CN104615947B - 一种可信的数据库完整性保护方法及系统 - Google Patents

Abstract

本发明给出了一种可信的数据库完整性保护方法及系统，尤其适用于但不仅仅适用于工控系统。当敏感数据需要进行完整性保护时，通过可信度量技术来检查当前系统环境是否与敏感数据完整性保护需要的环境相符，在进行完整性度量值签名的验证前同样检查了系统环境是否可信。而进行完整性验证的签名密钥受到硬件安全芯片的加密保护，因此实现了基于硬件的安全。最后，完整性验证是采用中间件方式实现的，确保了敏感数据的完整性验证的同时也保证了系统的正常运行效率。基于本发明，可以为工控环境建立一个基于安全芯片的存储敏感数据的安全数据库系统，提高其中的敏感数据完整性保护强度，确保生产计划、工艺流程等敏感数据不会被篡改。

Description

一种可信的数据库完整性保护方法及系统

技术领域

本发明涉及一种可信的数据库完整性保护方法及系统，属于数据库安全领域。

背景技术

由于工业生产对工控系统可用性的严格要求，工控系统在部署完成后通常不会及时地进行升级、打补丁或杀毒软件病毒库的更新等安全操作。因此相比于传统信息系统，工控系统的安全防护措施存在一定的滞后性。而随着信息化和工业化的融合，许多工业生产领域的企业管理网与工业控制网开始逐渐地互联互通，以实现管理与控制一体化。这就使工控系统面临着更加严重的来自外部的病毒、木马、黑客攻击等威胁，同时也使得内部人员的恶意行为能够对系统产生更严重的影响。与传统信息系统相似，工业控制系统的数据库中也存在大量的敏感数据，例如生产计划或工艺配方等数据。相比于工控系统的实时业务数据，这些数据一旦被篡改将会对工业生产造成更严重的影响。因此为了应对工控系统自身安全防护措施的滞后性和两化融合带来的数据安全威胁，有必要对工控系统的数据库中存放的敏感数据进行完整性保护。

为了确保数据库中的敏感数据的完整性，通常会采用数据库完整性保护技术。它是指以密码学技术为基础对数据库管理系统中的敏感数据：数据库、表、属性列、元组提供完整性度量和验证服务，以保证信息或数据不被未授权的篡改或在篡改后能够被迅速发现。然而现有数据库完整性保护技术存在以下两个显著缺陷无法确保工控系统中敏感数据的完整性：

其一，数据的完整性与环境安全性没有绑定。传统安全数据库系统的完整性保护措施通常建立在环境相对安全的前提下，例如操作系统中不存在病毒、木马等。而这种假设对于安全防护措施相对滞后的工业控制系统来说难以成立。在系统环境已被破坏的情况下，安全数据库即使对敏感数据进行了完整性保护也无法保证其完整性。这是由于数据在进行完整性度量时缺少对系统环境安全性的检测，导致在非安全环境下敏感数据产生的完整性度量值自身就是不可信的，而基于该值进行完整性检验就更加不可信了。而且在缺少对系统环境安全性的检测的情况下，完整性度量值的验证结果也可以被篡改，也是不可信的。

其二，数据的完整性没有建立在硬件基础上。传统安全数据库的完整性通常建立在软件方式实现的系统可信计算基TCB的安全性基础上。而对于工控系统来说，这种软件方式实现的TCB并不能完全阻止攻击者对敏感数据的篡改。例如，工控系统在维护时，通常会临时接上工程师的笔记本。攻击者可以通过对该笔记本的攻击，来进一步侵入和破坏工控系统。更为严重的是，能够物理接触工控系统的内部人员一旦是恶意的，那么他们能够篡改敏感数据而不被轻易发觉，造成严重的损失。这是缺少硬件支持的安全数据库方案无法解决的问题。

总之，目前在工控环境中尚缺乏一种能够安全存储敏感数据，并将其完整性与系统环境、底层硬件安全性绑定的数据库完整性验证技术成果。

发明内容

本发明的目的在于提供一种可信的数据库完整性保护方法及系统，能够对存放在数据库中的敏感数据进行完整性保护，并将其完整性与系统环境及底层硬件相绑定，从而能够有效发现远程攻击者或内部人员对敏感数据的篡改，尤其适用于工业控制系统。

为了实现上述目的，本发明采用以下技术方案：

一种可信的数据库完整性保护方法，包括以下步骤：

1)使用了本方法的系统基于安全芯片实施安全启动，并构建信任链，同时利用安全芯片产生签名密钥，并通过可信度量技术在形成的信任链基础上对当前系统环境进行度量，确保当前系统环境安全可信。

