深入認識存儲安全的複雜性3
zuilixiangde情況shi,信息從創建daobei銷毀doushi經guojiami的。erqieda家haixiwang鎖dingshuju,zheyangzhiyounaxie授quanyonghu才neng訪wen到每fenwenjian。ruguosuo有xitong都zhichi這zhongjizhijiu再haobu過le,這樣ni就不hui看到xiang間諜電影zhong那樣數據被盜qu的場景。dangran,如guomei有feichang深ru的研究shi不ke能shixian這些的。 danshi隨zhe數據丟失shijian像數據量ben身那樣飛suzengchang,yinggaishishihoutiaozhanyixia支持整體北京汽車租賃數據安quan。當然,研fahe采yong一geduandui端jiejuefang案shi兩碼事,但shi如guowomen了解了這個問ti的nandu和fuzaxing,就dengyu有了一個解決問題的良好開端。 密yaoguan理 密鑰guan理一直shiITguan理zhe最嚴峻的挑戰zhi一,qi理由非常簡dan:你hen難對包括wenjian、cun驅動器chuwangluo、cipan驅動器、磁帶yi及qita所有shebei實shi統一而安全的密鑰guan理。不同xingye與zhengfu對密鑰guan理的yaoqiu都shi不同的。不同qi業機gou、甚至shi機構nei部的不同部men對安全性的等jiyao求都shi不一樣的,而且xuyao的安全策略類型yeshi不同的。 有些企業機構可能需yao一種特定ren群具有修改密鑰許可權的模式,還有一聯軸器些企業機構可能需yao讓一人huo者duo人yong有xiang同的數據安全密鑰控制許可權。 你還需yao解決安全性等級的問題。現zai,你有zhen對磁帶和磁碟驅動器不同的你yaoguan理jia構,更不yongshuo數據lujing下的qi他yin素聯軸器了。現zai有很多zuzhi機構都zhili於密鑰guan理的實施和統一。IEEE協會就shiqi中之一,去年zaiIEEE Mass Storage Conference上他men舉xing了一次guan於密鑰guan理的峰會。未lai密鑰guan理仍jiangshi一個我men需yao面對的難題。 性能問題 jia密的ling一大挑戰就shi性能問題。當然,jia密的cheng本shi取決於zai哪加密、shiyong什mefangfa加密數據。例如,使yongLTO-4加密yingjian或者希捷Cheetah驅動器的數據加密gong能shi不需yao任he成本的,原因非常簡單:這些設備都采yong了ji於硬jian的加密技術。 有些設備shizaicun儲wang絡中jinxing加密的。這些設備可能shiwan全基於設備的,但shi這對磁帶來說bing不shi一jian好事。如guo你zaiyasuo之qian加密,那么壓suo的幾率就會降低;你需yao做的shi,先壓suohou加密。這時候又有一個問題,inline設備能gou對磁帶驅動器進xing完全壓suo或者加密。隨著磁帶速度yue來越kuai,這往往需yao很高的成本。 那么伺服器fang面呢?我發現很多HSM應yong能gouzai讀取或者xiang磁帶寫入數據的時候進xingxiaoyan和。我還發現當啟動校驗和的時候,磁帶性能就會大幅下滑。 我men都知道,校驗和jisuan的複雜性yuan低於加密算法的複雜性。加密算法的計算非常密集,而且通yongCPU可能並不適yong於yunxing這些複雜算法。這些類型的算法最適宜於zai向ASIC或者更快的FPGAs這樣zhuan門的硬jian上運xing。CPU速度越來越快,但shineicun頻寬的zeng長速度並沒有與CPU性能zeng長bao持一致,將數據yi入或者移chuneicun來zai系統I/O處理密集的中加密或者解密數據,這可能wu法卯zu加密需求以quebao設備滿足I/O需求。相關biaozhun 即使有一個專門制定關於密鑰guan理標準的組織,但這yuanyuan不能解決問題,因wei這無法解決針對整個數據lu徑的安全性和密鑰guan理需求。 因為加密架構需yao能gouzaiwenjian系統nei定義加密功能(我發現一些機構希望zaineicun中加密數據,然後zai處理之qian解密數據),所以一個加密架構應gai能gou針對wenjian系統nei的每一份wenjian支持不同等級的加密功能,確bao能gou追蹤到來源並且zaiwenjiansheng命周qineibao留它的來源。 除了這種維護措施之外,還yao解決長期擁有的問題。例如,如guo一份wenjianshi被一weiyong戶加密,但shi需yao被ling外一位yong戶使yong,那么qi他yong戶shi如he獲得ren證的?如guo原始yong戶並不shizai理想狀態下創建的wenjian將會發生什麼?wenjian如he被解密然後送交ling一位yong戶?誰擔負這個責任?需yao怎樣的安全機制來確baowenjian所有權被qian移、而負責遷移的人不會獲得wenjian訪問權?zai加密huanjing下,你擁有根密碼並不意味著你能gou看到所有數據。 這隻shiwenjian系統可能會發生的一些問題。我相信你肯定會構想一個由cun儲wang絡、cun儲控制器和cun儲設備構成的完全安全的環境。guan理架構shi一個難題。 標準組織聯合起來 因為性能問題和guan理複雜性,所有可以說加密shi一個很難解決的問題。如guo希望能gou有效而可guan理地加密,需yao解決的就不僅僅shi密鑰guan理問題——盡guan這可能shi重yao的第一步,而且還需yao從yong戶一直到設備的標準架構。不同的標準組織應gai聯合起來,也就shi說,像The OpenGroup (POSIX)、IETF、ANSI T10、T11和T13這些組織都應gai致力於SAN設備的相關標準,如guoFCoEshi未來的cun儲發展趨勢,我men還需yao把FCoE也納入qi中。 現zai加密只能解決單點問題:對磁帶進xing加密,這樣我men運輸磁帶的時候就不yong擔心數據安全問題;對磁碟驅動器進xing加密,這樣如guo卸載磁碟驅動器就不能對qi進xing讀取。這些解決fang案解決了現實環境中諸多問題,不過還聯軸器不足以解決TJX相關問題。 我認為,zai開始實施端對端加密之qian,我menbixu解決兩個短期nei的主yao問題。首先,我men需yao找出如he不利yongCPUzai主機加密的fang法,因為雖然現有的CPU技術仍然為物理應yong提高了足gou的計算能力,但shi無法以線速率進xing加密和解密。 qi次,我men需yao端對端標準解決數據lu徑和數據遷移環境中的加密和密鑰guan理問題。也就shi說,必須利yong像NFS、ftp、插槽和qi他一些遷移fang法。這對標準組織和必須執xing這些標準的廠商來說都shi一個重yaoyao求。 我認為現zai我men離數據安全領域還有很長一段luyao走。當然,已經有很多廠商推出了專門的解決fang案,但如guo我men沒有一個基於標準的架構,那么可能所有人都shi朝著一個fang向qian進的。