Безпека даних може гарантуватися такими механізмами.

♦ Реєстрація користувачів. Будь-який користувач для отримання доступу до ба­зи даних має бути зареєстрований у системі під певним ім’ям і певним паролем.

♦ Керування правами доступу. Адміністратор може визначити, яким користу­вачам до яких даних дозволяється доступ і які саме операції над цими даними (вибирання, введення, зміну чи видалення) він може виконувати.

♦ Ідентифікація та підтвердження автентичності всіх користувачів або засто­сувань, що отримують доступ до бази даних. Будь-який користувач або засто­сування, звертаючись до системи баз даних, мають вказати своє ім’я і пароль. Ім’я ідентифікує користувача, а пароль підтверджує автентичність імені. Ці два кроки - ідентифікація та підтвердження автентичності — виконуються лише один раз під час з’єднання з базою даних і залишаються чинними до завер­шення сеансу роботи з базою даних конкретного користувача чи застосування.

♦ Автоматичне ведення журналів доступу до даних. У цих журналах протоко­люються операції, виконані над даними користувачами, з метою подальшого аналізу на випадок отримання доступу до бази в обхід системи захисту.

♦ Шифрування даних на зовнішніх носіях. Здійснюється криптографічними ме­тодами на випадок несанкціонованого копіювання даних із зовнішніх носіїв.

Припускається, що адміністратор бази даних має всі необхідні повноваження на виконання функцій, пов’язаних із захистом даних.

 

1.2. Реєстрація користувачів

Будь-який користувач для отримання доступу до бази даних має бути зареєстро­ваний у системі під певним ім’ям і паролем. Реєстрація необхідна для того, щоб знати, з ким має справу система у кожний момент часу. Зазначимо, що під кори­стувачем розуміється не лише фізична особа, але й будь-яке джерело, що в змозі звернутися до бази даних (прикладна програма, операційна система, інтернет-застосування тощо).

 

Спрощений вигляд конструкції, що застосовується для означення користува­ча, є таким:

 

CREATE USER <користувач> UDENTIFIED <пароль>

 

Тут <користувач> — ім’я користувача, а <пароль> — пароль.

 

Спочатку користувач не має жодних повноважень. Щоб користувач міг вико­нувати ті чи інші операції над базою даних, йому необхідно передати відповідні повноваження.

1.3. Керування правами доступу

Визначити права доступу користувачів — це означає зафіксувати інформацію стосовно:

♦ осіб, яким надаються права доступу;

♦ умов надання прав доступу;

♦ об’єктів, на які поширюються права доступу;

♦ операцій, щодо яких специфікуються права доступу;

♦ можливості передавання прав доступу іншим особам.

 

Розглянемо коротко всі ці аспекти.

1.3.1. Кому надаються права доступу

Права доступу надаються всім, хто звертається до бази даних. Це можуть користувачі, прикладні програми, операційні системи тощо. Кожен, хто звертається до бази даних, має насамперед вказати своє ім’я і пароль. Для СКБД неважливо хто саме звертається до бази даних, головне, щоб усі, хто хоче отримати можливість працювати з нею, були заздалегідь зареєстровані в системі.

У деяких випадках може знадобитися виділити користувачів системи, які мають однакові повноваження. Наприклад, усі співробітники відділу кадрів можуть мати одні й ті ж права, а співробітники планового відділу - інші, причому однакові. Для реалізації такого розподілу прав вводиться поняття ролі.

 

Роль— це сукупність повноважень, які можуть передаватися користувачам або іншим ролям. Можна присвоїти повноваження ролям, а згодом приписувати ролі користувачам або іншим ролям. Можна присвоїти повноваження ролям, а згодом приписувати ролі користувачам. Коли користувачу присвоєна роль, він має ті повноваження, які приписані ролі.

 

Роль має всі повноваження, які присвоєні їй явно, й усі повноваження, які пе­редані їй іншими ролями.

 

Спрощений синтаксис означення ролі є таким:

 

CREATE ROLE <роль> IDENTIFIED <пароль>

Тут <роль> - ім’я ролі.

Спочатку роль є порожнею, тобто не має жодного повноваженя.

1.3.2. Умови надання прав доступу

Іноді доцільно специфікувати додаткові умови, за дотримання яких користува­чам надаються певні права доступу. Йдеться про умови, які не визначаються ін­шими складовими прав доступу (кому надається доступ, до яких даних, які опе­рації дозволяються).

Приклади додаткових умов:

♦ часові характеристики (наприклад, «права доступу діють лише між 16 і 17 го­динами першого понеділка кожного місяця»);

♦ локалізація комп’ютерів у локальній мережі (наприклад, «права доступу ді­ють лише для комп’ютерів, установлених у плановому відділі»).

У більшості СУБД немає засобів явного опису додаткових умов, що обмежу­ють права доступу. За необхідності такі умови можуть бути специфіковані у при­кладних системах.

1.3.3. Об’єкти, на які поширюються права доступу

Зазвичай у контексті прав доступу розрізняють об’єкти двох класів: системні і об’єкти бази даних. До системних об’єктів належать: база даних, кластери, три­гери, транзакції тощо. До об’єктів бази даних належать таблиці, віртуальні табли­ці та процедури. Крім того, в таблицях і віртуальних таблицях можуть додатково вказуватися стовпці, щодо яких специфікуються права доступу.

У деяких випадках виникає необхідність специфікувати рядки певної таблиці, що стосуються особи, для якої визначаються права доступу. Наприклад:

♦ будь-який користувач може змінювати у відношенні СЛУЖБОВЕЦЬ значення по­лів лише того рядка, який стосується його самого (тобто він може змінювати лише свої особисті дані), за винятком величини його зарплати;

♦ у відношенні СЛУЖБОВЕЦЬ змінювати зарплату може лише той користувач, який є начальником відділу даного службовця.

