Làm thế nào để đảm bảo tính toàn vẹn tham chiếu để bảo vệ dữ liệu SQL của bạn - núm vú

Bạn có thể nghĩ rằng nếu bạn có thể kiểm soát người nào xem, tạo, sửa đổi và xóa dữ liệu trong một bảng SQL, được bảo vệ tốt. Đối với Hầu hết mối đe dọa, bạn là. Một hacker có kiến ​​thức, tuy nhiên, vẫn có thể lục soát nhà bằng cách sử dụng một phương pháp gián tiếp.

Cơ sở dữ liệu quan hệ được thiết kế chính xác có toàn vẹn tham chiếu, có nghĩa là dữ liệu trong một bảng trong cơ sở dữ liệu phù hợp với dữ liệu trong tất cả các bảng khác. Để đảm bảo tính toàn vẹn tham chiếu, các nhà thiết kế cơ sở dữ liệu áp dụng các ràng buộc vào các bảng hạn chế dữ liệu người dùng có thể nhập vào các bảng.

Nhưng đây là nhược điểm của sự bảo vệ đó: Nếu bạn có một cơ sở dữ liệu với các ràng buộc toàn vẹn tham chiếu, một người dùng có thể có thể tạo ra một bảng mới sử dụng một cột trong một bảng bí mật như một khoá ngoại. Cột đó phục vụ như một liên kết thông qua đó ai đó có thể có thể ăn cắp thông tin bí mật. Rất tiếc.

Nói ví dụ, bạn là một nhà phân tích chứng khoán phố Wall nổi tiếng. Nhiều người tin vào sự chính xác của việc lựa chọn cổ phiếu của bạn, do đó, bất cứ khi nào bạn đề nghị một cổ phiếu cho thuê bao của bạn, nhiều người mua cổ phiếu đó, và giá trị của nó tăng lên.

Bạn giữ phân tích của bạn trong một cơ sở dữ liệu, trong đó có một bảng có tên FOUR_STAR. Các đề xuất hàng đầu cho bản tin tiếp theo của bạn nằm trong bảng đó. Đương nhiên, bạn hạn chế quyền truy cập vào FOUR_STAR để từ đó không bị rò rỉ ra công chúng đầu tư trước khi thuê bao của bạn nhận được bản tin.

Bạn vẫn dễ bị tổn thương nếu bất cứ ai khác có thể tạo một bảng mới sử dụng trường tên chứng khoán của FOUR_STAR làm khoá ngoại, như được minh họa trong ví dụ dưới đây:

CREATE TABLE HOT_STOCKS (CHARACTER CHARNH (30) TÀI LIỆU THAM KHẢO FOUR_STAR);

Các hacker bây giờ có thể cố gắng để chèn tên của mỗi cổ phiếu trên Thị trường Chứng khoán New York, Sở Giao dịch Chứng khoán Mỹ, và NASDAQ vào bảng. Những chèn thành công đó cho biết hacker có cổ phiếu khớp với cổ phiếu mà bạn đặt tên trong bảng mật của bạn. Nó không mất nhiều thời gian cho các hacker để trích xuất toàn bộ danh sách cổ phiếu của bạn.

Bạn có thể tự bảo vệ mình khỏi các lỗ hổng như trong ví dụ trước bằng cách cẩn thận khi nhập các câu tương tự như sau:

TÀI LIỆU THAM KHẢO (Cổ phiếu) FOUR_STAR TO SECRET_HACKER;

Rõ ràng đây là một sự cường điệu. Bạn sẽ không bao giờ cho bất kỳ loại truy cập vào một bảng quan trọng cho một người không đáng tin cậy, bạn sẽ? Không phải nếu bạn nhận ra những gì bạn đang làm.Tuy nhiên, tin tặc ngày nay không chỉ thông minh về mặt kỹ thuật. Họ cũng là bậc thầy của những người gây hiểu nhầm để làm những gì họ thường sẽ không làm. Đắp lên để cảnh báo đầy đủ bất cứ khi nào một người nói chuyện trơn tru đề cập đến bất cứ điều gì liên quan đến thông tin bí mật của bạn.

Tránh trao quyền cho những người có thể lạm dụng chúng. Đúng, mọi người không đến với sự đảm bảo in trên trán. Nhưng nếu bạn không cho mượn chiếc xe mới của bạn cho một người trong một chuyến đi dài, bạn cũng không nên dành cho anh ta đặc quyền THAM KHẢO trên một chiếc bàn quan trọng.

Ví dụ trước đưa ra một lý do chính đáng để duy trì việc kiểm soát cẩn thận đặc quyền tham khảo. Dưới đây là hai lý do tại sao bạn nên duy trì kiểm soát cẩn thận các tài liệu tham khảo:

• Nếu người khác chỉ định một hạn chế trong HOT STOCKS bằng cách sử dụng một tùy chọn RESTRICT và bạn cố gắng xóa một hàng từ bảng của bạn, DBMS cho bạn biết rằng bạn có thể 't, bởi vì làm như vậy sẽ vi phạm một ràng buộc toàn vẹn referential.

• Nếu bạn muốn sử dụng lệnh DROP để phá hủy bảng của bạn, bạn sẽ thấy rằng bạn phải tìm người khác để DROP sự ràng buộc (hoặc bảng của mình) trước tiên.

Điểm mấu chốt: Cho phép người khác chỉ định các ràng buộc về tính toàn vẹn trên bảng của bạn không chỉ giới thiệu một vi phạm bảo mật tiềm ẩn, mà còn có nghĩa là người dùng khác đôi khi bị theo cách của bạn.