Access數(shù)據(jù)庫安全策略

《Access數(shù)據(jù)庫安全策略》由會員分享，可在線閱讀，更多相關《Access數(shù)據(jù)庫安全策略（3頁珍藏版）》請在裝配圖網(wǎng)上搜索。

1、Access數(shù)據(jù)庫安全策略 Access數(shù)據(jù)庫安全策略 2014/07/15 《電腦開發(fā)與應用雜志》2014年第六期 1Access數(shù)據(jù)庫的安全風險分析 客觀來說，任何一種數(shù)據(jù)庫系統(tǒng)軟件都存在著安全風險，Access也不例外，在其使用過程當中，如果對安全風險不了解，就可能導致最終的安全問題出現(xiàn)。所以，清楚地了解Access數(shù)據(jù)庫系統(tǒng)軟件存在哪些安全風險，對于使用與安全防范來說，都具有重要的作用。 1.1Access數(shù)據(jù)庫系統(tǒng)軟件在數(shù)據(jù)信息存儲方面的安全風險隱患一些網(wǎng)

2、站在Access的實際使用與操作過程當中，如果有人得到了數(shù)據(jù)庫文件的存儲路徑和數(shù)據(jù)庫名，mdb數(shù)據(jù)庫文件就可能被非法下載，從而導致網(wǎng)站的相關數(shù)據(jù)信息泄露，引起不能預測的后果。比如，有一部分的商店網(wǎng)站，在使用Access數(shù)據(jù)庫系統(tǒng)軟件進行數(shù)據(jù)存儲與操作的時候，會習慣性地將mdb文件命名為“shop.mdb”或“store.mdb”，且存儲路徑就在很容易猜到的“URL/database”下，這對于數(shù)據(jù)文件的安全風險是非常大的，稍稍有專業(yè)知識的人，都能夠通過“URL/database/shop.mdb”或是“URL/database/store.mdb”將數(shù)據(jù)文件下載下來，并獲得其中的數(shù)據(jù)信息。

3、1.2Access數(shù)據(jù)庫系統(tǒng)軟件在加密機制方面的安全風險隱患Access數(shù)據(jù)庫系統(tǒng)軟件在進行數(shù)據(jù)信息存儲的時候，是將數(shù)據(jù)存儲在以mdb為后綴名的單個文件中的，通過對mdb文件進行加密處理，可以起到一定的安全保護作用。不論在哪一臺計算機上，只要擁有密碼，加密后的mdb文件都能夠打開，而這就潛在地告訴了人們，密碼存儲在mdb文件自身當中。通過使用UltraEdit軟件對加密前后的同一個數(shù)據(jù)庫文件進行對比，就可以確定加密后的密碼在文件中的大概位置。Access數(shù)據(jù)庫系統(tǒng)通過將用戶輸入的密碼與某一固定密鑰進行異或來形成一個加密串，并將其存儲在mdb文件中從地址“＆H42”開始的區(qū)域內。由于異或操作的特

4、點是“經(jīng)過兩次異或就恢復原值”，因此，用這一密鑰與mdb文件中的加密串進行第二次異或操作，就可以輕松地得到Access數(shù)據(jù)庫的密碼?；谶@種原理，可以很容易地編制出解密程序。 1.3Access數(shù)據(jù)庫系統(tǒng)軟件的默認權限安全風險隱患在任何一套Access數(shù)據(jù)庫系統(tǒng)軟件中，都有Admin默認用戶，如果Access數(shù)據(jù)庫系統(tǒng)軟件沒有鏈接到某個新的工作組安全系統(tǒng)上，使用admin就可以登錄到數(shù)據(jù)庫系統(tǒng)當中。而所有Access數(shù)據(jù)庫系統(tǒng)中的Admin用戶都是固定不變的，也就是說我們可以將所有Access數(shù)據(jù)庫系統(tǒng)軟件的Admin用戶看作是一個用戶。假如有人在網(wǎng)絡文件系統(tǒng)級別上獲得對另一個數(shù)據(jù)庫系統(tǒng)文件

5、的Admin權，他就可以對數(shù)據(jù)庫進行操作。 1.4Access數(shù)據(jù)庫系統(tǒng)軟件的平臺漏洞安全風險隱患數(shù)據(jù)庫系統(tǒng)軟件的安全，主要來自兩個方面，一個方面是計算機的硬件系統(tǒng)，另一個方面是計算機的操作系統(tǒng)，它們共同構成了數(shù)據(jù)庫的運行與安全環(huán)境，如果它們任何一方出現(xiàn)了漏洞，都可能導致安全問題出現(xiàn)。比如，如果計算機的硬件系統(tǒng)出現(xiàn)問題，則可能導致數(shù)據(jù)庫無法運行，或是從物理層面上破壞了數(shù)據(jù)庫中存儲的數(shù)據(jù)信息，如果是操作系統(tǒng)出現(xiàn)了漏洞，則能夠使數(shù)據(jù)庫受到來自外界的未授權訪問，導致數(shù)據(jù)損壞、丟失或泄露。 2Access數(shù)據(jù)庫的安全策略探討 2.1防止數(shù)據(jù)庫的數(shù)據(jù)文件被下載為了防止數(shù)據(jù)庫的數(shù)據(jù)文件被下載，可以采