2)安全管理员设置敏感数据的完整性相关信息，该完整性相关信息包括：待保护的数据表或列，以及其授权用户列表。

3)利用安全芯片产生的签名密钥，将待保护的数据表或列，待保护的数据表或列的当前完整性值，及其授权用户列表一起进行签名，并存入元数据库中。同时，在这些待保护的数据表或列上添加一个属性列用于存储每条记录或其某个属性的完整性签名值。此外，利用访问控制机制对待保护的数据表或列实施访问控制。

4)数据库用户通过中间件提供的接口向数据库发出敏感数据查询或写入请求。

5)通过可信度量技术对当前系统环境进行度量，确保当前系统环境安全可信后，根据元数据库中存储的完整性元数据检验用户查询或写入请求中的签名是否正确，以及用户是否为授权用户，检验都通过后，将执行结果返回给用户。

进一步地，步骤2)中，所述完整性相关信息还包括：HMAC的算法，密钥，密钥使用环境。

进一步地，步骤3)中，利用数据库的强制访问控制机制或基于角色的访问控制机制为待保护的数据表或列以及授权用户分配特殊的安全标记或角色，使待保护的数据表或列仅能被上述授权用户访问，从而防止其他用户非故意地篡改这些敏感数据的完整性。

进一步地，步骤5)中，对于数据库用户发出的敏感数据写入请求，在检验都通过后，查询数据库中是否已经存在该敏感数据，如果已经有对应的敏感数据，则检查已有的敏感数据的签名是否正确，并计算该已有的敏感数据的当前完整性值，然后与元数据库中的签名的完整性值进行比较，如果一致，则接着计算要写入的敏感数据的完整性值，并用安全芯片签名密钥进行签名保护，然后将该敏感数据及其完整性签名值写入数据库。若数据库中还没有该敏感数据，则直接计算该敏感数据的完整性值，并用安全芯片签名密钥进行签名保护，然后将敏感数据及其完整性签名值写入数据库，并返回执行结果。

进一步地，步骤5)中，对于数据库用户发出的敏感数据查询请求，在检验都通过后，查询数据库中敏感数据及其完整性签名值，验证签名是否正确。若签名正确，则接着计算敏感数据的完整性值，并与元数据库中签名保护的完整性值进行对比，如果一致，则将敏感数据及完整性验证通过的结果同时返回。若上述验证中任何一个没有通过，则返回完整性验证失败的结果。

一种可信的数据库完整性保护系统，包括：安全芯片、可信度量模块、完整性保护模块、元数据库、完整性配置模块、访问接口模块及数据库操作模块。其中，安全芯片负责构建信任链并生成签名密钥；可信度量模块负责在形成的信任链基础上对系统环境中启动的任意进程或文件进行可信度量；完整性保护模块负责接收完整性配置模块发送的完整性相关信息并处理数据查询/写入请求；元数据库则负责完整性相关信息的存储；访问接口模块负责接收并处理数据库用户的SQL命令；数据库操作模块则负责连接数据库并执行数据库用户的SQL命令；最后，完整性配置模块则负责与安全管理员进行交互，接收完整性相关信息并将其发送给完整性保护模块。

进一步地，所述信任链中包括可信度量模块、完整性保护模块、完整性配置模块、访问接口模块和数据库操作模块。

进一步地，所述完整性相关信息包括：待保护的数据表或列和授权用户列表；或待保护的数据表或列，授权用户列表，HMAC的算法，密钥和密钥使用环境。

该技术的基本原理为：利用安全芯片产生的签名密钥对敏感数据的完整性度量值行签名保护，并指定使用该签名密钥的安全系统环境。利用可信度量模块在签名和验证签名阶段度量系统环境是否是指定的安全系统环境。由于签名验证会对系统的效率造成较大影响，因此该完整性保护技术只能采用中间件方式实现，同时不会采用触发器方式来自动进行完整性验证，以达到不影响工控系统正常运行的目的。也就是说，在应用了本发明的可信数据完整性保护技术后，若数据库用户通过中间件的特定接口来访问数据库中的敏感数据，则能获得其完整性验证结果；若数据库用户直接访问数据库中的敏感数据，仅无法获得其完整性验证结果，而不会影响用户对数据的正常访问。

本发明的有益效果在于：

(一)它将数据库中敏感数据的完整性建立在系统环境可信及硬件安全的基础上，阻止敌手通过破坏系统环境来篡改敏感数据或完整性验证结果。

(二)当敏感数据需要进行完整性保护时，本发明会通过可信度量技术来检查当前系统环境是否与敏感数据完整性保护需要的环境相符，真实而可信的度量了敏感数据并对其完整性度量值签名，以确保是对未被篡改的敏感数据进行完整性保护。在进行完整性度量值签名的验证前同样检查了系统环境是否可信，确保验证结果不会被篡改。

