Databázové systémy Zabezpečení DBS. Cíle, které je třeba vzít v úvahu při návrhu databázové aplikace z pohledu bezpečnosti: •Důvěrnost - informace by.

Prezentace na téma: "Databázové systémy Zabezpečení DBS. Cíle, které je třeba vzít v úvahu při návrhu databázové aplikace z pohledu bezpečnosti: •Důvěrnost - informace by."— Transkript prezentace:

1 Databázové systémy Zabezpečení DBS

2 Cíle, které je třeba vzít v úvahu při návrhu databázové aplikace z pohledu bezpečnosti: •Důvěrnost - informace by neměly být přístupné neautorizovaným uživatelům. •Integrita - modifikovat data může jen autorizovaný uživatel. •Dostupnost - autorizovaným uživatelům by nemělo být bráněno v přístupu. Bezpečnostní politika - kdo co může s jakými daty dělat Bezpečnostní mechanismy - zajištění bezpečnostní politiky Zajištění bezpečnosti dat

3 Bezpečnostní mechanismy poskytované SŘBD •Pohledy •Řízení přístupu Existují dva hlavní způsoby řízení přístupu: - povinné - založené na bezpečnostních třídách (stupních utajení) objektů, stupních prověření subjektů, a pravidlech provádění operací - nepovinné - založené na přístupových právech. Každému uživateli jsou přiřazena přístupová práva k databázovým objektům SQL poskytuje podporu pro nepovinné řízení - pro některé SŘBD existují i verze poskytující podporu povinného řízení

4 Při práci s webovou aplikací je potřeba zvážit tři hlavní aspekty zabezpečení: 1. Způsob uložení dat na serveru – je nutné chránit především samotnou databázi MySQL, jednak nastavením vhodných uživatelských oprávnění, jednak ochranou adresáře, ve kterém jsou ukládána používaná data. 2. Ochrana citlivých informací – vytvoření neveřejné části aplikace, ke které má přístup pouze správce. 3. Zabezpečení dat během přenosu – je nutné použít zabezpečených transakcí. K tomu se používá na serveru protokol SSL (Secure Sockets Layer), ke kterému se připájí platný certifikát serveru. Hlavní aspekty

5 Webová aplikace by měla s ohledem na zabezpečení : •používat specifického uživatele databáze MySQL •server MySQL by neměl používat jako uživatel ROOT, ani jako anonymní uživatel. Proto je potřebné vytvořit na serveru MySQL nového uživatele jemuž nastavíme heslo a přístup pouze na vybranou databázi. Tento uživatel by měl mít oprávnění pouze ke spouštění přidávacích, aktualizačních a výběrových dotazů. Tím se minimalizuje riziko zneužití přístupových informací. Databáze MySQL - uživatelská oprávnění

6 Každý uživatel v systému MySQL může mít specifická oprávnění ve vybraných databázích, podle toho, z jakého počítače se k databázi připojuje. Uživatel ROOT má nejvyšší pravomoci – superuživatel – a používá se při tvorbě dalších uživatelů. Je možné i novému uživateli udělit oprávnění superuživatel. Informace o uživatelích a jejich oprávněních jsou uloženy v databáze mysql v tabulkách db, host, user, func, tables_priv a columns_priv. Tvorba uživatelů a jejich práv

7 Uživatele a jeho oprávnění je možné definovat různými způsoby. Prostřednictvím monitoru mysql se k tomu používá příkaz GRANT: GRANT oprávnění ON databáze.* TO uživatel IDENTIFIED BY ’heslo’; Hvězdička znamená, že chcete oprávnění nastavit pro všechny tabulky v databázi. Tvorba uživatelů a jejich práv

8 Seznam privilegií OprávněníUmožňuje SELECTProhlížení a výběr dat z tabulek INSERTPřidávání dat do tabulek UPDATEÚpravu existujících dat v tabulkách DELETEOdstraňování existujících dat z tabulek INDEXVytvářet a odstraňovat indexy ALTERUpravovat strukturu tabulek CREATEVytvářet nové tabulky nebo databáze DROPOdstraňovat tabulky nebo databáze RELOADOpětovně načíst tabulku oprávnění SHUTDOWNZastavit server MySQL PROCESSProhlížet zastavit existující procesy MySQL FILEImportovat data z textových souborů GRANTVytvářet nové uživatele REVOKEOdebrat uživatelům oprávnění

9 Chceme-li definovat pouze specifický počítač, či doménu, bude příkaz GRANT vypadat následovně: GRANT oprávnění ON databáze.* TO uživatel@hostitel IDENTIFIED BY ’heslo’; Vytvoření nového uživatele

10 Uživatel „ferda“ se bude moci přihlásit z počítače, na kterém je spuštěn server MySQL s heslem „mravenec“ a bude mít udělená uživatelská práva. Uživatelské jméno může obsahovat maximálně 16 znaků. Rozlišuje se velkost písmen. Heslo nemá omezení na délku a rovněž se v něm rozlišuje velkost písmen. Heslo je zašifrováno v databázi – není možné ho přímo převést do podoby prostého textu.

