Oracle錢(qián)包在R5000軟件登錄數(shù)據(jù)庫(kù)的應(yīng)用

李明

摘 要：地震解釋系統(tǒng)是石油上游公司的關(guān)鍵信息系統(tǒng)數(shù)據(jù)庫(kù)，也是渤海油田研究院勘探開(kāi)發(fā)一體化流程的研究平臺(tái)之一，為由多學(xué)科科研人員組成的一體化團(tuán)隊(duì)做數(shù)據(jù)解釋和分析研究。OpenWorks 軟件是基于Oracle數(shù)據(jù)庫(kù)開(kāi)發(fā)的一款地學(xué)解釋數(shù)據(jù)庫(kù)支撐運(yùn)行在其上的DSG系列勘探開(kāi)發(fā)應(yīng)用軟件。R5000版本OpenWorks之前版本R2003的升級(jí)產(chǎn)品，在產(chǎn)品功能變化的同時(shí)，數(shù)據(jù)庫(kù)安全機(jī)制（Security Model Change）是其中眾多變化的部分。論文集中討論從R2003到R5000升級(jí)后，采用Oracle Wallet認(rèn)證方式所帶來(lái)的安全認(rèn)證變化。

但是，隨著OpenWorks一體化軟件應(yīng)用范圍的擴(kuò)大，R5000版本的應(yīng)用程DSG的應(yīng)用環(huán)境，已經(jīng)傳統(tǒng)的登錄單點(diǎn)工作站拓展到了遠(yuǎn)程、異地等多點(diǎn)登錄情形。登錄數(shù)據(jù)庫(kù)的用戶(hù)也不再僅僅局限于來(lái)自局域網(wǎng)內(nèi)的用戶(hù)，最新釋放的運(yùn)行在微軟云平臺(tái)Azuer上的DSG365應(yīng)用程序，可以實(shí)現(xiàn)在全球任意點(diǎn)登錄。由于應(yīng)用程序適用范圍的變化，基于操作系統(tǒng)認(rèn)證的適用條件受到了挑戰(zhàn)。遠(yuǎn)程登錄的用戶(hù)，即使他們是合法的操作系統(tǒng)用戶(hù)，也不一定是合法的數(shù)據(jù)庫(kù)用戶(hù)。繼續(xù)使用基于操作系統(tǒng)認(rèn)證的方式登錄數(shù)據(jù)庫(kù)，對(duì)用戶(hù)寶貴的數(shù)據(jù)安全構(gòu)成了嚴(yán)重的威脅，并存在著重大的安全隱患。

論文分析了使用基于Oracle錢(qián)包的機(jī)制和為什么用它來(lái)代替操作系統(tǒng)認(rèn)證可以改善安全性的原因，幫助用戶(hù)消除原有的安全顧慮。

關(guān)鍵詞：Oracle錢(qián)包；OpenWorks/DSG，安全模型；共鑰；私鑰；SSL傳輸

中圖分類(lèi)號(hào)： TP393 文獻(xiàn)標(biāo)識(shí)碼：A

Apply Oracle Wallet for Landmark database Authentication in R5000 Release

Li Ming

（Bohai Petroleum Institute， Tianjing Brach of CNOOC， Tianjin300452）

Abstract： Seismic data interpretation system is one of the most key information systems for the upstream petroleum industry； OpenWorks software is part of the system， which is based on Oracle database to support the decision space for geosciences （DSG） application， it serves as an integrated platform for Geology and Geophysical data interpretation and intergradations for multidisciplinary team in the Bohai petroleum institute.

The R5000 release is the latest version of OpenWorks software which replaced the previous R2003 release， a huge change has been made in the R5000 version， from the application functionality to the data model. This paper focus on how and why Oracle data wallet technology is employee to make the security model change in term of the user authentication .The major driver for the security model change is driven by the cloud commuting. The R5000 release has extend the application from the traditional stand alone or client server to cloud environment running on the Microsoft Azure platform ， this change enable users to access the system from single point to remote or muti-point login to the system. This make the application access much easier globally but increased the concern of the data security. This paper Try to answer the concern why and how the oracle wallet technology employed in R5000 help to keep the data in a secure environment by replace the operation authentication in R2003 version.