(三)进行完整性验证的签名密钥受到硬件安全芯片的加密保护，因此实现了基于硬件的安全。

(四)本发明中的完整性验证是采用中间件方式实现的，而且不是基于触发器方式来自动进行完整性验证，确保了敏感数据的完整性验证的同时也保证了系统的正常运行效率。

(五)本发明中各个模块都是在数据库管理系统之外实现，进而最大程度地减小了对原有数据库管理系统的影响。

(六)基于本发明，可以为工控环境建立一个基于安全芯片的存储敏感数据的安全数据库系统，提高其中的敏感数据完整性保护强度，确保生产计划、工艺流程等敏感数据不会被篡改。

附图说明

图1是本发明可信的数据库完整性保护方法及系统的技术架构示意图；

具体实施方式

下面将对发明内容中所描述的关键技术模块的具体实施做示例性解释，但不以这种解释限制发明的范围。

本发明的技术架构参见图1，主要包括安全芯片、可信度量模块、完整性保护模块、元数据库、完整性配置模块、访问接口模块及数据库操作模块。

首先介绍一下安全芯片模块、可信度量模块这两个基础性模块，本发明需要利用其提供的部分功能，然而模块自身的实现方式则不在本发明考虑范围内。下面将对本发明涉及到的其功能进行解释。

1.安全芯片

本发明中需要安全芯片提供的功能或机制主要是度量信任根、密钥保护功能。度量信任根是受安全芯片保护的系统信任链构建的基础。而从该信任根到可信度量模块之间的信任链的构建方式有许多，例如静态度量等。而密钥保护功能则是安全芯片为其产生的密钥提供的安全保护。通常，安全芯片具有一个存储根密钥SRK(Storage Root Key)，它在芯片初始化时被建立，并一直保存在芯片中，以防止攻击者获得。SRK能够作为父密钥创建非对称密钥对，并声明此密钥对中私钥的使用环境(通过指定安全芯片中存放的环境度量值实现)，并对私钥进行加密，存放在安全芯片外部。在使用这个私钥进行签名或解密时，该私钥必须被载入安全芯片内部使用，即在安全芯片内部由SRK对其解密。从而实现两个目的：第一，密钥的安全性建立在硬件芯片基础上；第二，密钥的使用环境必须符合预期。最后，本发明中提到的安全芯片可以是国产的TCM芯片，也可以是TPM芯片或其他提供了上述功能的软硬件。而本发明内容中提到的安全芯片的存储根密钥是指由安全芯片产生并保护的用于加解密的公私钥对，并不一定特指SRK。同样，前面提到的签名密钥也是指由安全芯片产生并保护的用于签名的公私钥对。

2.可信度量模块

可信度量模块位于操作系统内核层，在系统启动构建信任链的过程中被度量，所以它位于整个系统的TCB中。本发明需要其提供的对系统环境中启动的任意进程进行可信度量，并将度量结果扩展到安全芯片中的功能。

下面将对本发明的关键模块的具体实施方式进行阐述：

1.完整性配置模块及访问接口模块

完整性配置模块负责与安全管理员交互，提供完整性保护方面的配置接口，其接收的完整性相关信息包括：待保护的数据表或列，以及其授权用户列表。在发明内容中描述的是采用签名方式作为保护完整性的方法，因此利用安全芯片产生的同一个签名密钥即可，此处完整性配置模块接收的配置信息就不需要密钥相关信息。除此之外，本发明的实现还可以采用HMAC等带密钥的hash算法来保护完整性，在这种情况下，完整性配置模块接收的配置信息还应该包含HMAC的算法、密钥及密钥使用环境。

而访问接口模块则负责与数据库用户交互，接收其数据库查询/写入请求。可以采用与普通数据库访问接口相同的格式。即虽然将用户的数据库连接操作、查询操作请求先提交给访问接口模块，但是由完整性保护模块自动判断这些操作是否涉及需要完整性保护的敏感数据，并将查询操作结果及完整性验证结果返回给用户。

2.完整性保护模块

该模块以守护进程模式长期运行，处理其他模块提出的带完整性验证的数据库访问请求和配置请求。该模块对外的接口的形式如下：

1)带完整性验证的访问请求接口

输入：访问数据库的SQL语句，数据库用户名

输出：数据库访问接口，完整性验证结果

2)完整性配置请求接口

输入：待保护的数据表或列，授权用户列表(或待保护的数据表或列，授权用户列表，HMAC的算法，密钥，密钥使用环境)

