1. Concepte importante in securitatea BD

 - Autentificarea: Se produce cel mai des prin intermediul login-ului si parolei de intrare in sistem;

 - Cifrarea: Procesul de codificare al informatiei

 - Autorizarea: Procesul care se aplica utilizatorilor autentificati, pentru a stabili drepturile la folosirea resurselor 

 - Urmarirea modificarilor: Urmarirea si documentarea actiunilor utilizatorilor

2. Modele de securitate

 - Principals: 

 - Securables: Resusrele, accesul la care se regleaza de sistema de autorizare in BD

 - Permissions: 

3. Autentificarea

- Sistema de securitate Database Engine este compusa din doua subsisteme:

    . Sistema de securitate Windows

    .Sistema de securitate SQL Server.

 - Pe baza acestor doua subsisteme componenta Database Engine poate lucra in unul din urmatoarele regimuri de autentificatie

    . Regim Windows (trusted connection)

    . Regim Mixt

4. Creare regim autentificare.

- Creare regim Windows: click-dreapta server BD -> Properties -> se deschide fereastra Server Properties -> Security -> Windows Authentication Mode;

- Creare regim Mixt: click-dreapta server BD -> Properties -> se deschide fereastra Server Properties -> Security -> Server and Windows Authentication Mode;

5. Cifrare (codificare date.

 . Algoritm important de codificare este RSA (Rivers, Shamir, Adelman).

 . Database Engine asigura securitatea BD prin erarhizarea nivelelor de codificare si infrastructura de manipulare cu chei. Fiecare nivel de securizeaza urmatorul nivel inferior prin combinatii de certificate, chei simetrice si asimetrice

 - Cheia principala controleaza cu restul cheilor si certificatelor. Ea se creaza automat la instalarea Database Engine. Este codificata cu ajutorul interfetei API de securitatea al datelor Windows (DPAPI - Data Protection API). Cheia principala este controlata de sistema. Administratorul de sistem poate efectua diferite operatiuni cu ea,dar se recomanda doar crearea copiei de rezerva a cheii principale.

 - Fiecare BD are o singura cheie principala care se creaza cu instructia CREATE MASTER KEY:

 - Cheia principale al BD se poate de folosit la crearea cheilor-utilizator, care sunt:

        . chei simetrice

        . chei asimetrice

        . Certificate

6. Chei simetrice.

 - In sistemul de codificare cu folosirea cheii simetrice, ambii participanti (expeditorul si destinatarii de mesaje) folosesc aceiasi cheie.

 - Pentru crearea cheii simetrice se foloseste instructiunea Transact-SQL: CREATE SYMMETRIC KEY.

 - Pentru stergere DROP SYMMETRIC KEY

 - Pentru a folosi o chei simetrica trebuie initial deschia: OPEN SYMMETRIC KEY.

 - Dupa deschidere cheie, pentru codificare trebuie folosita functia-sistem EncryptByKey. Aceasta functie are doi parametri de intrare: identificatorul cheii si textul care trebuie codificat.

7. Chei asimetrice.

 - Cheia asimetrica este de doua feluri

   .Private key

   .Public key

- Fiecare din ele poate decodifica datele, codificate cu alta cheie

 - Pentru creare cheie asimetrica: CREATE ASYMMETRIC KEY

 - Pentru modificare proprietati: ALTER ASYMMETRIC KEY

 - Pentru steergere DROP ASYMMETRIC KEY

- Dupa creare cheie, pentru codificare trebuie folosita functia-sistem EncryptByAsymKey. Aceasta functie are doi parametri de intrare: identificatorul cheii si textul care trebuie codificat.

- Pentru decodificare: DecryptByAsymKey

8. Certificate.

- Certificatul reprezinta lucrul cu semnatura digitala, care leaga valoarea unei chei cu persoana concreta / echipament etc., care are aceasta cheie.

 - Certificatele sunt date si semnate de centrul de certificare (Certification(CA)).

 - Entitatea care primeste un certificat se numeste subiect al acestui certificat.

 - Certificatele contin urm. informatie:

     . Valoarea cheii deschie al subiectului

     . Informatia subuiectului identificat

     . Iformatia creatorului de certificat identificat

     .Semnatura electronica al creatorului certificatului

 - Instructia importanta pentru certificate este: CREATE CERTIFICATE.

