9. Sicherheitsaspekte

Transkript

1 9. Sicherheitsaspekte

2 Motivation Datenbanken enthalten häufig sensible Daten (z.b. personenbezogene oder unternehmenskritische) Vielzahl verschiedener Benutzer hat Zugriff (z.b. Anwendungen, Mitarbeiter, Management) RDBMSs erlauben Kontrolle der Sichtbarkeit der Daten, um sie gezielt vor unbefugten Zugriffen zu schützen 2

3 Motivation Beispiel: Tabelle Studenten in Hochschulanwendung Studenten MatrNr Vorname Name Geburtsdatum Fach Semester Moritz Müller INF Peter Parker pparker@htw.de BWL Marty McFly mmcfly@gmail.com INF 3 Studenten sollen ihre eigenen Daten sehen und zudem die angegebene ändern können Professoren sollen für Studenten in ihren Vorlesungen alle Daten außer Geburtsdatum und Semester sehen können Hochschulverwaltung soll alle Daten sehen und ändern können 3

4 Inhalt 9.1 Sichten 9.2 Authentisierung 9.3 Autorisierung 4

5 9.1 Sichten Sichten (views) definieren einen Ausschnitt der Daten Ausschnitt der Daten kann Spalten und/oder Zeilen einer einzelnen Tabelle umfassen oder Ergebnis einer möglicherweisen komplexen Anfrage sein Sichten beim Anfragen nicht von Tabellen unterscheidbar Reduzierung der Anfragekomplexität und Kontrolle der Sichtbarkeit von Daten u.a. als mögliche Anwendungen 5

6 Sichten Beispiel: Tabelle Studenten in Hochschulanwendung Studenten MatrNr Vorname Name Geburtsdatum Fach Semester Moritz Müller INF Peter Parker pparker@htw.de BWL Marty McFly mmcfly@gmail.com INF 3 Sicht Erstsemester Studenten MatrNr Vorname Name Geburtsdatum Fach Semester Moritz Müller mmueller@web.de INF 1 Sicht Studentenstatistik Studentenstatistik Fach INF 2 BWL 1 Anzahl 6

7 Sichten in SQL Views lassen sich mittels CREATE VIEW anlegen 1 CREATE VIEW <Name der Sicht> AS <Anfrage> Views lassen sich mittels DROP VIEW löschen 1 DROP VIEW <Name der Sicht> Beispiele: 1 CREATE VIEW Erstsemester 2 AS SELECT * FROM Studenten WHERE Semester = 1 1 CREATE VIEW Studentenstatistik 2 AS SELECT Fach, COUNT(*) AS Anzahl 3 FROM Studenten 4 GROUP BY Fach 7

8 Sichten in SQL Sichten werden von RDBMSs ähnlich zu Makros in Programmiersprachen gehandhabt Wird eine Sicht in einer Anfrage verwendet, so ersetzt das RDBMS den Namen der Sicht durch die dahinter stehende Anfrage Sicht führen zu keiner Beschleunigung von Anfragen 8

9 Sichten in SQL Beispiel: Von Erstsemestern gehörte Vorlesungen 1 SELECT * 2 FROM Erstsemester e, hören h, Vorlesungen v 3 WHERE e.matrnr = h.matrnr AND h.vorlnr = v.vorlnr wird übersetzt nach 1 SELECT * 2 FROM ( SELECT * FROM Studenten WHERE Semester = 1) e, 3 hören h, Vorlesungen v 4 WHERE e.matrnr = h.matrnr AND h.vorlnr = v.vorlnr 9

10 Anwendungen von Sichten Auslagerung wiederkehrender Teilanfragen in Sichten, um die Komplexität anderer Anfragen zu reduzieren 1 CREATE VIEW Vorlesungsverzeichnis 2 AS SELECT * 3 FROM Professoren p, lesen l, Vorlesungen v 4 WHERE p.persnr = l.persnr AND l.vorlnr = v.vorlnr Definition eines Teilausschnitts der Daten, welcher nur für bestimmten Benutzerkreis sichtbar sein soll 1 CREATE VIEW Studenten_für_Professoren 2 AS SELECT MatrNr, Name, Vorname, 3 FROM Studenten 10

