Júlio Battisti Livros e Cursosa sua sala de aula na internet

Segurança com o Microsoft Access XP - Parte 2

No último artigo, onde foi feita uma introdução sobre as Configurações de Segurança no Microsoft Access XP, tratamos dos seguintes assuntos:

Definição de uma senha para abertura de um banco de dados;

Como criptografar um banco de dados;

A teoria da Segurança a Nível de Usuário.

Também propomos um exemplo prático, composto de 10 passos, onde os três primeiros eram os seguintes:

1. Utilizar o Administrador do Grupo de trabalho para fazer a associação com um arquivo de Workgroup (.mdw) existente ou para criar um novo arquivo de Workgroup.

2. Definir uma senha não nula para o usuário Admin.

3. Criar um novo usuário que passará a ser o Administrador do banco de dados. O Administrador é o usuário com permissões completas sobre todos os elementos do banco de dados.

O assunto deste artigo é justamente a implementação destes três passos. Veremos isso através de um exemplo prático, passo-a-passo. Nos próximos artigos desta série, mostrarei como implementar os demais passos propostos.

1) Criando o arquivo de Grupo de trabalho GrupoCaxias.mdw.

O primeiro passo para configurarmos a segurança a nível de usuário é a criação de um arquivo de Workgroup (Grupo de Trabalho). Um arquivo de Workgroup tem a extensão (.mdw). Ao invés de criarmos um novo arquivo de Workgroup poderíamos "fazer referência" a um arquivo .mdw já existente.

Nota: Por padrão, ao instalarmos o Microsoft Access XP é criado um arquivo grupo de trabalho chamado System.mdw, na pasta C:\Arquivos de programas\Microsoft Office\Office. Neste grupo de trabalho existe apenas um usuário chamado Administrador, com senha em branco. Esta é a configuração padrão do Microsoft Access XP. Como a senha do Administrador está em branco, não é exibida a tela de logon quando você abre um banco de dados e o logon é feito, automaticamente como usuário Administrador, o qual tem permissões completas sobre todos os elementos do banco de dados.

Cada estação de trabalho somente pode estar associada com um único arquivo .mdw ao mesmo tempo. Pode acontecer de várias estações de trabalho precisarem estar associadas com um mesmo arquivo .mdw. Neste caso o arquivo deve ser colocado em um drive de rede (M:, L:, P:, etc), drive este que deve estar acessível a todas as estações de trabalho, e a associação deve ser feita em cada uma das estações de trabalho, conforme indicado pelo diagrama da Figura 1:


Figura 1 – Um arquivo de Workgroup em rede, utilizado por diversas estações de trabalho.

No arquivo .mdw ficam diversas informações de segurança, tais como:

Nome dos usuários.

Senha dos usuários (criptografada).

Nome dos grupos de usuários.

Lista de usuários pertencentes a cada grupo.

Identificadores de Segurança (SID - Security ID) para cada usuário e grupo. Falarei um pouco mais sobre a importância do SID no próximo artigo desta série.

IMPORTANTE: Para cada estação de trabalho temos um único arquivo .mdw associado. Nesta estação de trabalho, o usuário poderá utilizar quantos bancos de dados (.mdb) forem necessários, todos estarão utilizando informações de um único arquivo .mdw.

Observe que no arquivo .mdw somente ficam as listas de usuários e grupos. As permissões de segurança (qual usuário pode acessar qual elemento de um banco de dados e com qual nível de permissão), ficam gravadas no próprio arquivo .mdb. Por exemplo, o usuário jsilva pode ter permissão de leitura nas tabelas do banco de dados db1.mdb e de leitura e alteração nas tabelas do banco de dados db2.mdb. As informações do nome e da senha do usuário, bem como a quais grupos ele pertence, ficam gravadas no arquivo .mdw, já as informações sobre as permissões de acesso do usuário jsilva, às tabelas do banco de dados db1.mdb ficam gravadas no próprio arquivo db1.mdb; as permissões de acesso do usuário jsilva, às tabelas do banco de dados db2.mdb ficam gravadas no próprio arquivo db2.mdb e assim por diante.

