СПОСОБ ОБЕСПЕЧЕНИЯ БЕЗОПАСНОГО ДОСТУПА ПОЛЬЗОВАТЕЛЯ К БАЗАМ ДАННЫХ ORACLE Российский патент 2006 года по МПК G06F12/14 

Настоящее изобретение относится к вычислительной технике и может быть использовано при создании средств обеспечения безопасного доступа пользователя к базам данных ORACLE.

Базы данных в настоящее время являются основным средством для хранения самых разнообразных сведений. Данные хранятся в базе данных (БД) вместе со служебной информацией, которая позволяет организовать эти данные по определенным правилам. Например, служебная информация может указывать определенный уровень доступа к данным, запрещающий обращение к этим данным пользователей, не имеющих на это соответствующих полномочий (несанкционированных пользователей). Базы данных, как правило, хранятся в устройствах долговременной памяти.

Для того чтобы пользователи могли обращаться к БД, служит система управления базами данных (СУБД). Она, как правило, реализуется на базе компьютера, например персонального компьютера. СУБД представляет собой хранящийся в памяти компьютера комплекс программ, позволяющих оперировать с данными из БД (которая для этого компьютера может быть внешним устройством). В СУБД выделяют так называемое ядро СУБД, т.е. ту ее часть, которая постоянно хранится в некоторой области основной памяти компьютера и осуществляет функции управления всей СУБД.

При использовании СУБД одной из основных задач является обеспечение доступа к данным в БД, обслуживаемой этой СУБД. Под доступом в общем случае понимается процедура установления связи с БД и размещенными в ней областями для записи или считывания данных. При этом необходимо предусмотреть возможность для санкционированного пользователя беспрепятственно получать те данные, на которые у него есть допуск, и запретить несанкционированному пользователю получать закрытые для него данные.

В настоящее время известны различные системы доступа к данным.

Из международной заявки WO 97/05551 (МПК G 06 F 13/14, 1997) известен способ обеспечения доступа к данным в системе управления базой данных, в котором процессор системы хранит набор командных примитивов, вызываемых для выполнения только после того, как соответствующие вводимые команды пройдут проверки на правильность и аутентичность. Этих проверок недостаточно для обеспечения надежной защиты базы данных от доступа в нее посторонних (несанкционированных) лиц.

В другом способе обеспечения доступа к данным в системе управления базой данных, известном из выложенной заявки Японии N 05-094389 (МПК G 06 F 13/00, 1993), пользователям базой данных присваиваются пароли и права доступа, которые заносятся в соответствующую таблицу, хранящуюся в постоянной памяти системы. При обращении какого-либо пользователя производится сравнение вводимого им пароля с табличным и определение соответствующего права доступа данного пользователя к той или иной информации в базе данных. Этой проверки, однако, недостаточно, чтобы надежно защитить данные от доступа к ним несанкционированных лиц.

Наиболее близким к заявленному является способ обеспечения доступа к данным в системе управления базами данных (СУБД), описанный в заявке Великобритании N 2242295, МПК G 06 F 12/14, 1991, и заключающийся в том, что запоминают заранее присвоенные каждому пользователю базы данных сигнал индивидуального идентификатора и сигнал ранга допуска базе данных, формируют сигнал запроса пользователя, содержащий сигнал индивидуального идентификатора пользователя и сигналы описания запрашиваемых данных, передают сформированный сигнал запроса в ядро системы управления базами данных, считывают сигнал ранга допуска к базе данных по сигналу индивидуального идентификатора, считывают из базы данных в ядро системы управления базами данных по содержащимся в сигнале запроса пользователя сигналам описаний запрашиваемых данных сигналы, соответствующие сигналам меток этих данных, характеризующим сигналы уровня доступа к разделам, подразделам базы данных, к данным, а также к действиям, которые пользователь может совершать над ними, сравнивают сигналы уровня доступа с сигналом ранга допуска к базе данных, в случае, если сигнал ранга допуска к базе данных не ниже сигнала уровня доступа к разделу базы данных, содержащему запрашиваемые данные, разрешают выдачу сигналов данных по каналу связи из базы данных. Хотя этот способ и надежнее вышеупомянутых, все же обеспечиваемая им надежность предотвращения доступа к базе данных, в частности к базам данных ORACLE, со стороны несанкционированных лиц невысока. Это объясняется как небольшим числом проверок прав пользователя получать данные и совершать над ними какие-либо действия, так и тем, что после положительного завершения всех проверок данные выдаются пользователю в полном объеме соответственно его запросу. Кроме того, при несоответствии сигнала ранга допуска к базе данных сигналу уровня доступа к запрашиваемым данным пользователь извещается об этом, тем самым косвенно получая информацию по меньшей мере о существовании недоступных ему данных.

