กลยุทธ์ระบบฐานข้อมูลมือถือในความปลอดภัยข้อมูลมีอะไรบ้าง?

มีกลยุทธ์ระบบฐานข้อมูลมือถือหลายอย่าง ดังนี้:

• การปรับปรุงกลไกการยืนยันตัวตนให้สมบูรณ์ (Perfecting the Authentication Mechanism) — สามารถป้องกันการเข้าถึงเทอร์มินัล (Terminal Access) อย่างหลอกลวง และข้อมูลพื้นหลัง (Background Information) อาจถูกทำลาย จำเป็นต้องมีการยืนยันตัวตน (Identity Authentication) เมื่อผู้ใช้มือถือและฐานข้อมูลบริการทำงานซิงโครนัส (Synchronous) ในระบบฐานข้อมูลมือถือ

  เมื่อจำเป็นต้องเชื่อมต่อหรือตัดการเชื่อมต่อผู้ใช้มือถือ ฐานข้อมูลมือถือต้องดำเนินการยืนยันตัวตนด้วยตัวเอง เนื่องจากผู้ใช้ป้อนชื่อผู้ใช้และรหัสผ่าน จึงสามารถสืบค้น เปลี่ยนแปลงแคชท้องถิ่น (Local Caching) หลังจากการยืนยันตัวตนในผู้ใช้มือถือ แต่ผู้ใช้มือถือจำเป็นต้องยืนยันตัวตนในเซิร์ฟเวอร์ฐานข้อมูล เมื่อผู้ใช้มือถือและเซิร์ฟเวอร์ฐานข้อมูลสื่อสาร

• เสริมสร้างการควบคุมการเข้าถึงที่จัดเก็บให้แข็งแกร่งขึ้น (Further Strengthen Storage Access Control) — การควบคุมการเข้าถึงต้องการการตัดสินใจข้อมูลเพื่อให้และบังคับใช้สิทธิ์ สามารถควบคุมความปลอดภัยฐานข้อมูลได้อย่างยืดหยุน ระบบจัดการฐานข้อมูล (DBMS) ควรสนับสนุนกลไกความปลอดภัยแบบไดนามิก (Dynamic Security Mechanisms) รวมถึงการอนุญาตแบบไดนามิก (Dynamic Authorization)

  การประมวลผลข้อมูลนำทางโดยอุปกรณ์มือถือ ดังนั้นระบบฐานข้อมูลอนุญาตให้ผู้ดูแลฐานข้อมูลและผู้ใช้เข้าถึงเฉพาะ (Specific Access Users) ให้สิทธิ์เข้าถึงผู้ใช้หลายคนแบบเลือกเฉพาะ (Selectively) และแบบไดนามิก (Dynamically) แต่หากผู้ใช้ต้องการเข้าถึงทรัพยากรของฐานข้อมูลมือถือ ควรลงทะเบียนกับผู้ใช้ กำหนดรหัสผ่าน และให้สิทธิ์เข้าชมทรัพยากรระบบที่สอดคล้อง ผู้ใช้ที่ไม่ได้รับอนุญาตแบบสุ่ม (Unauthorized Arbitrary Users) ไม่สามารถใช้ทรัพยากรฐานข้อมูลได้ สามารถเพิ่มความปลอดภัยฐานข้อมูลได้ โดยการเปลี่ยนรหัสผ่านผู้ใช้อย่างต่อเนื่อง

• เสริมสร้างการเข้ารหัสข้อมูล (Strengthen the Encryption of Data) — การควบคุมการเข้าถึงเพียงอย่างเดียวไม่เพียงพอที่จะเพิ่มความเป็นส่วนตัว และข้อมูลที่จัดเก็บในระบบฐานข้อมูลมือถือเป็นสิ่งสำคัญ ดังนั้น จำเป็นต้องเข้ารหัสเพื่อป้องกันการรั่วไหล (Leakage) ก่อนอื่น ต้องตั้งรหัสผ่านการเข้ารหัส (Password Encryption) ตามโมดูลฟังก์ชันของฐานข้อมูลหลายฐานข้อมูล เพื่อตั้งระดับรหัสผ่านที่แตกต่างกัน และรหัสผ่านต้องถูกเข้ารหัส

  ความปลอดภัยรหัสผ่านสามารถใช้วิธีการศูนย์ (Zero-knowledge Approach) ได้ ดังนั้น ผู้ใช้ที่ได้รับอนุญาตจริงของรหัสผ่านไม่สามารถปลอมแปลงเพื่อคัดลอกหรือทำลายได้ ในที่สอง สามารถใช้วิธีการเข้ารหัสหลายวิธี รวมถึงการใช้การเข้ารหัสโค้งรี้อบนิ้มวงรี (Elliptic Curve Cryptography - ECC)

  ขึ้นอยู่กับความยากลำบากของการกำหนดกลุ่มจุดในโจทย์ลอการิทึมแบบ дискретบนโค้งรี้อบนิ้มวงรี (Elliptic Curve Discrete Logarithm Problem) ดังนั้นเพิ่มความปลอดภัยข้อมูลฐานข้อมูล และไม่มีวิธีการโจมตีที่มีประสิทธิภาพที่แตกได้ นอกจากนี้ ยังสามารถต้องการการยืนยันตัวตนแบบเข้ารหัส 3 ชั้น (Triple Encryption Authentication) ของคลาสเคอร์เบอรัส (Kerberos) หรือวิธีการเข้ารหัสอื่นๆ

• นำการบันทึกตรวจสอบและการตรวจจับการโจมตีเข้าพิจารณา (Taking the Audit Trail and Attack Detection into Account) — การยืนยันตัวตนและการควบคุมการเข้าถึงสามารถรับรองความปลอดภัยของระบบได้อย่างมีประสิทธิภาพ แต่จะมีช่องโหว่ความปลอดภัยของระบบอยู่เสมอ การบันทึกตรวจสอบ (Audit Trail) และการตรวจจับการโจมตี (Attack Detection) จึงเป็นสิ่งจำเป็น ข้อมูลการดำเนินงานของฐานข้อมูลสามารถบันทึกในบันทึกตรวจสอบ (Audit Log) โดยอัตโนมัติ เมื่อฐานข้อมูลกำลังทำงาน ดังนั้นจึงติดตามการดำเนินการต่อฐานข้อมูลของแต่ละผู้ใช้

• ปรับปรุงความสามารถในการสำรองข้อมูลและกู้คืนของฐานข้อมูลมือถือ (To Improve the Backup and Recovery Capabilities of Mobile Database) — ข้อมูลของฐานข้อมูลมือถือโดยทั่วไปมีความสำคัญมาก ดังนั้น วิธีการสำรองข้อมูลเทป (Tape Backup) สำรองข้อมูลแบบร้อน (Hot Backup) สำรองข้อมูลด้วยตนเอง (Manual Backup) ต้องใช้เพื่อการสำรองข้อมูลที่ปลอดภัยของฐานข้อมูล เพื่อให้แน่ใจว่าระบบถูกทำลายด้วยเหตุผลหลายประการ สามารถนำกลับมาใช้งานได้อย่างรวดเร็ว