Para fazer a associação com um arquivo .mdw ou criar um novo arquivo .mdw, utilizamos o a opção Administrador do grupo de trabalho, a qual é acessada através do menu Ferramentas -> Segurança -> Administrador do grupo de trabalho...

Nota: Para acompanhar os passos descritos a seguir, crie uma pasta chamada Semana2. Salve o arquivo Segurança.mdb, no qual é baseado o exemplo prático que estamos criando, dentro da pasta Semana2.

Criando o arquivo de grupo de trabalho GrupoCaxias.mdw, na pasta Semana2:

Abra o Microsoft Access XP.

Selecione o Comando: Ferramentas -> Segurança -> Administrador do grupo de trabalho... Surge a janela Administrador do grupo de trabalho, indicada na Figura 2:

Figura 2 – O Administrador do grupo de trabalho.

Dê um clique no botão Criar...

Surge a janela "Informações do proprietário do grupo de trabalho". Digite as seguintes informações:

Nome: Treinamento de Access Avançado

Organização: Empresa ABC Ltda

Identificação do grupo de trabalho: 123abcxyz456

Sua janela deve estar conforme indicado na Figura 3:

Figura 3 – Definindo informações do Grupo de Trabalho que será criado.


Nota: O campo "Identificação do grupo de trabalho" é, simplesmente, um identificador interno para o Access. Este identificador é utilizado para distinguir entre arquivos .mdw que tenham o mesmo nome.

Dê um clique no botão OK.

Surge a janela "Arquivo de informações do grupo de trabalho". Informe o caminho e o nome do arquivo de trabalho que será criado, conforme indicado na Figura 4:

Figura 4 – Informando a pasta e o nome do arquivo.

Dê um clique em OK.

Será exibida a janela Confirmar informações do grupo de trabalho. Anote as informações desta janela, pois caso haja algum problema com o arquivo Grupo_Caxias.mdw e você tenha que recriar este arquivo, estas informações serão necessárias, principalmente o campo “Ident. do grupo de trabalho”.

Dê um clique no botão OK e pronto, surge uma janela confirmando que o arquivo do grupo de trabalho foi criado com sucesso.

Dê um clique em OK para fechar esta mensagem.

Você estará de volta à janela Administrador do grupo de trabalho. Dê um clique em OK para fechá-la.

Com isso vencemos a primeira etapa, que é a criação do arquivo de grupo de trabalho Grupo_Caxias.mdw.

2) Definir uma senha não nula (não em branco) para o usuário Administrador

No passo 1 foi criado um arquivo de Grupo de trabalho – Grupo_Caxias.mdw. Ao criar um arquivo .mdw o Microsoft Access, automaticamente, associa todas os arquivos .mdb com o arquivo de Grupo de trabalho recém criado. Porém se você abrir um banco de dados, não será aberta, ainda, a janela de logon, solicitando o nome de usuário e senha. Isso acontece porque o usuário Administrador (que pode ser abreviado simplesmente por Admin) está com a senha em branco. Por padrão, o único usuário existente é o usuário Administrador e a sua senha está em branco. O usuário Administrador, por padrão, tem permissões totais em todos os elementos de um banco de dados, ou seja, o usuário Administrador pode acessar e alterar quaisquer elementos de um banco de dados – tabelas, consultas, formulários, etc.

Neste passo vou definir uma senha para o usuário Administrador. A partir da definição desta senha, toda vez que for aberto um banco de dados, será aberta a janela de logon, solicitando que seja digitado o nome do usuário e a respectiva senha.