11 Änderbare Sichten Sichten nur dann mittels UPDATE und INSERT änderbar, wenn Zeilen der Sicht genau Zeilen einer einzelnen Tabelle entsprechen, d.h. folgende Bedingungen gelten die Sicht verwendet genau eine Tabelle als Ursprung, welche selbst verändert werden darf die Sicht enthält keine Aggregatfunktion, keine Gruppierung und kein DISTINCT die Spaltennamen sind eindeutig und es ist ein Schlüssel der Ursprungstabelle enthalten Nicht alle RDBMSs unterstützen änderbare Sichten 11

12 Materialisierte Sichten RDBMSs unterstützen zudem z.t. materialisierte Sichten 1 CREATE MATERIALIZED VIEW <Name der Sicht> AS <Anfrage> Materialisierte Sichten werten die dahinter liegenden Anfragen beim Anlegen oder bei der ersten Verwendung aus und speichern die enthaltenen Daten Materialisierte Sichten können zu einer Beschleunigung von Anfragen führen, benötigen jedoch Speicherplatz und müssen aktualisiert werden, sobald sich die zugrundeliegenden Daten ändern 12

13 9.2 Authentisierung RDBMS muss Benutzer identifizieren können, um zu entscheiden, welche Daten für ihn sichtbar sein sollen Identifikation findet meist über Kombination von Benutzernamen und Passwort statt, welche das RDBMS selbst verwaltet Identifikation kann alternativ über Host-Betriebssystem erfolgen, bei dem sich der Benutzer dann bereits angemeldet haben muss 13

14 Authentisierung in SQL Benutzer lassen sich mittels CREATE USER anlegen 1 CREATE USER <Benutzername> IDENTIFIED BY <Passwort> oder bei Authentisierung durch Host-Betriebssystem 1 CREATE USER <Benutzername> IDENTIFIED EXTERNALLY Benutzer lassen sich mittels DROP USER löschen 1 DROP USER <Benutzername> Syntax und Optionen der Kommandos systemabhängig 14

15 9.3 Autorisierung Autorisierung legt fest, welche Subjekte (z.b. Benutzer) auf welchen Objekte (z.b. Tabellen) über welche Privilegien (z.b. Einfügen) verfügen, und ob diese weitergegeben werden dürfen Explizite Autorisierung legt dies für jeden Benutzer separat fest Implizite Autorisierung legt dies für Rollen fest und weist Benutzern eine oder mehrere Rollen zu 15

16 Explizite Autorisierung john SELECT (Songs) paul INSERT (Songs) ringo george DELETE (Songs) Privilegien werden Benutzern direkt zugewiesen 16

17 Implizite Autorisierung john paul ringo george Songwriter Member SELECT (Songs) INSERT (Songs) DELETE (Songs) Privilegien werden Rollen zugewiesen; Benutzer verfügen über eine oder mehrere Rollen und können diese je Sitzung separat aktivieren 17

18 Implizite Autorisierung Vorteile impliziter Autorisierung sind u.a. einfachere Verwaltung der Privilegien bei großer Anzahl von Benutzern bzw. häufigen Änderungen höhere Sicherheit gegenüber versehentlicher Änderung von Daten bzw. Schema, da Rollen für jede Sitzung ausgewählt werden können 18

19 Privilegien in SQL SQL stellt im Rahmen der Data Control Language (DCL) die Kommandos GRANT und REVOKE bereit, um Benutzern oder Rollen Privilegien zu gewähren oder entziehen Privilegien auf Tabellen analog zu SQL Kommandos INSERT, UPDATE, DELETE Option WITH GRANT OPTION zeigt an, dass das gewährte Privileg weitergegeben werden darf 19

