Travail de session portant sur La sécurité des Bases de Données DB2, ORACLE et SQL Présenté Par

Travail de session portant sur La sécurité des Bases de DonnéesDB2, ORACLE et SQL Présenté Par France CANO,Stéphanie LONGCHAMPSetFrançois VIAU à Robert GODIN INF7115-10 Automne 2004

Structure de cette présentation • INTRODUCTION • À première vue • Les principes • IBM DB2 • ORACLE • SQL Server • CONCLUSION • QUESTIONS ??? • MERCI ! F.Cano, S.Longchamps, F.Viau

INTRODUCTION • À première vue • L’ENNEMI NUMÉRO 1 :LE HACKER • 80 % des dommages sont dus à des employés. • L’ENCRYPTION ET LES COUPES-FEU SONT LA SOLUTION DE TOUS LES PROBLÈMES • 40 % des intrusions ont lieu sur des sites équipés de coupe-feu. • Une approche sécurité comprend : • Le contrôle des accès • L’intégrité des données • Le chiffrage • L’audit F.Cano, S.Longchamps, F.Viau

INTRODUCTION (cont.) • À première vue • La réalité: Types de pertes par dollars (U.S.) perdus F.Cano, S.Longchamps, F.Viau

INTRODUCTION (cont.) • À première vue • La réalité: Pourcentage du budget dépensé en T.I. pour la Sécurité F.Cano, S.Longchamps, F.Viau

INTRODUCTION (cont.) • Les principes • Authentification: Procédure consistant à vérifier ou à valider l'identité d'une personne ou l'identification de toute autre entité, lors d'un échange électronique, pour contrôler l'accès au SGBD. • Autorisation: Ensemble des droits d'accès d'un utilisateur, relatif aux bases de données ou des programmes spécifiques. • Confidentialité: Caractère des données dont la diffusion doit être limitée aux seules personnes ou autres entités autorisées. • Disponibilité: Propriété d'un système informatique capable d'assurer ses fonctions sans interruption, délai ou dégradation, au moment même où la sollicitation en est faite. • Intégrité: Propriété associée aux données qui, lors de leur traitement ou de leur transmission, ne subissent aucune altération ou destruction volontaire ou accidentelle, et conservent un format autorisant leur utilisation. F.Cano, S.Longchamps, F.Viau

IBM DB2 • Mécanismes de sécurité • Trois éléments principaux du plan de sécurité • Types d’AUTHENTIFICATIONS • Niveaux d’AUTORITÉS • Règles des PRIVILÈGES • La vulnérabilité F.Cano, S.Longchamps, F.Viau

IBM DB2 (cont.) • Types d’AUTHENTIFICATIONS • Première fonctionnalité de sécurité • Authentification implicite • Authentification explicite Db2 connect to sample user tst1 using mypass Database server = DB2/NT 7.2.0 SQL AUTORISATION Id = TST1 Local database alias = SAMPLE F.Cano, S.Longchamps, F.Viau

IBM DB2 (cont.) • Niveaux d’AUTORITÉS • Le niveau d’authorité qu’un utilisateur à droit • Les commandes qu’un utilisateur peut exécuter • Les données qu’un utilisateur à droit de lire et/ou d’altérer • Les objets d’une BD qu’un utilisateur à droit de créer, d’altérer et/ou d’enlever • Pour les instances • SYSADM • SYSCTRL • SYSMAINT • Explicitement pour un utilisateurs ou groupes d’utilisateurs • DBADMIN • LOAD F.Cano, S.Longchamps, F.Viau

IBM DB2 (cont.) • Règles des PRIVILÈGES • Plus granulaires que les niveaux d’autorité • Assignés à un utilisateur ou groupes d’utilisateurs • Permet de définir quels objets peuvent êtres créés ou enlevés • Permet de définir quelles commandes spécifiques il à droit pour accéder les objets(tables, views, indexes et packages) • EXPLICITES • IMPLICITS • INDIRECTS F.Cano, S.Longchamps, F.Viau

