Konfigurieren der Sichtbarkeit von Metadaten

Gültigkeitsbereich und Auswirkung der Konfiguration der Metadatensichtbarkeit

Die Konfiguration der Metadatensichtbarkeit gilt nur für die folgenden sicherungsfähigen Elemente:

Die Konfiguration der Metadatensichtbarkeit gilt nicht für die folgenden sicherungsfähigen Elemente:

Der eingeschränkte Metadatenzugriff bedeutet Folgendes:

• Anwendungen, die einen public-Metadatenzugriff voraussetzen, funktionieren nicht.

• Abfragen für Systemsichten geben möglicherweise nur eine Teilmenge von Zeilen zurück oder manchmal ein leeres Resultset.

• Metadaten ausgebende integrierte Funktionen, wie z. B. OBJECTPROPERTYEX, können NULL zurückgeben.

• Die gespeicherten Database Engine (Datenbankmodul)sp_help-Prozeduren geben möglicherweise nur eine Teilmenge von Zeilen zurück oder NULL.

SQL-Module, wie z. B. gespeicherte Prozeduren und Trigger, werden im Sicherheitskontext des Aufrufers ausgeführt und haben deshalb einen eingeschränkten Metadatenzugriff. Wenn z. B. im folgenden Code die gespeicherte Prozedur versucht, auf Metadaten aus der Tabelle myTable zuzugreifen, für die der Aufrufer keine Berechtigung hat, wird ein leeres Resultset zurückgegeben. In früheren Versionen von SQL Server wird eine Zeile zurückgegeben.

CREATE PROCEDURE assumes_caller_can_access_metadata
BEGIN
SELECT name, id 
FROM sysobjects 
WHERE name = 'myTable';
END;
GO

Um Aufrufern das Anzeigen von Metadaten zu ermöglichen, können Sie ihnen die VIEW DEFINITION-Berechtigung für einen geeigneten Gültigkeitsbereich erteilen: für die Objektebene, für die Datenbankebene oder für die Serverebene. Wenn der Aufrufer im vorigen Beispiel über die VIEW DEFINITION-Berechtigung für myTable verfügt, gibt die gespeicherte Prozedur eine Zeile zurück. Weitere Informationen finden Sie unter GRANT (Transact-SQL) und unter GRANT (Datenbankberechtigungen) (Transact-SQL).

Sie können die gespeicherte Prozedur auch so ändern, dass sie unter den Anmeldeinformationen des Besitzers ausgeführt wird. Wenn der Besitzer der Prozedur und der Besitzer der Tabelle identisch sind, gilt die Besitzverkettung, und der Sicherheitskontext des Prozedurbesitzers ermöglicht den Zugriff auf die Metadaten von myTable. In diesem Szenario gibt der folgende Code eine Zeile aus Metadaten an den Aufrufer zurück.

Hinweis
Das folgende Beispiel verwendet die sys.objects-Katalogsicht anstelle der sys.sysobjects-Kompatibilitätssicht.

CREATE PROCEDURE does_not_assume_caller_can_access_metadata
WITH EXECUTE AS OWNER
AS
BEGIN
SELECT name, id
FROM sys.objects 
WHERE name = 'myTable' 
END;
GO

Hinweis
Sie können EXECUTE AS verwenden, um vorübergehend zum Sicherheitskontext des Aufrufers zu wechseln. Weitere Informationen finden Sie unter EXECUTE AS (Transact-SQL).

Weitere Informationen zur Besitzverkettung finden Sie unter Besitzketten.

Vorteile und Einschränkungen der Konfiguration der Metadatensichtbarkeit

Die Konfiguration der Metadatensichtbarkeit kann eine wichtige Rolle in Ihrem allgemeinen Sicherheitsplan spielen. Es gibt jedoch Fälle, in denen ein technisch versierter Benutzer das Anzeigen einiger Metadaten erzwingen kann, wenn er das will. Wir empfehlen deshalb, dass Sie neben anderen Schutzmaßnahmen Metadatenberechtigungen bereitstellen.