Key words： Oracle Wallet； OpenWorks/DSG； Security Model； Public Key； Private Key； SSL

1 引言

地震解釋系統(tǒng)是石油公司的關(guān)鍵信息系統(tǒng)，也是渤海油田研究院勘探開(kāi)發(fā)一體化流程的研究平臺(tái)之一，供一體化的科研團(tuán)隊(duì)做數(shù)據(jù)解釋和分析研究。OpenWorks 軟件是基于Oracle數(shù)據(jù)庫(kù)開(kāi)發(fā)的一款地學(xué)數(shù)據(jù)庫(kù)、為運(yùn)行在其上的DSG系列勘探開(kāi)發(fā)應(yīng)用軟件提供數(shù)據(jù)支撐。R5000版本是之前R2003版本的升級(jí)換代產(chǎn)品。在產(chǎn)品功能變化的同時(shí)，數(shù)據(jù)庫(kù)安全機(jī)制（Security Model Change）的變化是其中眾多變化的一部分。本文集中討論了從R2003到R5000升級(jí)后，采用Oracle Wallet認(rèn)證方式代替原來(lái)基于操作系統(tǒng)認(rèn)證所帶來(lái)安全認(rèn)證方式的變化，對(duì)信息安全和用戶(hù)體驗(yàn)所帶來(lái)的影響。endprint

2 登錄數(shù)據(jù)庫(kù)的認(rèn)證機(jī)制回顧（R2003版本）

為了防止未經(jīng)授權(quán)的用戶(hù)非法使用數(shù)據(jù)庫(kù)，每個(gè)用戶(hù)在連接到數(shù)據(jù)庫(kù)時(shí)都需要進(jìn)行身份認(rèn)證?；诳诹钭郑≒assword Authentication）和基于操作系統(tǒng)認(rèn)證（OS Authentication）是登錄Oracle數(shù)據(jù)庫(kù)的兩種不同認(rèn)證方式。

基于口令字的認(rèn)證在登錄數(shù)據(jù)庫(kù)的時(shí)候必須同時(shí)提供用戶(hù)名和口令，由Oracle完成對(duì)戶(hù)名和口令的認(rèn)證，用戶(hù)的口令存放在數(shù)據(jù)庫(kù)中；基于操作系統(tǒng)認(rèn)證的數(shù)據(jù)庫(kù)登錄方式，是數(shù)據(jù)庫(kù)委托和授信給操作系統(tǒng)來(lái)完成登錄數(shù)據(jù)庫(kù)的認(rèn)證，用戶(hù)的密碼是存放在操作系統(tǒng)的Shadow文件中。也就是說(shuō)，只要是合法的操作系統(tǒng)用戶(hù)，也就是合法數(shù)據(jù)庫(kù)的用戶(hù)，Oracle不再做單獨(dú)認(rèn)證。

OpenWorks軟件R2003版采用的就是基于操作系統(tǒng)認(rèn)證的方式來(lái)訪問(wèn)數(shù)據(jù)庫(kù)。

3 為什么操作系統(tǒng)認(rèn)證的安全性不高

早期的解釋系統(tǒng)是單機(jī)版的用戶(hù)（Stand-alone），后來(lái)逐步發(fā)展成為客戶(hù)機(jī)/服務(wù)器架構(gòu)。其基本功能都是作為一個(gè)信息系統(tǒng)為項(xiàng)目團(tuán)隊(duì)提供地學(xué)研究和數(shù)據(jù)存儲(chǔ)服務(wù)?？傮w而言，無(wú)論是在單機(jī)版還是在一個(gè)小型的網(wǎng)絡(luò)環(huán)境內(nèi)，勘探開(kāi)發(fā)研究團(tuán)隊(duì)的成員都是工作在一個(gè)相對(duì)獨(dú)立和封閉的環(huán)境中，或者說(shuō)他們都使用同一種操作系統(tǒng)來(lái)登錄數(shù)據(jù)庫(kù)和使用應(yīng)用程序。在這種情況下，使用基于操作系統(tǒng)認(rèn)證的方式來(lái)訪問(wèn)數(shù)據(jù)庫(kù)，數(shù)據(jù)的安全性不是主要的顧慮。相反，由于用戶(hù)需要頻繁地在不同的應(yīng)用程序之間切換來(lái)和數(shù)據(jù)庫(kù)做讀寫(xiě)交互，基于操作系統(tǒng)認(rèn)證的方式避免了每次和數(shù)據(jù)庫(kù)交互的時(shí)候都需要提供認(rèn)證服務(wù)的繁瑣，實(shí)現(xiàn)了用戶(hù)一旦登錄操作系統(tǒng)，就可以無(wú)密碼地訪問(wèn)數(shù)據(jù)庫(kù)的便捷性。

