CN111984998A - 数据库的强制访问控制方法和装置 - Google Patents

数据库的强制访问控制方法和装置 Download PDF

Info

Publication number
CN111984998A
CN111984998A CN202010843862.6A CN202010843862A CN111984998A CN 111984998 A CN111984998 A CN 111984998A CN 202010843862 A CN202010843862 A CN 202010843862A CN 111984998 A CN111984998 A CN 111984998A
Authority
CN
China
Prior art keywords
database
mark
inquired
data table
tag
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202010843862.6A
Other languages
English (en)
Inventor
车晓瑶
王建华
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Kingbase Information Technologies Co Ltd
Original Assignee
Beijing Kingbase Information Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Kingbase Information Technologies Co Ltd filed Critical Beijing Kingbase Information Technologies Co Ltd
Priority to CN202010843862.6A priority Critical patent/CN111984998A/zh
Publication of CN111984998A publication Critical patent/CN111984998A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6227—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database where protection concerns the structure of data, e.g. records, types, queries
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/604—Tools and structures for managing or administering access control systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Computer Hardware Design (AREA)
  • Health & Medical Sciences (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Databases & Information Systems (AREA)
  • Automation & Control Theory (AREA)
  • Storage Device Security (AREA)

Abstract

本申请提供一种数据库强制访问控制方法和装置，方法包括：获取数据库操作语句中对应的数据表和数据表中的待查询客体；获取待查询客体的客体标记；以及，从操作系统安全内核中获取生成查询语句用户的主体标记；根据客体标记和主体标记对访问权限进行仲裁；在对访问权限仲裁通过的情况下，数据库执行操作语句，实现对待查询客体的操作。前述方法将数据表中的数据访问权限进行了更细颗粒度地划分，形成了多个待查询客体；数据库可以根据用户的主体标记和操作语句中的待访问客体确定用户是否具有对对应数据的查询权限。另外，访问主体的权限是从操作系统安全内核中获得，可以保证强制访问控制的安全性。