Es ist theoretisch möglich, die Ausgabe von Metadaten in Fehlermeldungen zu erzwingen, indem die Reihenfolge der Prädikatauswertung in Abfragen verändert wird. Die Möglichkeit solcher Trial and Error-Angriffe ist nicht SQL Server-spezifisch. Dies wird durch die in relationaler Algebra zulässigen, assoziativen und kommutativen Transformationen impliziert. Sie können dieses Risiko verringern, indem Sie die in Fehlermeldungen zurückgegebenen Informationen einschränken. Um die Sichtbarkeit von Metadaten auf diese Weise noch stärker einzuschränken, können Sie den Server mit dem Ablaufverfolgungsflag 3625 starten. Mit diesem Ablaufverfolgungsflag wird die in Fehlermeldungen angezeigte Menge an Informationen eingeschränkt. Auf diese Weise können Sie die erzwungene Anzeige von Daten verhindern. Der Nachteil hierbei ist jedoch, dass die Fehlermeldungen nicht ausführlich sind und sie u. U. nicht zu Debugzwecken verwendet werden können. Weitere Informationen finden Sie unter Verwenden der Startoptionen für den SQL Server-Dienst und Ablaufverfolgungsflags (Transact-SQL).

Für die folgenden Metadaten ist die erzwungene Anzeige nicht möglich:

• Der in der provider_string-Spalte von sys.servers gespeicherte Wert. Ein Benutzer, der keine ALTER ANY LINKED SERVER-Berechtigung hat, sieht in dieser Spalte einen NULL-Wert.

• Quellendefinition eines benutzerdefinierten Objekts wie z. B. eine gespeicherte Prozedur oder ein Trigger. Der Quellencode ist nur sichtbar, wenn eine der folgenden Aussagen zutrifft:

  • Der Benutzer hat die VIEW DEFINITION-Berechtigung für das Objekt.

  • Dem Benutzer wurde nicht die VIEW DEFINITION-Berechtigung für das Objekt verweigert, und er hat die CONTROL-, ALTER- oder TAKE OWNERSHIP-Berechtigung für das Objekt. Alle anderen Benutzer sehen NULL.

• Die Definitionsspalten in den folgenden Katalogsichten:

  sys.all_sql_modules	sys.sql_modules
  sys.server_sql_modules	sys.check_constraints
  sys.default_constraints	sys.computed_columns
  sys.numbered_procedures

• Die ctext-Spalte in der syscomments-Kompatibilitätssicht.

• Die Ausgabe der sp_helptext-Prozedur.

• Die folgenden Spalten in den Informationsschemasichten:

  INFORMATION_SCHEMA.CHECK_CONSTRAINTS.CHECK_CLAUSE	INFORMATION_SCHEMA.COLUMNS.COLUMN_DEFAULT
  INFORMATION_SCHEMA.DOMAINS.DOMAIN_DEFAULT	INFORMATION_SCHEMA.ROUTINE_COLUMNS.COLUMN_DEFAULT
  INFORMATION_SCHEMA.ROUTINES.ROUTINE_DEFINITION	INFORMATION_SCHEMA.VIEWS.VIEW_DEFINITION

• OBJECT_DEFINITION()-Funktion

• Der in der Spalte password_hash von sys.sql_logins gespeicherte Wert. Einem Benutzer, der nicht über die CONTROL SERVER-Berechtigung verfügt, wird in dieser Spalte ein NULL-Wert angezeigt.

Hinweis
Die SQL-Definitionen von integrierten Systemprozeduren und -funktionen sind über die sys.system_sql_modules-Katalogsicht, die gespeicherte Prozedur sp_helptext und mithilfe der OBJECT_DEFINITION()-Funktion öffentlich sichtbar.

Allgemeine Prinzipien der Sichtbarkeit von Metadaten

Es folgen einige allgemeine Prinzipien, die im Hinblick auf die Sichtbarkeit von Metadaten beachtet werden müssen:

• Feste Rollen und implizite Berechtigungen

• Geltungsbereich von Berechtigungen

• Vorrang von DENY

• Sichtbarkeit der Metadaten von Teilkomponenten

Feste Rollen und implizite Berechtigungen

Geltungsbereich von Berechtigungen

Vorrang von DENY

Sichtbarkeit der Metadaten von Teilkomponenten

Siehe auch

Aufgaben

Verweis

Konzepte