信息與電子工程系畢業(yè)設計(論文)畢業(yè)設計(論文)開題報告信電系計算機應用與維護專業(yè)03級計算機（3）班課題名稱：Web數(shù)據(jù)庫系統(tǒng)的安全性分析畢業(yè)設計(論文)起止時間：2006年2月15日6月15日(共16周)學生姓名：學號：指導教師：報告日期：2006年3月6日信息與電子工程系畢業(yè)設計(論文)1本課題所涉及的問題在國內(外)的研究現(xiàn)狀綜述1.1課題背景簡介隨著WWW應用領域的不斷拓展,人們已不滿足于只用Web服務器瀏覽和發(fā)布靜態(tài)的信息,人們需要通過它發(fā)表意見、查詢數(shù)據(jù)甚至進行網上購物。原來的靜態(tài)Web頁面已經滿足不了用戶對信息服務的動態(tài)性、交互性的要求。這就迫切需要實現(xiàn)Web與數(shù)據(jù)庫的交互。Web與數(shù)據(jù)庫這兩者結合意味Web數(shù)據(jù)庫將存儲和管理大量重要數(shù)據(jù)，然兒一但它們被盜用或篡改，可能會帶來巨大的政治和經濟損失。基于廣域網的Web數(shù)據(jù)庫訪問會帶來很大的安全問題。首先是數(shù)據(jù)庫的非法訪問；另一方面數(shù)據(jù)通過網絡傳輸，可能被截取、篡改。還有黑客的攻擊可能使系統(tǒng)癱瘓。在動態(tài)Web不斷發(fā)展的今天，人們對其依賴性也越來越強，但由于其開放性，在設計時對與信息的保密和系統(tǒng)的安全考慮不完備，及人們對保護數(shù)據(jù)庫的安全意識薄弱，造成現(xiàn)在數(shù)據(jù)庫攻擊與破壞事件層出不窮，給人們的日常生活和經濟活動造成了很大麻煩。因此，研究網絡環(huán)境下的Web數(shù)據(jù)庫系統(tǒng)的安全保障已經成為了重要的課題。1.2課題發(fā)展現(xiàn)狀目前Web技術與數(shù)據(jù)庫管理系統(tǒng)(DBMS)相互融合的研究已成為熱點研究方向之一。但是由于Internet本身并沒有提供任何安全機制，所以Web數(shù)據(jù)庫系統(tǒng)對于外界攻擊的防衛(wèi)能力顯得十分脆弱，以至Web數(shù)據(jù)庫被攻擊事件屢有發(fā)生。1.2.1Web數(shù)據(jù)庫系統(tǒng)的產生與發(fā)展隨著互聯(lián)網Internet的不斷發(fā)展，以及網上信息呈幾何級數(shù)的增加，同時由于傳統(tǒng)的數(shù)據(jù)庫管理系統(tǒng)中的數(shù)據(jù)庫資源不能被Web直接訪問，影響了數(shù)據(jù)庫資源的共享。如何將分布在Internet上的大量信息有效的管理起來，如何使現(xiàn)有的數(shù)據(jù)庫中的信息發(fā)布到Internet上，而且使發(fā)布的信息具有交互性、動態(tài)性和實時性，也就是將Web技術和數(shù)據(jù)庫技術想結合，開發(fā)動態(tài)的Web數(shù)據(jù)庫應用，成為當今Web技術研究的熱點所在。數(shù)據(jù)庫技術適于對大量的數(shù)據(jù)進行組織管理，Web技術擁有較好的信息發(fā)布途徑，這兩種技術天然的互補性決定其相互融合成為技術發(fā)展的必然趨勢。1.2.2Web數(shù)據(jù)庫應用系統(tǒng)安全威脅分析為了讓數(shù)據(jù)庫能為處于網絡上的用戶服務而暴露在網絡中，網絡上的任何用戶都可以訪問這個數(shù)據(jù)庫，這種情況下對數(shù)據(jù)庫訪問的控制只能通過用戶控制既用戶名/密碼來進行。任何知道密碼的擁護都可以訪問，這增加了密碼保護管理的難度，同時用戶名/密碼通過Internet傳輸很容易被人竊取。其次，數(shù)據(jù)應用放讀取的數(shù)據(jù)是通過Web傳輸，而這些數(shù)據(jù)缺乏有效的安全措施保護，從而可能被截取、篡改。