Поэтому технической задачей является создание способа обеспечения безопасного доступа пользователя к базам данных ORACLE, который не только был бы свободен от указанных выше недостатков, присущих существующим способам доступа к базам данным, но и повышал бы ступень защиты доступа.

Для решения поставленной задачи и достижения такого технического результата предлагается Способ обеспечения безопасного доступа пользователя к базам данных ORACLE, заключающийся в том, что осуществляют запись цифровых сертификатов пользователя в память смарт-карты, причем закрытые ключи записывают в защищенную область памяти указанной карты, при запросе пользователя на доступ к указанным базам данных со стороны сервера передают на терминал пользователя цифровой сертификат сервера и запрос на считывание сертификата пользователя, проверяют сертификат сервера на подлинность и целостность, при положительном результате проверки осуществляют считывание одного из цифровых сертификатов пользователя из памяти смарт-карты, формируют на терминале пользователя с помощью его закрытого ключа электронную цифровую подпись для данного цифрового сертификата пользователя, при этом для авторизации доступа к закрытому ключу запрашивают у пользователя пароль к смарт-карте, передают с терминала пользователя на сервер указанный цифровой сертификат электронной цифровой подписью, проверяют на сервере, имеющем базу данных цифровых сертификатов зарегистрированных пользователей, подлинность и целостность переданного цифрового сертификата пользователя, при положительном результате проверки проверяют на сервере электронную цифровую подпись с помощью открытого ключа, выделенного из указанного цифрового сертификата, при положительном результате проверки электронной цифровой подписи на сервере формируют разрешение для пользователя на доступ к базам данных ORACLE.

СУБД ORACLE имеет встроенные возможности использования цифровых сертификатов (сертификат - последовательность, однозначно связывающая идентификатор объекта с его открытым ключом (ключами) электронной цифровой подписи и (или) шифрования) Х.509 для аутентификации пользователей (способ аутентификации Х.509 описан в книге A.Menezes, P.van Oorschot, S.Vanstone. Handbook of Applied Cryptography. CRC Press, N.Y., 1996, p.510, 511). Для этого цифровые сертификаты могут располагаться либо в файле, защищенном паролем, формате pkcs#12, либо во встроенном хранилище сертификатов операционной системы Windows 2000/XP. В обоих случаях цифровые сертификаты вместе с закрытыми ключами находятся под управлением операционной системы Windows, что, с одной стороны, не предусматривает мобильность использования цифровых сертификатов, а с другой - не обеспечивает надежной защиты закрытых ключей. Изобретение позволяет использовать цифровые сертификаты, установленные на смарт-карты, при этом закрытые ключи располагаются в защищенной памяти смарт-карты и не могут быть экспортированы.

Для использования изобретения пользователь ORACLE должен быть настроен на использование SSL аутентификации. В файле настройки sqlnet.ora указываются следующие параметры: WALLET LOCATION=(SOURCE=(METHOD=MCS)).

Это означает, что для аутентификации пользователя с использованием цифровых сертификатов Х.509 пользователь ORACLE будет обращаться к встроенному хранилищу цифровых сертификатов операционной системы Windows. При этом для каждого найденного сертификата пользователь ORACLE проверяет имя соответствующего криптопровайдера. Если имя криптопровайдера для цифрового сертификата соответствует "Microsoft Enhanced CSP" и цифровой сертификат не имеет расширенного свойства "Smart Cart Logon (1.3.6.1.4.1.311.20.2.2)", то пользователь ORACLE начинает использовать данный сертификат для аутентификации.

Цифровые сертификаты, установленные на смарт-картах, в операционной системе Windows также представлены во встроенном хранилище сертификатов операционной системы. Однако, поскольку данные сертификаты связаны с другим криптопровайдером, то пользователь ORACLE не использует их для аутентификации пользователей.

Чтобы появилась возможность использовать цифровые сертификаты, установленные на смарт-картах, для аутентификации в ORACLE, необходимо перехватить обращения пользователя ORACLE к функциям, определяющим имя соответствующего криптопровайдера и для цифровых сертификатов, установленных на смарт-картах, динамически менять его имя на имя "Microsoft Enhanced CSP".

При запросе пользователя на доступ к указанным базам данных со стороны сервера передают на терминал пользователя цифровой сертификат сервера (криптопровайдера) и запрос на считывание сертификата пользователя.