9. Redactare chei utilizator.

 - Pentru codificare cele mai importante sunt:

     .sys.symmetric_keys;

     .sys.asymmetric_keys;

     .sys.certificates;

     .sys.database_principals;

 - Primele trei reprezinta informatia despre toate cheile simetrice /asimetrice si despre toate certificatele.

 - sys.database_principals reprezinta informatia despre toti principals in BD

10. Administrare extinsa al cheilor SQL Server.

 - Urmatorul pas al nivelului de securitate mai inalt este Extensible Key Management(EKM) 

 - Scopuri EKM:

     .Marirea securitatii cheilor prin intermediul functiilor de codificare

     .Administrare comuna al cheilor

 - Permite inregistrarea echipamentelor terte in Database Engine

11. Metode de codificare al datelor.

 - SQL Server sustine doua metode:

    .Codificare la nivel de coloane (este complicat, trebuie modificari in aplicatie)

    .Codificare transparenta.(se face automat). Fisierele BD se codifica la nivel de pagini. Este bazata pe cheia de codificare. Se foloseste cheie simetrica.

- Codificarea transparenta se face in patru etape:

    1. Cu instructiunea CREATE MASTER KEY (se creaza cheia principala)

    2.Cu instructiunea CREATE CERTIFICATE (se creaza certificat)

   3.Cu instructiunea CREATE DATABASE ENCRYPTION KEY (se creaza cheia de codificare)

   4. Se efectuiaza configurarea BD

12. Setare securitate componentei Database Engine.

 - Se poate efectua prin metodele:

    .Prin intermediul Management Studio

 .Prin intermediul instructiunilor Transact-SQL

13. Administrare  securitate cu ajutorul Management Studio.

 - Pentru a crea un nume de inregistrare nou, in panoul Object Explorer extindem mapa serverului -> extindem Secutity -> click-dreapta pe Logins->New Login.

 - In primul rind trebuie de setat regimul de autentificare (Windows sau SQL Server)

 - Daca sa ales Windows authentication la cimpul Login name trebuie de indicat un nume valid in forma domain/user_name.

 - Daca sa ales SQL Server authentication este necesar de introdus un nume de inregistrare nou si parola. Optional se indica BD by default la care utilizatorul se conecteaza automat dupa intrarea in Database Engine.

14. Administrare  securitate cu ajutorul Transact-SQL.

 - Se folosesc trei instructiuni

     .CREATE LOGIN (creaza un nou nume de inregistrare)

     .ALTER LOGIN (modifica proprietatile unui nume de inregistrare)

     .DROP LOGIN (sterge un nume de inregistrare)

15. Schemele.

 - Se folosesc in modelul de securitate Database Engine pentru a simplifica interactiune intre utilizatori si obiecte.

16. Separare utilizatori si scheme.

 - Schema este o colectie de obiecte al BD, care are un singur proprietar si formeaza un singur spatiu de nume.

 - Database Engine sustine scheme denumite cu folosirea notiunii de "principal"

 - Principal poate fi:

     .principal individual (reprezinta un singur utilizator)

    .principal de grup(mai multi utilizatori)

 - Separarea utilizatorilor BD  de scheme ofera prioritatile:

     . Un principal poate avea mai multe scheme

     .Citiva principali individuali pot sa aiba o singura schema

     .Stergerea utilizatorului BD nu necesita redenumirea obiectelor, care se afla in schema

17. Instructiunile DDL pentru lucrul cu schemele.

 - CREATE SCHEMA

 - ALTER SCHEMA

 - DROP SCHEMA

18. Instructiunea CREATE SCHEMA.

 - Este necesar sa fie utilizaotri ai BD

 - Cu ajutorul instructiunii CREATEA SCHEMA se poate de creat schema, de format continutul tabelelor, cit si prezenta / interzice sau sterge permisiunile la obiectul securizat

 - Sunt 3 zone ale obiectelor securizate: serverul, BD si schema, care contin la rindul lor alte obiecte securiazte(nume de inregistrare, utilizatori ai BD, tabelele, procedurile)

 - CREATE SCHEMA este atomara.

