魔天记忘语小说,遮天

新聞中心

這里有您想知道的互聯(lián)網(wǎng)營銷解決方案

Oracle的安全標記算不算bug

ORACLE提供了安全標記的功能，即OLS，也就是常說的強制訪問控制。其模型是建立在BLP安全模型之上，并進行了擴展。

成都創(chuàng)新互聯(lián)公司長期為成百上千家客戶提供的網(wǎng)站建設服務，團隊從業(yè)經(jīng)驗10年，關注不同地域、不同群體，并針對不同對象提供差異化的產(chǎn)品和服務；打造開放共贏平臺，與合作伙伴共同營造健康的互聯(lián)網(wǎng)生態(tài)環(huán)境。為雙河企業(yè)提供專業(yè)的網(wǎng)站制作、網(wǎng)站建設，雙河網(wǎng)站改版等技術服務。擁有十余年豐富建站經(jīng)驗和眾多成功案例,為您定制開發(fā)。

BLP模型的元素是安全級別和范圍，即可以對主客體進行安全級別和范圍的設定，從而達到控制數(shù)據(jù)流動的目的，即向下讀、向上寫的規(guī)則。即用戶可以讀低于用戶安全級別的數(shù)據(jù)，寫高于用戶安全級別的數(shù)據(jù)（當然還有范圍的約定，這里不介紹了）。

ORACLE擴展了BLP模型，用戶可以設置多個安全級別，通過如下接口：

 
 
 
  
  
  SA_USER_ADMIN.SET_LEVELS          
  
  
  Syntax:      
  
  
  PROCEDURE SET_LEVELS (policy_name IN VARCHAR2,         
  
  
  user_name          
  
  
  IN VARCHAR2,         
  
  
  max_level          
  
  
  IN VARCHAR2,         
  
  
  min_level          
  
  
  IN VARCHAR2 DEFAULT NULL,         
  
  
  def_level          
  
  
  IN VARCHAR2 DEFAULT NULL,         
  
  
  row_level          
  
  
  IN VARCHAR2 DEFAULT NULL);          
  
  
  Parameter                                     Meaning      
  
  
  policy_name                                 Specifies the policy          
  
  
  user_name                                 Specifies the user name           
  
  
  max_level                                 The highest level for read and write access      
  
  
  min_level                                 The lowest level for write access　　　　　　　　　　　　　　　　　　　　　　　　　def_level                                 Specifies the default level (equal to or   
  
  
                                            greater than the minimum level, and equal                                             　　　                                  to or less than the maximum level)          
  
  
  row_level                                 Specifies the row level (equal to or greater                                             　　                                 than the minimum level, and equal to or

可以看出，用戶標記可以指定最大、最小、默認和行級四種安全級別。這些安全級別之間是有約束關系的

 
 
 
  
  
  min_level<=max_levelmin_level<=def_level<=max_levelmin_level<=row_level<=def_level

如果違法這種規(guī)則的話，執(zhí)行此函數(shù)就會失敗。了解了這么多之后，我們進行實踐，以LBACSYS進行登錄，執(zhí)行如下語句

 
 
 
  
  
  --創(chuàng)建策略P1，并為策略添加安全級別，數(shù)值越大代表安全級別越高。  
  
  
  --L1
  
  
  
EXEC sa_sysdba.create_policy('P1','LABEL_COL');  
  
  
  EXEC sa_components.create_level('P1', 10, 'L1', 'L1');  
  
  
  EXEC sa_components.create_level('P1', 20, 'L2', 'L2');  
  
  
  EXEC sa_components.create_level('P1', 30, 'L3', 'L3');  
  
  
  EXEC sa_components.create_level('P1', 40, 'L4', 'L4');  
  
  
  --給用戶SYSMAN設置用戶標記  
  
  
  EXEC sa_user_admin.set_levels('P1','SYSMAN','L2', 'L1', 'L2', 'L2');

根據(jù)上面的介紹，這里設置的四種安全級別符合要求。我們通過DBA_SA_USER_LABELS視圖可以查看用戶的標記。

 
 
