Travail de session portant sur La sécurité des Bases de Données DB2, ORACLE et SQL Présenté Par France CANO, Stéphanie LONGCHAMPS et François VIAU à Robert GODIN INF Automne 2004

INF F.Cano, S.Longchamps, F.Viau2 Structure de cette présentation  INTRODUCTION  À première vue  Les principes  IBM DB2  ORACLE  SQL Server  CONCLUSION  QUESTIONS ???  MERCI !

INF F.Cano, S.Longchamps, F.Viau3 INTRODUCTION  À première vue  L’ENNEMI NUMÉRO 1 : LE HACKER 80 % des dommages sont dus à des employés.  L’ENCRYPTION ET LES COUPES-FEU SONT LA SOLUTION DE TOUS LES PROBLÈMES  40 % des intrusions ont lieu sur des sites équipés de coupe-feu.  Une approche sécurité comprend : Le contrôle des accès L’intégrité des données Le chiffrage L’audit

INF F.Cano, S.Longchamps, F.Viau4 INTRODUCTION (cont.)  À première vue  La réalité: Types de pertes par dollars (U.S.) perdus

INF F.Cano, S.Longchamps, F.Viau5 INTRODUCTION (cont.)  À première vue  La réalité: Pourcentage du budget dépensé en T.I. pour la Sécurité

INF F.Cano, S.Longchamps, F.Viau6 INTRODUCTION (cont.)  Les principes  Authentification: Procédure consistant à vérifier ou à valider l'identité d'une personne ou l'identification de toute autre entité, lors d'un échange électronique, pour contrôler l'accès au SGBD.  Autorisation: Ensemble des droits d'accès d'un utilisateur, relatif aux bases de données ou des programmes spécifiques.  Confidentialité: Caractère des données dont la diffusion doit être limitée aux seules personnes ou autres entités autorisées.  Disponibilité: Propriété d'un système informatique capable d'assurer ses fonctions sans interruption, délai ou dégradation, au moment même où la sollicitation en est faite.  Intégrité: Propriété associée aux données qui, lors de leur traitement ou de leur transmission, ne subissent aucune altération ou destruction volontaire ou accidentelle, et conservent un format autorisant leur utilisation.

INF F.Cano, S.Longchamps, F.Viau7 IBM DB2  Mécanismes de sécurité  Trois éléments principaux du plan de sécurité Types d’AUTHENTIFICATIONS Niveaux d’AUTORITÉS Règles des PRIVILÈGES  La vulnérabilité

INF F.Cano, S.Longchamps, F.Viau8 IBM DB2 (cont.)  Types d’AUTHENTIFICATIONS Première fonctionnalité de sécurité Authentification implicite Authentification explicite Db2 connect to sample user tst1 using mypass Database server = DB2/NT SQL AUTORISATION Id = TST1 Local database alias = SAMPLE TypeLocation Set SERVERServer, Client, Gateway SERVER_ENCRYPTServer, Client, Gateway CLIENTServer, Client, Gateway DCEServer, Client, Gateway DCE_SERVER_ENCRYPTServer *KERBEROSServer, Client *KRB_SERVER_ENCRYPTServer DCSClient, Gateway DCS_ENCRYPTClient, Gateway

INF F.Cano, S.Longchamps, F.Viau9 IBM DB2 (cont.)  Niveaux d’AUTORITÉS  Le niveau d’authorité qu’un utilisateur à droit  Les commandes qu’un utilisateur peut exécuter  Les données qu’un utilisateur à droit de lire et/ou d’altérer  Les objets d’une BD qu’un utilisateur à droit de créer, d’altérer et/ou d’enlever  Pour les instances SYSADM SYSCTRL SYSMAINT  Explicitement pour un utilisateurs ou groupes d’utilisateurs DBADMIN LOAD

INF F.Cano, S.Longchamps, F.Viau10 IBM DB2 (cont.)  Règles des PRIVILÈGES  Plus granulaires que les niveaux d’autorité  Assignés à un utilisateur ou groupes d’utilisateurs  Permet de définir quels objets peuvent êtres créés ou enlevés  Permet de définir quelles commandes spécifiques il à droit pour accéder les objets (tables, views, indexes et packages)  EXPLICITES  IMPLICITS  INDIRECTS

