DBMS_CRYPTO Package를 이용한 단방향 암호화

   

  • 단방향 암호화란?
    • 고객의 Password와 같이 특정 컬럼에 암호화(ENCRYPTION)하며, 복호화(DESCRIPTION)이 필요 없는 단방향성 암호화 기법이다.
    • 고객의 Password는 암호화만 되며, 고객이 입력한 Password는 암호화 루틴을 거쳐 암호화된 값과 일치 여부를 판별한다. 복호화 과정은 필요 없으며, 있을 필요도 없다.
    • 고객의 Password의 분실 시 복호화 해서 알려주는 것이 아니라 RESET으로 임의의 초기값으로 설정하여 통보한다.

         

  • 단방향 암호화를 위해서는
    • Encryption의 Function은 볼 수 없어야 합니다. ==> wrap으로 처리
    • MASTER KEY는 보안담당자만이 알고 있거나, 한번 설정으로 알 필요가 없어야 한다.
    • 해당 특정 Application(AP서버에 있는 Application만)만 암/복호화를 할 수 있어야 한다. ==> Data Vault이용 (Option)
    • Password를 잊었을 경우는 DBMS_RANDOM을 이용하여 초기화 한 후 고객에게 초기화 Password를 알려 준다.

       

       DBMS_CRYPTO를 위한 암호화 Function

   

해당 Function Scriptwrap를 이용하여 Wrapping

   

Wrapping 된 단방향 암호화 Function – 암호화 로직 Master Key를 알 수 없다.

   

Wrapping 된 단방향 암호화 Function – 암호화 로직 Master Key를 알 수 없다.

블로그 이미지

운명을바꾸는자

IT와 함께 살아가는 삶

,


Fine Grained Auditing의 활용

  • 사용자 및 오브젝트의 액세스 패턴 에 관한 Auditing 이외에 보다 정교하고 세분화된 조건을 만족하기 위하여 Fine Grained Auditing 을 사용한다
  • Fine Grained Auditing을 사용하여 다음의 Policy를 구현할 수 있다.
    • 사전에 정의된 조건에 맞는 결과에 대해서만 Audit
    • 지정된 컬럼들 (Any or All) 이 사용된 경우에만 Audit
    • SQL 단위의 Audit ( Select 및 DML 포함)

         

  • 실행 계획

       ① 중요한 테이블과 컬럼의 목록을 작성한다.

② 정보 접근에 대한 감사 기준을 설정한다. (예: salary가 500 이하인 경우는 감사 조건에 포함시키지 않음).

③ 가능한 모든 기준을 감안하여 조건을 조합하며, 하나의 구문이 두 개 이상의 조건에 적용되지 않도록 한다.

④ 정의된 조건을 이용하여 FGA 정책을 구현한다. ( DBMS_FGA.ADD_POLICY)

⑤ FGA 정책을 활성화한다. (AUDIT_TRAIL = DB_EXTEND)

⑥ 일정 시간이 경과한 후 FGA 감사 로그 파일을 분석한다. (DBA_FGA_AUDIT_TRAIL)

⑦ 로그 파일의 삭제를 위한 스케줄을 설정하고 FGA 로그 테이블을 삭제한다.

   

  • 세부적인 Auditing조건을 쉽고 간단하게 Auditing 설정 예

       

       

  • TEST 작업 스크립트

exec dbms_fga.drop_policy(

object_schema => 'SCOTT',

object_name => 'EMP',

policy_name => 'CONA_ACCESS_FGA'

);

begin

dbms_fga.add_policy (

object_schema => 'SCOTT',

object_name => 'EMP',

policy_name => 'EMP_ACCESS_FGA',

audit_column => 'ENAME',

audit_condition => 'SYS_CONTEXT(''USERENV'',''IP_ADDRESS'') NOT IN (''127.0.0.1'',''10.103.90.1'',' ||

