GBase 8s 安全功能设计

1.1       用户认证

DBMS的身份鉴别功能分为两个部分：用户标识与身份鉴别。

1)        用户标识

每个进入DBMS的用户首先需要有一个用户标识，并在DBMS的整个生命周期实现用户标识的唯一性。

2)        用户鉴别

用户身份鉴别采用了用户密码及数据证书双重认证的鉴别机制，按照基本鉴别、不可伪造鉴别及一次性使用鉴别要求进行用户身份鉴别，用户在使用DBMS时必须首先给出用户标识，通过检验合格后才能进入使用DBMS，DBMS采用SSL安全协议，通过双向认证，即客户端或工具端在申请访问服务端时，利用对方的验证算法来验证通信中收到的签名信息。

身份鉴别功能实现包括：

·     强化管理的口令鉴别：系统采用存储哈希口令的方式提高口令安全性。

·     密码复杂度检查：口令长度不得低于 8 位，口令必须包含大写字母、小写字母、数字。

·     密码时效性检查：用户口令有效期最多为 7 天，超过 7 天未修改口令，登录时需要重新设置口令。

·     尝试次数限制：提供用户鉴别尝试次数限制功能，用户可设定尝试次数，最多为 5 次。超过后用户挂起，间隔一段时间后才可以正常登录。

·     用户密码传输加密：用户在客户端登录数据库服务器时，输入的密码信息进行加密传输， server 端进行密码解密并校验。

·     超时认证：用户登录数据库长时间空闲不进行操作，再次操作时，需要输入管理员信息重新登录。

支持证书鉴别：采用SSL协议，通过双向认证，即客户端或工具端在申请访问服务端时，利用对方的验证算法来验证通信中收到的签名信息。

1.2       用户授权

每个授权用户有一组数据库安全域特性，可决定用户下列安全域特性内容：可用特权和授权角色、可用存储空间(如表空间)限额、可用系统资源限制等安全属性。

可用存储空间(如表空间)、可用系统资源既为数据库对象使用资源，主体为用户，客体包括基表、视图、列、存储过程、函数等，操作包括SELECT，INSERT，UPDATE，DELETE，ALTER、INDEX、REFERENCE，EXECUTE等。每个主体拥有一定操作权限，并可将权限授予（或收回）另一个主体，称为授权。

当一个主体访问某个客体时，确认主体对客体访问的操作是否允许，若为允许操作，则访问为合法，否则为非法操作，此时访问不能进行。

1.3       访问控制

l   自主访问控制

采用访问控制表矩阵实现自主访问控制功能。其中的行代表用户，列代表客体，矩阵中的元素用于记录相应主体在相应客体上所具有的自主访问权限。当一个主体访问某个客体时，自主访问控制根据访问控制表检查，以确认主体对客体的访问操作是否合法。

l   访问控制表

由负责DAC管理的安全管理员负责自主访问权限的授予与回收，从而将某个/类客体上的某（些）自主访问权限授予某个用户。也可以从一个用户那里回收以前授予他的自主访问权限。在用户访问数据库时，将根据访问控制表中的内容对用户的访问操作进行自主访问控制检查。

访问控制可以用三元组（S，O，M）表示，即主体S可以对客体O进行M操作，其中M表示访问模式，它可以使读（read），写（write），添加（append），拥有（own）等，也可以是它们的组合。

l   标记与强制访问控制

DBMS中的主体与客体均需标以敏感标记（简称标记），标记分为安全等级标记与范畴标记，等级标记是用正整数表示，而范畴标记则用集合表示。

由负责MAC管理的安全管理员设定主体和客体的密级和范畴。

在标记的基础上可以进行强制访问控制，强制访问控制采用Bell Lapadula访问策略模型，即当主体访问客体时，对主体与客体的标记作比较，一般而言，只有当主体安全等级标记大于等于客体安全等级标记并且其主体范畴标记包含客体范畴标记时，才能进行读访问（称向下读原则）。只有当主体安全等级标记小于等于客体安全等级标记并且其主体范畴标记被客体范畴标记包含时，才能进行写（包括修改、删除）访问（称向上写原则）。Bell-La Padula模型的基本安全策略是“下读上写”，在GBase 8s中，基于实用性的考虑对安全策略进行了优化。默认的安全访问策略为：下读等写。

当主体访问客体时，强制访问控制需按安全访问策略模型作安全检查，只有当符合模型要求时访问才能进行，否则为非法，访问不能进行。

1.4       安全审计

GBase 8s安全数据库提供了审计工具，它能定义有关的审计事件，记录用户的有关操作，并能记录身份鉴别、自主访问控制、标记、强制访问控制中的有关审计数据，能进行相关的审计分析并自动报警，并能对审计数据进行查阅。

