通过安全数据库服务器层的会话属性传播的制作方法
【专利说明】通过安全数据库服务器层的会话属性传播
【背景技术】
[0001] 本发明一般涉及改进的数据处理装置和方法，特别涉及用于通过安全数据库服务 器层传播会话属性的机制。
[0002] 现代管理信息环境涌现，增加了安全性能的层级。有时，为保护数据的加密操 作既费时又具有昂贵的计算费用。结果，加密操作被典型地保留用于高敏感的政府和金 融场合。由于处理器速度提高和存储能力增加，以前仅仅为特别的、昂贵的硬件保留的 执行加密操作的能力，如今在很多应用中变得普通。传统的非定制应用（off the shelf applications)将加密能力嵌入在软件中，因为这样做不再产生处理瓶颈。
[0003] 而且，由于网络能力持续增长，随着宽带（例如，电缆调制解调器）互联网访问和 WiFi能力（例如802. llb/g/n无线）的持续普及，数据传输的纯粹数量提高了对未加密传 输（所谓"明码传输"）承担泄露敏感信息的正在增加的风险的认识。存在在传输中加密绝 大多数或者全部数据的新兴趋势，因为这样做几乎没有缺点。相应地，在源和目的地传输的 数据通常被加密。
【发明内容】
[0004] 在一个说明性的实施例中，提供一种在包括处理器和存储器的数据处理系统中的 方法，用于处理数据库客户请求。该方法包括由所述数据处理系统的非安全访问本地代理， 从客户计算装置接收加密的数据库客户请求（DCR)，作为在所述数据处理系统和所述客户 计算装置之间的会话的一部分。所述方法进一步
[0005] 包括由所述非安全访问本地代理检索对应于所述会话的数据库会话信息（DSI) 地址。另外，所述方法包括由所述非安全访问本地代理基于所述加密的DCR的一部分生成 第一特定可识别键（UIK)。进一步地，所述方法包括由所述非安全访问本地代理产生DSI映 射数据结构，该结构映射所述第一 UIK至所述DSI地址，以及由所述数据处理系统的安全访 问本地代理使用所述DSI映射数据结构处理所述加密的DCR。
[0006] 在另一个说明性的实施例中，提供一种包括具有计算机可读程序的计算机可用或 可读介质的计算机程序产品。所述计算机可读程序，当在计算装置上执行时，使所述计算装 置执行根据所述方法说明性实施例的上面概述的操作的各种多个或者组合。
[0007] 在另一个说明性实施例中，提供一种系统/装置。该系统/装置可包括一个或多 个处理器和耦接到所述一个或多个处理器的存储器。该存储器可包括指令，当所述一个或 多个处理器执行该指令时，该指令使所述一个或多个处理器根据所述方法说明性实施例的 上面概述的操作的各种多个或者组合。
[0008] 这些和其它特征和本发明的优点将在下面示例性的本发明的实施例的详细描述 中进行介绍，或者基于这些详细描述对本领域技术人员而言是显而易见的。
【附图说明】
[0009] 本发明，以及优选的使用模式和进一步的发明目的以及优点，通过参考下面的说 明性实施例的详细描述同时结合相应的附图进行阅读，将更好地被理解，其中：
[0010] 图1是适合与安全数据库访问一起使用的示例性管理信息环境的环境图；
[0011] 图2是适合与非安全数据库访问一起使用的数据存储和检索环境的环境图；
[0012] 图3是依据一个说明性实施例的安全数据库系统的示例性框图；
[0013] 图4是依据一个说明性实施例说明为当前会话从加密数据库客户请求（DCR)和所 述数据库会话信息（DSI)地址与UIK的映射提取特定可识别键（UIK)的示例图；
[0014] 图5是根据一个说明性实施例用于在安全数据库系统处理加密数据库客户请求 (DCR)的示例性操作的概略流程图；以及
[0015] 图6是说明性实施例可在其中实现的示例性数据处理系统的框图。
【具体实施方式】
[0016] 说明性实施例提供通过安全数据库服务器层传播会话属性。如上所述，加密的数 据传输在增长并且特别对数据库访问是主要的。也就是说，数据库访问可能是安全的（加 密的）或不安全的（未加密的）。术语"安全"和"非安全"用在这里形容本地代理是指识 别该本地代理是否与密码引擎会同工作以加密/解密数据，其中非安全访问本地代理操作 明码文本或未加密数据，而安全访问本地代理操作密码引擎和加密的数据。依据数据库访 问是安全的还是非安全的，对数据库访问的监视是不同的。
[0017] 美国专利申请公开号为2010/0131758，发明名称为"Nondestructive Interception of Secure Data in Transit"，公开日为 2010 年 5 月 27 日，其描述了用于 安全数据库访问的数据库访问监视机制的例子。利用公开号为2010/0131758的美国专利 申请的该机制，通过网络在一接口以安全方式接受客户请求。在数据库服务器层调用加密 操作以解密收到的数据库客户请求（DCRs)和加密数据库服务器响应（DSRs)。安全访问本 地代理（LA1)，参考公开号为2010/0131758的美国专利申请中的数据库监视代理，在解密 之后或在由加密操作的加密之前，拦截明码文本DCRs和DSR数据，不中断数据库服务器和 客户计算装置之间的数据主流。所述安全访问本地代理（LA1)转发拦截到的明码文本DCR 和DSR数据到外部数据库监视器以进一步分析。