INF F.Cano, S.Longchamps, F.Viau11 IBM DB2 (cont.)  L’importance du rôle de RACF (Resource Access Control Facility)  Introduit en septembre 1976 pour les « MAIN FRAMES »  Base de données faisant partie intégrante du système d’exploitation z/OS et OS/390  Peut être centralisé ou répartis sur plusieurs NODES  Contrôle de la sécurité des accès Gère l’accès des profiles des utilisateurs (TSO, System Display and Search Facility)  Pour les BD (IMS, CICS, VTAM, DB2) Procure une rapidité des I/O Disponibilité jusqu’à 255 buffers par programmeur TIVOLI peut s’y greffer pour une gestion centralisé

INF F.Cano, S.Longchamps, F.Viau12 IBM DB2 (cont.)  L’importance du rôle de RACF (Resource Access Control Facility)  Offre différents utilitaires de niveaux de vérifications (AUDIT) IRRUT100 (Cross Reference utility) IRRDBU00 (Database unload utility) IRRRID00 (Remove ID utility) RACFRW (Report Writter) IRRADU00 (SMF Data Unload Utility)  Exemple d’invocation d’un utilitaire //JOBNAME JOB JOB CARD…. //IRRUT100 EXEC PGM=IRRUT100 //SYSUT1 DD UNIT=SYSDA, SPACE=(TRK, (5,1)) //SYSPRINT DD SYSOUT=* //SYSIN DD * MARKN /*

INF F.Cano, S.Longchamps, F.Viau13 IBM DB2 (cont.)  L’importance du rôle de RACF (Resource Access Control Facility)  Pour les sites distants (Remote Sharing Facility) FONCTIONSBÉNÉFICES Synchronisations des mots de passesChangement en masse sur différents NODES Direction des commandesApplique une même commande sur plusieurs BD, ou sur des BD de différents NODES Direction automatique des commandesApplique une commande sur plusieurs BD automatiquement Direction automatique des mises à jour sur plusieurs applications Applique les mises à jour de la BD de RACF automatiquement Direction automatique des mots de passes  Changer mot de passe pour un utilisateur sur plusieurs NODES.  Améliore l’accès et la performance en utilisant différentes BD synchronisés avec le même mot de passe.

INF F.Cano, S.Longchamps, F.Viau14 IBM DB2 (cont.)  La vulnérabilité (version 7 pour Linux et Unix)  Le « Buffer Overflow »

INF F.Cano, S.Longchamps, F.Viau15 ORACLE

INF F.Cano, S.Longchamps, F.Viau16 Base de données Oracle Database Serveur d’application Oracle ApplicationServer Gestionnaire d’identités Oracle Identity Management Services externes de sécurité Applications d’entreprise ORACLE (cont.)  La plateforme de sécurité

INF F.Cano, S.Longchamps, F.Viau17 ORACLE (cont.)  AXES DE SÉCURITÉ PRIVILÉGIÉS AUTHENTIFICATION, AUTORISATION, PRIVILÈGES SÉCURITÉ AU NIVEAU DE LA LIGNE AUDIT CHIFFRAGE

INF F.Cano, S.Longchamps, F.Viau18 ORACLE (cont.)  GESTION DES IDENTITÉS  OBJECTIF Gérer de manière centralisée le cycle de vie de la sécurité des entités d’un réseau.  MOYENS Annuaire LDAP Single Sign On Authentification forte  OUTIL Oracle Identity Manager

INF F.Cano, S.Longchamps, F.Viau19 ORACLE (cont.)  ORACLE INTERNET DIRECTORY  ANNUAIRE Structure hiérarchique pour centraliser et gérer les informations reliées à des utilisateurs  LDAP (Lightweight Directory Access Protocol) Standard de l’industrie pour faire des requêtes sur les annuaires  OBJECTIF Déléguer à l’annuaire la gestion des fonctionnalités relevant de la gestion des accès  AVANTAGE Permet le single sign on

INF F.Cano, S.Longchamps, F.Viau20 ORACLE (cont.)  AUTHENTIFICATION FORTE  OBJECTIF Aller au delà de la seule saisie d’un mot de passe en supportant et intégrant les standards du domaine  APPEL À DES SERVICES EXTERNES D’AUTHENTIFICATION Kerberos RADIUS DCE PKI (SSL, En trust, Standard X.509)  AUTHENTIFICATION À PLUSIEURS FACTEURS Smart Card Carte de jeton (Token card) Biométrie

INF F.Cano, S.Longchamps, F.Viau21 ORACLE (cont.)  VIRTUAL PRIVATE DATABASE  OBJECTIF Gérer la sécurité par la base de données et non par les applications.  PRINCIPES Association de règles de sécurité à un objet (table, vue, synonyme) Modification dynamique d’un accès à l’objet en fonction de la règle de sécurité par ajout de prédicats restrictifs limitant le nombre de lignes Modification des résultats renvoyés par masque sur le contenu des colonnes

