，WWW 与数据库集成系统的用户权限管理，计算机工程与应用，2001．6
[26] John F Barley,Role Based Access Control for World Wide Web, ACM,1997
[27] 王虹宇 张福利，Linux服务器管理员教程，国防工业出版社，2001
[28] 陈向阳 方汉，Linux 实用大全，科学出版社，1997
[29] 谭毓安，网络攻击防护编码技术，北京希望电子出版社，2002
[30] 樊宸丰 林东，网络信息安全与PGP加密，清华大学出版社，1998
[31] Bruse Schneier，应用密码学(协议算法与C源程序)，机械工业出版社，2000．1
[32] www.gnupg.org,GPG官方网站
[33] www.cpan.org,perl官方网站
[34] 张峰 王小妮，采用SSL保障系统安全的一种方法，北京机械工业学院学报，2001．9
[35] D Kristol, L Montulli, Http state managerment mechanism, RFC 2965, Network Working Group, Internet Engineering Task Force, 2000
[36] www.nsficys.com绿盟科技——安全技术
[37] 王宏健 王辉 邵佩英，在web上实现基于角色的访问控制的一种方法，计算机工程与应用，2001．5
[38] Booch, G.Jacobson, The unified modeling language use guide, Addison-Wesley, 1998
[39] Paul Whitehead; Eric Kramer, peri，清华大学出版社，2001．8
[40] J S Park, R Sandhu, Smart certificates; Extending X.509 for secure attribute services On the Web.In:Proc of the 22nd National Infromation Systems Security Conf.1999
[41] 麦奇，深入php4编程技术，中国石化出版社，2000．1