安全存儲系統(tǒng)大致可以分為四類：安全網(wǎng)絡(luò)文件系統(tǒng)、加密文件系統(tǒng)、可生存存儲系統(tǒng)和基于存儲的入侵檢測。它們分別從四個不同的層次提供存儲系統(tǒng)的機密性、完整性和可用性。

　　安全網(wǎng)絡(luò)文件系統(tǒng)

　　基于認證和訪問控制的網(wǎng)絡(luò)文件系統(tǒng)是較早考慮到安全因素的，包括NFS、AFS、NASD、SFS-RO等。在這類系統(tǒng)中，通過存儲服務(wù)器的認證和訪問控制提供數(shù)據(jù)的安全性。大多數(shù)這類系統(tǒng)也對網(wǎng)絡(luò)中傳輸?shù)臄?shù)據(jù)加密。但是它們不提供端到端的數(shù)據(jù)安全，也就是說它們不保證存儲在存儲服務(wù)器上的數(shù)據(jù)的機密性和完整性。而是假設(shè)文件服務(wù)器和系統(tǒng)管理員是可信的。

　　NASD是卡內(nèi)基.梅隆大學(xué)并行數(shù)據(jù)實驗室提出的新型磁盤系統(tǒng)，通過增加磁盤處理能力構(gòu)成智能磁盤，使得磁盤能判別用戶和加解密數(shù)據(jù);主機和認證服務(wù)器通信獲得權(quán)限密鑰，再和存儲服務(wù)器通信獲得加密密鑰，較后直接和磁盤通信。

　　SFS-RO旨在提高大規(guī)模客戶端訪問網(wǎng)絡(luò)存儲系統(tǒng)上只讀數(shù)據(jù)的性能，同時提供一定的安全機制保證只讀數(shù)據(jù)訪問的安全。SFS-RO是在SFS的基礎(chǔ)上發(fā)展起來的，它通過增加只讀數(shù)據(jù)的副本，不僅提高了分布式環(huán)境下對只讀數(shù)據(jù)的可用性，而且通過一整套安全機制實現(xiàn)了只讀數(shù)據(jù)的安全訪問。

　　加密文件系統(tǒng)

　　加密文件系統(tǒng)目標(biāo)是提供端到端的安全，在客戶端執(zhí)行加密操作防止數(shù)據(jù)被文件服務(wù)器和其他未授權(quán)用戶竊取或篡改。這些系統(tǒng)將密碼操作(加密/解密、簽名/驗證)嵌入文件系統(tǒng)中。文件服務(wù)器被賦予較小的信任，由于它們不參與加密/解密過程，它們永遠無法獲知可讀的文本。這類系統(tǒng)面對的主要問題是密鑰管理。包括密鑰的粒度、密鑰的存儲、共享策略。可以說靈活高效的密鑰管理策略是提高存儲安全系統(tǒng)效率的重要因素。另外，這類系統(tǒng)還要有效解決權(quán)限撤銷(Revocation)時文件的重加密帶來的額外開銷。

　　Goh于2003年提出了可應(yīng)用于網(wǎng)絡(luò)存儲系統(tǒng)中的中間件層安全系統(tǒng)SiRiUS，它不需要修改存儲系統(tǒng)中的任何部分，通過截獲、轉(zhuǎn)換訪問數(shù)據(jù)系統(tǒng)調(diào)用實現(xiàn)安全功能，使用多對對應(yīng)不同權(quán)限者的公開密鑰實現(xiàn)傳輸認證和授權(quán)。SiRiUS是在現(xiàn)有的不可信的網(wǎng)絡(luò)文件系統(tǒng)(如NFS,CIFS等)上提供文件讀寫的加密訪問。加州大學(xué)圣克魯斯分校的SNAD是一個基于分布式文件的存儲系統(tǒng)，磁盤具有一定的計算能力，能夠進行一些基本的存儲管理和用戶認證的功能。客戶端加密所有的數(shù)據(jù)后，將加密數(shù)據(jù)存儲在盤上。密鑰管理是一種鎖盒子(lockbox)方法，而lockbox存儲在一個可信的服務(wù)器上。如果共享用戶要讀數(shù)據(jù)，則用戶需從lockbox服務(wù)器上得到密鑰，然后再從磁盤上讀出加密數(shù)據(jù)，然后再用密鑰解密。

　　存儲系統(tǒng)中的數(shù)據(jù)加密技術(shù)的實現(xiàn)分成三類：基于主機、基于網(wǎng)絡(luò)(數(shù)據(jù)傳輸)以及基于磁帶機。這有點類似實現(xiàn)虛擬存儲的劃分方式。