INF F.Cano, S.Longchamps, F.Viau22 ORACLE (cont.)  ORACLE LABEL SECURITY  OBJECTIF Identique à VPD mais avec une complexité plus grande des règles de restrictions  PRINCIPES Association de niveau de sensibilité aux lignes Association aux utilisateurs d’autorisations sur les niveaux de sensibilité et éventuellement accord de prérogatives spéciales Lors de l’exécution d’une instruction : médiation de l’aspect ligne et de l’aspect utilisateur Étiquette de sensibilité = Niveau de sensibilité / Compartiments / Groupes

INF F.Cano, S.Longchamps, F.Viau23 ORACLE (cont.)  CHIFFRAGE DES DONNÉES  DANS LA BASE DE DONNÉES Fourniture d’un package supportant les standards AES, DES, TDES Fourniture d’algorithmes de hachage MD5, SHA-1  LORS DES TRANSFERTS SUR LES RÉSEAUX Chiffrage natif avec AES, DES, TDES, RCA ou avec SSL Ajout d’une empreinte de message MD5 ou SHA-1 dans les paquets

INF F.Cano, S.Longchamps, F.Viau24 ORACLE (cont.)  AUDIT  OBJECTIF Détecter les incidents Avoir les moyens de rendre les utilisateurs responsables de leurs actions  TYPES D’AUDIT Audit standard Audit personnalisé Fine-Grained Auditing

INF F.Cano, S.Longchamps, F.Viau25 SQL Server  Processus d’authentification Arbre de décision de la sécurité de SQL Server

INF F.Cano, S.Longchamps, F.Viau26 SQL Server (cont.)  SQL Server - Autorisation

INF F.Cano, S.Longchamps, F.Viau27 SQL Server (cont.)  Processus d’autorisation  SQL Server fournit des rôles de serveur prédéfinis et associés à des autorisations d’administration, voici 2 exemples: SYSADMIN permet d’exécuter n’importe quelle tâche au sein d’une instance de SQL Server et de toute base de données. SECURITYADMIN permet d’exécuter toutes les opérations liées à la sécurité au sein de SQL Server, dont la gestion des autorisations de l’instruction CREATE DATABASE.  Il existe aussi des autorisations relatives aux bases de données, soit des rôles de base de données fixes, voici un exemple: DB_SECURITYADMIN permet de gérer toutes les autorisations, les propriétés d’objet, les rôles et les membres des rôles.

INF F.Cano, S.Longchamps, F.Viau28 SQL Server (cont.)  Privilèges et rôles d’application  Plusieurs moyens permettent aux utilisateurs d’obtenir des autorisations complètes ou limitées d’accès à une base de données: Appartenance au rôle de serveur sysadmin; Propriété individuelle de la base de données; Propriété individuelle d’un objet de base de données par le biais d’un rôle de base de données ou d’un groupe Windows; Appartenance à un rôle de base de données fixe; Attribution individuelle d’autorisations spécifiques par le biais d’un rôle de base de données ou d’un groupe Windows; Héritage d’autorisations du rôle public en tant qu’utilisateur de base de données autorisé; Héritage d’autorisations d’utilisateur invité en tant qu’utilisateur n’ayant aucun droit d’accès à la base de données.

INF F.Cano, S.Longchamps, F.Viau29 SQL Server (cont.)  Audits  Les évènements auditables: Activités effectuées par les utilisateurs; Activités effectuées par les DBA; Mouvement de sécurité (ajout/modification/suppression d’accès); Évènements reliés aux utilitaires; Évènements reliés au serveur.  La gestion des journaux d’audit  Analyse des journaux d’audit Le concept « Ownership chain »

INF F.Cano, S.Longchamps, F.Viau30 SQL Server (cont.)  Les failles de sécurité Failles de type «buffer overrun» Failles créées lors de l’installation Bulletins d’alerte

INF F.Cano, S.Longchamps, F.Viau31 CONCLUSION  Ils utilisent les mêmes approches concernant les structures de sécurité  Ils sont confrontés aux mêmes menaces  Ils appliquent des solutions de sécurité qui se ressemblent  Observations concernant les lectures sur l’Internet Sur DB2, excluant le site d’IBM, les informations proposés semblent être orientés vers les failles et les « FixPacks » disponibles plutôt que sur les fonctionnalités évolués. Quant à ORACLE ils semblent plus orientés marketing en mettant l’emphase sur la sécurité.

INF F.Cano, S.Longchamps, F.Viau32 QUESTIONS ???. MERCI !