У розглянутій ситуації виникає необхідність посилатися на поточного кори­стувача в умові вибирання записів із віртуальної таблиці. Для цього в деяких СУБД надається можливість використовувати спеціальну константу, яка іденти­фікує поточного користувача (тобто користувача, який ініціює виконання відпо­відного запиту на вибирання або оновлення даних).

1.3.3. Операції, щодо яких специфікуються права доступу

До операцій, стосовно яких специфікуються права доступу, належать стандартні операції з маніпулювання об’єктами бази даних, а саме:

♦ означення, пере означення й видалення таблиці або віртуальної таблиці;

♦ вибирання, додавання, видалення, оновлення рядків у таблиці або віртуальній у таблиці;

♦ виконання збережених процедур.

 

У кожній конкретній СКБД наведений список операцій над об’єктами бази

даних може розширюватися.

1.3.4. Можливість передавання прав доступу іншим особам

Інколи користувачу надаються не лише права на маніпулювання тими чи іншим об’єктами бази даних, але й можливість передавати ці права іншим. Наприклад користувачу передається право створити таблицю, вводити в неї дані, змінювати і видаляти їх, навіть видалити всю таблицю. Він стає повноправним власником таблиці і може з нею робити що завгодно. Тому не дивно, що йому надають дозвіл на передавання будь-яких прав на цю таблицю іншим користувачам.

1.4. Специфікація повноважень

Розглянемо, як означуються права доступу до даних. Інструкція, що дозволяє означити користувача, була описана в підрозділі 1.2. Щойно створе­ний користувач не має жодних повноважень. Надання повноважень користувачу здійснюється командою GRANT.

Передавання повноважень користувачам або ролям

 

Команда GRANT дає змогу передати повноваження користувачам або ролям. Спрощений синтаксис команди є таким:

GRANT { <операція> | ALL} [(<список стовпці в>)] ON «список об'єкті в> ТО (<користувач> І <роль> | PUBLIC} WITH GRANT OPTION

Специфікатор <операція> вказує, щодо яких операцій описується повноважен­ня. Такими операціями можуть бути: SELECT, INSERT, UPDATE, DELETE та інші. Фраза ALL вказує, що повноваження передаються щодо всіх операцій.

У списку об’єктів зазначаються всі об’єкти бази даних, щодо яких специфіку­ються повноваження. Цей список містить посилання на таблиці й віртуальні таб­лиці. За допомогою параметра <список стовпці в> можна додатково вказати стовпі таблиць.

Повноваження може бути передане користувачу, ролі або всім, хто вказується у фразі TO.

Якщо повноваження передається користувачу, він одержує право виконувати операції згідно з цим повноваженням. Коли повноваження передається ролі, вона ним поповнюється.

 

Фраза WITH GRANT OPTION означає, що одержувач повноваження отримує також право передавати це повноваження іншому користувачу або ролі.

 

Розглянемо кілька прикладів надання й передавання прав доступу:

 

1. Надати користувачу на ім’я Джон права на виконання будь-яких операцій над

таблицею ФАКУЛЬТЕТ і дозвіл на передавання цих прав іншим користувачам.

GRANT ALL ON ФАКУЛЬТЕТ ТО Джон WITH GRANT OPTION

2. Надати всім користувачам право переглядати дані з таблиці Лекція.

GRANT SELECT ON ЛЕКЦІЯ ТО PUBLIC

3. Надати користувачу на ім’я Джон право змінювати стовпець Фонд у таблиці

КАФЕДРА.

GRANT UPDATE (Фонд) ON КАФЕДРА ТО Джон

Необхідно пам’ятати про те, що користувач, що створив таблицю, є власником цієї таблиці. Це означає, що власник має всі повноваження в цій таблиці та може передавати ці повноваження іншим користувачам. Повноваження, які можна призначити іншому користувачеві:

SELECT - Користувач з цим повноваженням може виконувати запити до таблиці.

INSERT - Користувач з цим повноваженням може виконувати команду INSERT в таблиці.

UPDATE - Користувач з цим повноваженням може виконувати команду UPDATE в таблиці. Це повноваження можна також обмежити для певних стовпців таблиці.

DELETE - Користувач з цим повноваженням може виконувати команду DELETE в таблиці.

REFERENCES - Користувач з цим повноваженням може визначати зовнішній ключ, який використовує один або більше стовпців цієї таблицї, як батьківський ключ. Можна обмежити це повноваження для певних стовпців.

Крім того, існують ще й такі повноваження, як наприклад INDEX, що дає право создавати індекс в таблиці, SYNONYM, що дає право створювати синонім для обекта, і ALTER, що дає право виконувати команду ALTER TABLE в таблиці.

Приклади:

1. GRANT SELECT, INSERT ON Orders TO Adrian, Diane; - Користувач може надати повноваження SELECT, INSERT для користувачів Adrian, Diane для таблиці Orders.

2. GRANT UPDATE (comm) ON Salespeople TO Diane; - Користувач обмежує Diane можливістю вносити зміни лише в поле comm таблиці Salespeople.

3. GRANT ALL ON Customers TO Stephen; - Користувач надає всі можливі повноваження що до таблиці Customers користувачу Stephen.

4. GRANT SELECT ON Orders TO PUBLIC; - Власник таблиці Orders надає повноваження SELECT всім користувачам.

5. GRANT SELECT ON Customers TO Adrian WITH GRANT OPTION; - Посля цього Adrian отримав повноваження передавати можливість виконувати SELECT третім особам; він може видати команду - GRANT SELECT ON Diane.Customers TO Stephen.