IBM DB2 (cont.) • L’importance du rôle de RACF (Resource Access Control Facility) • Introduit en septembre 1976 pour les « MAIN FRAMES » • Base de données faisant partie intégrante du système d’exploitation z/OS et OS/390 • Peut être centralisé ou répartis sur plusieurs NODES • Contrôle de la sécurité des accès • Gère l’accès des profiles des utilisateurs (TSO, System Display and Search Facility) • Pour les BD (IMS, CICS, VTAM, DB2) • Procure une rapidité des I/O • Disponibilité jusqu’à 255 buffers par programmeur • TIVOLI peut s’y greffer pour une gestion centralisé F.Cano, S.Longchamps, F.Viau

IBM DB2 (cont.) • L’importance du rôle de RACF (Resource Access Control Facility) • Offre différents utilitaires de niveaux de vérifications (AUDIT) • IRRUT100 (Cross Reference utility) • IRRDBU00 (Database unload utility) • IRRRID00 (Remove ID utility) • RACFRW (Report Writter) • IRRADU00 (SMF Data Unload Utility) • Exemple d’invocation d’un utilitaire //JOBNAME JOB JOB CARD…. //IRRUT100 EXEC PGM=IRRUT100 //SYSUT1 DD UNIT=SYSDA, SPACE=(TRK, (5,1)) //SYSPRINT DD SYSOUT=* //SYSIN DD * MARKN /* F.Cano, S.Longchamps, F.Viau

IBM DB2 (cont.) • L’importance du rôle de RACF (Resource Access Control Facility) • Pour les sites distants (Remote Sharing Facility) F.Cano, S.Longchamps, F.Viau

IBM DB2 (cont.) • La vulnérabilité (version 7 pour Linux et Unix) • Le « Buffer Overflow » F.Cano, S.Longchamps, F.Viau

ORACLE F.Cano, S.Longchamps, F.Viau

ORACLE (cont.) • La plateforme de sécurité Serveur d’application Oracle ApplicationServer Base de données Oracle Database Applications d’entreprise Gestionnaire d’identités Oracle Identity Management Services externes de sécurité F.Cano, S.Longchamps, F.Viau

ORACLE (cont.) • AXES DE SÉCURITÉ PRIVILÉGIÉS • AUTHENTIFICATION, AUTORISATION, PRIVILÈGES • SÉCURITÉ AU NIVEAU DE LA LIGNE • AUDIT • CHIFFRAGE F.Cano, S.Longchamps, F.Viau

ORACLE (cont.) • GESTION DES IDENTITÉS • OBJECTIF • Gérer de manière centralisée le cycle de vie de la sécurité des entités d’un réseau. • MOYENS • Annuaire LDAP • Single Sign On • Authentification forte • OUTIL • Oracle Identity Manager F.Cano, S.Longchamps, F.Viau

ORACLE (cont.) • ORACLE INTERNET DIRECTORY • ANNUAIRE • Structure hiérarchique pour centraliser et gérer les informations reliées à des utilisateurs • LDAP (Lightweight Directory Access Protocol) • Standard de l’industrie pour faire des requêtes sur les annuaires • OBJECTIF • Déléguer à l’annuaire la gestion des fonctionnalités relevant de la gestion des accès • AVANTAGE • Permet le single sign on F.Cano, S.Longchamps, F.Viau

ORACLE (cont.) • AUTHENTIFICATION FORTE • OBJECTIF • Aller au delà de la seule saisie d’un mot de passe en supportant et intégrant les standards du domaine • APPEL À DES SERVICES EXTERNES D’AUTHENTIFICATION • Kerberos • RADIUS • DCE • PKI (SSL, En trust, Standard X.509) • AUTHENTIFICATION À PLUSIEURS FACTEURS • Smart Card • Carte de jeton (Token card) • Biométrie F.Cano, S.Longchamps, F.Viau

ORACLE (cont.) • VIRTUAL PRIVATE DATABASE • OBJECTIF • Gérer la sécurité par la base de données et non par les applications. • PRINCIPES • Association de règles de sécurité à un objet (table, vue, synonyme) • Modification dynamique d’un accès à l’objet en fonction de la règle de sécurité par ajout de prédicats restrictifs limitant le nombre de lignes • Modification des résultats renvoyés par masque sur le contenu des colonnes F.Cano, S.Longchamps, F.Viau