'''10.103.90.2'',''10.103.90.3'',''10.103.90.4''' ||

',''10.103.90.12'',''10.103.90.13'',''10.103.90.22'',''10.103.90.23''' ||

',''10.103.90.32'',''10.103.90.33'',''10.103.90.42'',''10.103.90.43'')' ,

statement_types => 'INSERT,UPDATE,DELETE,SELECT',

audit_trail => DBMS_FGA.DB + DBMS_FGA.EXTENDED );

end;

/

 

select ENAME from scott.emp;

select *from scott.emp;

select *from DBA_FGA_AUDIT_TRAIL;

   

블로그 이미지

운명을바꾸는자

IT와 함께 살아가는 삶

,


WRAP 유틸리티 활용

   

  • 내장 프로시저와 함수에 패스워드, 암호화 키와 같은 중요한 정보를 저장해 두는 경우가 있으며 해커는 코드 내에서 해당 부분을 쉽게 조회할 수 있다.
  • 이와 같은 위협을 차단하기 위한 최상의 대안은 wrap 유틸리티를 사용하는 것이다.

       

  • 실행 계획
    • 패스워드나 암호화 키 등이 포함되어 있는 procedure 나 함수를 wrap 유틸리티 혹은 PL/SQL (dbms_ddl.create_wrapped )를 이용하여 wrap 한다

       

       

  • TEST 작업 스크립트

SET SERVEROUTPUT ON SIZE UNLIMITED

DECLARE

l_source VARCHAR2(32767);

l_wrap VARCHAR2(32767);

BEGIN

l_source := 'CREATE OR REPLACE FUNCTION get_date_string RETURN VARCHAR2 AS' ||

'BEGIN ' ||

'RETURN TO_CHAR(SYSDATE, ''DD-MON-YYYY''); ' ||

'END get_date_string;';

l_wrap := SYS.DBMS_DDL.WRAP(ddl => l_source);

DBMS_OUTPUT.put_line(l_wrap);

END;

/

   

CREATE OR REPLACE FUNCTION get_date_string RETURN VARCHAR2 AS BEGIN RETURN TO_CHAR(SYSDATE, 'DD-MON-YYYY'); END get_date_string; /

   

wrap iname=get_date_string.sql oname=get_date_string_wrap.sql

   

블로그 이미지

운명을바꾸는자

IT와 함께 살아가는 삶

,


Corrupt Data Found During RMAN Backup Troubleshoot

   

1. 이슈사항

  • RMAN Full BACKUP을 수행 할 때, 특정 TBS에서 Block Corrupt 현상이 발견되는 상태
  • 운영 시에는 Block Corrupt현상이 없으며 RMAN FULL BACKUP이 수행되는 새벽시간에만 해당 에러가 발생되고 있는 상태
  • 현재 ASM Disk의 경우에 3중(HIGH)으로 Mirroring 되어 있는 상태

ORA-27061: waiting for async I/Os failed

Linux-x86_64 Error: 5: Input/output error

Additional information: -1

Additional information: 4194304

WARNING: Read Failed. group:1 disk:4 AU:626 offset:0 size:4194304

WARNING: failed to read mirror side 1 of virtual extent 1977 logical extent 0 of file 261 in group [1.103449180] from disk DATA_0004 allocation unit 626 reason error; if possible, will try another mirror side

NOTE: successfully read mirror side 2 of virtual extent 1977 logical extent 1 of file 261 in group [1.103449180] from disk HDD_E0_S01_975274559P1 allocation unit 4776

Tue Apr 28 03:10:41 2015

Hex dump of (file 4, block 1028608) in trace file /u01/app/oracle/diag/rdbms/SID/SID1/trace/SID1_ora_21436.trc

Corrupt block relative dba: 0x010fb200 (file 4, block 1028608)

Completely zero block found during backing up datafile

Trying mirror side HDD_E1_S06_1135637411P1.

