存儲(chǔ)安全保護(hù)并不僅僅是密鑰管理

申請(qǐng)免費(fèi)試用、咨詢(xún)電話(huà)：400-8352-114

存儲(chǔ)安全已經(jīng)成為讓IT經(jīng)理夜不能寐的最棘手問(wèn)題之一，他們擔(dān)心數(shù)據(jù)是否會(huì)泄露到那些企圖盜取從信用卡、社會(huì)保障號(hào)碼到銀行賬戶(hù)、企業(yè)機(jī)密甚至是名人護(hù)照文件的不法分子手中。

最理想的情況是，信息從創(chuàng)建到被銷(xiāo)毀都是經(jīng)過(guò)加密的。而且大家還希望鎖定數(shù)據(jù)，這樣只有那些授權(quán)用戶(hù)才能訪問(wèn)到每份文件。如果所有系統(tǒng)都支持這種機(jī)制就再好不過(guò)了，這樣你就不會(huì)看到像間諜電影中那樣數(shù)據(jù)被盜取的場(chǎng)景。當(dāng)然，如果沒(méi)有非常深入的研究是不可能實(shí)現(xiàn)這些的。

但是隨著數(shù)據(jù)丟失事件像數(shù)據(jù)量本身那樣飛速增長(zhǎng)，應(yīng)該是時(shí)候挑戰(zhàn)一下支持整體數(shù)據(jù)安全。當(dāng)然，研發(fā)和采用一個(gè)端對(duì)端解決方案是兩碼事，但是如果我們了解了這個(gè)問(wèn)題的難度和復(fù)雜性，就等于有了一個(gè)解決問(wèn)題的良好開(kāi)端。

密鑰管理

密鑰管理一直是IT管理者最嚴(yán)峻的挑戰(zhàn)之一，其理由非常簡(jiǎn)單：你很難對(duì)包括文件、存儲(chǔ)網(wǎng)絡(luò)、磁盤(pán)驅(qū)動(dòng)器、磁帶以及其他所有設(shè)備實(shí)施統(tǒng)一而安全的密鑰管理。不同行業(yè)與政府對(duì)密鑰管理的要求都是不同的。不同企業(yè)機(jī)構(gòu)、甚至是機(jī)構(gòu)內(nèi)部的不同部門(mén)對(duì)安全性的等級(jí)要求都是不一樣的，而且需要的安全策略類(lèi)型也是不同的。

有些企業(yè)機(jī)構(gòu)可能需要一種特定人群具有修改密鑰權(quán)限的模式，還有一些企業(yè)機(jī)構(gòu)可能需要讓一人或者多人擁有相同的數(shù)據(jù)安全密鑰控制權(quán)限。

你還需要解決安全性等級(jí)的問(wèn)題?，F(xiàn)在，你有針對(duì)磁帶和磁盤(pán)驅(qū)動(dòng)器不同的你要管理架構(gòu)，更不用說(shuō)數(shù)據(jù)路徑下的其他因素了。現(xiàn)在有很多組織機(jī)構(gòu)都致力于密鑰管理的實(shí)施和統(tǒng)一。IEEE協(xié)會(huì)就是其中之一，去年在IEEE Mass Storage Conference上他們舉行了一次關(guān)于密鑰管理的峰會(huì)。未來(lái)密鑰管理仍將是一個(gè)我們需要面對(duì)的難題。

性能問(wèn)題

加密的另一大挑戰(zhàn)就是性能問(wèn)題。當(dāng)然，加密的成本是取決于在哪加密、使用什么方法加密數(shù)據(jù)。例如，使用LTO-4加密硬件或者希捷Cheetah驅(qū)動(dòng)器的數(shù)據(jù)加密功能是不需要任何成本的，原因非常簡(jiǎn)單：這些設(shè)備都采用了基于硬件的加密技術(shù)。

有些設(shè)備是在存儲(chǔ)網(wǎng)絡(luò)中進(jìn)行加密的。這些設(shè)備可能是完全基于設(shè)備的，但是這對(duì)磁帶來(lái)說(shuō)并不是一件好事。如果你在壓縮之前加密，那么壓縮的幾率就會(huì)降低；你需要做的是，先壓縮后加密。這時(shí)候又有一個(gè)問(wèn)題，inline設(shè)備能夠?qū)Υ艓?qū)動(dòng)器進(jìn)行完全壓縮或者加密。隨著磁帶速度越來(lái)越快，這往往需要很高的成本。

那么服務(wù)器方面呢？我發(fā)現(xiàn)很多HSM應(yīng)用能夠在讀取或者向磁帶寫(xiě)入數(shù)據(jù)的時(shí)候進(jìn)行校驗(yàn)和。我還發(fā)現(xiàn)當(dāng)啟動(dòng)校驗(yàn)和的時(shí)候，磁帶性能就會(huì)大幅下滑。

我們都知道，校驗(yàn)和計(jì)算的復(fù)雜性遠(yuǎn)低于加密算法的復(fù)雜性。加密算法的計(jì)算非常密集，而且通用CPU可能并不適用于運(yùn)行這些復(fù)雜算法。這些類(lèi)型的算法最適宜于在向ASIC或者更快的FPGAs這樣專(zhuān)門(mén)的硬件上運(yùn)行。CPU速度越來(lái)越快，但是內(nèi)存帶寬的增長(zhǎng)速度并沒(méi)有與CPU性能增長(zhǎng)保持一致，將數(shù)據(jù)移入或者移出內(nèi)存來(lái)在系統(tǒng)I/O處理密集的中加密或者解密數(shù)據(jù)，這可能無(wú)法卯足加密需求以確保設(shè)備滿(mǎn)足I/O需求。

