本space主要想聚合Oralce技术专家的随笔和技术文章，另外整理和收集Oracle经典技术文章。

如何应对被公开的Oracle口令加密算法（4）

上一篇 / 下一篇 2008-05-31 16:00:26 / 个人分类：Oracle管理维护

上面语句制定的口令管理政策为：口令的有效期为30天，随后有7天的宽限期，宽限期后口令“过期”，必须更改口令后才能登录。只有经过365天后才能重新使用以前的口令。在连续10次输入口令错误后，账号被封锁，设定不自动解锁，必须由DBA手动解除封锁。口令验证函数为my_verify_function。

Oracle 11g以前版本，缺省设置中没有设定口令的有效期，而在Oracle 11g中缺省设置有效期为180天。程序中直接写入口令的应用在升级到11g时一定要注意有效期问题，避免半年后应用突然无法自动运行。另外，口令的有效期对SYS用户不起作用，DBA一定要主动定期更换口令。

另外一个措施是对登录数据库服务器的主机进行限定，如指定网段或指定IP地址。进一步限定客户端允许执行的程序，如对非本地登录禁止使用SQLPLUS，只允许执行某特定应用。

认真实施本文中给出的措施后，可以很有效地防止口令被破解。然而我们的目的是提高数据库系统的安全性，而不仅仅是保证口令不被破解。数据库系统安全的任何一个环节出现问题，都会导致前功尽弃。黑客的目的是入侵系统盗窃数据，是不会按常理出牌的，会尝试各种手段方式，如社会工程、安全漏洞、物理入侵等等，而不会执着地在口令破解上与我们较劲。这一点需要我们经常提醒自己，从而切实保证数据库系统安全。

抵御口令破解要从多方面着手

数据库中存在多种权限用户，各种授权用户构成一棵树

如何维护Oracle数据库密码文件

管理好数据库密码文件，对于控制授权用户从远端或本机登录Ｏｒａｃｌｅ数据库系统，执行数据库管理工作，具有重要的意义。Ｏｒａｃｌｅ数据库的密码文件存放有超级用户ＩＮＴＥＲＮＡＬ／ＳＹＳ的口令及其他特权用户的用户名／口令，它一般存放在ＯＲＡＣＬＥ＿ＨＯＭＥ＼ＤＡＴＡＢＡＳＥ目录下。下面是一些常见的密码文件维护工作：

１．查看密码文件中的成员

可以通过查询视图Ｖ＄ＰＷＦＩＬＥ＿ＵＳＥＲＳ来获取拥有ＳＹＳＯＰＥＲ／ＳＹＳＤＢＡ系统权限的用户的信息，表中ＳＹＳＯＰＥＲ／ＳＹＳＤＢＡ列的取值ＴＲＵＥ／ＦＡＬＳＥ表示此用户是否拥有相应的权限。这些用户也就是相应地存在于密码文件中的成员。

２．扩展密码文件的用户数量

当向密码文件添加的账号数目超过创建密码文件时所定的限制即ＯＲＡＰＷＤ．ＥＸＥ工具的ＭＡＸ＿ＵＳＥＲＳ参数　时，为扩展密码文件的用户数限制，须重建密码文件。

３．修改密码文件的存储位置

密码文件的存放位置可以根据需要进行移动，但作此修改后，应相应修改系统注册库有关指向密码文件存放位置的参数或环境变量的设置。