另外，Web數(shù)據(jù)庫中存儲著大量的數(shù)據(jù)信息，往往成為信息系統(tǒng)的關鍵，這就需要數(shù)據(jù)庫及數(shù)據(jù)庫所在的計算機能夠安全運行。數(shù)據(jù)庫放在Internet中很容易受到黑客的各種攻擊。隨著網絡信息系統(tǒng)的應用，數(shù)據(jù)庫遠程訪問的安全問題日益突出。這個問題可采用網絡傳輸加密，用戶身份認證等安全措施解決。但由于日前的主信息與電子工程系畢業(yè)設計(論文)流數(shù)據(jù)的網絡傳輸部分都由數(shù)據(jù)庫廠家來完成，恰恰缺少這些安全措施，因此上述安全技術在普通的數(shù)據(jù)庫系統(tǒng)中難以直接應用。另外利用操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)提供的安全保護功能是常用的數(shù)據(jù)庫安全解決方案。但是Internet本身并沒有提供任何安全機制，只要Web站點和Internet連通，就可能被任何人訪問。Web數(shù)據(jù)庫受到的威脅大致包括泄漏、竊取、竄改、冒充、延遲、重傳、遺失、越權存取數(shù)據(jù)、否認已收送數(shù)據(jù)及侵犯隱私權等。1.2.3數(shù)據(jù)庫安全結構模型Web數(shù)據(jù)庫安全威脅涉及許多方面，我們認為安全措施應綜合考慮，具體可以采用下列技術措施：(1)安裝防火墻；(2)身份認證和數(shù)據(jù)完整性認證服務；(3)對機密敏感的數(shù)據(jù)進行加密存儲和傳輸；(4)訪問控制機制；(5)安全審計和監(jiān)視追蹤技術；(6)數(shù)據(jù)庫備份與故障恢復。Web數(shù)據(jù)庫安全模型見圖5。1.3文獻綜述文獻一：竇麗華，蔣慶華，等.基于Web的信息系統(tǒng)安全研究.北京理工大學學報.2002.6，22(3)：361-363.摘要：研究基于Web的信息系統(tǒng)的安全問題及如何充分并合理地利用操作系統(tǒng)、Web服務器和數(shù)據(jù)庫管理系統(tǒng)所提供的安全設置，以有效地保證信息系統(tǒng)的安全性.利用應用程序所具有的靈活性，可以彌補操作系統(tǒng)、Web服務器和數(shù)據(jù)庫管理系統(tǒng)的安全漏洞，結合某單位業(yè)務信息系統(tǒng)的案例，分別從操作系統(tǒng)、Web服務器、數(shù)據(jù)庫管理系統(tǒng)、應用程序4個方面對安全問題進行分析，同時給出了建議.文獻二：曾愛林.基于Web的網絡數(shù)據(jù)安全體系的建立與完善.湘潭師范學院學報.2004.6，26(2)：69-72.摘要：隨著Web數(shù)據(jù)庫的應用越來越廣泛，Web數(shù)據(jù)庫的安全問題日益突出.本文從介紹幾種流行的Web數(shù)據(jù)庫訪問技術出發(fā)，針對Web數(shù)據(jù)庫的安全問題，建立一個Web數(shù)據(jù)庫安全體系的初步模型，并指出安全問題應以預防為主,應該在構建Web數(shù)據(jù)庫服務器時，及時進行漏洞檢測、風險評估,根據(jù)檢測結果，有意識地加強數(shù)據(jù)庫服務器某方面的防范措施.文獻三：王惠琴，李明，王燕.基于Web的數(shù)據(jù)庫安全管理技術與實現(xiàn).2001.4.27(3)：61-67.摘要：隨著Internet/Intranet技術的發(fā)展和普及,Web數(shù)據(jù)庫已逐步取代基于傳統(tǒng)的Client/Server模式的數(shù)據(jù)庫系統(tǒng),因此對于基于Web的數(shù)據(jù)庫安全管理技術的研究具有實際意義.介紹了目前常用的幾種Web數(shù)據(jù)庫的連接技術，并結合ASP技術對如何利用防火墻、身份認證、授權控制、監(jiān)視跟蹤、存儲過程、審計、備份與故障恢復等技術來實現(xiàn)數(shù)據(jù)庫的安全管理進行了詳細的闡述.