输出：完整性设置操作的结果。

下面对该完整性保护技术的主要流程进行说明：

1)初始化流程

系统必须基于安全芯片实施安全启动，并构建信任链，且信任链中必须包括可信度量模块、完整性保护模块、完整性配置模块、访问接口模块和数据库操作模块。此外，安全芯片必须产生一个签名密钥，该密钥的使用环境指定为此信任链环境。

2)完整性设置流程

a)安全管理员将敏感数据的完整性相关信息传输给完整性配置模块。这些信息包括：待保护的数据表或列，以及其授权用户列表。

b)完整性配置模块接收这些完整性相关信息，并调用完整性保护模块进行处理。

c)完整性保护模块先收集待保护的数据表或列的当前完整性值，然后从安全芯片获取签名密钥，用其将待保护的数据表或列，及授权用户信息一起进行签名，并将这些信息存入元数据库中。同时，在这些待保护的数据表或列上添加一个属性列用于存储每条记录或其某个属性的完整性签名值。此外，完整性保护模块将利用数据库的强制访问控制机制或基于角色的访问控制机制为这些被保护的数据表或列以及授权用户分配特殊的安全标记或角色，使这些被保护的表或列仅能被这些授权用户访问，从而防止其他用户非故意地篡改这些敏感数据的完整性。

3)数据完整性保护流程

数据库用户在向数据库表插入或更新完整性敏感数据时，应该通过中间件提供的访问接口模块，否则将破坏敏感数据的完整性。即数据库用户合法地写入敏感数据的途径只有中间件提供的接口，其他方式都将视为对数据的篡改。

a)数据库用户通过访问接口模块输入数据的写入请求。

b)访问接口模块接收请求，并将其传递给完整性保护模块处理。

c)完整性保护模块查询该敏感数据对应的表或列(即待保护的数据表或列)的完整性元数据，验证签名是否正确。接着检验用户是否是授权用户。若这些检验通过，则调用数据库操作模块查询数据库的对应表中是否已经存在该敏感数据。

d)数据库操作模块执行SQL查询命令，如果已经有对应的敏感数据，则将它和它的完整性签名值返回给完整性保护模块，进入步骤e1)，否则进入e2)。

e1)完整性保护模块检查其签名是否正确，并计算数据库查出的敏感数据的当前完整性值，然后与元数据库中的签名的完整性值进行比较，如果一致，则接着计算要插入的敏感数据的完整性值，并用安全芯片签名密钥进行签名保护，然后将敏感数据及其完整性签名值传递给数据库操作模块，进入步骤f)。如果不一致，则直接返回给访问接口模块完整性验证未通过的结果。

e2)若该敏感数据是新插入的记录，即数据表中还没有该敏感数据，则完整性保护模块直接计算该敏感数据的完整性值，并用安全芯片签名密钥进行签名保护，然后将敏感数据及其完整性签名值传递给数据库操作模块，进入步骤f)。

f)数据库操作模块接收到敏感数据及其完整性签名值后，就执行SQL命令写入数据表，并将执行结果返回给完整性保护模块。

g)完整性保护模块将执行成功的结果返回给访问接口模块。

4)数据完整性验证流程

数据库用户即可以通过中间件提供的访问接口模块访问敏感数据，也可以直接连接数据库查询敏感数据。但是只有通过中间件的访问接口模块查询敏感数据时，才能获得敏感数据完整性验证服务。完整性验证服务会对效率造成一定影响，因此数据库用户可以根据需要灵活选择是否经过中间件的访问接口来查询敏感数据。具体地，完整性验证流程如下：

a)数据库用户通过访问接口模块输入数据查询请求。

b)访问接口模块接收请求，并将其传递给完整性保护模块处理。

c)完整性保护模块查询该敏感数据对应的表或列的完整性元数据，验证签名是否正确。接着检验用户是否是授权用户。若这些检验都通过，则调用数据库操作模块查询敏感数据及其完整性签名值。

d)数据库操作模块执行SQL查询，将敏感数据及其完整性签名值返回给完整性保护模块。

e)完整性保护模块验证签名是否正确。若签名正确，则接着计算敏感数据的完整性值，并与签名保护的完整性值进行对比。如果一致，则将敏感数据及完整性验证通过的结果同时返回给访问接口模块。若上述验证中任何一个没有通过，则向访问接口模块返回完整性验证失败的结果。

Claims (8)

1.一种可信的数据库完整性保护方法，基于可信计算技术实现，包括以下步骤：

1)使用了本方法的系统基于安全芯片实施安全启动，并构建信任链，同时利用安全芯片产生签名密钥，并通过可信度量技术在形成的信任链基础上对当前系统环境进行度量，确保当前系统环境安全可信；