19. Instructiunea ALTER SCHEMA.

 - ALTER SCHEMA muta obiectele intre diferite scheme ale unei BD

 - Sintaxa:  ALTER SCHEMA schema_name TRANSFER object_name

20. Instructiunea DROP SCHEMA.

 - Se foloseste pentru stergerea unei scheme.

 - Schema se poate sterge doar daca nu contine obiecte

21. Securitatea bazelor de date.

 - Utilizatorul trebuie sa aiba cont de inregistrare pentru fiecare BD

 - Cont de inregistrare al utilizatorului BD se poate suprapune cu contul Windows, nume de inregistrare sau rol.

 - Admiistrarea securitatii BD se face cu ajutorul

     . Management Stuid

     . Transact-SQL 

22. Administrare securitate BD cu Management Studio.

 - Pentru a adauga utilizatori: extindem mapa "Databases" ->extindem mapa user_DB(ex. Test) -> extindem Security -> click-dreapta Users ->New User -> in fereastra Database User - New ->introducem numele utilizatorului User name -> alegem numele de inregistrare Login name-> optional se poate alege schema.

23. Administrare securitate BD cu Transact-SQL.

 - Pentru adaugare -> CREATE USER

 - Modificare -> ALTER USER

 - Stergere -> DROP USER

24. Schema BD by default.

 - Fiecare BD are urmatoarele scheme by default

  . guest

  . dbo

  .INFORMATION_SCHEMA

  .sys

- Database Engine permite utilizatorilor,care nu au cont de utilizator sa lucreze cu BD folosind schema guest

 - Fiecare obiect al BD apartine doar unei scheme, care este schema by default pentru acest obiect.

 - Daca la creare obiect nu i se indica o schema, acest obiect apartine schemei dbo

 - sys contine obiectele de sistem.

25. Rolurile.

 - Cind mai multor utilizatori le este necesar sa intreprinda actiuni asemanatoare in BD si nu sunt membri gtupei Windows corespunzatoare, se poate de folosit rolurile BD , date unei grupe de utilizatori ai BD, si care au acces la unele si aceleasi obiecte.

 - Membrii rolurilor BD pot fi

      .Grupele si conturile de inregistrare Windows

      .Numele de inregistrare pentru intrare in SQL Server

      .Alte roluri

 - Database Engine contine citeva roluri de 'sistem', care au permisiuni speciale

 - Sunt si roluri predeterminate:

     . Roluri server fixate

     . Roluri BD fixate

 - De asemenea mai sunt si roluri

   . roluri apicatie

   .roluri server determinate de utilizatori

   .roluri BD determinate de utilizatori

26. Rolurile server fixate.

 - Se determine la nivel de server si nu se afla in BD

27. Administrarea rolurilor server fixate.

 - Membrii rolurilor-server fixate se pot adauga si sterge prin:

   . Managemen Studio

   . Transact-SQL

 - Pentru a adauga nume de inregistrare in membrii rolurilor-server fixate: extindem serverul -> Security -> Server Roles -> click-dreapta pe rolul in care trebuie de adaugat nume de inregistrare -> in meniu alegem Properties ->se deschide fereastra Server Role Properties - sysadmin - > Add -> Browse pentru a alege numele de inregistrare.

- Pentru a administra cu Transact-SQL folosim instructiunile

     .CREATE SERVER ROLE

     .DROP SERVER ROLE

     .ALTER SERVER ROLE

28. Numele de inregistrare  sa

- Este numele de inregistrare al administratorului de sistem

 - Este inclusa in SQL Server 2012 cu scop de compatibilate cu cu sistemele mai vechi.

 - Se foloseste doar atunci cind nu este alta metoda de a intra in sistemul BD

29.

Rolurile fixate ale BD

- Se determina la nivel de BD si sunt in fiecare BD

30. Rolul fixat public

- Este un rol special, membrii caruia sunt toti utilizatorii legali ai BD

 - Curpinde toate permisiunile 

 - Nu poate fi sters

 - By default rolul public permite urmatoarele actiuni

          > vizualiza tabele de sistem si vizualizarea informatiei din BD master,

          > executa instructiuni pentru care nu este nevoie de permisiune,Ex.: PRINT.

31.. Atribuirea de rol fixat utilizatorilor

 - extindem 'sereverul' -> extindem Databases->BD_necesara->Security->Roles->Database Roles -> clic-dreapta pe rolul necesar -> Properties -> in fereastra aparuta tastam Add-> alegem utlizatorul caruia sai atribuim acest rol.

