7.2.2.2. Языки безопасности баз данных

Для определения конкретных назначений или установле­ния правил и ограничений доступа при проектировании бан­ков данных АИС, а также в целях управления системой разгра­ничения доступа и в более широком смысле системой коллек­тивной обработки данных администратору системы необходим специальный инструментарий. Такой инструментарий должен основываться на определенном языке, позволяющем описывать и устанавливать те или иные назначения доступа и другие необходимые установки политики безопасности в конкретной АИС.

В реляционных СУБД такой язык должен являться соот­ветственно составной частью языка SQL.Исторически впер­вые подобные вопросы были поставлены и реализованы в упо­минавшихся языках SEQUEL(созданного в рамках проектаSystem Rфирмы IBM)и языка QUEL(созданного в рамках про­екта INGRES)и послуживших в дальнейшем основой для язы­ка SQL.

Как уже отмечалось в п. 4.1, в перечне базовых инструк­ций языка SQLпредставлены инструкции GRANT и REVOKE, предоставляющие или отменяющиепривилегии пользователям. Структура инструкции GRANTвыглядит следующим образом:

GRANTсписок_привилегий_через_запятую ONИмяОбъекта

TOИменаПользователей_через_запятую

[WITHGRANTOPTION];

где:

— список привилегий составляют разрешенные инструк­ции (операции) над объектом (таблицей) — SELECT, INSERT, UPDATE, DELETE;

— список пользователей представляется их именами-иден­тификаторами или может быть заменен ключевым словом PUBLIC,которое идентифицирует всех пользователей, зареги­стрированных в системе;

— директива WITH GRANT OPTION наделяет перечисленных пользователей дополнительными особыми полномочиями по предоставлению (перепредоставлению) указанных в списке привилегий-полномочий другим пользователям.

В большинстве случаев право подачи команд GRANDиREVOKEпо конкретному объекту автоматически имеют пользователи, создавшие данный объект, т. е. ихвладельцы.В других подходах этим правом наделяются доверенные субъекты, т. е. администраторы.

Хотя в явном виде такой подход не предусматривает созда­ние матрицы доступа,*тем не менее, реализуется классичес­кий принципдискреционного разграничения доступас соче­танием какдобровольного,так ипринудительного управления доступом.

*На самом деле в большинстве СУБД привилегии и установки доступа, как и структура базы данных, «прописываются» в системных таблицах БД, т.е. в системном каталоге БД. который можно рассматривать, в том числе и в качестве матрицы досту­па.

Как уже отмечалось, дискреционный принцип обладает большой гибкостью по настройке системы разграничения дос­тупа на особенности предметной области базы данных и по­требности пользователей, но не обеспечивает эффективной уп­равляемости и затрудняет проведение какой-либо целенаправ­ленной политики безопасности в системе. Преодоление этого недостатка достигается двумя путями — использованием тех­ники «представлений» и специальными расширениями языка SQL.

Использование техники представленийявляется распрос­траненным технологическим приемом формирования для кон­кретного пользователя своего «видения» базы данных (вирту­альной БД) и осуществления на этой основе разграничения до­ступа к данным в реляционных СУБД. Напомним, что «представлением» называется глобальный авторизованный зап­рос на выборку данных, формирующий для пользователя «свое» представление определенного объекта (объектов), совокупность которых формирует некую виртуальную базу данных, со своей схемой (объектами) и данными (отобранными или специально преобразованными). При входе пользователя в систему в про­цессе его идентификации и аутентификации ядро безопаснос­ти отыскивает для пользователя соответствующие представле­ния-запросы и передает запрос основному ядру СУБД для вы­полнения. В результате выполнения запроса пользователь «видит» и имеет доступ только к тем объектам, которые соот­ветствуют его полномочиям и функциям.

В целом создание системы разграничения доступа через технику представлений является более простым способом, чем непосредственное использование инструкций GRANT,и осуще­ствляется в два этапа:

1. Для всех зарегистрированных пользователей в системе с помощью конструкций CREAТЕ VIEW создаются свои представ­ления объектов базы данных.

2. С помощью инструкций «GRANT SELECT ONИмяПредставленияТОИмяПользователя» созданные представления ав­торизуются со своими пользователями.

Вместе с тем такой подход является более грубым по срав­нению с применением инструкции GRANTнепосредственно к объектам базы данных, т. к. не обеспечивает расщепления ус­тановок доступа к объектам на уровне отдельных операций(SELECT, INSERT, UPDATE, DELETE).

Поэтому другим подходом являются специальные расши­рения языка SQL,основанные на событийно-процедурной иде­ологии с введением специальных правил (RULE)безопаснос­ти:

CREATESECURITYRULEИмяПравила

GRANTсписок_привилегий_через_запятую ON ИмяОбъекта

WHEREусловия

TOИменаПользователей_через_запятую

Реакция_на_нарушение_правила;

Введение правил безопасности обеспечивает более широ­кие и гибкие возможности реализации различных политик бе­зопасности с большей степенью контроля и управляемости, но, как, впрочем, и техника представлений и непосредственное использование инструкций GRANT,не позволяет строить сис­темы с мандатным принципом разграничения доступа,кото­рый считается более жестким и надежным.

Для решения этой задачи могут предлагаться более карди­нальные расширения языка SQLс введением возможностей созданияобъектов базы данных с метками конфиденциально­сти.Следует, однако, заметить, что подобные примеры в ком­мерческих и сертифицированных по требованиям безопаснос­ти СУБД чрезвычайно редки.

В заключение по языкам безопасности баз отметим, что в современных СУБД для реализации установок, правил и огра­ничений доступа разрабатывается и используется специальный диалогово-наглядный интерфейс, автоматически формирующий соответствующие конструкции языка SQLи позволяющий в большинстве случаев обходиться без непосредственного про­граммирования.