IMPORTANTE MAIS UMA VEZ: Ao definirmos uma senha, ou criarmos novos usuários ou grupos, estas informações são gravadas no arquivo de grupo de trabalho (.mdw), associado com a estação de trabalho do usuário (no nosso exemplo, no arquivo Grupo_Caxias.mdw). Uma vez associado um arquivo de grupo de trabalho à estação de trabalho, toda vez que abrirmos o Microsoft Access XP, este utilizará as informações contidas no arquivo .mdw para permitir ou não o acesso ao usuário que está fazendo o logon no Microsoft Access XP. Somente não será mostrada a tela de logon se o usuário Administrador estiver com uma senha em branco.

Definindo uma senha para o usuário Admin:

Abra o Microsoft Access.

Selecione o comando Ferramentas -> Segurança -> Contas de usuário e grupo...

Surge a janela "Contas de usuário e grupo", com a guia Usuários selecionada, conforme indicado na Figura 5:

Figura 5 – A janela Contas de usuário e grupo.

Certifique-se de que o usuário Administrador esteja selecionado na lista Nome.

Nota: Admin é uma abreviatura para Administrador e também é aceita como um nome de usuário válido. Em resumo, Admin é um apelido para Administrador, apelido este que é reconhecido pelo Microsoft Access XP.

Dê um clique na guia "Alterar senha de logon".

Deixe o campo Senha atual em branco.

No campo "Nova senha" digite: senha123.

Importante: Cabe lembrar que o Microsoft Access distingue entre maiúsculas e minúsculas para a definição de senhas. Desta maneira SENHA123 é uma senha diferente de senha123.

No campo Confirmar digite novamente senha123.

Dê um clique no botão OK e pronto, agora o usuário Administrador tem a senha definida: senha123. Da próxima vez que abrirmos o Microsoft Access já será solicitado um nome de usuário e uma senha.

Pergunta: Onde o Microsoft Access salvou as informações sobre a senha que acabou de ser definida para o usuário Administrador??? ... No arquivo de grupo de trabalho associado com a estação, no nosso exemplo, no arquivo Grupo_Caxias.mdw.

Feche o Microsoft Access e abra-o novamente. Abra o arquivo seguranca.mdb, que está na pasta Semana2.

Será aberta uma janela solicitando o nome do usuário e senha. Neste momento o único usuário existente é o Administrador com senha definida como senha123.

Digite as informações de logon, conforme indicado na Figura 6.

Figura 6 – A tela de logon é exibida após a definição da senha para o Adminsitrador.

Dê um clique no botão OK e pronto, o arquivo seguranca.mdb será aberto.

Feche o Microsoft Access, abra-o novamente. Abra o arquivo seguranca.mdb e fornece uma senha incorreta, por exemplo, informe como senha: xyz123kpt. O banco de dados não será aberto e será emitida a mensagem de erro indicada na Figura 7:

Figura 7 – Tela informando que as informações de logon estão incorretas.

Dê um clique no botão OK para fechar esta mensagem de erro.

A tela de logon será reapresentada para que você digite as informações do usuário e senha, corretamente.

Um detalhe importante é que as senhas de usuários do Microsoft Access XP não são bloqueadas se você errar a senha 3 ou mais vezes, como acontece com outros sistemas, como o Active Directory do Windows 2000 Server, onde é possível configurar o número de tentativas incorretas antes que a senha seja bloqueada.

Clique no botão Cancelar para fechar a tela de logon. Surge uma mensagem dizendo que a operação foi cancelada pelo usuário. Dê um clique no botão Ok para fechar esta mensagem. Feche o Microsoft Access XP.

Relembrando: Neste momento estamos associados com o arquivo GrupoCaxias.mdw e definimos uma senha (senha123) para o usuário Administrador. Ainda temos um longo caminho até finalizarmos as configurações de segurança para a nossa estação de trabalho.

3) Criar um novo usuário que passará a ser o Administrador do banco de dados.

Neste item irei criar um novo usuário chamado AdmCaxias, com uma senha: abc12345. Nos próximos itens, descritos na Parte III deste tutorial sobre segurança, irei tornar este usuário membro do grupo Adminstradores e farei com que ele passe a ser o "dono" do banco de dados segurança.mdb, que está na pasta Semana2.