32. Rolurile aplicatiei

 - Permit asigurarea securitatii pentru o aplicatie anume

 - Permit aplicatiei sa execute autorizarea (in loc sa faca asta sistemul BD)

 - Nu au membri

 - Pentru activare trebuie parola

33. Administrarea rolului aplicatiei in Management Studio

 - Pentru a crea un rol aplicatie: extindem "serverul"-> extindem Database -> baza_mea->Security ->click-dreapta pe mapa Roles->New->New Application Role-> in fereastra Application Role - New introducem numele noului rol aplicatie, parola si optional schema. -> OK.

34. Administrarea rolului aplicatiei in Transact-SQL

 - CREATE APPLICATION ROLE (creaza)

 - ALTER APPLICATION ROLE (modifica)

 - DROP APPLICATION ROLE (sterge)

35. Activare a rolului aplicatiei 

 - La conectare trebuie de executat instructiunea de sistem:     sp_setupprole

 - La activare rol cu ajutorul procedurii  sp_setupprole trebuie de avut in vedere

> Rolul activat nu se poate dezactiva in BD curenta, pina cind nu se deconecteaza de la sistema

> Rolul aplicatiei este intotdeauna legat de BD, domeniul de vizibilitate este BD curenta

36. Roluri server determinta de utilizator

 - CREATE SERVER ROLE 

 - DROP SERVER ROLE

 - ALTER SERVER ROLE

37. Roluri BD determinta de utilizator

 - CREATE  ROLE 

 - DROP  ROLE

 - ALTER  ROLE

38. Administrare roluri BD determinta de utilizator prin intermediul Management Studio

 - extindem 'Databases' -> BD_necesara -> Security -> click-dreapta pe Roles -> New ->New Database Role -> in fereastra Database Role - New ->introducem numele noului rol -> Add pentru a adauga membri in noul rol-> OK.

39. Administrare roluri BD determinta de utilizator prin Transact-SQL

 - CREATE  ROLE  sintaxa: CREATE ROLE role_name [AUTHORIZATION owner_name]

 - ALTER ROLE -> modificare nume

 - DROP ROLE -> stergere(trebuie de schimbat detinatorul obiectelor care nu se pot sterge)

40. Autorizatia

 - GRANT;

 - DENY;

 - REVOKE;

41. Instructiunea GRANT

 - ofera permisiunea principalului la obiectele securizate

42. Instructiunea DENY

 - Interzice executarea unei instructiuni pentru obiectele indicate

 - IN afara de parametrii instructiunii GRANT mai contine instr. CASCADE

43. Instructiunea REVOKE

 - Sterge permisiunile date/interzise anterior create

 - Parametru nou: GRANT OPTION FOR

44. Administrarea permisiunilor cu Manegement Studio

 - extindem 'serverul' -> extindem 'Databases'->click-dreapta pe BD_necesara -> Properties -> in fereastra Database Permision - sanple->Permissions -> Search pentru a alege utilizatorul->Browse -> in fereastra Browse for Objects alegem utilizatorul si rolul -> OK.

  - Utilizatorii alesi vor fi prezentati in fereastra proprietatilor BD in cimpul Users or roles.

 - Pentru utilizatorii acum se poate de permis sau interzis actiuni determinate

 - Pentru permisiune se punefanionul GRANT

 - Pentru interzicere - DENY.

 - Fanionul la With Grant, inseamna ca detinatorul permisiunii poate acorad si altor utilizatori permisiuni.

 - Pentru tabele ,individual, -> proprietatile tabelului -> User or Roles

45. Administrarea autorizatiei si autentificarii pentru BD autonome

 - Utilizatorii BD autonome nu sunt legati de nume de inregistrare

46. Urmarire modificari

 - Se face prin doua metode

  <> folsind trighere

  <> folosind sistema de urmarie (se creaza un jurnal in care se indica ce schimbari au fost)

 - Se creaza schema cdc. utilizatorul cdc, si alte obj.

47. Securitatea datelor si al reprezentarilor

 - reprezentarile se folosesc pentru:

   <> limitarea folosirii unor coloane/rinduri din tabele

   <> acunderea detaliilor cererilor complicate 

   <> limitarea diapazonului valorilor introduse