Oracle的安全标记算不算bug

ORACLE提供了安全标记的功能，即OLS，也就是常说的强制访问控制。其模型是建立在BLP安全模型之上，并进行了扩展。

成都创新互联公司长期为成百上千家客户提供的网站建设服务，团队从业经验10年，关注不同地域、不同群体，并针对不同对象提供差异化的产品和服务；打造开放共赢平台，与合作伙伴共同营造健康的互联网生态环境。为双河企业提供专业的网站制作、网站建设，双河网站改版等技术服务。拥有十余年丰富建站经验和众多成功案例,为您定制开发。

BLP模型的元素是安全级别和范围，即可以对主客体进行安全级别和范围的设定，从而达到控制数据流动的目的，即向下读、向上写的规则。即用户可以读低于用户安全级别的数据，写高于用户安全级别的数据（当然还有范围的约定，这里不介绍了）。

ORACLE扩展了BLP模型，用户可以设置多个安全级别，通过如下接口：

 
 
 
    
  
  
  
  1. SA_USER_ADMIN.SET_LEVELS          
    2. 
  
  
  
  2. Syntax:      
    3. 
  
  
  
  3. PROCEDURE SET_LEVELS (policy_name IN VARCHAR2,         
    4. 
  
  
  
  4. user_name          
    5. 
  
  
  
  5. IN VARCHAR2,         
    6. 
  
  
  
  6. max_level          
    7. 
  
  
  
  7. IN VARCHAR2,         
    8. 
  
  
  
  8. min_level          
    9. 
  
  
  
  9. IN VARCHAR2 DEFAULT NULL,         
    10. 
  
  
  
  10. def_level          
    11. 
  
  
  
  11. IN VARCHAR2 DEFAULT NULL,         
    12. 
  
  
  
  12. row_level          
    13. 
  
  
  
  13. IN VARCHAR2 DEFAULT NULL);          
    14. 
  
  
  
  14. Parameter                                     Meaning      
    15. 
  
  
  
  15. policy_name                                 Specifies the policy          
    16. 
  
  
  
  16. user_name                                 Specifies the user name           
    17. 
  
  
  
  17. max_level                                 The highest level for read and write access      
    18. 
  
  
  
  18. min_level                                 The lowest level for write access　　　　　　　　　　　　　　　　　　　　　　　　　def_level                                 Specifies the default level (equal to or   
    19. 
  
  
  
  19.                                           greater than the minimum level, and equal                                             　　　                                  to or less than the maximum level)          
    20. 
  
  
  
  20. row_level                                 Specifies the row level (equal to or greater                                             　　                                 than the minimum level, and equal to or     
    21.

可以看出，用户标记可以指定最大、最小、默认和行级四种安全级别。这些安全级别之间是有约束关系的

 
 
 
    
  
  
  
  1. min_level<=max_levelmin_level<=def_level<=max_levelmin_level<=row_level<=def_level　 
    2.

如果违法这种规则的话，执行此函数就会失败。了解了这么多之后，我们进行实践，以LBACSYS进行登录，执行如下语句

 
 
 
    
  
  
  
  1. --创建策略P1，并为策略添加安全级别，数值越大代表安全级别越高。  
    2. 
  
  
  
  2. --L1
  
  
  
  3. EXEC sa_sysdba.create_policy('P1','LABEL_COL');  
    4. 
  
  
  
  4. EXEC sa_components.create_level('P1', 10, 'L1', 'L1');  
    5. 
  
  
  
  5. EXEC sa_components.create_level('P1', 20, 'L2', 'L2');  
    6. 
  
  
  
  6. EXEC sa_components.create_level('P1', 30, 'L3', 'L3');  
    7. 
  
  
  
  7. EXEC sa_components.create_level('P1', 40, 'L4', 'L4');  
    8. 
  
  
  
  8. --给用户SYSMAN设置用户标记  
    9. 
  
  
  
  9. EXEC sa_user_admin.set_levels('P1','SYSMAN','L2', 'L1', 'L2', 'L2');  
    10.

根据上面的介绍，这里设置的四种安全级别符合要求。我们通过DBA_SA_USER_LABELS视图可以查看用户的标记。

 
 
 
    
  
  
  
  1. SQL> SELECT USER_NAME, LABELS FROM DBA_SA_USER_LABELS;  
    2. 
  
  
  
  2. USER_NAME      
    3. 
  
  
  
  3. --------------------------------------------------------------------------------      
    4. 
  
  
  
  4. LABELS      
    5. 
  
  
  
  5. --------------------------------------------------------------------------------      
    6. 
  
  
  
  6. SYSMAN      
    7. 
  
  
  
  7. MAX READ LABEL='L2',MAX WRITE LABEL='L2',MIN WRITE LABEL='L1',DEFAULT READ LABEL      
    8. 
  
  
  
  8. ='L2',DEFAULT WRITE LABEL='L2',DEFAULT ROW LABEL='L2' 
    9.