6、取下面的集中安全策略：①修改數(shù)據(jù)庫文件名。下載Ac-cess數(shù)據(jù)庫文件，首先必須知道該數(shù)據(jù)庫文件的存儲路徑和文件名。如果將原本簡單的數(shù)據(jù)庫文件名修改得非常復雜，那些“攻擊者”就要花費更多的時間去猜測數(shù)據(jù)庫文件名，無形中增強了Access數(shù)據(jù)庫的安全性；②將Access數(shù)據(jù)庫文件的后綴名由“.mdb”改為“.asp或asa”等，再修改數(shù)據(jù)庫連接文件中的數(shù)據(jù)庫地址內容，這樣一來，即使“攻擊者”知道數(shù)據(jù)庫文件的文件名和存儲位置，也無法進行下載；③將數(shù)據(jù)庫保存為MDE文件。這種方法既能保護VB代碼，又能保護窗體和報表。在生成MDE文件時，Access在編譯了所有模塊后，隨即刪除了所有可編輯的源代碼，并

7、對數(shù)據(jù)庫進行壓縮，其結果既保證了VB代碼能夠運行，也使MDE數(shù)據(jù)庫可與MDB數(shù)據(jù)庫一樣運行，而且數(shù)據(jù)庫的大小因刪除源代碼和壓縮數(shù)據(jù)庫而得以減小。 2.2加強對數(shù)據(jù)庫的加密措施必須要想辦法來提高Access數(shù)據(jù)庫系統(tǒng)軟件的加密安全性，具體的策略包括以下幾點：①采用隨機算法對數(shù)據(jù)庫進行加密。利用隨機函數(shù)的隨機數(shù)序列與數(shù)據(jù)進行異或等運算，來對需要加密的數(shù)據(jù)信息進行加密，這種加密方式所用到的數(shù)據(jù)密碼是完全隨機的，難以出現(xiàn)重復的情況，可以達到一次一密的效果。通過這種加密方法來對Access數(shù)據(jù)庫系統(tǒng)中的數(shù)據(jù)信息進行加密，可以在很大程度上提高數(shù)據(jù)信息的安全性；②采用RSA算法對數(shù)據(jù)庫進行加密。在公開密鑰

8、密碼體制中，最被人們認可的算法就是RSA算法，這種算法的理論基礎來自于數(shù)論中的一個重要論斷，即求兩個大素數(shù)之積是容易的，而將一個具有大素數(shù)因子的合數(shù)進行分解卻是非常困難的。所以，通過這種算法來進行數(shù)據(jù)庫加密，能夠很好地保證數(shù)據(jù)庫數(shù)據(jù)的安全性。 2.3對數(shù)據(jù)庫用戶的權限進行合理分配為了防止Access數(shù)據(jù)庫系統(tǒng)軟件的默認權限安全風險隱患，可以將“管理員”用戶對數(shù)據(jù)庫的所有權限屏蔽。新增與Admin同等級的用戶到管理員用戶組中，并將Admin從管理員用戶組中撤出，屏蔽其所有的權限，采用新加入的用戶來登錄、管理數(shù)據(jù)庫；同時，還需要屏蔽Users組對數(shù)據(jù)庫的所有權限。所有Access用戶都屬于Use

9、rs組，而Users組缺省是對數(shù)據(jù)庫對象具有全部權限的，所以在分配數(shù)據(jù)庫的權限之前，必須首先將數(shù)據(jù)庫的所有權限屏蔽掉。 2.4提高數(shù)據(jù)庫運行環(huán)境的安全性一方面，要提高計算機操作系統(tǒng)的安全性，要在第一時間對系統(tǒng)補丁進行更新。選擇可靠的殺毒軟件，并進行有效的利用，要保持對病毒庫的更新頻率，增強對病毒的防范效果，保護好操作系統(tǒng)。同時，還要加強對客戶端計算機的保護力度，如果發(fā)現(xiàn)有病毒或是惡意軟件等在對主機進行攻擊與破壞，要做的不僅是對數(shù)據(jù)庫中的數(shù)據(jù)信息進行保護，同時還需要防止病毒傳播，保護好客戶端計算機；另一方面，要加強數(shù)據(jù)庫計算機的硬件建設，從硬件方面做好安全保護措施，不能讓數(shù)據(jù)庫中的數(shù)據(jù)，因為低級的硬件錯誤，而發(fā)生損壞。總之，時代發(fā)展完全改變了數(shù)據(jù)信息的存儲與操作方式，數(shù)據(jù)庫的出現(xiàn)簡便了許多的操作，節(jié)省了大量的人力與時間。但是，我們在使用數(shù)據(jù)庫的時候，也要注意保護好數(shù)據(jù)庫，提高數(shù)據(jù)庫的安全性，防止數(shù)據(jù)庫的數(shù)據(jù)信息受到破壞或是盜取，這樣才能真正發(fā)揮出數(shù)據(jù)庫積極作用。 作者：賈鑫單位：長治學院 上一個文章： 嵌入式系統(tǒng)在機房監(jiān)控中的運用下一個文章： WEB服務器的關鍵技術