Bài giảng An toàn thông tin trong cơ sở dữ liệu - Chương 1: Tổng quan về an toàn thông tin trong cơ sở dữ liệu

đó cho một chủ thể sj khác (i!=j). Các chính sách an toàn Chính sách KS truy nhập tuỳ ý (DAC) Chính sách tùy ý (DAC): chỉ rõ những đặc quyền mà mỗi chủ thể có thể có được trên các đối tượng và trên hệ thống (object prilvilege, system prilvilege). Các yêu cầu truy nhập được kiểm tra, thông qua một cơ chế kiểm soát tuỳ ý, truy nhập chỉ được trao cho các chủ thể thoả mãn các quy tắc cấp quyền của hệ thống. Chính sách KS truy nhập tuỳ ý (DAC) Chính sách KS truy nhập tuỳ ý (DAC) DAC dựa vào định danh của người dùng có yêu cầu truy nhập. ‘Tùy ý’ có nghĩa rằng người sử dụng có khả năng cấp phát hoặc thu hồi quyền truy nhập trên một số đối tượng. Điều này ngầm định rằng, việc phân quyền kiểm soát dựa vào quyền sở hữu (kiểu chính sách cấp quyền dựa vào quyền sở hữu) Chính sách KS truy nhập tuỳ ý (DAC) Trao quyền: Việc trao quyền do người sở hữu đối tượng. Tuy nhiên, trong DAC có thể lan truyền các quyền. Ví dụ: trong Oracle có GRANT OPTION, ADMIN OPTION. Thu hồi quyền: Người dùng muốn thu hồi quyền (người đã được trao quyền đó) phải có đặc quyền để thu hồi quyền. Trong Oracle, nếu 1 user có GRANT OPTION, anh ta có thể thu hồi quyền đã truyền cho người khác. Chính sách KS truy nhập tuỳ ý (DAC) Nhận xét: DAC cho phép đọc thông tin từ một đối tượng và chuyển đến một đối tượng khác (đối tượng này có thể được ghi bởi một chủ thể) 	=> Tạo ra sơ hở để cho tấn công con ngựa thành Tơroa sao chép thông tin từ một đối tượng đến một đối tượng khác. Ví dụ: UserA là chủ sở hữu tableA, anh ta tạo ra khung nhìn ViewA từ bảng này (sao chép thông tin). UserA không cho phép UserB được đọc tableA nhưng lại vô tình gán quyền Write cho UserB trên ViewA. 	Như vậy, UserB có thể đọc thông tin tableA dù không được quyền trên bảng này. Ví dụ về Trojan Horse Ví dụ về Trojan Horse Chính sách KS truy nhập tuỳ ý (DAC) Ưu điểm: Dễ dàng thực hiện, hệ thống linh hoạt Nhược điểm: Khó quản lý việc gán/thu hồi quyền Dễ bị lộ thông tin Kiểm soát an toàn không tốt. 1.4.3.3 Kiểm soát truy nhập trong hệ thống nhiều mức So sánh sự khác nhau giữa MAC và DAC? 1.4.3 Kiểm soát truy nhập 1.4.3.1 Hệ thống khép kín và hệ thống mở 1.4.3.2 Các chính sách quản lý quyền 1.4.3.3 Kiểm soát truy nhập trong hệ thống nhiều mức 1.4.3.4 Các quy tắc trao quyền 1.4.3.5 Cơ chế an toàn (trong thủ tục kiểm soát truy nhập) 1.4.3.4 Các quy tắc trao quyền Các yêu cầu và chính sách an toàn do tổ chức đưa ra, người trao quyền có nhiệm vụ chuyển các yêu cầu này thành các quy tắc trao quyền. Quy tắc trao quyền biểu diễn đúng với môi trường phần mềm/phần cứng bảo vệ. 1.4.3.4 Các quy tắc trao quyền Thiết kế các quy tắc trao quyền Các mô hình an toàn (Security Model) Mô hình an toàn (security model) là một khái niệm trừu tượng để biểu diễn một chính sách an toàn (security policy) của một tổ chức Đối tượng an toàn (Security Object): là một thực thể thụ động chứa thông tin như: CSDL, một bảng, khung nhìn, một bản ghi, hoặc có thể là một segment, một printer,… Chủ thể an toàn (Security Subject): Là một thực thể chủ động, là một user hoặc một tiến trình hoạt động dưới điều khiển của một user. Các chủ thể an toàn có thể thay đổi trạng thái CSDL và di chuyển thông tin giữa các đối tượng và chủ thể khác nhau 1.4.3.4 Các quy tắc trao quyền Mô hình an toàn: là một mô hình khái niệm mức cao, độc lập phần mềm và xuất phát từ các đặc tả yêu cầu của tổ chức để mô tả nhu cầu bảo vệ của một hệ thống. Hai loại mô hình an toàn là: Mô hình an toàn tùy ý (Discretionary security models) Mô hình an toàn bắt buộc (Mandatory security models). 1.4.3.4 Các quy tắc trao quyền Một số mô hình an toàn tùy ý: Mô hình ma trận truy nhập (Lampson,1971; Graham-Denning, 1973; Harrison, 1976), mô hình Take-Grant (Jones, 1976), mô hình Action-Entity (Bussolati, 1983; Fugini-Martella, 1984), mô hình của Wood-1979 như kiến trúc ANSI/SPARC đề cập đến vấn đề cấp quyền trong các cơ sở dữ liệu quan hệ lược đồ - nhiều mức,… Một số mô hình an toàn bắt buộc: mô hình Bell – Lapadula (1973, 1974, 1975), mô hình Biba (1977), mô hình Sea View (Denning, 1987), mô hình Dion (1981),… Mô hình an toàn trong quân sự Các đối tượng và chủ thể an toàn được gán cho các nhãn an toàn 	Đối tượng: Confidential= Class(O) 1.4.3.4 Các quy tắc trao quyền Ví dụ mô hình an toàn ma trận truy nhập: trong đó tập các quy tắc trao quyền của một hệ thống được thể hiện như một ma trận A, gọi là ma trận truy nhập hay ma trận cấp quyền: Các hàng thể hiện các chủ thể của hệ thống Các cột thể hiện các đối tượng của hệ thống. Một ô A[i, j] sẽ thể hiện chủ thể si được phép truy nhập tới đối tượng Oj với các quyền gì. Ma trận truy nhập Ví dụ: Ma trận quyền với kiểm soát phụ thuộc tên Ma trận truy nhập Một quy tắc trao quyền được thể hiện qua một bộ bốn (s, o , t, p). Với: s = chủ thể o = đối tượng t = kiểu quyền truy nhập p = tân từ. Ma trận truy nhập Một số dạng kiểm soát trong ma trận truy nhập: Kiểm soát phụ thuộc tên (Name) Kiểm soát dựa vào nội dung dữ liệu (Data) Kiểm soát dựa vào thời gian (Time) Kiểm soát dựa vào ngữ cảnh (Context) Kiểm soát dựa vào lược sử (History): Ma trận truy nhập Một số dạng kiểm soát trong ma trận truy nhập: Kiểm soát phụ thuộc tên (Name) Kiểm soát dựa vào nội dung dữ liệu (Data): là kiểm soát dựa vào giá trị của dữ liệu được truy nhập. Ví dụ, một chủ thể có thể được cấp quyền đọc bảng EMPLOYEE chỉ với các bản ghi công nhân có trường salary=class(O) Thuộc tính *: Một chủ thể S được phép truy nhập ghi lên một đối tượng O chỉ khi Clear (S) <= class(O) Hai thuộc tính này đảm bảo rằng không có luồng thông tin trực tiếp nào từ các đối tượng mức cao xuống các đối tượng mức thấp. Mô hình Bell- LaPadula (BLP): Quy tắc không đọc lên: (not Read up) Các chủ thể chỉ có thể đọc thông tin có mức nhạy cảm ngang hoặc thấp hơn mức an toàn mà nó được gán(). Điều này giúp không bị lô thông tin cho những người dùng không được quyền truy xuất đến dữ liệu đó. Quy tắc không ghi xuống (not Write down): Chủ thể ở mức cao chỉ được ghi dữ liệu lên mức gán nhãn ngang nó hoặc cao hơn(). Điều này ngăn người dùng vô tình ghi dữ liệu từ mức cao xuống mức thấp làm lộ thông tin cần bảo vệ. 4. MÔ HÌNH BÍ MẬT BELL-LAPADULA (BLP) Mô hình Bell- LaPadula (BLP): Mô hình Bell-Lapadula (BLP) 1.4.3 Kiểm soát truy nhập 1.4.3.1 Hệ thống khép kín và hệ thống mở 1.4.3.2 Các chính sách quản lý quyền 1.4.3.3 Kiểm soát truy nhập trong hệ thống nhiều mức 1.4.3.4 Các quy tắc trao quyền 1.4.3.5 Các cơ chế an toàn 1.4.3.5 Các cơ chế an toàn Các cơ chế an toàn: trong một hệ thống kiểm soát truy nhập có nhiệm vụ thực hiện các chính sách an toàn và các quy tắc trao quyền. Các cơ chế an toàn bao gồm: Cơ chế kiểm soát truy nhập: phát hiện và ngăn chặn các truy nhập trái phép. Cơ chế kiểm toán và phát hiện xâm nhập. 1.4.3.5 Các cơ chế an toàn Các cơ chế bên ngoài: Là các biện pháp kiểm soát quản lý và kiểm soát vật lý, có thể ngăn ngừa truy nhập trái phép vào tài nguyên vật lý (phòng, thiết bị đầu cuối, các thiết bị khác) Chống lại các hiểm hoạ ngẫu nhiên như chập điện, hỏa hoạn, động đất, hay ảnh hưởng của các điều kiện môi trường. Cơ chế này không bảo vệ đầy đủ do các tấn công ngẫu nhiên không thể đoán trước được. 1.4.3.5 Các cơ chế an toàn Các cơ chế bên trong: Hoạt động bằng cách: xác thực danh tính của người dùng và kiểm tra tính hợp pháp của các hành động mà người dùng yêu cầu theo quyền của người dùng. Gao gồm 3 cơ chế cơ bản Xác thực (authentication) Các kiểm soát truy nhập (access controls) Các cơ chế kiểm toán (auditing mechanisms) 1.4.3.5 Các cơ chế an toàn Cơ chế xác thực: Cơ chế này ngăn chặn người dùng trái phép sử dụng hệ thống bằng cách kiểm tra định danh người dùng. Cơ chế kiểm soát truy nhập: Sau khi xác thực thành công, các câu truy vấn của người dùng có được đáp lại hay không, tuỳ thuộc vào các quyền mà người dùng hiện có. 1.4.3.5 Các cơ chế an toàn Các cơ chế kiểm toán: giám sát việc sử dụng tài nguyên hệ thống của người dùng. Các cơ chế này bao gồm hai giai đoạn: Giai đoạn ghi vào nhật ký: tất cả các câu hỏi truy nhập và câu trả lời liên quan đều được ghi lại (dù được trả lời hay bị từ chối). Giai đoạn báo cáo: các báo cáo của giai đoạn trước được kiểm tra, nhằm phát hiện các xâm phạm hoặc tấn công có thể xảy ra. 1.4.3.5 Các cơ chế an toàn Nhận xét: Cơ chế kiểm toán của một số hệ thống còn phải làm thủ công, tốn công sức, nên cần có các công cụ kiểm toán tự động, hỗ trợ nhà quản trị. Nội dung 1.1 Giới thiệu 1.2 Một số khái niệm trong CSDL 1.3 Các vấn đề an toàn trong CSDL 	 1.3.1 Các hiểm họa đối với an toàn CSDL 	 1.3.2 Các yêu cầu bảo vệ CSDL 1.4 Kiểm soát an toàn 	 1.4.1 Kiểm soát luồng 	 1.4.2 Kiểm soát suy diễn 	 1.4.3 Kiểm soát truy nhập 1.5 Thiết kế CSDL an toàn 1.5 Thiết kế CSDL an toàn An toàn vật lý: kiểm soát truy nhập vật lý vào hệ thống xử lý, bảo vệ hệ thống xử lý khỏi các thảm hoạ tự nhiên, thảm họa do con người hoặc máy móc gây ra. An toàn logic: chống lại các tấn công có thể xảy ra đối với hệ thống, xuất phát từ sự không trung thực, gây lỗi hoặc thiếu tinh thần trách nhiệm của những người bên trong hoặc bên ngoài hệ thống. Các biện pháp an toàn vật lý không bảo vệ một cách đầy đủ. 1.5 Thiết kế CSDL an toàn Việc thiết kế một hệ thống an toàn phụ thuộc vào: Môi trường ứng dụng: vì Các đặc tính an toàn làm tăng chi phí và giảm hiệu năng, tăng độ phức tạp của hệ thống, làm giảm tính mềm dẻo, đòi hỏi nguồn nhân lực cho việc thiết kế, quản lý và duy trì, tăng yêu cầu đối với phần mềm và phần cứng. Tình trạng kinh tế 1.5.1 CSDL trong các cơ quan chính phủ Ví dụ: CSDL năng lượng của một xí nghiệp, điều tra dân số, xã hội, tài chính, các thông tin tội phạm. 1.5.2 Các CSDL thương mại Ví dụ: CSDL độ đo kinh tế, ngân hàng, dự báo và kế hoạch phát triển công ty, công nghiệp, tài chính, bảo hiểm thân thể Tóm lại Khi phát triển một hệ thống an toàn, chúng ta cần quan tâm đến một số khía cạnh thiết yếu sau: Các đặc điểm của môi trường cần bảo vệ. Các yêu cầu bảo vệ bên ngoài và bên trong. Tổ chức vật lý của các thông tin được lưu giữ. Các đặc tính an toàn do hệ điều hành và phần cứng cung cấp. Độ tin cậy của phần mềm và phần cứng. Các khía cạnh về tổ chức, con người.