11 K tomu slouží příkaz: FLUSH PRIVILEGES; Nové uživatele je samozřejmé možné vytvářet i jinak, např. s použitím phpMyAdmin. Je zde ale potřeba rozumět vztahům mezi tabulkami databáze mysql. Změny v nastavení uživatelů

12 Z bezpečnostních důvodů se pro zašifrování hesla používá funkce PASSWORD( ). Tato funkce vytvoří zašifrovaný řetězec, který má vždy délku 16 znaků. Je to jednocestná šifrovací technika, tzn. dešifrovat takto šifrovaná data je prakticky nemožné.Není teda vhodná pro šifrování dat, která budeme chtít ještě prohlížet. Zabezpečení hesla

13 Pokud bychom chtěli ukládat data v zašifrované podobě, kterou lze dešifrovat, je možné použít funkce: ENCODE( ) pro zakódování a DECODE( ) pro dekódování. INSERT INTO uzivatele (uziv_jmeno, heslo) VALUES ('ferda', ENCODE(mravenec, 'x1x2x3')); SELECT DECODE(heslo, 'x1x2x3') FROM uzivatele WHERE uziv_jmeno = 'ferda'; Takovýto způsob šifrování se využívá pro zabezpečení informací typu rodné číslo, číslo kreditní karty…, tj. informací, které chceme chránit, ale bude je třeba uživatelům zpřístupnit. Zabezpečení dat

14 Implementace integritních omezení • Podpora SŘBD – omezení domén – všeobecná omezení – omezení bázové tabulky • Kontroly naprogramované v aplikaci Kontroly naprogramované v klientské části aplikace, typicky s podporou vývojových prostředí: - kontrola vstupů - omezení zabudovaná v definicích formulářů - naprogramované kontroly pro určité události uživatelského rozhraní (triggery rozhraní) • Databázové trigerry

15 Databázové triggery Databázový trigger (spoušť) je vlastně procedura, kterou automaticky volá SŘBD při definované události. Touto událostí může být buď vložení, rušení nebo aktualizace záznamu v tabulce. • Složky příkazu vytvoření databázového triggeru - jméno triggeru, - čas spuštění akce – BEFORE/AFTER, - událost – INSERT/DELETE/UPDATE [OF sloupec, …], - spouštěná akce – FOR EACH {ROW | STATEMENT} [WHEN podmínka] spouštěný_SQL_příkaz • Typy databázového triggeru příkazový, řádkový

16 Databázové triggery Trigger je "uložená procedura„ - uvnitř triggeru lze provádět většinu věcí, které umí uložené procedury- například smyčka, podmínka, lokální proměnnou, matematický výpočet a podobně.  Spouští se "v souvislosti" s akčním dotazem. To znamená, že se trigger může spustit buď předtím, než je úprava dat provedena, nebo poté, co jsou změny v datech zapsány do databáze.  "Akční dotaz" znamená, že trigger lze spustit při vkládání dat, při jejich aktualizaci nebo při odstraňování dat z databáze. Trigger nelze v žádném případě spustit příkazem SELECT.  Každý trigger patří právě jedné tabulce. Může existovat tabulka bez triggeru, ale trigger nemůže existovat nezávisle na tabulce. V některých DBMS může být více triggerů stejného typu na jedné tabulce a lze určit pořadí, v němž budou spuštěny.

17 Databázové triggery Vytvoření triggru CREATE TRIGGER jméno triggeru BEFORE | AFTER DELETE | INSERT | ]> ON jméno tabulky REFERENCING |NEW AS >] [FOR EACH ROW] [WHEN ] BEGIN END;

18 Databázové triggery  Jméno triggeru musí být pro danou databázi jedinečné.  U každého triggeru musí být uvedeno, před nebo po jaké akci je spuštěn. Možnosti jsou BEFORE INSERT, BEFORE UPDATE, BEFORE DELETE, AFTER INSERT, AFTER UPDATE, AFTER DELETE. V MySQL platí, že pro každou z vyjmenovaných akcí smí existovat nejvýše jeden trigger.  Každý trigger musí souviset právě s jednou tabulkou. Jestliže je tabulka odstraněna, jsou odstraněny i všechny související triggery.  Tělo spouště v MySQL začíná klauzulí FOR EACH ROW a ta značí, že následující akce bude provedena tolikrát, kolik je řádků ovlivněných akčním dotazem.  Triggery mají přístup k měněným datům. Ten je reprezentován virtuálními tabulkami old a new. Jejich význam je ten, že tabulka old obsahuje původní data (ta, která se mají mazat pomocí DELETE nebo ta, která se upravují pomocí UPDATE) a tabulka new obsahuje konečná data (ta, která se vkládají pomocí INSERT nebo ta, která budou v tabulce po provedení UPDATE).  V triggeru lze využít i vestavěných funkcí. Např. funkci vracející současný čas a vracející právě aktivního uživatele.