Проверяют сертификат сервера на подлинность и целостность, при положительном результате проверки осуществляют считывание одного из цифровых сертификатов пользователя из памяти смарт-карты.

Формируют на терминале пользователя с помощью его закрытого ключа электронную цифровую подпись для данного цифрового сертификата пользователя, при этом для авторизации доступа к закрытому ключу запрашивают у пользователя пароль к смарт-карте. Известные способы формирования ЭЦП описаны, например, в книге Романец Ю.В., Тимофеев П.А., Шаньгин В.Ф. Защита информации в компьютерных системах и сетях. / Под ред. В.Ф.Шаньгина. - М.: Радио и связь, 1999, стр.162-171.

Передают с терминала пользователя на сервер указанный цифровой сертификат с электронной цифровой подписью. Известные способы передачи последовательностей по каналам связи с ошибками описаны, например, в книге А.Зюко, Д.Кловский, М.Назаров, Л.Финк. Теория передачи сигналов. М.: Радио и связь, 1986, стр.11.

Проверяют на сервере, имеющем базу данных цифровых сертификатов зарегистрированных пользователей, подлинность и целостность переданного цифрового сертификата пользователя. Известные способы проверки сертификата и выделения из него открытого ключа ЭЦП описаны, например, в книге A.Menezes, Р.van Oorschot, S.Vanstone. Handbook of Applied Cryptography. CRC Press, N.Y., 1996, p.560. При положительном результате проверки проверяют на сервере электронную цифровую подпись с помощью открытого ключа, выделенного из указанного цифрового сертификата. Известные способы проверки ЭЦП описаны, например, в книге Романец Ю.В., Тимофеев П.А., Шаньгин В.Ф. Защита информации в компьютерных системах и сетях. /Под ред. В.Ф.Шаньгина. - М.: Радио и связь, 1999, стр.162-171.

При положительном результате проверки электронной цифровой подписи на сервере формируют разрешение для пользователя на доступ к базам данных ORACLE.

Реализация способа основана на общесистемных принципах логической и физической реализации аппаратных и программных средств, протоколов и интерфейсов, а также построения телекоммуникационных сетей.

Изобретение относится к вычислительной технике и может быть использовано при создании средств обеспечения безопасного доступа пользователя к базам данных ORACLE. Техническим результатом является повышение степени защиты доступа. В способе осуществляют запись цифровых сертификатов пользователя в память смарт-карты, при запросе пользователя на доступ к базам данных с сервера передают на терминал пользователя цифровой сертификат сервера и запрос на считывание сертификата пользователя, проверяют сертификат сервера на подлинность и целостность, при положительном результате проверки считывают один из цифровых сертификатов пользователя, формируют на терминале пользователя электронную цифровую подпись для данного цифрового сертификата пользователя, запрашивают пароль к смарт-карте, передают на сервер указанный цифровой сертификат с электронной цифровой подписью, проверяют на сервере подлинность и целостность цифрового сертификата пользователя, при положительном результате проверки проверяют электронную цифровую подпись с помощью открытого ключа, выделенного из цифрового сертификата, при положительном результате проверки электронной цифровой подписи формируют разрешение на доступ к базам данных ORACLE.

Способ обеспечения безопасного доступа пользователя к базам данных ORACLE, заключающийся в том, что осуществляют запись цифровых сертификатов пользователя в память смарт-карты, причем закрытые ключи записывают в защищенную область памяти указанной карты, при запросе пользователя на доступ к указанным базам данных со стороны сервера передают на терминал пользователя цифровой сертификат сервера и запрос на считывание сертификата пользователя, проверяют сертификат сервера на подлинность и целостность, при положительном результате проверки осуществляют считывание одного из цифровых сертификатов пользователя из памяти смарт-карты, формируют на терминале пользователя с помощью его закрытого ключа электронную цифровую подпись для данного цифрового сертификата пользователя, при этом для авторизации доступа к закрытому ключу запрашивают у пользователя пароль к смарт-карте, передают с терминала пользователя на сервер указанный цифровой сертификат с электронной цифровой подписью, проверяют на сервере, имеющем базу данных цифровых сертификатов зарегистрированных пользователей, подлинность и целостность переданного цифрового сертификата пользователя, при положительном результате проверки проверяют на сервере электронную цифровую подпись с помощью открытого ключа, выделенного из указанного цифрового сертификата, при положительном результате проверки электронной цифровой подписи на сервере формируют разрешение для пользователя на доступ к базам данных ORACLE.