Description

数据库的强制访问控制方法和装置
技术领域
本申请涉及数据库技术领域，尤其涉及一种数据库的强制访问控 制方法。
背景技术
保证数据的安全性是数据库的一项重要目标。为了能够进一步地 提高数据库的安全性，强制访问控制策略已经成为安全数据库的重要 标准。
目前数据库采用强制访问控制策略的技术为：在数据库内核内实 现强制访问控制策略，即数据库的强制访问控制在数据库内部实现。 但是，如果攻击者获得数据库管理员的权限，其即可以任意数据库的 强制访问控制策略，导致强制访问控制的失败。
另外一些数据库把强制访问控制与操作系统结合，能够实现数据 库表级的安全控制。但是表级的数据库强制访问控制并不能实际应用 中对表中更细粒度强度访问控制的需求。
发明内容
为了解决上述技术问题或者至少部分地解决上述技术问题，本公 开提供了一种数据库的强制访问控制方法和装置。
一方面，本申请提供一种数据库强制访问控制方法，包括：
获取数据库操作语句中对应的数据表和所述数据表中的待查询客 体；
获取所述待查询客体的客体标记；以及，从操作系统安全内核中 获取生成所述查询语句用户的主体标记；
根据所述客体标记和所述主体标记对访问权限进行仲裁；
在对所述访问权限仲裁通过的情况下，所述数据库执行所述操作 语句，实现对所述待查询客体的操作。
可选地，根据所述客体标记和所述主体标记对访问权限进行仲裁， 包括：
由所述操作系统的安全内核，根据所述客体标记和所述主体标记 对所述访问权限进行仲裁。
可选地，所述待查询客体的客体标记存储在所述数据表中；
获取所述待查询客体的客体标记，包括：根据所述待查询客体， 从所述数据表中获取所述待查询客体的客体标记。
可选地，所述待查询客体为数据库中的一个或多个元组；所述客 体标记存储在所述元组的标记列中。
另一方面，本申请提供一种数据库强制访问控制装置，包括：
客体确定单元，用于获取数据库操作语句中对应的数据表和所述 数据表中的待查询客体；
标记查询单元，用于从所述数据库中获取所述待查询客体的客体 标记；以及，从操作系统安全内核中获取生成所述查询语句用户的主 体标记；
仲裁单元，根据所述客体标记和所述主体标记对访问权限进行仲 裁；
操作执行单元，用于在所述仲裁单元对所述访问权限仲裁通过的 情况下，执行所述操作语句，实现对所述待查询客体的操作。
可选地，所述仲裁单元设置在所述操作系统内核中。
可选地，所述待查询客体的客体标记存储在所述数据表中；
所述查询单元根据所述待查询客体，从所述数据表中获取所述待 查询客体的客体标记。
可选地，所述待查询客体为数据库中的一个或多个元组；所述客 体标记存储在所述元组的标记列中。
本申请提供的数据库强制访问控制方法和装置，将数据表中的数 据访问权限进行了更细颗粒度地划分，形成了多个待查询客体；用户 生成操作语句、对数据库的数据进行操作时，数据库可以根据用户的 主体标记和操作语句中的待访问客体确定用户是否具有对对应数据的 查询权限。另外，访问主体的权限是从操作系统安全内核中获得，而 不是由数据库直接提供，而客体标记由数据库提供；也就是说客体标 记和主体标记并不是由同一软件实现，所以可以保证强制访问控制的 安全性。
附图说明
此处的附图被并入说明书中并构成本说明书的一部分，示出了符 合本公开的实施例，并与说明书一起用于解释本公开的原理。
为了更清楚地说明本公开实施例或现有技术中的技术方案，下面 将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而 易见地，对于本领域普通技术人员而言，在不付出创造性劳动性的前 提下，还可以根据这些附图获得其他的附图。
图1是本申请实施例提供的数据库强制访问控制方法的流程图；
图2是本申请实施例提供的数据库强制访问控制装置的结构示意 图；
图3是本申请实施例提供的电子设备的结构示意图；
其中：11-客体确定单元，12-标记查询单元，13-仲裁单元，14-操 作执行单元，15-提示单元；21-处理器，22-存储器，23-通信接口，24- 总线系统。
具体实施方式
为了能够更清楚地理解本公开的上述目的、特征和优点，下面将 对本公开的方案进行进一步描述。需要说明的是，在不冲突的情况下， 本公开的实施例及实施例中的特征可以相互组合。
在下面的描述中阐述了很多具体细节以便于充分理解本公开，但 本公开还可以采用其他不同于在此描述的方式来实施；显然，说明书 中的实施例只是本公开的一部分实施例，而不是全部的实施例。
本申请实施例提供一种数据库的强制访问控制方法，用于实现对 数据表中数据更为细粒度的访问控制，以保证存储在同一数据表中较 高安全等级的数据的访问安全性。
图1是本申请实施例提供的数据库强制访问控制方法的流程图。 如图1所示，本申请实施例提供的方法包括步骤S101-S105。
应当注意的是，本申请实施例各个步骤均是在数据库所在的服务 器上执行。
S101：获取数据库操作语句中对应的数据表和数据表中的待查询 客体。
如前文所述，本申请实施例中的方法用于实现对数据表中数据更 为细粒度的访问控制，因此本申请实施例中数据库操作语句最终要查 询对象是数据表中的至少一部分(例如一个或多个元组，一个或多个 属性列)。
本申请实施例中，数据库操作语句可以是查询语句、改写语句或 者其他能够对数据表中已有数据进行操作的语句。实际应用中，因为 数据表多为安全性要求极高的数据，例如金融账户信息数据，所以实 际应用中多对数据库操作语句的改写权限进行了严格限制，使得数据 库操作语句多为数据库查询语句。
S102：从数据库中获取待查询客体的客体标记，以及，从操作系 统内核中获取生成查询语句用户的主体标记。
