Практическая работа 7 Разработка проекта и программная реализация прототипа системы с разграничением полномочий пользователей на основе паролей.
10 Часов
Цель работы:
Получить практические навыки защиты данных от несанкционированного доступа
Система безопасности БД должна обеспечивать физическую целостность БД и защиту от несанкционированного вторжения с целью чтения содержимого и изменения данных. Защита БД производится на двух уровнях:
на уровне пароля;
на уровне пользователя (защита учетных записей пользователей и идентифицированных объектов).
1. Алгоритм защиты БД MS Access (монопольный режим). Открываем СУБД MS Access и создаем новую базу данных MS Access. Сохраняем созданную БД и закрываем. Открываем БД в монопольном режиме. Файл Открыть. В диалоговом окне Открыть необходимо найти файл, который необходимо открыть, и выделяем его. Щелкаем по стрелке рядом с кнопкой Открыть и выбираем команду Монопольно. На вкладке Файл кнопка Сведения и выбираем пункт Зашифровать паролем. Откроется диалоговое окно Задание пароля базы данных. Введите пароль в поле Пароль, а затем повторите его в поле Проверить. Закрыть БД. Открыть защищенную паролем БД в монопольном режиме. Появиться окно «Необходимо ввести пароль». Для удаления созданного пароля необходимо зайти во вкладке Файл нажать кнопку Сведения и выбрать пункт Расшифровать базу данных. Появиться окно Удаления пароля баз данных.
2. Для защиты БД Ассеss использует файл рабочих групп systеm.mdw (рабочая группа - это группа пользователей, которые совместно используют ресурсы сети), к которому БД на рабочих станциях подключаются по умолчанию. Файл рабочих групп содержит учётные записи пользователей и групп, а также пароли пользователей. Учётным записям могут быть предоставлены права на доступ к БД и её объектам, при этом сами разрешения на доступ хранятся в БД.
Для обеспечения защиты БД Ассеss необходимо создать рабочую группу. При создании уникальной рабочей группы задается имя пользователя, название организации и код рабочей группы. Файл рабочей группы MS Ассеss содержит следующие встроенные учётные записи:
1. Аdmins - стандартная учётная запись пользователя. Данные записи являются одинаковыми для всех экземпляров Мs Ассеss;
2. Аdmin - учётная запись группы администратора - является уникальной в каждом файле рабочей группы;
3. Usеrs - содержит учётные записи пользователей.
Для создания файла рабочих групп необходимо в папке systеm или systеm32 в каталоге windоws найти файл рабочей группы и создать новую рабочую группу (может быть до 20 цифровых или буквенных обозначений).
Группа Аdmins может содержать произвольное число пользователей, но владелец объекта всегда один (владельцем объекта может быть учётная запись, которая создавала объект или которой были переданы права на его использование). Так как чтение записи Аdmin возможно для всех рабочих групп и данные учётные записи являются одинаковыми, то пользователя АDМIN необходимо удалить из группы администраторов, для чего следует создать новую учётную запись администратора и задать пароль на его учётные записи и на учетные записи владельца.
Зашифровать и дешифровать базу данных могут только её владелец и члены группы Admins. Для шифрования используется алгоритм RSA (назван по первым буквам фамилий его изобретателей: Rivest, Shamir, Adelman) с ключом на основе идентификатора рабочей группы. У шифрования базы данных имеется два негативных побочных эффекта. Во-первых, снижается её быстродействие - по оценкам Microsoft, на 10-15 процентов. Во-вторых, зашифрованную базу данных нет смысла сжимать её размер уменьшится незначительно.
Разграничение прав доступа пользователей
Разрешения к доступу называются явными, если они принадлежат или присвоены учётной записи пользователя.
Разрешения будут неявными, если они присвоены учётной записи группы, при этом пользователь, включённый в группу, получает все её разрешения.
ТИПЫ РАЗРЕШЕНИЙ НА ДОСТУП К БД
Полномочия пользователя определяются по минимальным разрешениям доступа. Изменить разрешения для пользователей могут члены группы Аdmins, владелец объекта и пользователь, получивший на этот объект разрешения администратора. При подключении к БД пользователи получают права групп, которым они принадлежат.
Практическое задание:
Для информационной системы (разработанной ранее на дисциплинах «Проектирование информационных систем», «Базы данных») разрабатываются 3 уровня доступа с проверкой полномочий: уровень администратора, уровень пользователя (менеджера), уровень гостя. Администратору ИС доступны все данные и все функции системы. Менеджер может просматривать часть данных из базы данных информационной системы. Набор функций системы для менеджера ограничен, например, он может добавлять новые данные, а удалять может только администратор. Гостю доступны для просмотра лишь некоторые поля из базы знаний. Также необходимо обеспечить проверку правильности вводимой информации (контроль ввода идентичных записей, форматов и интервалов дат и т. д.)
Требования к базе данных:
база данных должна содержать не менее 3-х связанных таблиц.
таблицы могут быть реализованы как в Delphi, так и в Access.
каждая таблица должна содержать ключевое поле (для идентификации записи).
Уровни доступа реализуются в Delphi, C++, VisualBasic.