SAS 中的 ODBC 密码安全

Question

我们希望从 SAS 代码中的 ODBC 连接字符串中删除硬编码密码，并防止任何密码出现在 SAS 日志文件中。

似乎有很多白皮书讨论如何解决这个问题，但我要么发现它们存在问题，要么无法让它们工作。

每次都提示用户输入密码并不是一个可行的选择。 此外，将密码存储在宏变量中也是一种可接受的方法，只要您有办法在打开 MACROGEN 和 SYMBOLGEN 选项的情况下禁止将密码打印到日志中。

尝试 1 - 编码 (链接到此处的白皮书）

proc pwencode in='mypassword' method=sasenc;
run;

给出：

{sasenc}ACFD24061BF77D7D5362EE7C2D00D08B

如果我用代码中的编码值替换明文密码，则 ODBC 直通语句运行正常。

proc sql noprint;
  connect to odbc as remote (datasrc=cmg_report user=myuser password='{sasenc}68B279564BD2695538CDCDB301E8A357563480B0');
  create table sqlo as 
  select *
  from connection to remote
  (
  select top 1 * from application
  )
  ;
  disconnect from remote;
quit;

并且日志正确地屏蔽了带有 XXXXXXX 的值。

961  proc sql noprint;
962    connect to odbc as remote (datasrc=cmg_report user=&user_cmg password=XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX);
963    create table sqlo as
964    select *
965    from connection to remote
966    (
967    select top 1 * from application
968    )
969    ;
971  quit;
NOTE: Table WORK.SQLO created, with 1 rows and 29 columns.
NOTE: PROCEDURE SQL used (Total process time):
      real time           0.34 seconds
      cpu time            0.01 seconds

上述方法的问题在于，如果有人有权访问该代码，他们可以使用加密密码登录，而无需知道明文密码。因此，虽然它隐藏了实际密码，但它并不能提供安全性。对我来说似乎有点傻或者我错过了什么？ 编辑：如果您的 ODBC 密码碰巧在其他地方使用，这会提供一定的安全性，仅此而已。

尝试 2 - 使用 SYMGET（此处链接到白皮书）

问题是我根本无法让所描述的技术在 SAS 中发挥作用。我在 XP 上运行 SAS 9.2，尝试连接到 SQL Server 数据库。

%let my_password = password;

proc sql noprint;
  connect to odbc (dsn=cmg_report uid=myuser pwd=symget('my_password'));
  create table sqlo as 
  select *
  from connection to remote
  (
  select top 1 * from application
  )
  ;
quit;

我收到以下消息，表示登录失败：

1034      proc sql noprint;
1035        connect to odbc (dsn=cmg_report uid=myuser pwd=XXXXXX('my_password'));

ERROR: CLI error trying to establish connection: [Microsoft][SQL Server Native Client 10.0][SQL
Server]Login failed for user 'myuser'.

看起来它正在尝试使用“symget”作为实际密码（因为它已在日志中被屏蔽）。对此白皮书有一些回应，称将 symget 包装在 %sysfunc 调用中，但 symget() 函数是 SAS 不允许在 %sysfunc 调用中使用的少数函数之一，因此我不明白这怎么可能。

任何其他提示/建议/想法将不胜感激。

谢谢

编辑：如果有一种技术可以在打开options symbolgen Macrogen的情况下执行此操作，那就特别好。

Answer 1

Rob，我们遇到了类似的问题，并提出了一种不同的方法，允许我们所有的团队成员运行相同的程序，而无需将我们的 ID/密码存储在程序中。它要求每个团队成员都有一个 SAS 可以访问的安全存储的文本文件（除所有者之外没有任何权限）。

以下是 ID/PW 文件内容的示例：

machine odbc login XX_odbc_id_XX password XXodbc_pw_XX
machine oracle login XX_oracle_id_XX password XX_oracle_pw_XX

我们在 UNIX 服务器上运行，因此我们将各个 id/pw 文件锁定在我们的主目录中，这样就没有其他人可以访问它，在本例中它被命名为“ .netrc”。该线程末尾的宏应该存储在某个地方，那么程序将如下所示：

%let id_pw_text_file = ~/.netrc;