步骤S102实际执行了两个操作动作，两个操作动作分别用户获取 客体标记和主体标记。客体标记是待查询客体安全性等级的标记，主 体标记是生成查询语句的用户的权限的标记。
本申请实施例中，获取待查询客体的客体标记的方式，根据待查 询客体的客体标记存储位置的不同而不同，有两种方式。
第一种方式：如果待查询客体的客体标记并没有存储在数据库中， 则数据库需要向操作系统(更为具体的可能是操作系统的安全内核) 发出查询申请，使得操作系统调用相应的查询资源获得待查询客体的 客体标记。
第二种方式：如果待查询客体的客体标记存储在数据库中，则数 据库可以根据预先设定的查询策略和查询路径，直接在数据库中获得 待查询客体的客体标记。
为了能够减少对操作系统的调用次数、减少资源消耗，本申请实 施例中优选将待查询客体的客体标记存储在数据库内，并采用第二种 方式获得客体标记。
具体的，本申请实施例中，待查询客体的客体标记可以直接存储 在待查询客体所在的数据表中。例如，如果待查询客体为数据表中的 某些元组，则客体标记可以存储在元组的标记列中。当然，数据表中 已经开设出标记列，并且在录入某一元组时，即在元组对应行属性列 位置设置了客体标记。再如，如果待查询客体为数据表中的某些属性 (也就是某些列)，则客体标记为某些属性的标记中。
步骤S102中，获取生成查询语句用户的主体标记的过程，是从操 作系统安全内核中获得主体标记的过程。为了实现强制访问控制策略， 避免因为数据库管理员权限被非法获取而更改各种用户的权限，本申 请实施例中，用户的主体标记由操作系统安全内核生成并管理。
适应性地，操作系统内核内需要设置对应的标记。以下对本申请 实施例操作系统内核对主体标记的定义做介绍。
本申请实施例中，主体对应的安全上下文为system_u：object_r： kb_tuple_t：s0:c1.c2-s2:c0.c3；其中，system_u为操作系统内核的用户，object_r为角色，kb_tuple_t是安全范围标记标识，s0:c1.c2-s2:c0.c3为 安全访问标记字段对应的主体标记类型。为了支持基于Bell-La-Padulla 模型的强制性访问模型，s0:c1.c2-s2:c0.c3采用了多级安全性机制。
具体的，为了获取主体标记，操作系统安全内核提供一函数接口， 数据库通过调用此函数接口而获取对应进程(也就是对应用户)的安 全上下文，并将安全上下文中的主体标记类型作为主体标记。
S103：根据客体标记和主体标记确定访问权限仲裁是否通过；如 果通过，执行步骤S104；如果没有通过，执行S105。
根据客体标记和主体标记确定访问权限仲裁是否通过，是将客体 标记和主体标记对应的权限级别进行比对，而确定主体是否具有访问 权限的过程。
本申请实施例中，客体标记可以是所有具有访问权限的等级的用 户的信息，也可以是能够访问此客体的最低权限等级信息；对应前述 的客体标记，主体标记可以是主体的等级信息等。
在客体标记是访问此客体的最低权限等级信息的情况下，如果主 体标记的权限等级大于或者等于最低权限等级，则访问全向仲裁通过； 相反的，如果主体标记的权限等级小于最低权限等级，则访问权限仲 裁没有通过。
实际使用中，步骤S103可以是由数据库执行的，也可以是由操作 系统执行的。如果步骤S103由数据库执行，则操作系统安全内核需要 将查询得到的主体标记通过函数接口发送给数据库；如果步骤S103由 操作系统安全内核执行，则数据库需要将客体标记发送给操作系统安 全内核。
S104：数据库执行操作语句，实现对待查询客体的操作。
数据库执行操作语句，实现对待查询客体的操作，是按照预定的 处理规则，解析操作语句，获取待查询客体的信息，并将待查询客体 的信息输出的过程。
应当注意的是，在步骤S103中，某些待查询客体的不同属性列具 有不同的访问权限等级；对应的，步骤S104将执行待查询客体的操作 时，是按照S103中确定的主体权限等级对应的可以访问数据，确定输 出待查询客体的至少部分信息。
例如，数据表为某一银行客户信息表，待查询客体是某一用户的 信息，此某一用户信息包括用户姓名、用户账号、用户电话、用户资 金数额、用户身份证号码、用户住址等信息；访问此待查询客体的用 户姓名、用户账号的权限是最低等级，访问此待查询客户的用户电话 的权限是中间等级，访问用户资金数额、用户身份证号码、用户住址 的权限是最高等级。
对应的：如果主体标记为最低等级，则仅对用户姓名、用户账号 进行查询操作；如果主体标记为中级等级，则可以对用户姓名、用户 账号、用户电话进行查询操作；而如果主体标记为最高等级，则可以 对此用户的所有信息进行查询操作。
S105：生成访问权限受限提醒。
本申请实施例中，如果根据客体标记和主体标记确定主体没有访 问相应的客体的权限，则服务器生成访问权限受限提醒，以告知用户 其权限受限。
本申请实施例的数据库强制访问控制方法，将数据表中的数据访 问权限进行了更细颗粒度地划分，形成了多个待查询客体；用户生成 操作语句、对数据库的数据进行操作时，数据库可以根据用户的主体 标记和操作语句中的待访问客体确定用户是否具有对对应数据的查询 权限。
另外，访问主体的权限是从操作系统安全内核中获得，而不是由 数据库直接提供，而客体标记由数据库提供；也就是说客体标记和主 体标记并不是由同一软件实现，所以可以保证强制访问控制的安全性。
本申请实施例中，待查询客体是数据库中的数据；在一些实际应 用中，待查询客体可以是数据表中的元组；此时，客体标记可以存储 在元组的标记列中；在另外一些应用中，待查询客体可以是数据表中 的某列，例如前述例子中的用户资金数额列等。
