computerwoche.de

Office & Collaboration

Multi-Level-Security: Mit DB2 einfacher als mit Oracle 10g

25.10.2006
Von Heinz Axel Pürner

Oracle 10g

Die Definition von Komponenten im Oracle Policy Manager (OPM) von Oracle 10g.
Die Definition von Komponenten im Oracle Policy Manager (OPM) von Oracle 10g.

Oracle verfügt schon länger über weitergehende Lösungsansätze zur Datensicherheit. Bereits in der Version 8 stellte Oracle mit seiner Technik der Virtual Private Database (VPD) einen Werkzeugkasten (Toolkit) zur Implementierung von individuellen Zugriffskontrollen vor. Einfach dargestellt ermöglicht VPD für definierte Tabellen die automatische Generierung von Prädikaten, die den WHERE-Klauseln der SQL-Befehle eines Benutzers von diesem unbemerkt hinzugefügt werden. Zur Nutzung von VPD müssen eigene Routinen in Oracle erstellt werden.

In der Version 9 hat Oracle mit OLS (Oracle Label Security) eine fertige Lösung mit Security Labels auf Basis der VPD-Technik zur Verfügung gestellt. Sie erfordert keine individuelle Programmierung mehr. Leider findet man bei Oracle mehr als einen Begriff für diese Sicherheitsfunktionen. Neben VPD wird auch der Begriff Fine Grained Access Control (FGAC) verwendet oder von Row Level Security (RLS) gesprochen.

Auch in Oracle werden Sicherheitsrichtlinien (Policies) und Komponenten definiert. Allerdings bestehen bei Oracle die Security Labels aus drei Komponenten:

  • der hierachischen Stufe (Level);

  • der optionalen Aufteilung (Compartment) - nicht hierarchisch;

  • der optionalen Gruppe (Group) - kann hierarchisch definiert werden.

Die Definition von Daten-Labels im Oracle Policy Manager (OPM) von Oracle 10g.
Die Definition von Daten-Labels im Oracle Policy Manager (OPM) von Oracle 10g.

Zur Verwaltung der Label Security besitzt Oracle die Rolle LBAC_DBA, die der User-ID des Sicherheitsadministrators zugeordnet werden kann. Außerdem wird bei Aktivierung der Label Security in der Datenbank die User-ID LBACSYS als Eigentümer der entsprechenden Objekte definiert. Im Gegensatz zu DB2 stehen in Oracle die Systemadministratoren - bei Anmeldung als SYSDBA - oberhalb der Label Security. Sie haben also uneingeschränkten Zugriff auf die sonst durch Labels geschützten Daten.

Zur Unterstützung bei der Einrichtung und Pflege der Sicherheitsrichtlinien verfügt Oracle mit dem OPM (Oracle Policy Manager) über ein grafisches Werkzeug, mit dem in den meisten Fällen die Definitionen komfortabel und ohne Kenntnis der Befehlssyntax angelegt werden können.