2)安全管理员设置敏感数据的完整性相关信息，该完整性相关信息包括：待保护的数据表或列，以及其授权用户列表；

3)利用安全芯片产生的签名密钥，将待保护的数据表或列，待保护的数据表或列的当前完整性值，及其授权用户列表一起进行签名，并存入元数据库中；在这些待保护的数据表或列上添加一个属性列用于存储每条记录或其某个属性的完整性签名值；利用访问控制机制对待保护的数据表或列实施访问控制；

4)数据库用户通过中间件提供的接口向数据库发出敏感数据查询或写入请求；

5)通过可信度量技术对当前系统环境进行度量，确保当前系统环境安全可信后，根据元数据库中存储的完整性元数据检验用户查询或写入请求中的签名是否正确，以及用户是否为授权用户，检验都通过后，将执行结果返回给用户。

2.如权利要求1所述的可信的数据库完整性保护方法，其特征在于，步骤2)中，所述完整性相关信息还包括：HMAC的算法，密钥，密钥使用环境。

3.如权利要求1所述的可信的数据库完整性保护方法，其特征在于，步骤3)中，利用数据库的强制访问控制机制或基于角色的访问控制机制为待保护的数据表或列以及授权用户分配特殊的安全标记或角色，使待保护的数据表或列仅能被上述授权用户访问。

4.如权利要求1所述的可信的数据库完整性保护方法，其特征在于，步骤5)中，对于数据库用户发出的敏感数据写入请求，在检验都通过后，查询数据库中是否已经存在该敏感数据，如果已经有对应的敏感数据，则检查已有的敏感数据的签名是否正确，并计算该已有的敏感数据的当前完整性值，然后与元数据库中的签名的完整性值进行比较，如果一致，则接着计算要写入的敏感数据的完整性值，并用安全芯片签名密钥进行签名保护，然后将该敏感数据及其完整性签名值写入数据库；若数据库中还没有该敏感数据，则直接计算该敏感数据的完整性值，并用安全芯片签名密钥进行签名保护，然后将敏感数据及其完整性签名值写入数据库，并返回执行结果。

5.如权利要求1所述的可信的数据库完整性保护方法，其特征在于，步骤5)中，对于数据库用户发出的敏感数据查询请求，在检验都通过后，查询数据库中敏感数据及其完整性签名值，验证签名是否正确，若签名正确，则接着计算敏感数据的完整性值，并与元数据库中签名保护的完整性值进行对比，如果一致，则将敏感数据及完整性验证通过的结果同时返回，若上述验证中任何一个没有通过，则返回完整性验证失败的结果。

6.一种可信的数据库完整性保护系统，包括：安全芯片、可信度量模块、完整性保护模块、元数据库、完整性配置模块、访问接口模块及数据库操作模块，其中：

安全芯片负责构建信任链并生成签名密钥；

可信度量模块负责在形成的信任链基础上对系统环境中启动的任意进程或文件进行可信度量；

完整性配置模块负责与安全管理员进行交互，接收完整性相关信息并将其发送给完整性保护模块，所述完整性相关信息包括：待保护的数据表或列以及其授权用户列表；

完整性保护模块负责接收完整性配置模块发送的完整性相关信息并利用安全芯片产生的签名密钥，将待保护的数据表或列，待保护的数据表或列的当前完整性值，及其授权用户列表一起进行签名，并存入元数据库中；在这些待保护的数据表或列上添加一个属性列用于存储每条记录或其某个属性的完整性签名值；利用访问控制机制对待保护的数据表或列实施访问控制，使被保护的表或列仅能被授权用户访问；根据元数据库中存储的完整性元数据检验用户查询或写入请求中的签名是否正确，以及用户是否为授权用户，检验都通过后调用数据库操作模块查询敏感数据及其完整性签名值；将敏感数据及其完整性验证结果返回给访问接口模块；

元数据库则负责完整性相关信息的存储；

访问接口模块负责接收数据库用户的SQL命令并将其传递给完整性保护模块处理；

数据库操作模块则负责连接数据库并执行数据库用户的SQL命令，以及将敏感数据及其完整性签名值返回给完整性保护模块。

7.如权利要求6所述的可信的数据库完整性保护系统，其特征在于，所述信任链中包括可信度量模块、完整性保护模块、完整性配置模块、访问接口模块和数据库操作模块。

8.如权利要求6所述的可信的数据库完整性保护系统，其特征在于，所述完整性相关信息还包括：HMAC的算法，密钥和密钥使用环境。