相關(guān)標(biāo)準(zhǔn)

即使有一個(gè)專(zhuān)門(mén)制定關(guān)于密鑰管理標(biāo)準(zhǔn)的組織，但這遠(yuǎn)遠(yuǎn)不能解決問(wèn)題，因?yàn)檫@無(wú)法解決針對(duì)整個(gè)數(shù)據(jù)路徑的安全性和密鑰管理需求。

因?yàn)榧用芗軜?gòu)需要能夠在文件系統(tǒng)內(nèi)定義加密功能（我發(fā)現(xiàn)一些機(jī)構(gòu)希望在內(nèi)存中加密數(shù)據(jù)，然后在處理之前解密數(shù)據(jù)），所以一個(gè)加密架構(gòu)應(yīng)該能夠針對(duì)文件系統(tǒng)內(nèi)的每一份文件支持不同等級(jí)的加密功能，確保能夠追蹤到來(lái)源并且在文件生命周期內(nèi)保留它的來(lái)源。

除了這種維護(hù)措施之外，還要解決長(zhǎng)期擁有的問(wèn)題。例如，如果一份文件是被一位用戶(hù)加密，但是需要被另外一位用戶(hù)使用，那么其他用戶(hù)是如何獲得認(rèn)證的？如果原始用戶(hù)并不是在理想狀態(tài)下創(chuàng)建的文件將會(huì)發(fā)生什么？文件如何被解密然后送交另一位用戶(hù)？誰(shuí)擔(dān)負(fù)這個(gè)責(zé)任？需要怎樣的安全機(jī)制來(lái)確保文件所有權(quán)被遷移、而負(fù)責(zé)遷移的人不會(huì)獲得文件訪問(wèn)權(quán)？在加密環(huán)境下，你擁有根密碼并不意味著你能夠看到所有數(shù)據(jù)。

這只是文件系統(tǒng)可能會(huì)發(fā)生的一些問(wèn)題。我相信你肯定會(huì)設(shè)想一個(gè)由存儲(chǔ)網(wǎng)絡(luò)、存儲(chǔ)控制器和存儲(chǔ)設(shè)備構(gòu)成的完全安全的環(huán)境。管理架構(gòu)是一個(gè)難題。

標(biāo)準(zhǔn)組織聯(lián)合起來(lái)

因?yàn)樾阅軉?wèn)題和管理復(fù)雜性，所有可以說(shuō)加密是一個(gè)很難解決的問(wèn)題。如果希望能夠有效而可管理地加密，需要解決的就不僅僅是密鑰管理問(wèn)題——盡管這可能是重要的第一步，而且還需要從用戶(hù)一直到設(shè)備的標(biāo)準(zhǔn)架構(gòu)。不同的標(biāo)準(zhǔn)組織應(yīng)該聯(lián)合起來(lái)，也就是說(shuō)，像The OpenGroup （POSIX）、IETF、ANSI T10、T11和T13這些組織都應(yīng)該致力于SAN設(shè)備的相關(guān)標(biāo)準(zhǔn)，如果FCoE是未來(lái)的存儲(chǔ)發(fā)展趨勢(shì)，我們還需要把FCoE也納入其中。

現(xiàn)在加密只能解決單點(diǎn)問(wèn)題：對(duì)磁帶進(jìn)行加密，這樣我們運(yùn)輸磁帶的時(shí)候就不用擔(dān)心數(shù)據(jù)安全問(wèn)題；對(duì)磁盤(pán)驅(qū)動(dòng)器進(jìn)行加密，這樣如果卸載磁盤(pán)驅(qū)動(dòng)器就不能對(duì)其進(jìn)行讀取。這些解決方案解決了現(xiàn)實(shí)環(huán)境中諸多問(wèn)題，不過(guò)還不足以解決TJX相關(guān)問(wèn)題。

我認(rèn)為，在開(kāi)始實(shí)施端對(duì)端加密之前，我們必須解決兩個(gè)短期內(nèi)的主要問(wèn)題。首先，我們需要找出如何不利用CPU在主機(jī)加密的方法，因?yàn)殡m然現(xiàn)有的CPU技術(shù)仍然為物理應(yīng)用提高了足夠的計(jì)算能力，但是無(wú)法以線(xiàn)速率進(jìn)行加密和解密。

其次，我們需要端對(duì)端標(biāo)準(zhǔn)解決數(shù)據(jù)路徑和數(shù)據(jù)遷移環(huán)境中的加密和密鑰管理問(wèn)題。也就是說(shuō)，必須利用像NFS、ftp、插槽和其他一些遷移方法。這對(duì)標(biāo)準(zhǔn)組織和必須執(zhí)行這些標(biāo)準(zhǔn)的廠商來(lái)說(shuō)都是一個(gè)重要要求。

我認(rèn)為現(xiàn)在我們離數(shù)據(jù)安全領(lǐng)域還有很長(zhǎng)一段路要走。當(dāng)然，已經(jīng)有很多廠商推出了專(zhuān)門(mén)的解決方案，但如果我們沒(méi)有一個(gè)基于標(biāo)準(zhǔn)的架構(gòu)，那么可能所有人都是朝著一個(gè)方向前進(jìn)的。（IT專(zhuān)家網(wǎng)）