本申请实施例除了提供前述的数据库强制访问控制方法外，还提 供一种数据库强制访问控制装置；数据库的强制访问控制装置和前文 提及的数据库强制访问控制装置采用相同的发明构思。
图2是本申请实施例提供的数据库强制访问控制装置的结构示意 图。如图2所示，本申请实施例提供的数据库强制访问控制装置包括 客体确定单元11、标记查询单元12、仲裁单元13、操作执行单元14 和提示单元15。
客体确定单元11用于获取数据库操作语句中对应的数据表和数据 表中的待查询客体。
本申请实施例中，数据库操作语句可以是查询语句、改写语句或 者其他能够对数据表中已有数据进行操作的语句。实际应用中，因为 数据表多为安全性要求极高的数据，例如金融账户信息数据，所以实 际应用中多对数据库操作语句的改写权限进行了严格限制，而数据库 操作语句多为数据库查询语句。
标记查询单元12用于从数据库中获取待查询客体的客体标记，以 及，从操作系统安全内核中获取生成查询语句用户的主体标记。
本申请实施例中，标记查询单元12获取待查询客体的客体标记的 方式，根据待查询客体的客体标记存储位置的不同而不同，有两种方 式。
第一种方式：如果待查询客体的客体标记并没有存储在数据库中， 则数据库需要向操作系统(更为具体的可能是操作系统的安全内核) 发出查询申请，使得操作系统调用相应的查询资源获得待查询客体的 客体标记。
第二种方式：如果待查询客体的客体标记存储在数据库中，则数 据库可以根据预先设定的查询策略和查询路径，直接在数据库中获得 待查询客体的客体标记。
为了能够减少对操作系统的调用次数、减少资源消耗，本申请实 施例中标记查询单元12优选将待查询客体的客体标记存储在数据库 内，并采用第二种方式获得客体标记。
具体的，待查询客体的客体标记可以直接存储在待查询客体所在 的数据表中。例如，如果待查询客体为数据表中的某些元组，则客体 标记可以存储在元组的标记列中。当然，数据表中已经开设出标记列， 并且在录入某一元组时，即在元组对应行属性列位置设置了客体标记。 再如，如果待查询客体为数据表中的某些属性(也就是某些列)，则客 体标记为某些属性的标记中。
标记查询单元12获取生成查询语句用户的主体标记的过程，是从 操作系统安全内核中获得主体标记的过程。
为了实现强制访问控制策略，避免因为数据库管理员权限被非法 获取而更改各种用户的权限，本申请实施例中，用户的主体标记由操 作系统安全内核生成并管理。
适应性地，操作系统内核内需要设置对应的标记。以下对本申请 实施例操作系统内核对主体标记的定义做介绍。
本申请实施例中，主体对应的安全上下文为system_u：object_r： kb_tuple_t：s0:c1.c2-s2:c0.c3；其中，system_u为操作系统内核的用户， object_r为角色，kb_tuple_t是安全范围标记标识，s0:c1.c2-s2:c0.c3为 安全访问标记字段对应的主体标记类型。为了支持基于Bell-La-Padulla 模型的强制性访问模型，s0:c1.c2-s2:c0.c3采用了多级安全性机制。
具体的，为了获取主体标记，操作系统安全内核提供一函数接口， 数据库通过调用此函数接口而获取对应进程(也就是对应用户)的安 全上下文，并将安全上下文中的主体标记类型作为主体标记。
仲裁单元13用于根据客体标记和主体标记对访问权限进行仲裁。
根据客体标记和主体标记确定访问权限仲裁是否通过，是将客体 标记和主体标记对应的权限级别进行比对，而确定主体是否具有访问 权限的过程。
本申请实施例中，客体标记可以是所有具有访问权限的等级的用 户的信息，也可以是能够访问此客体的最低权限等级信息；对应前述 的客体标记，主体标记可以是主体的等级信息等。
在客体标记是访问此客体的最低权限等级信息的情况下，如果主 体标记的权限等级大于或者等于最低权限等级，则访问全向仲裁通过； 相反的，如果主体标记的权限等级小于最低权限等级，则访问权限仲 裁没有通过。
具体应用中，仲裁单元13可以设置在数据库内，也可以设置操作 系统的安全内核内，本申请实施例并不做特别地限定。如果仲裁单元 13设置在数据库内，则操作系统安全内核需要将查询得到的主体标记 通过函数接口发送给数据库；如果仲裁单元13设置在操作系统安全内 核执行，则数据库需要将客体标记发送给操作系统安全内核。
操作执行单元14用于在仲裁单元13对访问权限仲裁通过的情况 下，执行操作语句，实现对待查询客体的操作。
操作执行单元14执行操作语句，实现对待查询客体的操作，是按 照预定的处理规则，解析操作语句，获取待查询客体的信息，并将待 查询客体的信息输出的过程。
应当注意的是，某些待查询客体的不同属性列具有不同的访问权 限等级；对应的，操作执行单元14将执行待查询客体的操作时，是按 照仲裁单元13确定的主体权限等级对应的可以访问数据，确定输出待 查询客体的至少部分信息。
例如，数据表为某一银行客户信息表，待查询客体是某一用户的 信息，此某一用户信息包括用户姓名、用户账号、用户电话、用户资 金数额、用户身份证号码、用户住址等信息；访问此待查询客体的用 户姓名、用户账号的权限是最低等级，访问此待查询客户的用户电话 的权限是中间等级，访问用户资金数额、用户身份证号码、用户住址 的权限是最高等级。
对应的：如果主体标记为最低等级，则仅对用户姓名、用户账号 进行查询操作；如果主体标记为中级等级，则可以对用户姓名、用户 账号、用户电话进行查询操作；而如果主体标记为最高等级，则可以 对此用户的所有信息进行查询操作。
提示单元15用于在在仲裁单元13对访问权限仲裁未通过的情况 下，生成访问权限受限提醒。