但是，隨著OpenWorks一體化軟件應(yīng)用范圍的擴(kuò)大，R5000版本下的應(yīng)用程序的應(yīng)用環(huán)境已經(jīng)由傳統(tǒng)的單點(diǎn)工作站登錄拓展到了遠(yuǎn)程、異地等多點(diǎn)登錄的情形，登錄數(shù)據(jù)庫(kù)的用戶(hù)也不再僅僅局限于來(lái)自局域網(wǎng)內(nèi)的用戶(hù)。最新釋放的運(yùn)行在微軟云平臺(tái)上的DSG365應(yīng)用程序可以實(shí)現(xiàn)在全球任意點(diǎn)登錄。由于應(yīng)用程序適用范圍的變化，基于操作系統(tǒng)認(rèn)證的適用條件受到了挑戰(zhàn)。同時(shí)，傳統(tǒng)的物理服務(wù)器日益被虛擬機(jī)所取代，遠(yuǎn)程登錄的用戶(hù)，即使他們是操作系統(tǒng)合法的用戶(hù)，也不一定是合法的數(shù)據(jù)庫(kù)用戶(hù)。在新的情況下，繼續(xù)使用基于Oracle操作系統(tǒng)認(rèn)證的模式登錄數(shù)據(jù)庫(kù)的方式，風(fēng)險(xiǎn)大于便利，用戶(hù)的數(shù)據(jù)處于不安全的狀態(tài)。

4 用Oracle Wallet代替操作系統(tǒng)認(rèn)證

為了解決這個(gè)問(wèn)題，從Oracle10gR2開(kāi)始，用戶(hù)的口令存放在一個(gè)被稱(chēng)為Oracle Wallet的容器之中。Oracle Wallet是一個(gè)數(shù)據(jù)結(jié)構(gòu)，其功能是作為一個(gè)容器為每一個(gè)需要訪問(wèn)數(shù)據(jù)庫(kù)的實(shí)體提供存儲(chǔ)各種口令、密碼和安全證書(shū)，同時(shí)也為數(shù)據(jù)庫(kù)的各種認(rèn)證和加密提供檢索服務(wù)。

當(dāng)用戶(hù)訪問(wèn)數(shù)據(jù)庫(kù)的時(shí)候，Oracle自動(dòng)打開(kāi)Oracle Wallet來(lái)提取用戶(hù)的密碼提交服務(wù)器。如果Oracle拿到了密碼，就可以直接登錄數(shù)據(jù)庫(kù)，完成登錄認(rèn)證。如果是非授權(quán)用戶(hù)，則無(wú)法登錄，如圖1所示。

在最大限度地不影響用戶(hù)體驗(yàn)的情況下，Oracle Wallet機(jī)制成功地將操作系統(tǒng)用戶(hù)做了區(qū)分和過(guò)濾。從用戶(hù)的體驗(yàn)看，使用這個(gè)機(jī)制登錄數(shù)據(jù)庫(kù)，除了在第一次訪問(wèn)數(shù)據(jù)庫(kù)時(shí)需要自己設(shè)定密碼外，以后用戶(hù)只要登錄操作系統(tǒng)后，就可以直接訪問(wèn)數(shù)據(jù)庫(kù)，似乎和以前的操作系統(tǒng)認(rèn)證沒(méi)有什么區(qū)別。但是，在表象的背后，卻是完全不一樣的安全機(jī)制。

5 Oracle Wallet安全機(jī)制分析

本文就Oracle Wallet管理用戶(hù)口令的這三個(gè)環(huán)節(jié)做一具體的分析，理解為什么Oracle Wallet提供了比操作系統(tǒng)認(rèn)證更加安全的口令保護(hù)機(jī)制。