　　基于主機層的數(shù)據(jù)加密技術(shù)，通常是一些軟件廠商在服務(wù)器端就對數(shù)據(jù)進行加密處理，如VERITAS NetBackup的加密軟件。通過內(nèi)部網(wǎng)絡(luò)傳送到服務(wù)器時，資料已是加密狀態(tài)，然后再通過存儲網(wǎng)絡(luò)傳送到磁帶做備份。但這會加重服務(wù)器的工作負荷，影響系統(tǒng)整體性能，同時還會增加數(shù)據(jù)管理與調(diào)用的復(fù)雜性。所以，基本上只適用于需要進行點對點加密的小型企業(yè)。

　　基于網(wǎng)絡(luò)層的數(shù)據(jù)加密技術(shù)，事實上就是在設(shè)備I/O的端口外接一個硬件加密裝置。在數(shù)據(jù)傳輸?shù)倪^程中，對所有經(jīng)過的數(shù)據(jù)都一視同仁地做了加密。NetApp剛剛收購的Decru公司以及NeoScale都是采用這種方式。這種加密雖說比較完整，但由于不對加密數(shù)據(jù)進行區(qū)別，無疑增加了加密裝置的負擔(dān)。

　　基于磁帶機方式的數(shù)據(jù)加密技術(shù)，通過在磁帶機上對數(shù)據(jù)進行加密，使數(shù)據(jù)得到更安全的保護，且不需要額外的管理和備份策略的改變。這就是把以前的 WORM磁帶擴展成磁帶機對所有的磁帶進行加密。

　　三種加密方式都有各自的優(yōu)勢與缺陷所在，但由于在長期歸檔、固定內(nèi)容和法規(guī)遵從這些需求上，有的用戶更傾向于使用磁帶技術(shù)，所以在加密要求下，通過磁帶機/庫這種方式有更強的優(yōu)勢。而且，相對前面兩種方式，使用磁帶加密的方式在市場上出現(xiàn)的較早，而在法規(guī)推出之后，基本上所有的磁帶廠商都有各自的支持加密的產(chǎn)品。

可生存存儲系統(tǒng)

　　可生存存儲的概念是由卡內(nèi)基·梅隆大學(xué)的PASIS項目組提出的，它所基于的設(shè)計理念是：傳統(tǒng)的構(gòu)建安全系統(tǒng)的方法是采用防御機制抵御外來入侵以達到安全目標(biāo)，而在由成千上萬結(jié)點組成的分布式系統(tǒng)中，結(jié)點失效或被攻擊應(yīng)被視為普通事件而非異常。因此安全存儲系統(tǒng)的設(shè)計目標(biāo)不應(yīng)是避免結(jié)點失效，而是如何在部分節(jié)點失陷的情況下使系統(tǒng)仍能提供安全的、可信賴的服務(wù)，保證數(shù)據(jù)的機密性和完整性，并能對入侵造成的損失進行還原或修復(fù)

　　PASIS采用閾值方案，將一個文件分成多個數(shù)據(jù)段，分別存儲到各個服務(wù)節(jié)點上，當(dāng)用戶需要訪問時，必須要訪問各個存儲服務(wù)器，當(dāng)一個服務(wù)節(jié)點被攻破時，并不能泄漏任何完整的文件信息，保證了在存儲服務(wù)器被攻破后，仍然能夠保護數(shù)據(jù)的保密性。閾值方案簡單的說就是p-m-n(n>m>p)問題。所有的文件都被分段，并按照一定的策略存放到n個服務(wù)節(jié)點上，用戶通過讀取這n個存儲節(jié)點中的m個存儲節(jié)點(n>m),就能夠在客戶端合成完整的文件，這樣就實現(xiàn)了將安全控制分散到文件服務(wù)節(jié)點上，實現(xiàn)了文件的安全性。即使有p-1個(n>m>p)服務(wù)節(jié)點被占領(lǐng)，也不會造成任何完整信息泄漏。

　　除PASIS項目外，可生存存儲相關(guān)項目的研究較為知名的是加州大學(xué)伯克利分校的OceanStore項目，它提出一個覆蓋全球的信息持久存儲基礎(chǔ)設(shè)施，來提供高可擴展和高可用的信息存儲服務(wù)。為了確保數(shù)據(jù)的機密性和可用性，OceanStore將加密后的對象副本存放到分布于全球的多個結(jié)點上。相關(guān)研究還包括開源項目Freenet、IBM研究院的e-Vault、紐約大學(xué)的Publius等。

