В современных СУБД поддерживается один из двух наиболее общих подходов к вопросу обеспечения безопасности данных: избирательный подход и обязательный подход. В обоих подходах система безопасности может быть создана как для всей базы данных, так и для любого ее объекта.
Избирательный подход — каждый пользователь обладает определенными правами (полномочиями, привилегиями) при работе с тем или иным объектом БД.
Обязательный подход — каждому объекту БД присваивается уровень доступа, а пользователям — уровень допуска.
В случае избирательного подхода предусмотрены слелующие правила:
· имя правила;
· правила или привилегии;
· диапазон применения привилегий;
· идентификаторы пользователей;
· действие при нарушении правила.
При обязательном подходе предусмотрено следующее:
· пользователь имеет возможность работы с объектом, если уровень его допуска больше или равен уровню доступа объекта;
· пользователь имеет возможность модифицировать объект, если уровень его допуска равен уровню доступа объекта.
|
|
Эти два подхода отличаются следующими свойствами:
· В случае избирательного управления некоторый пользователь обладает различными правами (привилегиями или полномочиями) при работе с данными. Разные пользователи могут обладать разными правами доступа к одному и тому же объекту. Избирательные права характеризуются значительной гибкостью.
· В случае обязательного управления каждому объекту данных присваивается некоторый классификационный уровень, а каждый пользователь обладает некоторым уровнем доступа. При таком подходе доступом к определенному объекту данных обладают только пользователи с соответствующим уровнем доступа.
Для реализации избирательного принципа предусмотрены следующие методы. В базу данных вводится новый тип объектов БД – это пользователи. Каждому пользователю в БД присваивается уникальный идентификатор. Для дополнительной защиты каждый пользователь снабжается также уникальным паролем, причем если идентификаторы пользователей в системе доступны системному администратору, то пароли пользователей хранятся чаще всего в специальном кодированном виде и известны только самим пользователям.
Пользователи могут быть объединены в специальные группы пользователей. Один пользователь может входить в несколько групп. В стандарте вводится понятие группы PUBLIC, для которой должен быть определен минимальный стандартный набор прав. По умолчанию предполагается, что каждый вновь создаваемый пользователь, если специально не указано иное, относится к группе PUBLIC.