[0018]图1是适合与安全数据库访问使用的示例性管理信息环境的环境图。如图1所 示，管理信息环境100包括通过网络130耦接到主机120的用户节点110-1……110-n (统 称110)。用户节点110典型地是个人电脑或可操作地与主机120交互通信的包括图形用户 界面（GUI) 112的其它本地计算装置。主机120提供服务，比如数据访问和检索服务，通过 耦接到对应⑶I 112的主机应用122-1. .. 122-n (统称122)。主机应用122包括耦接到一 个或多个数据库服务器的进程（processes) 128以用于执行指令以执行向用户110交付服 务。在示例配置中，主机应用122是耦接数据库管理系统（DBMS) 124的数据库服务器，用于 通过数据库126向用户110提供数据访问和检索服务，因此进程128是数据库服务器或负 责耦接接口 125和DBMS 124的代理进程。
[0019] 典型数据库环境100经常使用数据层安全机制154。这种数据层安全机制聚焦向 或来自数据库的数据访问交易（transaction) 140, 142,而不是在调用应用122上的特权或 访问控制列表。数据层安全机制154可以包括外部数据库安全监视器150、数据库监视代理 160、或二者的结合，有效定义数据层安全机制（数据库监视器）154。
[0020] 如上所示，数据库126中的数据的安全是最重要的。对应地，数据库监视器154拦 截和仔细检查数据访问交易140,要么通过在连接到接口的网络拦截交易140'，要么通过 数据库代理152拦截交易140"。因为性能原因，在接口 125前，经常在网络连接132上捕获 访问交易140,以从主机120卸载安全处理。然而，如下将会讨论的，一些环境仍在主机120 上使用数据库监视代理160,这里也作为安全访问本地代理（LA1)。
[0021] 如上所讨论的，许多数据库管理系统124加密数据访问交易140,以避免在从应用 ⑶I 112到数据库126的传输中暴露敏感数据项目。数据访问响应142可以被同样覆盖。 然而，数据库监视器124(安全访问本地代理（LA1))在明码文本（未加密）数据上运行。相 应地，数据库监视器124响应于密码文本转为明码文本，识别拦截点172-1……172-4 (统称 172)，并且捕获明码文本交易140"用于检查。依赖于加密所采用的特定的DBMS 124,拦截 点172可以发生在几个地方中的一个。在如拦截点172-4所示的DBMS IPC的拦截（即，端 口读取监控）例子中，拦截点172-4由读端口 187触发以读取如箭头99所示从接口 125到 端口 187通过的数据。通信来自从接口 125的加密和服务进程（SVC) 158'通过调用加密操 作158解密数据。然后传递解密数据到DBMS 124,实际的拦截发生在此，下面将进一步讨 论。
[0022] 当用于解密158的密码操作从接口 125被调用时，在接口 125应用进程间通信 (IPC)机制来拦截来自网络132的数据库访问交易140,典型地通过读套接字上的端口，如 拦截区170-1所示。拦截点172-1由DBMS 124使用的预定端口用于接收数据库访问交易 140,并且被监控或建立在预定端口被触发的拦截所影响。在这种方式中，操作系统（0S)响 应于导致在数据库监视器中读端口的数据库交易140而调用读端口，检查数据，并且传递 其至 DBMS 124。
[0023] 当对加密操作的动态链接表（DLL)调用被运用时，在区170-2发生拦截。通过在 区170-2的拦截点172-2在解密操作前插入数据库监视器调用，对应于解密操作158的调 用签名被取代。在加密操作158的原始目的签名180之前，该动态链接表处理满足与监视 器签名182的连接。数据库监视器152调用密码操作158,检查交易140,随后返回控制。
[0024] 在端对端的加密方案中，DBMS进程124本身包括通过静态连接对解密操作158的 调用172-3。在本例中，在可执行映像（存储器存留机器代码（epodes))的代码被检查以识 别对解密操作的调用，典型地为堆栈调用。用推迟数据库监视器154的控制的代码替换所 述代码，然后调用解密操作158和检查交易140。
[0025] 专利号为7, 426, 512于2008年9月16日授予Ron Ben-Natan的美国专利描述了 用于非安全数据库访问的数据库访问监控机制的例子。如在该'512专利中描述的，本地客 户向进程间通信（IPC)机制发送访问尝试。IPC拦截机制拦截该访问尝试并将其转发到非 安全访问本地代理（LA2)，响应于该本地访问尝试，该本地代理通过讯问（interrogating) 该IPC机制确定数据库指令。然后该非安全访问本地代理（LA2)传输该确定的数据库指令 到外部数据安全装置以分析和进一步由数据库监控器操作。该外部数据安全装置也通过网 络交换机/分路器（switch