20 Privilegien in SQL RDBMSs verwalten Tabellen in Schemas (Datenbanken); eine Instanz des RDBMS kann Datenbanken z.b. mehrerer Anwendungen verwalten Privilegien auf Schema CREATE TABLE, ALTER TABLE, DROP TABLE CREATE INDEX, ALTER INDEX, DROP INDEX REFERENCES (erlaubt Verweis durch Fremdschlüssel) CONNECT (erlaubt Verbinden mit der Datenbank) Syntax und Optionen der Kommandos systemabhängig 20

21 Gewähren von Privilegien in SQL Privilegien lassen sich mittels GRANT gewähren 1 GRANT <Privilegien> 2 ON <Tabelle oder Schema und evtl. Spalten> 3 TO <Benutzer oder ROLLE> 4 WITH GRANT OPTION Beispiel: Benutzer dknuth soll MatrNr, Name, Vorname sowie von Studenten lesen dürfen, dieses Privileg aber nicht weitergeben dürfen 1 GRANT SELECT 2 ON Studenten (MatrNr, Name, Vorname, ) 3 TO dknuth 21

22 Entziehen von Privilegien in SQL Privilegien lassen sich mittels REVOKE entziehen 1 REVOKE <Privilegien> 2 ON <Tabelle oder Schema> 3 FROM <Benutzer oder ROLLE> 4 CASCADE Beispiel: Benutzer aeinstein soll keine Daten in Vorlesungen löschen dürfen; hat er das Privileg zwischenzeitlich an andere weitergegeben, sollen diese Benutzer es behalten dürfen 1 REVOKE DELETE 2 ON Vorlesungen 3 FROM aeinstein 22

23 Übung Sichten/Sicherheitsaspekte Versandhandel Zur Überprüfung der regionalen Werbemaßnahmen soll der Umsatz je PLZ in einer Sicht UmsPlz verfügbar sein 23

24 Übung Sichten/Sicherheitsaspekte Versandhandel Zur Überprüfung der regionalen Werbemaßnahmen soll der Umsatz je PLZ in einer Sicht UmsPlz verfügbar sein 1 CREATE VIEW UmsPlz 2 AS SELECT PLZ, SUM(Wert) AS Umsatz 3 FROM Kunden 4 GROUP BY PLZ 24

25 Übung Sichten/Sicherheitsaspekte Versandhandel Bernd Becker ist Vertriebsbeauftragter für das PLZ-Gebiet 66XXX; er soll alle Daten von dortigen Kunden sehen können; seine Assistentin Sonja Sommer jedoch nur deren Kundennummer, Name und Vorname 25

26 Übung Sichten/Sicherheitsaspekte Versandhandel Bernd Becker ist Vertriebsbeauftragter für das PLZ-Gebiet 66XXX; er soll alle Daten von dortigen Kunden sehen können; seine Assistentin Sonja Sommer jedoch nur deren Kundennummer, Name und Vorname 1 CREATE VIEW Kunden66 2 AS SELECT * 3 FROM Kunden 4 WHERE < PLZ AND > PLZ 1 GRANT SELECT 1 GRANT SELECT 2 ON Kunden66 3 TO bbecker 2 ON Kunden66 (KundenNr, Name, Vorname) 3 TO ssommer 26

27 Zusammenfassung Sichten (views) definieren einen Ausschnitt der Daten und dienen der Komplexitätsreduktion von Anfragen sowie der Kontrolle der Sichtbarkeit von Daten Authentisierung durch eigene Benutzerverwaltung des RDBMS oder durch das Host-Betriebssystem Autorisierung gewährt oder entzieht Privilegien (z.b. Einfügen) auf Objekten (z.b. Tabellen) an Subjekte (z.b. Benutzer) 27

28 Literatur [1] A. Kemper und A. Eickler: Datenbanksysteme Eine Einführung, De Gruyter Oldenbourg, 2015 (Kapitel 12) [2] G. Saake, K.-U. Sattler und A. Heuer: Datenbanken - Konzepte und Sprachen, mitp Professional, 2013 (Kapitel 14 & 15) 28