5.1 Oracle wallet自身安全的保護(hù)機(jī)制

第一層保護(hù)：用戶(hù)自己制定Oracle Wallet的存放位置和密碼保護(hù)。

我們知道，基于口令的數(shù)據(jù)登錄方式，其口令是存儲(chǔ)在數(shù)據(jù)庫(kù)中；基于操作系統(tǒng)認(rèn)證的登錄方式，口令是存放在操作系統(tǒng)的Shadow文件中。Oracle Wallet提供了一個(gè)新的容器，這個(gè)容器代替Shadow文件來(lái)存放用戶(hù)的口令，提供了Oracle和用戶(hù)共同管理登錄口令的新機(jī)制。

這個(gè)被稱(chēng)為Oracle Wallet的容器是一個(gè)獨(dú)立于數(shù)據(jù)庫(kù)、建立在操作系統(tǒng)上的加密文件，這個(gè)文件的位置和密碼都是由用戶(hù)自己來(lái)設(shè)定的， Oracle通過(guò)參數(shù)配置來(lái)找到這個(gè)文件并讀取其中的內(nèi)容。

第一次建立Oracle Wallet使用mkstore命令和 -create 選項(xiàng)來(lái)創(chuàng)建，并要輸入和確認(rèn)以后訪問(wèn)wallet的口令。

$ mkstore -wrl "/home/myuser/wallet" -create

Enter password：

Enter password again：

$

第二層保護(hù)：受操作系統(tǒng)文件讀寫(xiě)屬性保護(hù)。

執(zhí)行完這條命令后，存放外部口令文件夾的Oracle Wallet就建立好了。這個(gè)兩個(gè)文件在初始生成的時(shí)候只有創(chuàng)立者自己具有讀/寫(xiě)權(quán)限（600），其他任何人無(wú)權(quán)訪問(wèn)和修改。如果用戶(hù)修改了文件的屬性，Oracle隨后把被修改的文件屬性的強(qiáng)制改回初始狀態(tài)。

$ ls -l /home/myuser/wallet

total 48

-rw------- 1 oracle myuser 3973 Jul 20 22：55 cwallet.sso

-rw------- 1 oracle myuser 3896 Jul 20 22：55 ewallet.p12

$

第三層保護(hù)：屬地保護(hù)（不可移動(dòng)性）。endprint

文件的讀寫(xiě)屬性提供了保護(hù)Oracle Wallet的必要功能。但是Oracle Wallet有可能被用戶(hù)拷貝到不同的機(jī)器上，為了避免這種現(xiàn)象發(fā)生，保證Oracle Wallet只在建立的當(dāng)?shù)赜行?，?1g Release 2版本中，使用了一條新的命令"orapki"代替"mkstore"命令來(lái)生成Oracle Wallet文件夾，增加了選項(xiàng)-auto_login_local。

$ orapki wallet create -wallet "/home/myuser/wallet" -pwd "MyPassword1" -auto_login_local

這樣用戶(hù)一旦創(chuàng)立了這個(gè)Oracle wallet，它就只能在初始創(chuàng)立的位置生效，增新加了不可移動(dòng)的特性，就像一臺(tái)根植于用戶(hù)屬地的保險(xiǎn)柜一樣安全。

5.2 錢(qián)包中存放物的安全：用3DES算法加密用戶(hù)口令

Oracle使用三重DES加密算法確保證保存放在這里的口令處于安全狀態(tài)。DES算法又被稱(chēng)為數(shù)據(jù)加密標(biāo)準(zhǔn)（Data Encryption Standard），是1972年美國(guó)IBM公司研制的對(duì)稱(chēng)密碼體制加密算法（Symmetric Encryption），如圖2所示。

到目前為止，除了用窮舉搜索法對(duì)DES算法進(jìn)行強(qiáng)制破解外，還沒(méi)有發(fā)現(xiàn)更有效的破解辦法。DES算法是對(duì)稱(chēng)密碼算法，也就是加密和解密使用同一套密鑰。密鑰的安全性和密鑰的長(zhǎng)度相關(guān)，其加密的安全性隨著密鑰的位數(shù)的提高而提高。DES算法使用56位密鑰。DES算法的基本原理簡(jiǎn)述如下：