19 Databázové triggery SHOW TRIGGERS; Zobrazení triggru DROP TRIGGER [IF EXISTS] [schema_name.]trigger_name; Odstranění triggru

20 Databázové triggery create table zapis ( student varchar(10) not null, predmet varchar(10) not null, kredity int(2) not null); create table omezeni ( typ varchar(30) not null, min_hodnota int(5) not null, max_hodnota int(5) not null); insert into omezeni values ('KRED_SEMESTR', 10, 20); insert into omezeni values ('KRED_STUDIUM', 300, 320); Triggery jsou často používány při realizaci tzv. „pravidel“, tj. integritních omezení specifických pro danou oblast použití. Např. ve studijní agendě si mohou studenti zapsat maximálně 20 kreditů za semestr. Protože tento požadavek se může měnit, je zavedena tabulka OMEZENI, ve které jsou uloženy všechny potřebné hraniční hodnoty.

21 Databázové triggery create trigger kontrola_kreditu before insert on zapis for each row begin select sum(kredity)as sum from zapis where id_st = NEW.id_st; select max_hodnota As maximum from omezeni where typ = 'SEMESTR'; if ((@sum ) > maximum) then errmsg := 'Prekroceno maximum kreditu!'; end if; end;

22 Databázové triggery create table Zaloha like Ucitel; alter table Zaloha add column cas_odstr datetime; alter table Zaloha add column uzivatel varchar (128); Triggery mohou přispívat k bezpečnosti dat - jedním z příkladů může být "bezpečné" mazání řádků v tabulce tzn. záznam není vymazán úplně, ale data jsou přesunuta do jiné tabulky. Př. Máme tabulku Ucitel a chceme místo mazání z této tabulky data přesunout do "záložní" tabulky s tím, že si zároveň poznamenáme, kdo a kdy původní data vymazával. Něco takového zcela určitě můžeme svěřit triggeru. Vytvoříme si tabulku, která bude obsahovat data z původní tabulky a ještě údaj o "mazajícím" uživateli a čase, kdy se řádky odstraňovaly:

23 Databázové triggery create trigger trUlozradky before delete on Ucitel for each row insert into Zaloha(id_uc,jmeno,ustav,cas_odstr,uzivatel) values(old.id_uc,old.jmeno,old.ustav,now(),user()); Vytvoříme trigger, který při odstraňování dat původní data uchová v tabulce Zaloha: Výsledek spočívá v tom, že když se nyní pokusíte odstranit nějaká data z tabulky Ucitel, tak se smazaná data objeví v tabulce Zaloha.

24 Databázové triggery create trigger trMaxStprum before insert on Student for each row begin if new.st_prum>3.0 then /*něco,co akci zruší*/; end if; end; Triggery jako kontrola dat: Bohužel, v MySQL prakticky nemožné vyhodit nějakou smysluplnou chybu z triggeru, a to jejich použití pro kontrolu dat téměř znemožňuje. Doporučuje se pro takový případ "uměle" vytvořit například chybu porušení primárního klíče.

25 Databázové triggery Triggery se v tabulkách používají z několika důvodů:  Konzistence dat: Trigger může provést výpočet a na základě toho povolit nebo nepovolit změnu dat v databázi. Například trigger může zakázat smazání zákazníka z databáze v případě, kdy má u nás nějaký dluh.  Protokolování změn: Trigger může evidovat kdo, kdy a jak měnil data. Lze tak dohledat pracovníka, který zadal špatné údaje nebo zjistit, v kolik hodin došlo k navstupování včerejší uzávěrky.  Verzování dat: Díky triggerům lze snadno naprogramovat aplikaci tak, aby jedna tabulka udržovala historii změn tabulky jiné. To lze s úspěchem použít třeba jako bezpečnostní mechanismus. (Databáze tím dost naroste).  Zasílání zpráv světu: Trigger může spustit nějaký externí program nebo proces. Například při změně ceny akcií rozešle databáze e-maily obchodníkům.