Você pode estar se perguntando: Porque criar um novo usuário para ser o Administrador/Dono do banco de dados seguranca.mdb, ao invés de utilizar o usuário Administrador, já existente?

Devemos ter esse cuidado por questões de segurança. Ao criar um usuário, além da senha é definido um Identificador de Segurança (SID - Security ID) para o usuário. Ao verificar se o usuário tem ou não permissões para acessar os elementos de um banco de dados, o Microsoft Access verifica pelo SID do usuário e não pelo nome. Se alguém que está tentando acessar um banco de dados, conseguir descobrir o SID de um usuário que tem permissões, este alguém poderá criar um novo usuário, com o mesmo SID, fazer o logon como sendo o usuário recém criado e ter acesso, indevidamente, aos dados do banco de dados. O grande problema é que em qualquer grupo de trabalho é criado um usuário Administrador e "todos os usuários Administrador" são criados com o mesmo SID. Além disso, por padrão, o usuário Administrador é o dono do banco de dados e tem permissões de acesso completas, a todos os elementos do banco de dados. Desta maneira, se mantivermos o usuário Administrador com estas permissões, tudo o que alguém precisa fazer para acessar um banco de dados, em nossa estação de trabalho, é o seguinte:

Utilizar o arquivo de Workgroup original - System.mdw que é fornecido com o Microsoft Access. Neste arquivo o usuário Administrador tem, por padrão, senha em branco. Este arquivo está disponível em qualquer estação de trabalho onde o Access XP foi instalado.

Utilizar o Gerenciador de grupo de trabalho para associar a estação de trabalho com o arquivo padrão System.mdw.

Ao tentar abrir um arquivo .mdb será solicitado o nome do usuário. Como a nossa estação está, agora, associada ao arquvio System.mdw, como a senha do usuário Administrador está em branco (padrão do arquivo System.mdw), não será nem exibida a tela de logon e o usuário conseguirá abrir o banco de dados como Administrador. Está feita a festa, a pessoa que está tentando acessar os dados indevidamente, acabou de fazer o logon como Administrador. Como o Administrador, por padrão, tem permissões completas, sobre todos os elementos do banco de dados, esta pessoa poderá fazer o que bem quiser com os dados e demais elementos do nosso banco de dados. Mesmo que tenham sido tiradas as permissões do usuário Administrador, este continua sendo o dono do banco de dados e como dono pode atribuir a si mesmo todas as permissões de acesso, ou seja, na prática, ele terá acesso a todos os elementos do banco de dados, qualquer banco de dados que tenha como dono o usuário Administrador.

Isso somente aconteceu porque o usuário Administrador do arquivo de grupo de trabalho padrão - System.mdw, possui o mesmo SID do usuário Administrador do arquivo Grupo_Caxias.mdw que estamos utilizando e de qualquer arquivo .mdw que venha a ser criado. Por isso que precisamos criar um novo usuário, com um SID que somente nos conhecemos e tornar esse usuário o novo Administrador/dono do banco de dados. Em seguida retiramos as permissões do usuário Administrador. Desta maneira se alguém seguir os passos descritos anteriormente, não terá acesso aos diversos elementos do banco de dados, uma vez que o usuário Administrador não terá mais permissões de acesso a nenhum elemento do banco de dados e também alteramos o dono do banco de dados (o passo-a-passo será visto no próximo artigo).

Neste item criarei o seguinte usuário/senha:

Usuário:   AdmCaxias
Senha:     abc12345

Este é um procedimento em duas etapas:

Fazer o logon como usuário Administrador para Criar o usuário AdmCaxias e sair do Access. Por padrão somente o usuário Administrador tem permissão para criar novos usuários.