設(shè)P代表明文，K代表用于加密和解密的56位密鑰，C代表加密后的密文；Ek（）和Dk（）代表加密和解密函數(shù)。這樣，

DES加密過(guò)程為：C=E（P，K）；

DES解密過(guò)程為：P=D（C，K）。

三重DES算法通過(guò)使用三組不同的密鑰來(lái)提高DES算法的安全性和復(fù)雜性。理論上這三組密鑰可以彼此不同，相當(dāng)于用一個(gè)長(zhǎng)為168（3×56）位的密鑰進(jìn)行加密。在平衡安全和效率的情況下，令第一個(gè)和第三個(gè)密鑰相同（K1 = K3），采用兩個(gè)不同的密鑰加密。在這種情況下，密鑰的有效長(zhǎng)度為112位（3×56）。三重DES算法把密鑰的長(zhǎng)度由初始的56為提高到了112位的高級(jí)加密標(biāo)準(zhǔn)（AES）。

DES加密過(guò)程為：C=E（D（E（P，K1），K2），K1）；

DES解密過(guò)程為：P=D（E（D（C，K2），K1），K2）。

對(duì)稱(chēng)加密算法的特點(diǎn)是非常高效，用戶(hù)提供口令后感覺(jué)不到由于對(duì)口令做加密和解密運(yùn)算帶來(lái)的時(shí)延效果。

以上兩個(gè)機(jī)制確保了Oracle Wallet自身的安全和存放其中口令的安全。下面這個(gè)措施保證了當(dāng)用戶(hù)的口令在提交服務(wù)器做登錄認(rèn)證時(shí)， 傳輸過(guò)程也是安全的。

5.3 傳輸環(huán)境的安全機(jī)制：使用SSL協(xié)議傳輸口令

Oracle Wallet在把口令字傳輸給服務(wù)器的時(shí)候，使用Oracle提供的SSL安全傳輸通道。

SSL（Secure Sockets Layer 安全套接層）是為網(wǎng)絡(luò)通信提供安全及 數(shù)據(jù)完整性的一種安全協(xié)議。

在TCP/IP網(wǎng)絡(luò)傳輸協(xié)議中SSL是運(yùn)行在傳輸層之上、應(yīng)用層之下的一種傳輸模式。SSL安全確保傳輸過(guò)程中數(shù)據(jù)的安全和完整，如圖3所示。

（1）傳輸過(guò)程使用公鑰加密算法

SSL支持強(qiáng)公鑰加密算法（Strong Public Key Encryption），公鑰加密標(biāo)準(zhǔn)算法是一種不對(duì)稱(chēng)加密算法（Asymmetric Encryption），公加密和解密使用的的密鑰不一樣。在生成密鑰的時(shí)候同時(shí)生成一對(duì)密鑰。只有生成密鑰這自己知道的密鑰稱(chēng)為私鑰，私鑰來(lái)解密信息。對(duì)外廣泛散布的密鑰稱(chēng)為公鑰，公鑰用來(lái)加密信息。在公鑰加密算法中，任何人都可以使用公鑰來(lái)機(jī)密信息，但是被加密的信息只有擁有私鑰的人才能解密。因此，一個(gè)完整的加密和解密過(guò)程需要一對(duì)密鑰共同完成。缺少其中任何一方，流程都無(wú)法完成。

在對(duì)稱(chēng)加密算法中，算法的安全性取決于密鑰的位數(shù)長(zhǎng)度；在向不對(duì)稱(chēng)加密算法中，如公鑰加密加密算法，私鑰的安全程度就是整個(gè)算法的安全程度。

（2）SSL傳輸步驟

SSL的傳輸過(guò)程分兩步完成，握手階段和信息傳輸階段。 在傳輸數(shù)據(jù)之前，客戶(hù)機(jī)和服務(wù)器先建立連接，協(xié)商在傳輸過(guò)程中，需要使用的用于在信息傳輸階段對(duì)信息做加密和解密的密鑰。這個(gè)過(guò)程被稱(chēng)為“握手”過(guò)程?！拔帐帧苯Y(jié)束后，加密數(shù)據(jù)、在安全傳輸通道內(nèi)傳輸數(shù)據(jù)，服務(wù)器收到密文后，使用在私鑰解密數(shù)據(jù)，完成對(duì)用戶(hù)口令的安全傳輸。

6 結(jié)束語(yǔ)