ORACLE (cont.) • ORACLE LABEL SECURITY • OBJECTIF • Identique à VPD mais avec une complexité plus grande des règles de restrictions • PRINCIPES • Association de niveau de sensibilité aux lignes • Association aux utilisateurs d’autorisations sur les niveaux de sensibilité et éventuellement accord de prérogatives spéciales • Lors de l’exécution d’une instruction : médiation de l’aspect ligne et de l’aspect utilisateur • Étiquette de sensibilité = Niveau de sensibilité / Compartiments / Groupes F.Cano, S.Longchamps, F.Viau

ORACLE (cont.) • CHIFFRAGE DES DONNÉES • DANS LA BASE DE DONNÉES • Fourniture d’un package supportant les standards AES, DES, TDES • Fourniture d’algorithmes de hachage MD5, SHA-1 • LORS DES TRANSFERTS SUR LES RÉSEAUX • Chiffrage natif avec AES, DES, TDES, RCA ou avec SSL • Ajout d’une empreinte de message MD5 ou SHA-1 dans les paquets F.Cano, S.Longchamps, F.Viau

ORACLE (cont.) • AUDIT • OBJECTIF • Détecter les incidents • Avoir les moyens de rendre les utilisateurs responsables de leurs actions • TYPES D’AUDIT • Audit standard • Audit personnalisé • Fine-Grained Auditing F.Cano, S.Longchamps, F.Viau

SQL Server • Processus d’authentification Arbre de décision de la sécurité de SQL Server F.Cano, S.Longchamps, F.Viau

SQL Server (cont.) • SQL Server - Autorisation F.Cano, S.Longchamps, F.Viau

SQL Server (cont.) • Processus d’autorisation • SQL Server fournit des rôles de serveur prédéfinis et associés à des autorisations d’administration, voici 2 exemples: • SYSADMINpermet d’exécuter n’importe quelle tâche au sein d’une instance de SQL Server et de toute base de données. • SECURITYADMINpermet d’exécuter toutes les opérations liées à la sécurité au sein de SQL Server, dont la gestion des autorisations de l’instruction CREATE DATABASE. • Il existe aussi des autorisations relatives aux bases de données, soit des rôles de base de données fixes, voici un exemple: • DB_SECURITYADMINpermet de gérer toutes les autorisations, les propriétés d’objet, les rôles et les membres des rôles. F.Cano, S.Longchamps, F.Viau

SQL Server (cont.) • Privilèges et rôles d’application • Plusieurs moyens permettent aux utilisateurs d’obtenir des autorisations complètes ou limitées d’accès à une base de données: • Appartenance au rôle de serveur sysadmin; • Propriété individuelle de la base de données; • Propriété individuelle d’un objet de base de données par le biais d’un rôle de base de données ou d’un groupe Windows; • Appartenance à un rôle de base de données fixe; • Attribution individuelle d’autorisations spécifiques par le biais d’un rôle de base de données ou d’un groupe Windows; • Héritage d’autorisations du rôle public en tant qu’utilisateur de base de données autorisé; • Héritage d’autorisations d’utilisateur invité en tant qu’utilisateur n’ayant aucun droit d’accès à la base de données. F.Cano, S.Longchamps, F.Viau

SQL Server (cont.) • Audits • Les évènements auditables: • Activités effectuées par les utilisateurs; • Activités effectuées par les DBA; • Mouvement de sécurité (ajout/modification/suppression d’accès); • Évènements reliés aux utilitaires; • Évènements reliés au serveur. • La gestion des journaux d’audit • Analyse des journaux d’audit • Le concept « Ownership chain » F.Cano, S.Longchamps, F.Viau

SQL Server (cont.) • Les failles de sécurité • Failles de type «buffer overrun» • Failles créées lors de l’installation • Bulletins d’alerte F.Cano, S.Longchamps, F.Viau

CONCLUSION • Ils utilisent les mêmes approches concernant les structures de sécurité • Ils sont confrontés aux mêmes menaces • Ils appliquent des solutions de sécurité qui se ressemblent • Observations concernant les lectures sur l’Internet • Sur DB2, excluant le site d’IBM, les informations proposés semblent être orientés vers les failles et les « FixPacks » disponibles plutôt que sur les fonctionnalités évolués. • Quant à ORACLE ils semblent plus orientés marketing en mettant l’emphase sur la sécurité. F.Cano, S.Longchamps, F.Viau

QUESTIONS ??? . . . . MERCI ! F.Cano, S.Longchamps, F.Viau

Travail de session portant sur La sécurité des Bases de Données DB2, ORACLE et SQL Présenté Par