本申请实施例中，如果根据客体标记和主体标记确定主体没有访 问相应的客体的权限，则服务器生成访问权限受限提醒，以告知用户 其权限受限。
本申请实施例的数据库强制访问控制方法，将数据表中的数据访 问权限进行了更细颗粒度地划分，形成了多个待查询客体；用户生成 操作语句、对数据库的数据进行操作时，数据库可以根据用户的主体 标记和操作语句中的待访问客体确定用户是否具有对对应数据的查询 权限。
另外，访问主体的权限是从操作系统安全内核中获得，而不是由 数据库直接提供，而客体标记由数据库提供；也就是说客体标记和主 体标记并不是由同一软件实现，所以可以保证强制访问控制的安全性。
本申请实施例中，待查询客体是数据库中的数据；在一些实际应 用中，待查询客体可以是数据表中的元组；此时，客体标记可以存储 在元组的标记列中；在另外一些应用中，待查询客体可以是数据表中 的某列，例如前述例子中的用户资金数额列等。
基于前述的发明构思，本申请还提供一种电子设备。电子设备用 于实现前述的数据库强制访问控制方法。
图3是本申请实施例提供的电子设备的结构示意图。如图3所示， 第一服务器包括至少一个处理器21、至少一个存储器22和至少一个通 信接口23。通信接口23，用于与外部设备之间的信息传输。
第一服务器中的各个组件通过总线系统24耦合在一起。可理解地， 总线系统24用于实现这些组件之间的连接通信。总线系统24除包括 数据总线之外，还包括电源总线、控制总线和状态信号总线。但为了 清楚说明起见，在图3中将各种总线都标为总线系统24。
可以理解，本实施例中的存储器22可以是易失性存储器或非易失 性存储器，或可包括易失性和非易失性存储器两者。在一些实施方式 中，存储器22存储了如下的元素，可执行单元或者数据结构，或者他 们的子集，或者他们的扩展集：操作系统和应用程序。
其中，操作系统，包含各种系统程序，例如框架层、核心库层、 驱动层等，用于实现各种基础任务以及处理基于硬件的任务。应用程 序，包含各种应用程序，例如媒体播放器(MediaPlayer)、浏览器 (Browser)等，用于实现各种应用任务。实现本公开实施例提供的数 据库强制访问控制方法的程序可以包含在应用程序中。
在本公开实施例中，处理器21通过调用存储器22存储的程序或 指令，具体的，可以是应用程序中存储的程序或指令，处理器21用于 执行本公开实施例提供数据库强制访问控制方法的各个步骤。
本公开实施例提供的数据库强制访问控制方法可以应用于处理器 21中，或者由处理器21实现。处理器21可以是一种集成电路芯片， 具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处 理器21中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处 理器21可以是通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、 现成可编程门阵列(Field Programmable Gate Array，FPGA)或者其他 可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。通用 处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。
本公开实施例提供的数据库的强制访问控制方法的步骤可以直接 体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件 单元组合执行完成。软件单元可以位于随机存储器，闪存、只读存储 器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域 成熟的存储介质中。该存储介质位于存储器22，处理器21读取存储器 22中的信息，结合其硬件完成方法的步骤。
本公开实施例还提出一种非暂态计算机可读存储介质，所述非暂 态计算机可读存储介质存储程序或指令，所述程序或指令使计算机执 行基于零知识证明的身份认证方法的步骤各实施例的步骤，为避免重 复描述，在此不再赘述。
需要说明的是，在本文中，诸如“第一”和“第二”等之类的关 系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来， 而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系 或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵 盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或 者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或 者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有 更多限制的情况下，由语句“包括一个……”限定的要素，并不排除 在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要 素。
以上所述仅是本公开的具体实施方式，使本领域技术人员能够理 解或实现本公开。对这些实施例的多种修改对本领域的技术人员来说 将是显而易见的，本文中所定义的一般原理可以在不脱离本公开的精 神或范围的情况下，在其它实施例中实现。因此，本公开将不会被限 制于本文所述的这些实施例，而是要符合与本文所公开的原理和新颖 特点相一致的最宽的范围。