　　在可生存存儲系統(tǒng)中，必須對數(shù)據(jù)進行分片編碼，較常見的一些數(shù)據(jù)分片編碼算法都是基于門限方案(threshold scheme)來實現(xiàn)的。PASIS中提出一般性p-m-n門限方案的概念，即將文件經(jīng)過編碼分成n個分片，滿足：少于p個分片不能獲得文件的任何信息，任意大于或等于m個分片可以恢復(fù)出原始文件。所有的數(shù)據(jù)分片編碼算法均可視為這種一般性門限方案p、m、n取不同值的實例，如信息分布算法(Information Dispersal Algorithm)、Ramp方案等。

　　一般來說，門限方案由于能夠同時提供安全性和可用性，因此相比于DES、AES等基于數(shù)據(jù)塊的加密算法，更適合應(yīng)用在分布式存儲系統(tǒng)中提高系統(tǒng)的可生存性。但是由于這類算法一般帶有較大的計算和存儲額外開銷。近些年來，已有一些研究者在傳統(tǒng)的門限方案的基礎(chǔ)上做出改進，以降低原有算法的計算復(fù)雜度并提高安全性，但這方面研究目前尚處于探索階段，還沒有十分成熟的算法提出。

基于存儲的入侵檢測系統(tǒng)

　　隨著存儲系統(tǒng)的規(guī)模越來越大，提供的服務(wù)也越來越多樣化，系統(tǒng)越來越復(fù)雜，也不容易維護。而且惡意病毒、木馬程序、入侵等一系列因素使得系統(tǒng)的安全性越來越難得到保證。為此，人們產(chǎn)生了將系統(tǒng)的安全保障劃分到一個個子模塊中分別進行處理的思路。這類系統(tǒng)實際上是在存儲設(shè)備或文件服務(wù)器中嵌入入侵檢測系統(tǒng)(IDS)，這類系統(tǒng)的主要代表是卡內(nèi)基·梅隆大學(xué)CMU的S4-自安全存儲Self-Securing Storage系統(tǒng)

　　卡內(nèi)基·梅隆大學(xué)提出的自安全的存儲設(shè)備從較底層硬件實施了對數(shù)據(jù)的保護。它具有一種新的安全特性，即存儲磁盤甚至可以不信任本機的操作系統(tǒng)，懷疑所有對數(shù)據(jù)的讀寫請求。在自安全的存儲磁盤內(nèi)部有一個嵌入式的子系統(tǒng)，通過內(nèi)置的操作的指令對存儲的數(shù)據(jù)進行管理。其優(yōu)點還包括，只需占用很少的資源來實現(xiàn)入侵檢測、錯誤診斷以及數(shù)據(jù)恢復(fù)等。可以更靈活地實施安全性和完整性檢查。自安全的存儲設(shè)備不僅可以對存儲在其上的數(shù)據(jù)實施保護，還可以進行數(shù)據(jù)訪問控制。即使操作系統(tǒng)被入侵，自安全的存儲磁盤還可以通過訪問控制對數(shù)據(jù)進行保護。自安全的存儲設(shè)備使系統(tǒng)從軟件和硬件兩個方面分別實施安全保護，增強了整體的安全性能，也起到了一定的容侵容錯作用。

　　Datafort簡介

　　由于存儲安全技術(shù)的巨大的實用價值，近幾年不但在學(xué)術(shù)界積極展開研究，工業(yè)界也出現(xiàn)了一批轉(zhuǎn)注于此領(lǐng)域的存儲廠商，并推出了多款存儲安全產(chǎn)品，如Decru公司的Datafort，Neoscale公司的CryptoStor，Vormetric公司的CoreGuard等。下面就其中的典型代表Decru的Datafort作簡要介紹。

　　Decru DataFort 設(shè)備是企業(yè)級的存儲加密系統(tǒng)，它是一種基于網(wǎng)絡(luò)的加密系統(tǒng)，典型的部署方式是采用后端加密方式運作，將DataFort直接接上IP 交換器或光纖信道交換器，透過交換器將前端送來的數(shù)據(jù)指向DataFort，經(jīng)DataFort加密后才會送到儲存裝置。通過引入專用的網(wǎng)絡(luò)設(shè)備(appliance)進行加密和密鑰管理，實現(xiàn)了硬件線速加密和對前端用戶的透明，可以用于SAN(Datafort FC系列)或NAS(Datafor E系列)中的關(guān)鍵數(shù)據(jù)保護。