%ODBC_Acct;

proc sql;
   %ODBC_Connect
   create table sqlo as
      select * from connection to odbc
      (
          /*  [ Insert ODBC query here ]  */ 
      );
   %ODBC_Disconnect
   quit;
run;

我尝试修改宏以在您的环境中工作并删除大量特定于我们系统的代码，但显然我没有这样做无法测试它以确保它有效。如果您遇到问题，请告诉我，我会尽力帮助解决。希望这有帮助。

/*********************************************************************
*  Name:  ODBC_Acct                                                  *
*  Desc:  Set global macro vars containing a users ODBC username     *
*         and password. Retrieves this information from a users      *
*         specific ID/PW file.                                       *
*********************************************************************/
%macro ODBC_Acct( mprint );
   %local __mprint __symbolgen __mlogic;
   %if ( %length( &mprint ) = 0 ) %then %let mprint = NO;
   %if ( %upcase( &mprint ) = NO ) %then %do;
      %let __mprint = %sysfunc( getoption( mprint ));
      %let __symbolgen = %sysfunc( getoption( symbolgen ));
      %let __mlogic = %sysfunc( getoption( mlogic ));
      options nomprint nosymbolgen nomlogic;
   %end;
   %global  odbc_user  odbc_pw;
   %Get_ID_PW( &id_pw_text_file , odbc , odbc_user , odbc_pw )
   %if ( %upcase(&__mprint) ne NOMPRINT ) %then %do;
      options &__mprint &__symbolgen &__mlogic;
   %end;
%mend;

/*********************************************************************
*  Name:  ODBC_Connect, ODBC_Disconnect                              *
*  Desc:  Returns SAS/Access connect or disconnect statements        *
*         for accessing ODBC.                                        *
*********************************************************************/
%macro ODBC_Connect( mprint=no );
   %local __mprint __symbolgen;
   %if ( %upcase(&mprint) = NO ) %then %do;
      %let __mprint = %sysfunc( getoption( mprint ));
      %let __symbolgen = %sysfunc( getoption( symbolgen ));
      options nomprint nosymbolgen;
   %end;
   connect to odbc as remote (
      datasrc=cmg_report
          user = "&odbc_user"
      password = "&odbc_pw"
      );
   %if ( %upcase(&__mprint) ne NOMPRINT ) %then %do;
      options &__mprint &__symbolgen;
   %end;
%mend;
%macro ODBC_Disconnect;
   disconnect from odbc;
%mend;

/*******************************************************************************
*  Name:  GetID_PW                                                             *
*  Desc:  Get loginid and password from a secured file                         *
*------------------------------------------------------------------------------*
*  Arguments:                                                                  *
*    1st   Required. Source file containing IDs and passwords.                 *
*    2nd   Required. Host id.                                                  *
*    3rd   Required. Specify the macro variable to put the loginid.            *
*    4th   Required. Specify the macro variable to put the password.           *
*------------------------------------------------------------------------------*
*******************************************************************************/
%macro Get_ID_PW( source , rhost , usrvar , pw_var );
   %let source_file = &source
   %if ( %sysfunc( fileexist( &source_file ) ) ) %then %do;
      %let rc  = %sysfunc( filename( dummy , &source_file ) );
      %let fid = %sysfunc( fopen( &dummy ) );
      %do %while( %sysfunc( fread( &fid ) ) = 0 );
         %let rc = %sysfunc( fget( &fid , inrec , 500 ) );
         %let machine = %scan( &inrec , 2 , %str( ) );
         %if ( %upcase( &machine ) = %upcase( &rhost ) ) %then %do;
            %let &usrvar = %scan( &inrec , 4 , %str( ) );
            %let &pw_var = %scan( &inrec , 6 , %str( ) );
            %goto Break;
         %end;
      %end;
      %Break: %*;
      %let rc = %sysfunc( fclose( &fid ) );
      %let rc = %sysfunc( filename( dummy ) );
   %end;
   %else %do;
       %put ::: ID/PW file "&source_file" not found;
   %end;
%mend;