通過(guò)以上分析，可以看到，Oracle Wallet 提供了一種全新的安全機(jī)制：首先，用戶(hù)的密碼由用戶(hù)和Oracle來(lái)共同管理，而不再是委托操作系統(tǒng)來(lái)管理；其次，存放在Oracle Wallet中的用戶(hù)密碼是加密的；第三，在向服務(wù)器提供密碼驗(yàn)證時(shí)是通過(guò)安全通道SSL協(xié)議傳輸?shù)?。這三個(gè)環(huán)節(jié)從機(jī)制上保證了用戶(hù)口令在整個(gè)環(huán)節(jié)的所有流程中始終處于安全狀態(tài)。

今天的聯(lián)網(wǎng)設(shè)備的運(yùn)行環(huán)境面臨更多的來(lái)自數(shù)據(jù)安全方面的挑戰(zhàn)。一個(gè)是傳統(tǒng)的單一操作系統(tǒng)的物理服務(wù)器日益被虛擬機(jī)所取代，或者至少是一個(gè)混合的工作環(huán)境。部署虛擬機(jī)后，在不同的服務(wù)器內(nèi)部可以調(diào)用相同的業(yè)務(wù)，這就為業(yè)務(wù)帶來(lái)了風(fēng)險(xiǎn)。另外，應(yīng)用程序應(yīng)用范圍的擴(kuò)大導(dǎo)致登錄數(shù)據(jù)庫(kù)的用戶(hù)，不再局限于來(lái)自NIS網(wǎng)段的小規(guī)模用戶(hù)，大量的遠(yuǎn)程用戶(hù)從異地登錄數(shù)據(jù)庫(kù)，良莠難辨。來(lái)自網(wǎng)絡(luò)的黑客攻擊，由簡(jiǎn)單粗暴的傳統(tǒng)拒絕服務(wù)攻擊，正被更加復(fù)雜的釣魚(yú)式攻擊取代。以殺毒軟件和防火墻為手段的數(shù)據(jù)保護(hù)措施，并不能阻擋來(lái)自惡意登錄用戶(hù)破壞數(shù)據(jù)的威脅。從這個(gè)角度看，登錄認(rèn)證比傳統(tǒng)的數(shù)據(jù)防護(hù)措施更加重要。提高了訪問(wèn)數(shù)據(jù)庫(kù)登錄認(rèn)證的安全級(jí)別，就提高了數(shù)據(jù)的安全等級(jí)。因此，Oracle Wallet帶來(lái)的登錄機(jī)制變化，消除了基于操作系統(tǒng)認(rèn)證時(shí)存在的安全隱患；帶來(lái)了安全機(jī)制的根本改善，是DSG應(yīng)用軟件在向云平臺(tái)拓展時(shí)，保證數(shù)據(jù)安全的有利措施和工具。

參考文獻(xiàn)

[1] 1. OSH SHAUL. ORACLE安全實(shí)踐[M].科學(xué)出版社，2009.

[2] Roger， Jennings， Cloud Computing with the windows Azure platform， Mark Stamp（張戈翻譯）.信息安全原理與實(shí)踐[M].北京：清華大學(xué).

[3] 王昭.信息安全原理與應(yīng)用[M].北京：電子工業(yè)出版社。

[4] 郭涌，金月恒. Oracle數(shù)據(jù)庫(kù)在賬務(wù)管理系統(tǒng)中的安全策略研究[J].信息技術(shù)與信息化 2010.

[5] http：//www.oracle.com/technetwork/database/security/twp-db-security-secure-ext-pwd-stor-133399.pdf.

[6] https：//www.rsa.com/en-us/resources.

[7] Oracle? Database Security Guide， 11g Release 1 （11.1），

[8] http：//docs.oracle.com/cd/B28359_01/network.111/b28531.pdf.

[9] https：//docs.oracle.com/middleware/1221/core/ASADM/wallets.htm#ASADM10224.

[10] Using SSL Combined with Other Oracle Authentication Methods

[11] http：//docs.oracle.com/cd/A84870_01/doc/network.816/a76932/09_ssl.htm.

[12] Oracle Database 10g Release 2 Security.

[13] https：//oraclenz.files.wordpress.com/2008/06/security_database_10gr21.pdf.endprint