提高rcle數據庫應用系統(tǒng)安全的舉例與分析

1、提高oracle數據庫應用系統(tǒng)安全的舉例與分析趙晉王維民(合肥市電信局計算中心)摘要本文介紹了作者為了提高oracle數據庫安全所進行的一些 有益嘗試。關鍵詞oracle數據庫安全i.oracle數據庫安全的幾個基本概念1.1 帳戶安全(accountsecurity )要在數據庫中訪問數據，就必須訪問該數據庫的一個帳戶。 每個 帳戶必須指定一個口令。口令是在帳戶建立的時候設置的，可由 dba或用戶進行修改。1.2 系統(tǒng)級權限(system-levelprivilege )系統(tǒng)級權限可以建立從系統(tǒng)級權限全集到擴展的基本系統(tǒng)級的各類角色。比如，connect,resource 和dba就是分別提

2、供給 用戶，開發(fā)者及dba的標準角色。1.3 對象安全性(objectsecurity )用戶可以通過grant命令將自己創(chuàng)建的一些權限授予其他用戶使用，也可以給其他用戶授予對對象授權的權限。例如，可以授予一個用戶擁有對本用戶表授予 select權限的權限。1.4 審計（auditing ）oracle具有審計發(fā)生在其內部的所有操作一一包括注冊企圖， 對象訪問和數據庫操作一一的能力。審計的結果存儲在數據庫 的審計表中。2.應用實例與分析在一些較大規(guī)模的client/server系統(tǒng)中，client端的應用程序 一般是通過主程序中的語句實現(xiàn)與數據庫的連接。這種情況下， 任何人打開源程序便能清楚了

3、解數據庫的連接口令，這就可能導致安全性問題。經常改變數據庫密碼是一個辦法，而若要改變數 據庫用戶的密碼，就需重新編寫相關程序，并對 client端的有 關程序進行更新，對于client端多而分散的系統(tǒng)，實際運作很不 方便。能不能讓這些工作簡單易行一些呢？我們在工作中進行了 一些嘗試。我單位數據庫環(huán)境為oracle7.3,開發(fā)工具是develope2000。收費系統(tǒng)是我單位的核心系統(tǒng)之一，占有極其重要的地位，其 client端分散在市區(qū)的數個營業(yè)點,通過城域網與主機（小型機）相連。收費系統(tǒng)在數據庫中的用戶名為 sfyy（收費應用）。試驗的步驟是這樣的:2.1 在收費小型機oracle系統(tǒng)的sys

4、tem用戶(dba)下，創(chuàng)建新用戶test;createusertestidentifiedbycartondefaulttablespacedataspacelquota100k2.2 對test用戶授以權限；grantcreatesessiontotest;grantresourcetotest;2.3 在test用戶下建立一個存儲函數 mmtranslate,它其實是一個加密程序。下面是一個簡單的例子。functionmmtranslate(mvarchar2)returnvarchar2 as inumber(2);kkvarchar2(10);beginkk:=；i:=1;loopi

5、fi0thenkk:=kk|chr(100+to_number(substr(m,i,1);elsfinstr(wxyz,substr(m,i,1),1,1)0thenkk:=kk|chr(-8+ascii(substr(m,i,1);elsekk:=kk|chr(4+ascii(substr(m,i,1);endif;else exit;endif;i:=i+1;endloop;returnkk;exceptionwhenothersthenreturn -1；end;2.4 在test用戶下建表mmtest并插入記錄createtablemmtest(usnamevarchar2(6),

6、用戶名稱mimavarchar2(6) 加密前的密碼);insertintommtestvalues(sfyy,eds2);commit;2.5 執(zhí)行以下語句sqlselectmmtranslate(eds2)fromdual;mmtranslate(eds2) ihwf利用dba權限更改sfyy的密碼為上面語句的執(zhí)行結果：alterusersffyidentifiedbyihwf;2.6 修改應用程序，對于開發(fā)環(huán)境是 develope2000 的程序來說，主要是修改主程序的on-logon觸發(fā)器：declaremmvarchar2(6);beginlogon(test,carton);sel

7、ectmimaintommfrommmtestwhereusname=sfyy;mm:=mmtranslate(mm);logout;logon(sfyy,mm);end;然后再利用觸發(fā)器when-new-from-instance 執(zhí)行callfrom 或newform 等命令，進入業(yè)務處理程序。這個主程 序應當僅僅由管理員來掌握，編譯之后將執(zhí)行文件下發(fā)到各收費 點的client端。2.7 在system 用戶下，利用oracle提供的pupbld.sql,建立表 productuserprofile,執(zhí)行下面這樣的命令，限制在非開發(fā)狀態(tài) sql命令的使用例如insertintoproduc

8、tuserprofile(product,userid,attribute,charvalue)values(sql*plus,tesr,connecr,disabled);insertintoproductuserprofile(product,userid,attribute,charvalue)values (sql*plus,sfyy,delete,disabled);這樣，在 sql 狀態(tài) 下，根本無法連接到test用戶，而在sfyy用戶下，delete命 令將不能執(zhí)行。當然,dba可以改變這些設置。3.可以看出，通過上述的一系列處理，無須更新程序便能實現(xiàn)應用 系統(tǒng)數據庫（本例中的s

9、fyy）密碼的定期或經常的改動，大大提高 了維護效率。test用戶的口令只有dba掌握；過程mmtranslate 的加密方式也可以經常改變。這些都保證了安全性。另一方面，還要加強對源程序的管理，在 client端只存放執(zhí)行 程序。加強審計，發(fā)現(xiàn)異?，F(xiàn)象，及時處理。通過這些手段，數據庫安全得到了更好保證。mvision解決方案創(chuàng)新創(chuàng)先micron將于7月正式推出一套 mvision 計劃，專門幫助行業(yè) 用戶和政府部門進行以下活動：提高他們的it人員的能力，增 加他們的財政來源，以及從事高收益的科技。mvision計劃的第一階段包括：16項提高it人員生產力的新的產品和服務；新 的增加財政來源計劃和提供高科技幫助。通常計算機供應商提供 的以上各種項目只為被美國財富雜志評為的全美前500名企業(yè)服務。而micron為滿足行業(yè)用戶和政府部門的需求而為他 們提供了上述項目，從而成為這一行業(yè)中領導者。micronmicron 董事長兼 ceojeolkrocher 先生說：“mvision 計劃的第一步的基礎是it 專業(yè)人士和高級管理的直接輸入。它主要是為了讓行業(yè)部門和政府