Reread of blocknum=1028608, file=+DATA/datafile/undotbs2.261.794895089. found same corrupt data

Reread of blocknum=1028608, file=+DATA/datafile/undotbs2.261.794895089. found valid data

Hex dump of (file 4, block 1028609) in trace file /u01/app/oracle/diag/rdbms/SID/SID1/trace/SID_ora_21436.trc

Corrupt block relative dba: 0x010fb201 (file 4, block 1028609)

Completely zero block found during backing up datafile

….

..

Corrupt block relative dba: 0x00800201 (file 2, block 513)

Bad header found during backing up datafile

Data in bad block:

 type: 1 format: 2 rdba: 0x00003102

 last change scn: 0xb408.00000003 seq: 0x8 flg: 0x01

 spare1: 0x8 spare2: 0x1 spare3: 0x0

 consistency value in tail: 0x00000000

 check value in block header: 0x9

 block checksum disabled

ksfdrfms:Mirror Read file=+DATA/wind/datafile/sysaux.257.797856311 fob=0x3cb15a548 bufp=0x7f1f74501000 blkno=513 nbytes=8192

ksfdrfms: Read success from mirror side=1 logical extent number=0 disk=DATA_0002 path=/dev/asmdisks/oracle_ocr02p1

Mirror I/O done from ASM disk /dev/asmdisks/oracle_ocr02p1 

Trying mirror side DATA_0002.

Reread of blocknum=513, file=+DATA/wind/datafile/sysaux.257.797856311. found same corrupt data

ksfdrnms:Mirror Read file=+DATA/wind/datafile/sysaux.257.797856311 fob=0x3cb15a548 bufp=0x7f1f74501000 nbytes=8192

ksfdrnms: Read success from mirror side=2 logical extent number=1 disk=DATA_0003 path=/dev/asmdisks/oracle_recovery01p1

Mirror I/O done from ASM disk /dev/asmdisks/oracle_recovery01p1 

Reread of blocknum=513, file=+DATA/wind/datafile/sysaux.257.797856311. found valid data

   

2. 원인 분석

  • Corrupt Data Found During RMAN Backup (문서 ID 1610350.1) 오라클 공식 문서 참조

     


3. 분석 내용

  • RMAN Full Backup이 수행 될 때에 Corrupt Data를 확인하여 Alert log에 보여주는 것으로 판단되며 현재 3중으로

    Mirroring되어 있어 운영에는 큰 영향이 없는 상태(정상적인 Block을 확인하여 백업 진행)

  • 해당 되는 TBS를 확인하여 복구작업을 진행해야 함.

       

4. 해결

  • 공식 문서에 수행해야 하는 절차가 상세하게 나와있다.
  • Full Backup 후에 DB를 내리고 Mount 상태에서 복구를 진행하면 된다.

1) Take a full backup of the database and archivelogs

2) Shutdown the database and startup mount the database

3) Restore and recovery as follows:

   

RMAN > run

{

allocate channel c1 type disk;

allocate channel c2 type disk;

allocate channel c3 type disk;

allocate channel c4 type disk;

restore datafile < list all the affected files separated by commas >;

recover database;

sql 'alter database open';

}

   

Item 1 this will backup the database if the block is corrupt on the primary side RMAN will get the good block from the mirror. So once you have a good backup restoring the datafile will restore with good blocks. 

 


'1. IT Story > DB' 카테고리의 다른 글

Oracle Backup & Recovery의 종류  (0) 2015.09.15
DBMS_CRYPTO Package를 이용한 단방향 암호화  (0) 2015.09.08
Fine Grained Auditing의 활용  (0) 2015.09.08
WRAP Utility 활용  (0) 2015.09.08
DATABASE 암호화 기술들  (0) 2015.09.04
Oracle oradebug활용 Troubleshoot  (0) 2015.09.04
Oracle RAC 11gR2 주요 Command(명령어)  (0) 2015.09.04
Oracle Flashback  (0) 2015.09.04
블로그 이미지

운명을바꾸는자

IT와 함께 살아가는 삶

,