Answer 2

因此，我还联系了 SAS，了解他们对此类问题的建议，这是他们（一如既往的及时）回复。不幸的是，如果不禁用符号生成，他们就无法实现这一目标：

为了防止密码被硬编码到 SAS 程序中，或者
针对出现在 SAS 日志中的情况，建议采用以下方法：

1) 最安全的选项是使用以下命令发出 LIBNAME 语句
所需的 SAS/Access 引擎，并指定 DBPROMPT=YES。这会提示
您可以在 SAS 代码运行时获取数据库的连接信息，
这样您的程序中就不会存储任何连接信息。

但是，由于这在运行时需要一些手动交互
工作，这对于您的情况可能不可行。

2) 数据库连接信息可以存储在SAS注册表中
并且连接所需的密码将被加密。为了
要进行设置，请以交互方式运行 SAS，然后从资源管理器窗口中，
突出显示“库”。从 p 菜单中，选择“文件”-“新建”。输入
libref 您希望在“名称”框中用于数据库连接，
然后从下拉菜单中选择正在使用的数据库引擎。
选择引擎后，您将看到一个窗口，允许
您输入用户名、密码、路径和选项。填写您的
连接信息，然后点击右上角的小按钮
表示“启动时启用”。此方法存储您的连接
SAS 注册表中的信息，并会在以下情况下自动连接
你启动 SAS。当以批处理模式运行 SAS 时，您必须指定
-startlib 在调用时以便分配库。您的密码将作为加密值显示在 SAS 日志中。

3) 如果运行 PROC SQL Pass-Through，您可以将密码传递给 SAS
通过 SAS 调用时的 -sysparm 选项，并使用 &sysparm SAS
通常对密码进行编码的宏变量。一个例子
如下：

<块引用>

sas -nodms -sysparm mypassword

1?过程 SQL； 2？连接到 ORACLE（用户 = scott 密码 =“&sysparm”）；

请注意，如果宏选项 MPRINT 和/或 SYMBOLGEN 有效，
解析的宏变量将出现在 SAS 日志中，因此，
您的密码将以纯文本形式显示在 SAS 日志中。 NOMPRINT 和
NOSYMBOLGEN 是默认设置。

4) 此外，如果运行 PROC SQL Pass-Through，您可以存储您的 CONNECT
受操作系统权限保护的文件中的语句，例如
只有您有读取权限，然后使用 %INCLUDE 语句
包括 CONNECT 语句。示例如下：

<块引用>

sas-nodms

1?选项无源2； 2？过程 SQL； 3？ %INCLUDE 'myconnect.dat';

在上面的示例中，OPTIONS NOSOURCE2 阻止包含的代码
防止显示在 SAS 日志中。指定 SOURCE2 列出
SAS 日志中包含的文件的内容。 NOSOURCE2 是默认值
设置。

5) 对于 SAS 9.1 及更高版本，您可以使用 Proc PWENCODE 过程
将创建可用于代替纯文本的编码密码
SAS程序中批量密码。

http://support.sas.com/onlinedoc/ 913/getDoc/proc.hlp/a002595988.htm

然后选择 PWENCODE 过程。

Proc 语法如下所示。编码后的密码输出到日志。

proc pwencode in="plaintextPassword";运行；

Answer 3

当 SYMGET 在 CONNECT 语句中不起作用时，请尝试使用 %SUPERQ 引用功能。它还解析宏变量，而不将其显示在日志中。

Answer 4

抱歉，无法写评论，但是 %superq-Trick 确实有效。像这样使用它：

proc sql;
   select * from set_encrypedon (pw="%SUPERQ(_password)");
quit;

其中有一个名为 _password 的宏变量。

不幸的是，这不能封装到宏中，

%macro pwd();
  "%SUPERQ(_password)"
%mend;

因为这样 MPRINT 将再次记录您的密码。

Answer 5

没有安全的方法来定义 ODBC 连接！

每个人都可以使用元数据 API 读取身份验证域、用户名并对密码进行编码。 Linux 管理员或root 用户可以访问任何文件系统，包括主目录及其password.sas 文件。

SAS 还提供 ChangePassPhrase 将存储的密码降级为较旧的 SAS PWENCODE 方法。如果您知道编码后的密码，则可以在线对其进行解码，例如 https://decrypt- password.appspot.com/sas-pwdecode/

有时登录凭据用于不同的服务。 FTP 或 MAIL 的用户名和密码也可用于 ssh。文件和元数据不是安全存储。