Глава 16

Защита данных

16.1. Введение

Вопросы защиты данных часто рассматриваются вместе с вопросами поддержки целостности данных (по крайней мере, в неформальном контексте), хотя на самом деле это совершенно разные понятия. Термин защита (security) относится к защишенности данных от несанкционированного доступа, изменения или умышленного разрушения, а целостность - к точности или достоверности данных. Эти термины можно определить и несколько иначе.

Под защитой данных подразумевается предотвращение доступа к ним со стороны несанкционированных пользователей.

Под поддержанием целостности данных подразумевается предотврашение их разрушения при доступе со стороны санкционированных пользователей.

Иначе говоря, защита данных означает получение гарантий, что пользователям разрешено выполнять те действия, которые они пытаются выполнить, а поддержание целостности означает получение гарантий, что действия, которые пользователи пытаются выполнить, будут корректны.

Между этими понятиями есть, конечно, некоторое сходство, поскольку как при обеспечении защиты данных, так и при обеспечении поддержки их целостности система вынуждена проверять, не нарушаются ли при выполняемых пользователем действиях некоторые установленные ограничения. Эти ограничения формулируются (обычно администратором базы данных) на некотором подходяшем языке и сохраняются в системном каталоге. Причем в обоих случаях СУБД должна каким-то образом отслеживать все выполняемые пользователем действия и проверять их соответствие установленным ограничениям. В данной главе речь пойдет о зашите данных, а вопросы целостйости уже рассматривалась в главах 8 и др.

Замечание. Основная причина, по которой эти две темы обсуждаются раздельно, состоит в том, что целостность данных является фундаментальным понятием, тогда как защита данных - понятием вторичным.

Общие соображения

Среди многочисленных аспектов проблемы защиты данных необходимо выделить следующие.

Правовые, обшественные и этические аспекты (например, имеет ли некоторое лицо юридическое право запрашивать, скажем, информацию о выделенном клиенту кредите).

Физические условия (например, запирается ли помещение с компьютерами или терминалами либо же оно охраняется другим способом).

Организационные вопросы (например, каким образом на предприятии, являющемся владельцем системы, принимается рещение о том, кому разрещено иметь доступ к тем или иным данным).

Вопросы управления (например, как в случае организации защиты системы от несанкционированного доступа по схеме паролей обеспечивается секретность используемых паролей и как часто они меняются).

Аппаратные средства защиты (например, имеет ли используемое вычислительное оборудование встроенные функции защиты, подобные ключам защиты хранимой информации или привилегированному режиму управления).

Возможности операционной системы (например, стирает ли используемая операционная система содержимое оперативной памяти и дисковых файлов после прекращения работы с ними).

Аспекты, имеющие отнощение непосредственно к самой СУБД (например, поддерживает ли используемая СУБД концепцию владельца данных).

По очевидным причинам обсуждение этой обширной темы в данной главе будет ограничено, в основном, вопросами, относящимися к последнему пункту приведенного выше списка.

В современных СУБД обычно поддерживается один из двух (иногда оба) широко распространенных подходов к организации защиты данных, а именно - избирательный (discretionary) или мандатный (mandatory) подход. В обоих случаях единица данных или объект данных , для которых организуется система защиты, может выбираться из широкого диапазона от всей базы данных до конкретных компонентов отдельных кортежей. Различия между двумя указанными подходами состоят в следующем.

В случае избирательного контроля каждому пользователю обычно предоставляются различные права доступа (иначе называемые привилегиями или полномочиями) к разным объектам. Более того, разные пользователи, как правило, обладают разными правами доступа к одному и тому же объекту. (Например, пользователю U1 может быть разрешен доступ к объекту А, но запрещен доступ к объекту В, тогда как пользователю U2 может быть разрешен доступ к объекту В, но запрещен доступ к объекту А.) Поэтому избирательные схемы характеризуются значительной гибкостью.

В случае мандатного контроля, наоборот, каждому объекту данных назначается некоторый классификационный уровень, а каждому пользователю присваивается некоторый уровень допуска. В результате право доступа к объекту данных получают только те пользователи, которые имеют соответствующий уровень допуска. Мандатные схемы обычно имеют иерархическую структуру и поэтому являются более жесткими. (Если пользователь U1 имеет доступ к объекту А, но не имеет доступа к объекту В, то в схеме защиты объект В должен будет располагаться на более высоком уровне, чем объект А, а значит, не может существовать никакого пользователя U2, который будет иметь доступ к объекту В, но не будет иметь доступа к объекту А.)

Избирательные схемы подробно обсуждаются ниже, в разделе 16.2, а мандатные схемы - разделе 16.3.

Независимо от того, какая схема используется (избирательная или мандатная), все решения относительно предоставления пользователям прав на выполнение тех или иных операций с теми или иными объектами должны приниматься исключительно управленческим персоналом. Поэтому все эти вопросы выходят за пределы компетенции самой СУБД, и все, что она способна сделать в данной ситуации, - привести в действие решения, которые будут приняты на другом уровне. Исходя из этих соображений, можно отметить следующее.

1. Принятые организационные решения должны быть доведены до сведения системы (т.е. представлены как выражения некоторого подходящего случаю языка описания требований) и быть ей постоянно доступны (посредством их сохранения в системном каталоге).

2. Очевидно, что в системе должны существовать определенные средства проверки поступающих запросов на получение доступа по отношению к установленным правилам защиты. (Здесь под понятием запрос на получение доступа подразумевается конкретная комбинация запрашиваемой операции, запрашиваемого объекта и запрашивающего пользователя.) Обычно такая проверка выполняется подсистемой защиты СУБД, которая иногда также называется подсистемой авторизации.

3. Для принятия решения о том, какие именно установленные ограничения защиты применимы к данному запросу на получение доступа, система должна быть способна установить источник этого запроса, т.е. суметь опознать запрашивающего пользователя. Поэтому при подключении к системе от пользователя обычно требуется ввести не только свой идентификатор (чтобы указать, кто он такой), но и пароль (чтобы подтвердить, что он именно тот, за кого себя выдает). Предполагается, что пароль известен только системе и тем лицам, которые имеют право применять данный идентификатор пользователя

Кстати, в отношении последнего пункта следует заметить, что один и тот же идентификатор может совместно применяться произвольным количеством разных пользователей, входящих в состав некоторой группы. Таким образом, система может поддерживать группы пользователей, обеспечивая одинаковые права доступа для всех ее членов, например для всех работников расчетного отдела. Кроме того, операции добавления новых пользователей в группу или их удаления из нее можно выполнять независимо от операций задания привилегий доступа для этой группы. Обратите внимание, однако, что местом хранения информации о принадлежности пользователей к группам также является системный каталог (или, возможно, сама база данных). В этой связи следует обратить

Проверка того, что пользователь действительно является тем, за кого себя выдает, называется аутентификацией. Попутно оптетим, что в настоящее время, помимо простой проверки пароля, существуют более сложные методы аутентификации пользователей с применением различных биометрических устройств (считывателей отпечатков пальцев, сканеров сетчатки глаз, измерителей геометрических параметров рук, устройств проверки голоса, распознавания подписи и т.д.). Они могут быть эффективно использованы для проверки тех личных характеристик, которые нельзя подделать или украсть [16.3J.