 
  
  
  SQL> SELECT USER_NAME, LABELS FROM DBA_SA_USER_LABELS;  
  
  
  USER_NAME      
  
  
  --------------------------------------------------------------------------------      
  
  
  LABELS      
  
  
  --------------------------------------------------------------------------------      
  
  
  SYSMAN      
  
  
  MAX READ LABEL='L2',MAX WRITE LABEL='L2',MIN WRITE LABEL='L1',DEFAULT READ LABEL      
  
  
  ='L2',DEFAULT WRITE LABEL='L2',DEFAULT ROW LABEL='L2'

可以看到MIN WRITE LABEL = L1

同時ORACLE提供了一個系統(tǒng)函數(shù)，用于改變標記的值：

 
 
 
  
  
  Syntax:      
  
  
  PROCEDURE ALTER_LABEL (         
  
  
     policy_name       IN VARCHAR2,         
  
  
     label_tag         IN INTEGER,         
  
  
     new_label_value   IN VARCHAR2 DEFAULT NULL,         
  
  
     new_data_label    IN BOOLEAN  DEFAULT NULL);      
  
  
  PROCEDURE ALTER_LABEL (  
  
  
     policy_name       IN VARCHAR2,         
  
  
     label_value       IN VARCHAR2,         
  
  
     new_label_value   IN VARCHAR2 DEFAULT NULL,         
  
  
     new_data_label    IN BOOLEAN  DEFAULT NULL);      
  
  
  Table 6–18 Parameters for SA_LABEL_ADMIN.ALTER_LABEL      
  
  
     Parameter Name                         Parameter Description   
  
  
     policy_name                     　　Specifies the name of an existing policy       
  
  
     label_tag                         　Identifies the integer tag assigned to the label                                     　                                     to be altered       
  
  
     label_value                         Identifies the existing character string                                                                                   representation of the label to be altered       
  
  
     new_label_value                 　　Specifies the new character string                                                                                   representation of the label value. If NULL, the                                     　                                       existing value is not changed.

此時我們對L1的標記進行改寫

 
 
 
  
  
  EXEC sa_label_admin.alter_label('P1', 'L1', 'L4', TRUE);

執(zhí)行成功，我們查看用戶標記表，發(fā)現(xiàn)如下所示：

 
 
 
  
  
  SQL> SELECT USER_NAME, LABELS FROM DBA_SA_USER_LABELS;  
  
  
  USER_NAME  
  
  
  --------------------------------------------------------------------------------  
  
  
  LABELS  
  
  
  --------------------------------------------------------------------------------  
  
  
  SYSMAN  
  
  
  MAX READ LABEL='L2',MAX WRITE LABEL='L2',MIN WRITE LABEL='L4',DEFAULT READ LABEL  
  
  
  ='L2',DEFAULT WRITE LABEL='L2',DEFAULT ROW LABEL='L2'

可以看出MIN WRITE LABEL變成了L4，其他的LABEL還是L2，這時的用戶標記已經(jīng)是不合法的了，在這種情況下，在執(zhí)行相應操作時，很多操作會被禁止，比如對打了標記的表進行更新操作，因為此時的用戶標記在進行訪問判斷時永遠是恒假值（不過此時系統(tǒng)不會崩潰，有點失望..），以上實驗的版本為11.1.0.6.0

原文鏈接：http://www.cnblogs.com/nocode/archive/2011/05/04/2036873.html

【編輯推薦】

淺述當前模式讀與一致性讀續(xù)
淺述當前模式讀與一致性讀的區(qū)別
告訴你，如何成就DBA職業(yè)生涯
阿里巴巴運維部DBA張瑞：Oracle與MySQL搭檔滿足業(yè)務需求
Oracle業(yè)務就緒存儲系統(tǒng)助力企業(yè)實現(xiàn)存儲升級

分享文章：Oracle的安全標記算不算bug
分享鏈接：http://fisionsoft.com.cn/article/cocdspd.html

新聞中心

其他資訊