Fazer o logon como usuário AdmCaxias e senha em branco. Por padrão ao cadastrar um usuário, este é cadastrado com uma senha em branco. Depois temos que fazer o logon utilizando o nome do usuário recém criado e definir uma senha para este.

Criando o usuário AdmCaxias:

Abra o Microsoft Access XP. Abra o banco de dados seguranca.mdb, que está na pasta Semana2.

Faça o logon como usuário Administrado, e senha senha123.

Utilize o comando Ferramentas -> Segurança -> Contas de usuário e grupo...

Na janela que surge dê um clique no botão Novo.

Surge a janela indicada na Figura 8:

Figura 8 – A janela Novo usuário/grupo.

No campo Nome digite: AdmCaxias.

O campo identificação é importantíssimo. Neste campo devemos colocar uma seqüência de texto difícil de ser descoberta, pois é esta identificação que é utilizada, internamente pelo Microsoft Access para verificar quais as permissões que o usuário tem. Se alguém descobrir esta identificação, poderá criar um novo usuário com a mesma identificação e, com isso, passará a ter as mesmas permissões do usuário AdmCaxias.

Digite as informações indicadas na Figura 9 e dê um clique no botão OK.

Figura 9 – Criando o usuário AdmCaxias.

Você estará de volta a janela "Contas de usuário e grupo". Dê um clique no botão OK.

Feche o Microsoft Access XP.

O usuário AdmCaxias terá sido criado com uma senha em branco. Agora vamos ao segundo procedimento que é para definir uma senha para o usuário AdmCaxias.

Para fazer o logon como usuário AdmCaxias e definir uma senha para este usuário, faça o seguinte:

Abra o Microsoft Access XP.

Abra o arquivo seguranca.mdb, que está na pasta Semana2.

A tela de logon será exibida. Digite AdmCaxias no campo Nome e deixe o campo Senha em branco, conforme indicado na Figura 10:

Figura 10 – Fazendo o logon como usuário AdmCaxias.

Dê um clique no botão OK e pronto, você acaba de fazer o logon como usuário AdmCaxias. Agora vamos definir uma senha para este usuário.

Selecione o comando Ferramentas -> Segurança -> Contas de usuário e grupo...

Na janela que surge dê um clique na guia Alterar senha de logon. Deixe o campo Senha atual em branco. No campo Nova senha, digite: abc12345. No campo confirmar digite: abc12345.

Dê um clique no botão OK.

Feche o Microsoft Access XP. Agora o usuário AdmCaxias possui uma senha definida: abc12345.

Abra o Microsoft Access. Abra o banco de dados seguranca.mdb. Faça o logon como usuário AdmCaxias, com senha abc12345.

Feche o Microsoft Access XP.

Pergunta: O usuário AdmCaxias, recém criado é válido para todos os bancos de dados que eu abrir na minha estação de trabalho ou somente para o arquivo seguranca.mdb? Porque? Em caso de dúvidas quanto às respostas desta questão, entre em contato pelo email: webmaster@juliobattisti.com.br.

Conclusão

Neste artigo mostrei como implementar os passos iniciais de um configuração de segurança em nível de usuário. Vimos como criar um novo arquivo de grupo de trabalho e fazer a associação da estação de trabalho com este grupo. Em seguida mostrei como definir uma senha para o usuário Administrador e como, a partir da definição desta senha, fazer o logon sempre que um banco de dados é aberto. Na parte final ensinei a criar um novo usuário (AdmCaxias) e a definir uma senha para este usuário. No próximo artigo mostrarei como continuar as configurações de segurança a nível de usuário . Entre em contato, envie as suas críticas e sugestões para o seguinte e-mail: webmaster@juliobattisti.com.br ou diretamente através do site: www.juliobattisti.com.br.

Outras partes do Artigo
Parte 1	Modelo de Segurança do Access XP
Parte 2	Exemplo Prático Parte 1
Parte 3	Exemplo Prático Parte 2
Parte 4	Exemplo Prático Parte 3

---

---