存儲(chǔ)加密有備無患

張　磊

企業(yè)的數(shù)據(jù)管理需求正日益增長(zhǎng)。因此在數(shù)據(jù)存儲(chǔ)領(lǐng)域,保證關(guān)鍵信息的安全是首先要考慮的問題。最早的存儲(chǔ)加密方式有兩種:一種是硬件加密,另一種是在備份軟件中內(nèi)嵌加密功能。目前,用戶正逐漸將加密操作從備份軟件產(chǎn)品中剝離出來,因?yàn)橛布用墚a(chǎn)品有更好的性能表現(xiàn),而且操作更簡(jiǎn)單。

終端加密產(chǎn)品

1.磁盤驅(qū)動(dòng)器加密

富士通全盤加密技術(shù) 富士通公司的全盤加密(Full-Disk Encryption,FDE)是一種基于硬件的且不依賴操作系統(tǒng)進(jìn)行密鑰安全管理和訪問驗(yàn)證的技術(shù)。富士通公司宣稱,FDE驅(qū)動(dòng)器在執(zhí)行加密任務(wù)時(shí)對(duì)系統(tǒng)性能沒有影響。該產(chǎn)品是富士通與Wave Syetems公司合作的產(chǎn)物。

希捷安全技術(shù)(Seagate Secure Technology) Seagate Secure磁盤驅(qū)動(dòng)器使用一個(gè)封裝在驅(qū)動(dòng)器內(nèi)的芯片來加密數(shù)據(jù)。Seagate Secure磁盤驅(qū)動(dòng)器可與工作站相匹配,并可在驅(qū)動(dòng)器上設(shè)置不可見的安全分區(qū)。通過使用McAfee公司的ePolicy Orchestrator安全管理軟件,用戶可以在公司總部對(duì)Seagate Secure磁盤驅(qū)動(dòng)器進(jìn)行遠(yuǎn)程管理,并為打開這些加密驅(qū)動(dòng)器的操作提供認(rèn)證功能,同時(shí)支持生物識(shí)別技術(shù)和安全令牌。戴爾公司在其Latitude系列筆記本電腦、Precision系列移動(dòng)工作站和OptiPlex系列臺(tái)式機(jī)中采用了希捷的Momentus桌面級(jí)自加密驅(qū)動(dòng)器。

2.磁帶驅(qū)動(dòng)器加密

在不斷萎縮的高端專用磁帶市場(chǎng)上,IBM和Sun是碩果僅存的兩個(gè)廠商。幾年前,它們就開始在高容量、高性能、自我加密的磁帶驅(qū)動(dòng)器上展開較量。

IBM在其磁帶驅(qū)動(dòng)器中內(nèi)置了一個(gè)加密許可,并收取費(fèi)用?；萜疹A(yù)計(jì)在2009年推出內(nèi)置加密功能的DAT 320驅(qū)動(dòng)器。戴爾、惠普、IBM、Overland Storage、昆騰、Spectra Logic和騰保數(shù)據(jù)等公司仍在LTO(線性磁帶開放協(xié)議)磁帶驅(qū)動(dòng)器方面進(jìn)行投資。

LTO已經(jīng)成為企業(yè)存儲(chǔ)市場(chǎng)上的磁帶技術(shù)標(biāo)準(zhǔn)。DLT等磁帶技術(shù)正逐漸被替代。LTO-4磁帶中引入了固化在驅(qū)動(dòng)器硬件中的AES-256加密功能。當(dāng)所有的磁帶驅(qū)動(dòng)器都可以執(zhí)行加密功能時(shí),系統(tǒng)必須擁有獨(dú)立的密鑰管理程序。

基于SAN/網(wǎng)絡(luò)的加密產(chǎn)品

1.基于交換機(jī)的加密

博科(Brocade)公司的加密交換機(jī)是一個(gè)32端口、8Gb/s的光纖通道交換機(jī)。FS8-18加密刀片是一個(gè)16端口的刀片,可以插入博科的DCX骨干網(wǎng)交換機(jī)。博科宣稱,其交換機(jī)和刀片都可以擴(kuò)展到96Gb/s的加密處理能力。NetApp公司也轉(zhuǎn)售博科公司的加密交換機(jī)。

CipherMax公司推出了CM100系列1U光纖通道交換機(jī)。CipherMax宣稱,該交換機(jī)可支持4個(gè)全帶寬磁盤陣列目標(biāo)端口和上百個(gè)加密流。CipherMax的所有交換機(jī)都配備了SANCruiser光纖管理軟件和KeyCruiser密鑰管理軟件。KeyCruiser密鑰管理軟件為系統(tǒng)中的所有設(shè)備創(chuàng)建了一個(gè)中心密鑰存儲(chǔ)庫(kù),可對(duì)密鑰進(jìn)行備份和離線歸檔。Cisco的用戶可以通過如下方式在SAN導(dǎo)向器或交換機(jī)上增加加密功能:在MDS9500及MDS9200系列機(jī)架上增加刀片,或者為MDS9200增加交換機(jī)模塊。MDS9500具有自動(dòng)負(fù)載平衡和集群刀片的功能。為導(dǎo)向器增加加密功能不需要對(duì)SAN進(jìn)行重新布線。交換機(jī)可對(duì)磁盤陣列和以磁盤為基礎(chǔ)的備份產(chǎn)品,如虛擬磁帶庫(kù)(VTL)實(shí)行在線加密。

2.基于磁盤陣列的加密

SAN硬件廠商希望在數(shù)據(jù)安全領(lǐng)域分一杯羹。能夠提供企業(yè)級(jí)磁盤陣列加密功能的廠商包括EMC、富士通、HDS、IBM、LSI等。

3.基于網(wǎng)絡(luò)的加密

被Exar收購(gòu)之前,Hifn公司就已經(jīng)開發(fā)出一系列芯片板,具有重復(fù)數(shù)據(jù)刪除、壓縮和加密處理功能,目的是消除伴隨軟件加密方式產(chǎn)生的性能問題。Hifn的Express DR 250/255比1600系列卡的速度慢。Hifn宣稱,1600系列卡的性能可達(dá)1800 MB/s。Hifn希望通過存儲(chǔ)硬件OEM的方式銷售這些卡。Hifn還為Windows系統(tǒng)提供BitWackr主存儲(chǔ)重復(fù)數(shù)據(jù)刪除軟件。BitWackr軟件可與Hifn的DR卡集成在一起。

4.密鑰管理產(chǎn)品

加密是用長(zhǎng)字符串對(duì)數(shù)據(jù)進(jìn)行編碼,因此解密時(shí)必須有匹配的密鑰。密鑰管理是一個(gè)存儲(chǔ)、保護(hù)、備份和跟蹤密鑰軌跡的過程。沒有密鑰,加密的數(shù)據(jù)就會(huì)因無法訪問而成為垃圾信息。密鑰管理是一個(gè)非常復(fù)雜的過程。目前,密鑰管理產(chǎn)品可以簡(jiǎn)單劃分成兩大類:硬件設(shè)備和純軟件。美國(guó)科羅拉多州Evaluator集團(tuán)公司負(fù)責(zé)管理合作伙伴的Russ Fellows表示:“一般情況下,我更喜歡使用硬件加密設(shè)備。雖然軟件可以進(jìn)行多種配置和調(diào)優(yōu),但是軟件的設(shè)置不像硬件設(shè)備那樣簡(jiǎn)單。目前,妨礙密鑰管理發(fā)展的最大障礙是缺乏一個(gè)業(yè)界統(tǒng)一的標(biāo)準(zhǔn),不同的密鑰管理產(chǎn)品的互操作性較差?！?/p>