　　Datafort的專用設(shè)備位于客戶端和存儲服務(wù)器的數(shù)據(jù)通路之中，它集成了數(shù)據(jù)加密、密鑰管理、基于策略的訪問控制和安全審計功能。專用設(shè)備截獲用戶的存儲訪問請求，通過協(xié)議解析(NFS、CIFS、iSCSI等)得到其中的數(shù)據(jù)，并根據(jù)用戶預(yù)先設(shè)定的策略進行相應(yīng)的加解密操作。其中由硬件實現(xiàn)的AES256 加密對性能的影響幾乎可忽略不計。Datafort的體系結(jié)構(gòu)如圖所示。

　　未來發(fā)展

　　2006年數(shù)據(jù)保護是存儲界較具影響力的事件之一。企業(yè)擁有的有價值數(shù)據(jù)越多，數(shù)據(jù)泄密的風(fēng)險就越大。IDC在較近關(guān)于存儲管理的調(diào)查中發(fā)現(xiàn)：36.3%的公司將“提高數(shù)據(jù)可用性、安全性和數(shù)據(jù)恢復(fù)”作為它們的首選。

　　在學(xué)術(shù)領(lǐng)域，存儲安全逐漸得到關(guān)注，IEEE計算機協(xié)會主辦的存儲安全工作組會議(Security in Storage Workshop，SISW)已經(jīng)舉辦了三屆;2005年ACM創(chuàng)辦了存儲安全性與可生存性工作組會議(Storage Security and Survivability，StorageSS)。

　　在工業(yè)界，EMC、IBM、HP、Symantec等公司在各自的存儲產(chǎn)品中增加了安全機制。HP在其存儲服務(wù)器中加入了Lustre對象存儲文件系統(tǒng);Panasas推出了面向?qū)ο蟮牟⑿屑�群存儲系統(tǒng)，將對象機制加入文件級存儲訪問。存儲網(wǎng)絡(luò)工業(yè)協(xié)會(Storage Networking Industry Association, SNIA)成立了存儲安全工業(yè)論壇(Storage Security Industry Forum，SSIF)來推動存儲安全的發(fā)展;還成立對象存儲設(shè)備(Object-based Storage Device，OSD)工作組，發(fā)布了ANSI的X3 T10標(biāo)準(zhǔn)，該標(biāo)準(zhǔn)對SCSI標(biāo)準(zhǔn)進行擴充，在指令級這一層次增加了安全方法。

　　縱觀近幾年產(chǎn)業(yè)界的發(fā)展，存儲安全技術(shù)的發(fā)展趨勢是集成化和標(biāo)準(zhǔn)化。集成化是指越來越多的安全功能已通過專用硬件實現(xiàn)，并無縫集成到整個系統(tǒng)中。硬件方法不占用主機的資源，可以做到對用戶透明，將加解密對性能的影響降到較低，并且可以避免軟件方法固有的安全隱患，較大限度的保證整個系統(tǒng)的安全性;標(biāo)準(zhǔn)化是指一套通用的密鑰管理接口。現(xiàn)有的系統(tǒng)多采用自己專用的密鑰管理接口，因此不同產(chǎn)品直接很難做到互操作。現(xiàn)在已有廠商，如EMC和Decru已經(jīng)著手制定一套通用的密鑰管理API標(biāo)準(zhǔn)，其目標(biāo)是使符合該標(biāo)準(zhǔn)的產(chǎn)品具有互操作性，這必將大大加速相關(guān)技術(shù)的實用化進程。

　　存儲安全從上世紀(jì)九十年代末開始，逐漸從網(wǎng)絡(luò)安全中脫離出來，發(fā)展成信息安全中獨立的領(lǐng)域，以美國為主的發(fā)達國家各研究機構(gòu)在政府的支持下大力開展相關(guān)研究，并取得了很多成果。而目前國內(nèi)大量的研究、開發(fā)和實際應(yīng)用都集中在網(wǎng)絡(luò)安全和系統(tǒng)安全上。存儲安全的研究與技術(shù)開發(fā)處于空白。很多存儲廠商所謂“存儲安全產(chǎn)品”也僅止步于初級加密，更沒有自己的關(guān)鍵技術(shù)，而國內(nèi)研發(fā)和生產(chǎn)存儲保護產(chǎn)品尚存在技術(shù)上的困難。因此，研究和開發(fā)具有自主知識產(chǎn)權(quán)的存儲安全技術(shù)和產(chǎn)品，對我國的信息安全基礎(chǔ)設(shè)施建設(shè)，具有重要的戰(zhàn)略意義。