Claims (10)

1.一种数据库强制访问控制方法，其特征在于，包括：
获取数据库操作语句中对应的数据表和所述数据表中的待查询客体；
获取所述待查询客体的客体标记；以及，从操作系统安全内核中获取生成所述查询语句用户的主体标记；
根据所述客体标记和所述主体标记对访问权限进行仲裁；
在对所述访问权限仲裁通过的情况下，所述数据库执行所述操作语句，实现对所述待查询客体的操作。
2.根据权利要求1所述的数据库强制访问控制方法，其特征在于，根据所述客体标记和所述主体标记对访问权限进行仲裁，包括：
由所述操作系统的安全内核，根据所述客体标记和所述主体标记对所述访问权限进行仲裁。
3.根据权利要求2所述的数据库强制访问控制方法，其特征在于，所述待查询客体的客体标记存储在所述数据表中；
获取所述待查询客体的客体标记，包括：根据所述待查询客体，从所述数据表中获取所述待查询客体的客体标记。
4.根据权利要求3所述的数据库强制访问控制方法，其特征在于，
所述待查询客体为数据库中的一个或多个元组；所述客体标记存储在所述元组的标记列中。
5.一种数据库强制访问控制装置，其特征在于，包括：
客体确定单元，用于获取数据库操作语句中对应的数据表和所述数据表中的待查询客体；
标记查询单元，用于从所述数据库中获取所述待查询客体的客体标记；以及，从操作系统安全内核中获取生成所述查询语句用户的主体标记；
仲裁单元，根据所述客体标记和所述主体标记对访问权限进行仲裁；
操作执行单元，用于在所述仲裁单元对所述访问权限仲裁通过的情况下，执行所述操作语句，实现对所述待查询客体的操作。
6.根据权利要求5所述的数据库强制访问控制装置，其特征在于，
所述仲裁单元设置在所述操作系统内核中。
7.根据权利要求6所述的数据库强制访问控制装置，其特征在于，
所述待查询客体的客体标记存储在所述数据表中；
所述查询单元根据所述待查询客体，从所述数据表中获取所述待查询客体的客体标记。
8.根据权利要求7所述的数据库强制访问控制装置，其特征在于，
所述待查询客体为数据库中的一个或多个元组；所述客体标记存储在所述元组的标记列中。
9.一种电子设备，其特征在于，包括处理器和存储器；
所述处理器通过调用所述存储器存储的程序或指令，用于执行如权利要求1至4任一项所述方法的步骤。
10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储程序或指令，所述程序或指令使计算机执行如权利要求1至4任一项所述方法的步骤。
CN202010843862.6A 2020-08-20 2020-08-20 数据库的强制访问控制方法和装置 Pending CN111984998A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202010843862.6A CN111984998A (zh) 2020-08-20 2020-08-20 数据库的强制访问控制方法和装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010843862.6A CN111984998A (zh) 2020-08-20 2020-08-20 数据库的强制访问控制方法和装置