審計防認數(shù)訪用戶火證據(jù)問墻服加控Web數(shù)據(jù)庫服務器務密制備份圖1數(shù)據(jù)庫安全模型信息與電子工程系畢業(yè)設計(論文)文獻四：王燕，李明，王惠琴.Web數(shù)據(jù)庫的連接技術及安全控制.計算機工程與應用.2001.2，P126-128.摘要：隨著Internet/Intranet技術的發(fā)展和普及，Web數(shù)據(jù)庫必將逐步取代基于傳統(tǒng)的Client/Server模式的數(shù)據(jù)庫系統(tǒng).對于數(shù)據(jù)庫與Web技術融合的研究具有實際意義.文章就目前常用的幾種Web數(shù)據(jù)庫的連接技術進行對比分析，并對利用ASP技術實現(xiàn)Web與數(shù)據(jù)庫的連接和Web數(shù)據(jù)庫系統(tǒng)的安全控制進行了詳細闡述.文獻五：吳春明，鄭志強.基于Web數(shù)據(jù)庫加密研究.西南農業(yè)大學學報.2004.4，26(2)：121-126.摘要：計算機和網絡技術的廣泛應用，給信息安全提出了更高的要求,在信息系統(tǒng)開發(fā)設計過程中，安全性能總是被放在首要的位置，成為信息系統(tǒng)生存的關鍵.數(shù)據(jù)庫是基于WEB信息系統(tǒng)的核心組成部分,面臨來自外部和內部的雙重威脅，對其進行加密處理，是進行數(shù)據(jù)保護的有效手段.文章提出了一種基于JCE的WEB數(shù)據(jù)庫加密模型，并對模型進行了行為分析及安全性分析.文獻六：帥兵.Web數(shù)據(jù)庫系統(tǒng)開發(fā)技術研究.安徽機電學院學報.2001.6，16(2)：29-32.摘要：利用Web服務器的信息服務能力和數(shù)據(jù)庫服務器的數(shù)據(jù)管理能力來構造信息服務系統(tǒng)已成為人們關注的熱點，其開發(fā)技術的關鍵是數(shù)據(jù)庫網關的實現(xiàn).介紹了目前采用的傳統(tǒng)Web數(shù)據(jù)庫解決方案中數(shù)據(jù)庫網關實現(xiàn)幾種技術：CGI、IDC、ASP、JDBC，并分析了其缺點，提出了一種的新的Web數(shù)據(jù)庫解決方案.文獻七：徐鋒，呂建.Web安全中的信任管理研究與進展.軟件學報.2002.13.(11)：2058-2064.摘要：信任管理是當前Web安全研究的熱點.介紹了信任管理思想的出現(xiàn),給出了信任管理的概念和模型，并概述了幾個典型的信任管理系統(tǒng)和信任度評估模型.討論了當前研究存在的問題以及今后的研究方向.文獻八：韓效鵬，官法明，等.關于Web數(shù)據(jù)庫安全性問題探討.勝利油田師范?？茖W校學報.2004.12.18(4)83-85.摘要：按照DBMS對數(shù)據(jù)庫安全管理的思想，在基于Windows環(huán)境的Web數(shù)據(jù)庫應用中，安全控制問題主要包括如何有效地對通過頁面訪問的數(shù)據(jù)庫中的數(shù)據(jù)進行保護，實現(xiàn)數(shù)據(jù)庫級別的分權限訪問等.在實施過程中，可使用用戶身份認證、授權控制、使用日志監(jiān)視數(shù)據(jù)庫、參數(shù)化存儲過程等安全管理技術來構筑管理信息系統(tǒng)的安全體系.文獻九：楊成，王恒山，張乾宇.Web數(shù)據(jù)庫在線維護方法研究.上海理工大學學報.2003.6.27(4)：40-43.摘要：本文討論了結合互聯(lián)網數(shù)據(jù)中心(IDC)的服務器托管形式下對網站Web數(shù)據(jù)庫在線維護的形式和內容.并以上海理工大學管理學院學院網站為例，介紹了如何利用JSP動態(tài)網頁編程語言和JavaBeans來方便、快捷地實現(xiàn)