可以看到MIN WRITE LABEL = L1

同时ORACLE提供了一个系统函数，用于改变标记的值：

 
 
 
    
  
  
  
  1. Syntax:      
    2. 
  
  
  
  2. PROCEDURE ALTER_LABEL (         
    3. 
  
  
  
  3.    policy_name       IN VARCHAR2,         
    4. 
  
  
  
  4.    label_tag         IN INTEGER,         
    5. 
  
  
  
  5.    new_label_value   IN VARCHAR2 DEFAULT NULL,         
    6. 
  
  
  
  6.    new_data_label    IN BOOLEAN  DEFAULT NULL);      
    7. 
  
  
  
  7. PROCEDURE ALTER_LABEL (  
    8. 
  
  
  
  8.    policy_name       IN VARCHAR2,         
    9. 
  
  
  
  9.    label_value       IN VARCHAR2,         
    10. 
  
  
  
  10.    new_label_value   IN VARCHAR2 DEFAULT NULL,         
    11. 
  
  
  
  11.    new_data_label    IN BOOLEAN  DEFAULT NULL);      
    12. 
  
  
  
  12. Table 6–18 Parameters for SA_LABEL_ADMIN.ALTER_LABEL      
    13. 
  
  
  
  13.    Parameter Name                         Parameter Description   
    14. 
  
  
  
  14.    policy_name                     　　Specifies the name of an existing policy       
    15. 
  
  
  
  15.    label_tag                         　Identifies the integer tag assigned to the label                                     　                                     to be altered       
    16. 
  
  
  
  16.    label_value                         Identifies the existing character string                                                                                   representation of the label to be altered       
    17. 
  
  
  
  17.    new_label_value                 　　Specifies the new character string                                                                                   representation of the label value. If NULL, the                                     　                                       existing value is not changed.  
    18.

此时我们对L1的标记进行改写

 
 
 
    
  
  
  
  1. EXEC sa_label_admin.alter_label('P1', 'L1', 'L4', TRUE); 
    2.

执行成功，我们查看用户标记表，发现如下所示：

 
 
 
    
  
  
  
  1. SQL> SELECT USER_NAME, LABELS FROM DBA_SA_USER_LABELS;  
    2. 
  
  
  
  2. USER_NAME  
    3. 
  
  
  
  3. --------------------------------------------------------------------------------  
    4. 
  
  
  
  4. LABELS  
    5. 
  
  
  
  5. --------------------------------------------------------------------------------  
    6. 
  
  
  
  6. SYSMAN  
    7. 
  
  
  
  7. MAX READ LABEL='L2',MAX WRITE LABEL='L2',MIN WRITE LABEL='L4',DEFAULT READ LABEL  
    8. 
  
  
  
  8. ='L2',DEFAULT WRITE LABEL='L2',DEFAULT ROW LABEL='L2' 
    9.

可以看出MIN WRITE LABEL变成了L4，其他的LABEL还是L2，这时的用户标记已经是不合法的了，在这种情况下，在执行相应操作时，很多操作会被禁止，比如对打了标记的表进行更新操作，因为此时的用户标记在进行访问判断时永远是恒假值（不过此时系统不会崩溃，有点失望..），以上实验的版本为11.1.0.6.0

原文链接：http://www.cnblogs.com/nocode/archive/2011/05/04/2036873.html

【编辑推荐】

  1. 浅述当前模式读与一致性读续
  2. 浅述当前模式读与一致性读的区别
  3. 告诉你，如何成就DBA职业生涯
  4. 阿里巴巴运维部DBA张瑞：Oracle与MySQL搭档满足业务需求
  5. Oracle业务就绪存储系统助力企业实现存储升级

新闻标题：Oracle的安全标记算不算bug
URL链接：http://www.shufengxianlan.com/qtweb/news30/484330.html

网站建设、网络推广公司-创新互联，是专注品牌与效果的网站制作，网络营销seo公司；服务项目有等

广告

声明：本网站发布的内容（图片、视频和文字）以用户投稿、用户转载内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。电话：028-86922220；邮箱：631063699@qq.com。内容未经允许不得转载，或转载时需注明来源： 创新互联

猜你还喜欢下面的内容

手机网站建设知识

分类信息网

定制网站开发　　 　雕琢时光茶叶　　 　成都电信服务器托管　　 　成都小程序开发　　 　王君美油画　　 　成都网络推广　　 　百度关键词排名　　 　四川瑞杰　　 　胜锦安防科技　　 　全网营销推广　　 　小程序开发　　 　成都网站建设流程　　 　成都二枢电信服务器托管　　 　网络口碑营销　　 　网站seo优化　　 　响应式网站设计方案　　 　德阳服务器托管　　 　成都棕树机房　　 　重庆小程序开发公司　　 　自动门