Publications (1)

Publication Number Publication Date
CN111984998A true CN111984998A (zh) 2020-11-24

Family

ID=73443599

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010843862.6A Pending CN111984998A (zh) 2020-08-20 2020-08-20 数据库的强制访问控制方法和装置

Country Status (1)

Country Link
CN (1) CN111984998A (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114564727A (zh) * 2022-04-28 2022-05-31 深圳市永达电子信息股份有限公司 一种卡尔曼滤波的强制访问控制方法及装置

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1773412A (zh) * 2004-11-10 2006-05-17 中国人民解放军国防科学技术大学 数据完整性保护方法
US20120239634A1 (en) * 2010-02-12 2012-09-20 Huawei Technologies Co., Ltd. Method and apparatus for accessing database and database application system
KR101414580B1 (ko) * 2013-01-24 2014-07-16 한남대학교 산학협력단 다중 등급 기반 보안 리눅스 운영 시스템
CN103971067A (zh) * 2014-05-30 2014-08-06 中国人民解放军国防科学技术大学 支持核内外实体的操作系统内核统一访问控制方法
CN104484617A (zh) * 2014-12-05 2015-04-01 中国航空工业集团公司第六三一研究所 一种基于多策略融合的数据库访问控制方法
CN104732160A (zh) * 2015-02-03 2015-06-24 武汉风奥软件技术有限公司 一种防止数据库信息内部泄密的控制方法
US20180060365A1 (en) * 2016-08-26 2018-03-01 BlueTalon, Inc. Access control for nested data fields
CN108614969A (zh) * 2018-05-02 2018-10-02 北京搜狐新媒体信息技术有限公司 一种系统启动后加载的强制访问控制方法及系统

