Избирательный подход к обеспечению безопасности данных.Обязательный подход к обеспечению безопасности данных

В современных СУБД поддерживается один из двух наиболее общих подходов к вопросу обеспечения безопасности данных: избирательный подход и обязательный подход. В обоих подходах система безопасности может быть создана как для всей базы данных, так и для любого ее объекта.

Избирательный подход — каждый пользователь обладает определенными правами (полномочиями, привилегиями) при работе с тем или иным объектом БД.

Обязательный подход — каждому объекту БД присваивается уровень доступа, а пользователям — уровень допуска.

В случае избирательного подхода предусмотрены слелующие правила:

· имя правила;

· правила или привилегии;

· диапазон применения привилегий;

· идентификаторы пользователей;

· действие при нарушении правила.

При обязательном подходе предусмотрено следующее:

· пользователь имеет возможность работы с объектом, если уровень его допуска больше или равен уровню доступа объекта;

· пользователь имеет возможность модифицировать объект, если уровень его допуска равен уровню доступа объекта.

Эти два подхода отличаются следующими свойствами:

· В случае избирательного управления некоторый пользователь обладает различными правами (привилегиями или полномочиями) при работе с данными. Разные пользователи могут обладать разными правами доступа к одному и тому же объекту. Избирательные права характеризуются значительной гибкостью.

· В случае обязательного управления каждому объекту данных присваивается некоторый классификационный уровень, а каждый пользователь обладает некоторым уровнем доступа. При таком подходе доступом к определенному объекту данных обладают только пользователи с соответствующим уровнем доступа.

Для реализации избирательного принципа предусмотрены следующие методы. В базу данных вводится новый тип объектов БД – это пользователи. Каждому пользователю в БД присваивается уникальный идентификатор. Для дополнительной защиты каждый пользователь снабжается также уникальным паролем, причем если идентификаторы пользователей в системе доступны системному администратору, то пароли пользователей хранятся чаще всего в специальном кодированном виде и известны только самим пользователям.

Пользователи могут быть объединены в специальные группы пользователей. Один пользователь может входить в несколько групп. В стандарте вводится понятие группы PUBLIC, для которой должен быть определен минимальный стандартный набор прав. По умолчанию предполагается, что каждый вновь создаваемый пользователь, если специально не указано иное, относится к группе PUBLIC.