DOD Security levels 1.访问控制类型 自主式访问控制DAC( Discretionary Access Contro):基于访 问权限概念。SQL-92通过 GRANT和 REVOKE支持该DAC。 强制访问控制MAC( Mandatory Access Contro):基于全系 统范围策略,而不由某个用户改变。DB对象和用户分别具有 相应的安全级别( Security class和 Clearance),用户只有在满足 定规则才能访间某个DB对象。 标准支持情况:SQL-92不支持MAC。 Designed by Tao Hongcai2021年2月23日6
Designed by Tao Hongcai 2021年2月23日 6 三. DoD Security Levels 1.访问控制类型 强制访问控制MAC (Mandatory Access Control)：基于全系 统范围策略，而不由某个用户改变。DB对象和用户分别具有 相应的安全级别(Security Class和Clearance)，用户只有在满足一 定规则才能访问某个DB对象。 标准支持情况：SQL-92不支持MAC。 自主式访问控制DAC (Discretionary Access Control)：基于访 问权限概念。SQL-92通过GRANT和REVOKE支持该DAC
2. Levels 现状:目前大多数 RDBMS支持C2级DAC和B1级MAC。 安全级:按A、B、C和D四个等级描述,A最高,D最低。 C级:要求支持DAC,又分二个子级C1、C2。C2要求身份 认证( Login verification)和审计跟踪( Audit trai!)。 B级:要求支持MAC,又分三个子级B1、B2、B3。 A级:要求有数学防范能力。 Designed by Tao Hongcai 2021年2月23日7
Designed by Tao Hongcai 2021年2月23日 7 2.Levels 安全级：按A、B、C和D四个等级描述，A最高，D最低。 现状：目前大多数RDBMS支持C2级DAC和B1级MAC。 A级：要求有数学防范能力。 C级：要求支持DAC，又分二个子级C1、C2。C2要求身份 认证(Login verification)和审计跟踪(Audit Trails)。 B级：要求支持MAC，又分三个子级B1、B2、B3
闪.用户标识与鉴别 用户标识:用户名。 用户鉴别 ①只有用户知道的信息; ②只有用户具有的物品; ③个人特征。 最常见的用户鉴别:口令,要求长度/时间长短/不回 打印/不可逆加密保存。 Designed by Tao Hongcai2021年2月23日8
Designed by Tao Hongcai 2021年2月23日 8 四.用户标识与鉴别 用户标识：用户名。 ① 只有用户知道的信息； 用户鉴别： ② 只有用户具有的物品； 最常见的用户鉴别：口令，要求长度/时间长短/不回显、 打印/不可逆加密保存。 ③ 个人特征
53DAC访问控制的授/撤权 回答如下问题: 1.DAC的访问控制方式? 2.授权类型? 3.角色授/撤权? 4.数据库对象授/撤权? Designed by Tao Hongcai 2021年2月23日9
Designed by Tao Hongcai 2021年2月23日 9 5.3 DAC访问控制的授/撤权 回答如下问题: 1.DAC的访问控制方式？ 2.授权类型？ 3.角色授/撤权？ 4.数据库对象授/撤权？
DAC的访向控制方式 自主性访问控制是通过控制用户访问权限,即授杈的方式 进行的。 二.授权(∧ authorization)类型 (1)角色权限——由DBA授予; (2)DB对象权限 由DBA或对象创建者授予。 三.角色授/撤权 授权: GRANT<角色类型>[,<角色类型习T0<用户> [ IDENTIFIED BY<囗令斗] <角色类型>= Connect resource|DBA 撤杈:RE√O0KE<角色类型>[,<角色类型>}]FROM<用户> Designed by Tao Hongcai 2021年2月23日10
Designed by Tao Hongcai 2021年2月23日 10 一.DAC的访问控制方式 三.角色授/撤权 授权：GRANT <角色类型> [{, <角色类型>}] TO <用户> [ IDENTIFIED BY <口令>] (2) DB对象权限 ── 由DBA或对象创建者授予。 自主性访问控制是通过控制用户访问权限，即授权的方式 进行的。 二.授权(Authorization)类型 (1)角色权限 ── 由DBA授予； <角色类型>::=Connect|Resource|DBA 撤权： REVOKE <角色类型> [{, <角色类型>}] FROM <用户>