为便于独立审计，设有专门的审计员进行审计管理，审计员可利用专门的审计操作界面对审计事件进行选择，查阅有关审计数据，处理报警信号。

审计功能主要包括：审计信息存储、数据库审计、TOE安全审计、审计查询与分析、审计配置、审计预警。

1.5       数据 加密

l   数据存储安全性保护

GBase 8s安全数据库数据存储加密采用页级加密和单元级加密的方式，默认状态下对存储在磁盘上的全部数据进行加密，同时也可以在数据库管理系统的SQL接口层使用加解密函数对需要保护的数据进行加密，从而对于合法用户来讲是很灵活且易用的。

现有的存储加密包括如下技术特点：

透明存储加密：存储加密由数据库内核在后端安全存储引擎中实现，对于合法用户来说完全透明，不影响合法数据库用户的前端操作，不存在功能损失；

加密数据无膨胀：加密后密文与加密前明文的大小相同，防止了密文膨胀的问题。

l   数据完整性 保护

数据完整性是指数据的精确性和可靠性。主要用于防止数据库中存在不符合语义规定的数据和防止因错误的输入输出造成无效操作或错误信息。

GBase 8s通过以下三个方面保证安全数据库的数据完整性：

1)        数据的完整性保护

2)        通讯数据的完整性保护

3)        实体、参照、自定义数据的完整性保护

l   客体重用

GBase 8s在每次对资源作分配时，如分配新的内存空间、新建临时表文件等，将自动清除资源中包含的残留信息，包括清零内存空间及删除磁盘上的临时文件等。

GBase 8s安全数据库采用国家密码管理局审批的三未信安密码卡加密，密码支持包括密钥生成、密钥销毁、密钥运算，详细请参阅三未信安密码卡的厂商发布的技术资料。

1.6       备份恢复

GBase 8s 的备份分为三个级别：

l   零级备份：全量备份。

l   一级备份：最近一次零级备份后的增量部分备份。

l   二级备份：最近一次一级备份后的增量部分备份。

GBase 8s备份与恢复的功能特点：

l   支持利用灵活的数据导入导出能力：支持全库、单表、多表批量的导入导出能力；支持表结构（包括所有数据对象）、表数据的单独导入导出能力；支持全库、单表、多表批量导出成二进制文件或文本文件，并支持将导出的文件中数据导入到数据库中；

l   支持备份和恢复：支持单节点数据库完全备份与恢复、增量备份与恢复、数据空间备份与恢复；支持在线备份和恢复，并具备恢复到具体某个时间点的能力。可通过存储管理软件（如爱数、鼎甲等国产备份恢复软件）对数据库进行备份和恢复，具有并行地运行备份和恢复功能。

l   支持数据库级的数据文件镜像功能。

1.7       角色管理

传统商业数据库通常定义一个超级管理员，该管理员具有至高无上的权力，可以操作任何的数据库功能，管理任何的数据，这便造成了特权用户缺少权力约束的安全隐患，这种系统机制存在的安全漏洞很难从应用的角度去规避。

GBase 8s安全数据管理系统分权的基本安全思想是最小特权的授权原则，对一个主体（用户）仅赋予完成预定任务所必需的最小权限。基于该安全策略，把数据库管理系统的用户由原来单一的超级数据库管理员变成现在的三类角色：安全管理员、审计管理员、数据管理员。它们分别承担着不同的职责，并且期望它们三者之一应不能涉及其他两者的权力范围，从而实现整个数据库系统的分权管理，即所谓的三权分立原则。

三类用户的具体职责分配大致如下：安全管理员主要负责完成系统的安全（标记）管理功能，审计管理员负责完成系统的审计功能，数据管理员主要负责完成自主访问控制（DAC）、系统维护管理等功能。这三类管理员用户之间分工明确，各司其职，既相互制约又相互配合，共同实现数据库的安全管理功能。

GBase 8s 用户权限三权分立 示意图

1.8       资源 限制

资源管理主要包括对用户连接数量控制、服务器存储空间监控预警、数据空间占用监控等功能。

GBase 8s 提供会话限制功能，即限制最大连接数（session）。

GBase 8s 提供资源占用监控功能，无需专门配置。用于监控内存、磁盘等数据库资源使用情况，可通过工具查看。

1.9       通讯安全

用户端与数据库服务端的信息访问，使用以SSL为基础的安全协议来建立安全保密数据传输路径。使用加密算法保护链路层安全，使用证书对服务端和客户端进行双向验证，保证客户端和服务端之间通讯的保密性和完整性。

1.10   可信路径

GBase 8s的可信路径由两部分组成，系统管理用户的安全态下的初始化过程和数据库正常服务时管理员同服务端的安全通道。

安全初始态由一个安全初始化过程设置，包括以下四个步骤：

（1）系统的构造和生成，包括审计机制、MAC机制、DAC机制的安装和初始化;

（2）系统中用户安全文件档的定义，即根据安全策略给系统中每个用户赋予相应的安全标记、角色划分;

（3）系统中客体初始安全标记设置，即系统表、用户表空间等的划分及建立;

（4）安全数据库系统正常启动。

服务正常态下的可信路径指的是数据库的操作员（包括管理员用户和普通用户）对数据库的所有操作都是在安全可信的数据通道上，系统使用SSL安全协议，通过用户口令及数字证书来实现服务端和客户的可信验证。