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1773412A (zh) * 2004-11-10 2006-05-17 中国人民解放军国防科学技术大学 数据完整性保护方法
US20120239634A1 (en) * 2010-02-12 2012-09-20 Huawei Technologies Co., Ltd. Method and apparatus for accessing database and database application system
KR101414580B1 (ko) * 2013-01-24 2014-07-16 한남대학교 산학협력단 다중 등급 기반 보안 리눅스 운영 시스템
CN103971067A (zh) * 2014-05-30 2014-08-06 中国人民解放军国防科学技术大学 支持核内外实体的操作系统内核统一访问控制方法
CN104484617A (zh) * 2014-12-05 2015-04-01 中国航空工业集团公司第六三一研究所 一种基于多策略融合的数据库访问控制方法
CN104732160A (zh) * 2015-02-03 2015-06-24 武汉风奥软件技术有限公司 一种防止数据库信息内部泄密的控制方法
US20180060365A1 (en) * 2016-08-26 2018-03-01 BlueTalon, Inc. Access control for nested data fields
CN108614969A (zh) * 2018-05-02 2018-10-02 北京搜狐新媒体信息技术有限公司 一种系统启动后加载的强制访问控制方法及系统

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
聂轰 著: "《信息时代：计算机信息系统安全技术的研究》", 长春：吉林人民出版社, pages: 203 *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114564727A (zh) * 2022-04-28 2022-05-31 深圳市永达电子信息股份有限公司 一种卡尔曼滤波的强制访问控制方法及装置
CN114564727B (zh) * 2022-04-28 2022-10-25 深圳市永达电子信息股份有限公司 一种卡尔曼滤波的强制访问控制方法及装置

Similar Documents

Publication Publication Date Title
US7930760B2 (en) Centralized enforcement of name-based computer system security rules
US9213571B2 (en) System and method for changing abilities of a process
JP6397500B2 (ja) 仮想マシン・マネージャーによって支援される選択的コード完全性強制
CN101351774B (zh) 将存储页面与程序相关联的页面着色的方法、装置和系统
US10101936B2 (en) Memory access control
US10831915B2 (en) Method and system for isolating application data access
US9734311B1 (en) Secure authentication of firmware configuration updates
DE102019108266A1 (de) Techniken zum bereitstellen von isolation auf funktionsebene mit auf fähigkeit basierender sicherheit
DE102018115670A1 (de) Technologien für die Ausführung von nicht vertrauenswürdigem Code mit Prozessor-Sandbox-Unterstützung
US20210089684A1 (en) Controlled access to data stored in a secure partition
US9183391B2 (en) Managing device driver cross ring accesses
US20180113816A1 (en) Memory protecting unit and method for protecting a memory address space
US8635664B2 (en) Method and system for securing application program interfaces in unified extensible firmware interface
CN114154144A (zh) 基于安全沙箱的应用安全加固系统
CN111984998A (zh) 数据库的强制访问控制方法和装置
CN109145621B (zh) 文档管理方法及装置
EP3722952A1 (en) A concept for accessing computer memory of a memory pool
JP2012033189A (ja) 統合されたアクセス認可
Nauman et al. Realization of a user‐centric, privacy preserving permission framework for Android
US10191680B2 (en) Memory access control
JP3830942B2 (ja) セキュリティ上注意を要する命令（セキュリティ・センシティブ・インストラクション）の実行を制限する方法及び装置
US8959616B2 (en) System and method for accessing a restricted object
CN114282591A (zh) 一种动态安全级别实时划分方法、终端设备及存储介质
Mutti et al. Policy specialization to support domain isolation
KR20220085831A (ko) 능력 관리 방법 및 컴퓨터 장치

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination