网络环境下数据库安全机制问题探讨

秦剑峰　别致　陈持学

【摘要】现代信息系统的飞速发展是以计算机以及计算机网络系统的飞速发展为标志的。信息化的社会在尽力追逐信息系统的失控功能。计算机、高速网络逐步民用化、商用化、家用化，正因为信息在人类社会活动、经济活动中起着越来越重要的作用，信息的安全就日益成为关系成败的关键要点，日益引发人们越来越深刻的重视。本文从数据库安全性的基本概念入手，在其安全体系的基础上，针对目前可能存在的威胁，展开对于数据库安全的讨论。

【关键字】数据库 安全 威胁 防范技术

【中图分类号】tp393 【文献标识码】A 【文章编号】1672-5158（2013）04-0130-01

随着Intemet的发展普及，越来越多的企业参与电子空间，将其核心业务向互联网转移，地理上分散的部门、公司、厂商对于数据库的应用需求过旺，数据库管理系统的运行环境也从单机扩展到网络，对数据的收集、存储、处理和传播从由集中式走向分布式，从封闭式走向开放式。正如去年大肆宣传的从一些电子商务企业中盗窃信用卡号码的事件所表明的，安全性缺口的确引人瞩目。因此，本文介绍网络数据库所面临的典型威胁，然后从网络和操作系统防护、数据库注入防范等方面进行了分析。

一、数据库安全及威胁

一般意义上，数据库的安全定义就是保证数据库信息的保密性、完整性、一致性和可用性。数据库安全控制是指为数据库系统建立的安全保护措施，以保护数据库系统软件和其中的数据不因偶然或恶意的原因而遭到破坏、更改和泄露。要保证数据库的安全通常依靠以下几种技术：即身份鉴别、标记与访问控制、数据完整性、数据库安全审计、客体重用、可信恢复、隐蔽信道分析、可信路径和推理控制等。

数据库作为信息的重要集中地，一般说来，面临的安全威胁主要有：

1.软件和硬件环境出现意外，如磁盘损坏，系统崩溃等

2.计算机病毒可能造成系统崩溃，进而破坏数据

3.对数据库的不正确访问，引起数据库中数据的错误

4.未经授权非法访问数据库信息，窃取其中的数据

5.未经授权非法修改数据库中的数据，使其数据失去真实性

6.通过网络访问对数据库的攻击等

二、网络数据库的安全隐患

IIS+ASP+Access解决方案的主要安全隐患来自Access数据库的安全性，其次在于ASP网页设计过程中的安全意识和措施。

1）数据库可能被下载

在IIS+ASP+Access网站中，如果有人通过各种方法获得或者猜到数据库的存储路径和文件名，则该数据库就可以被下载到本地。

2）数据库可能被解密

由于Access数据库的加密机制比较简单，即使设置了密码，解密.也很容易。该数据库系统通过将用户输入的密码与某一固定密钥进行异或来形成一个加密串，并将其存储在mob文件中。从地址“&H42;”开始的区域内，我们可以轻松地编制解密程序，一个几十行的小程序就可以轻松地获得任何Access数据库的密码。因此，只要数据库被下载，其信息就没有任何安全性可言了。

3）ASP源代码存在安全隐患

由于ASP程序采用非编译性语言，大大降低了程序源代码的安全性。如果黑客侵入站点，就可以获得ASP源代码；同时对于租用服务器的用户，因个别服务器出租商的职业道德问题，也会造成ASP应用程序源代码泄露。

4）程序设计中的安全隐患

众所周知，HTTP是一个无状态的协议，它不追踪用户的链接，这使得Web页面无记忆性且相互独立。ASP代码使用表单实现交互，而相应的内容会反映在浏览器的地址栏中，如果不采用适当的安全措施，只要记下这些内容，就可以绕过验证直接进入某一页面。实际上，页面的访问是通过URL实现的，如果程序不对每个页面进行合法性检验，那么非法用户即使不知道口令，只要知道某些页面的URL，就可跳过身份验证页面去直接访问后面数据处理的相关页面，从而侵人到系统的核心数据库中。

三、数据库安全技术的发展趋势

数据库安全技术随着计算机技术的发展，特别是计算机网络安全技术的发展，而呈现出以下发展趋势：

1.口令认证系统逐渐向动态口令认证过渡。

动态口令认证是非固定口令的认证，用户口令呈现动态变化；此外，作为数字证书载体的智能密码钥匙（USB KEY）也被用于现在数据库安全技术上。

2.加密算法越来越复杂化

非对称密码技术就是针对对称密码体制的缺陷被提出来的。在公钥加密系统中，加密和解密是相对独立的，加密和解密会使用两“把”不同的密钥，加密密钥（公开密钥）向公众公开，解密密钥（秘密密钥）只有解密人自己知道，非法使用者根据公开的加密密钥无法推算出解密密钥，故也称为公钥密码体制。现在密码研究的重点是对已有的各种密码算法从设计和分析两个角度上进一步深入发展，完善和改进算法的安全性、易用性。传统密码将会在安全性、使用代价、算法实现上有进一步发展。

3.防火墙技术

应用专用集成电路（ASIC）、FPGA特别是网络处理器（NP）将成为高速防火墙设计的主要方法，除了提高速度外，功能多样化和安全也是防火墙发展的一个趋势。防火墙将与入侵检测技术、攻击防御技术以及VPN技术融合；防火墙的另一个发展趋势是与多个安全产品实现集成化管理和联动，达到立体防御的效果。

4.物理隔离技术的使用

安全专家认为，联网的计算机是有安全隐患的，物理隔离的思想就是在保证安全的前提下，才互联互通。物理隔离就技术而言，大致可以分为简单隔离技术和网闸技术。

四、结束语

安全性问题不是数据库系统所独有的，所有的计算机系统都存在数据安全问题。只是作为数据的仓库——数据库，既要保证其共享性，又要保证其安全性，这个问题显得就尤为突出。数据库的安全性，离不开系统安全、网络安全。许多的系统安全和网络安全技术也常常被用于数据库安全中。在安全技术越来越被人们重视的今天，数据库安全技术逐步发展成了数据库技术一个重要的方面。对数据库系统安全性的研究和探讨，也具有很现实的意义。