CN101841412A

CN101841412A - 一种存储域网络环境加密方法及装置

Info

Publication number: CN101841412A
Application number: CN 201010144477
Authority: CN
Inventors: 白树伟
Original assignee: LANZHOU WEIERSI INFORMATION TECHNOLOGY Co Ltd
Current assignee: LANZHOU WEIERSI INFORMATION TECHNOLOGY Co Ltd
Priority date: 2010-04-09
Filing date: 2010-04-09
Publication date: 2010-09-22

Abstract

本发明公开计算机存储域网络和存储数据加密的技术。本发明的存储域网络环境加密方法是：在存储节点和客户节间设置有至少一个密钥管理中心和至少一个数据加密中心，数据加密中心与客户节点和存储节点通过有线或/和无线网络或/和光纤网络连通，每个加密中心对至少一个磁盘或分区或存储设备提供至少一种加密算法。本发明实现前述加密方法的装置是由密钥管理中心的微处理器，数据加密中心的微处理器，用户服务器，以及网络SAN(iSCSI)或/和FC-SAN存储设备构成。

Description

一种存储域网络环境加密方法及装置

技术领域

本发明涉及计算机数据加密技术，特别是存储域网络和存储数据加密的技术。

背景技术

存储域网络和存储数据加密技术是现阶段计算机领域的两种基本技术。存储域网络(SAN：Storage Area Network)是计算机信息处理技术中的一种架构，它将服务器和远程的计算机存储设备(如磁盘阵列、磁带库)连接起来，使得这些存储设备看起来就像是本地一样。根据连接线路或接口的不同，可以将SAN区分为网络SAN或者是光线通道SAN，这也就是平时所称的iSCSI和FC-SAN。

存储区域网络(SAN)将不同的数据存储设备连接在一起，构成一个存储网络。用户可以对该网络进行添加或删除节点(存储设备，交换机等)，从而很容易的实现数据备份和存档以及数据保护。企业商务或运营商多采用SAN实现对数据的存储和备份管理。由于SAN是基于网络化的存储，因此，较之传统的存储技术，SAN拥有更大的容量和更强的性能。通过专门的存储管理软件，可以直接在SAN里的大型主机、服务器或其他服务端电脑上添加硬盘和磁带设备。当前，使用最多的是基于光线通道的FC-SAN。附图1给出了SAN结构图，由图1中可知，在用户服务器与由FC存储器或/和存储陈列构成的存储设备间通过FC交换机连接。

由于SAN环境的存储数据通常采用明文存储，即获取磁盘就可以直接读取数据，从而使数据的安全性完全依赖数据存储设备的物理访问安全性，从而提高了数据成本，并且存在严重的安全隐患，为此，用户对SAN存储数据的加密方法和技术提出急切需求。

现有技术中存储数据加密技术，存储***不具有任何加密策略，数据以明文的方式存储，其安全性较低。在一些高级的存储器或存储阵列会将数据加密部件集成到存储设备中，而低级或老式的存储设备就不具备加密功能。另外，即使有加密功能的存储器，其密钥也存放在存储设备中，即数据、加密模块、密钥管理模块集中于存储设备中，从而使存储设备的关键信息集中于一处，安全性能相对降低。

发明内容

本发明针对现有存储域网络中数据的潜在安全问题，公开一种存储域网络环境加密方法，同时公开一种用于本发明的方法的装置。

本发明的存储域网络环境加密方法是：在存储节点和客户节间设置有至少一个密钥管理中心和至少一个数据加密中心，数据加密中心与客户节点和存储节点通过有线或/和无线网络或/和光纤网络连通，每个加密中心对至少一个磁盘或分区或存储设备提供至少一种加密算法。

本发明实现前述加密方法的装置是由：一个作为密钥管理中心的微处理器，至少一个作为数据加密中心的微处理器，用户服务器，网络SAN(iSCSI)或/和FC-SAN存储设备构成。前述各设备间通过有线网络或/和无线网络或/和光纤网络实现物理连接，并基于彼此间的通讯协议实现相互间的数据传输。其中：用户服务器与第一个数据加密中心之间传输明文或经用户服务器加密后密文的数据，第n个数据加密中心与第n+1个数据加密中心之间传输经过第n个数据加密中心加密后的密文加密数据，最后一个数据加密中心与SAN存储设备之间传输经最后一个数据加密中心加密后的密文加密数据，密钥管理中心与各数据加密中心间以密文传输。

本发明所述装置的一个实施例是数据加密中心与密钥管理中心通过设置于同一个主机上的软件实现。

本发明所述装置的另一个实施例是通过将数据加密中心与密钥管理中心分别置于不同的微处理机上的软件实现，数据加密中心与密钥管理中心通过有线网络或/和无线网络或/和光纤网络实现物理连接，并基于彼此间的通讯协议实现相互间的数据传输。

由前述内容可知，本发明的加密***由分别设置的数据加密中心和密钥管理中心构成，在存储域网络中构建密钥管理中心，由密钥管理中心负责产生、存储、收回、更新和备份密钥；而数据加密中心必须通过密钥管理中心获取密钥。密钥管理中心可以独立运行，亦可以与加密中心共存。这种在存储域网络中建立数据加密中心具有对存储数据加密的能力，能够支持分组加密算法，例如AES，DES，3DES，及多种模式，如XTS，CBC等。由于存储节点和客户节点的连接通道必须经过一个或多个数据加密中心，而每个加密中心对一个磁盘或分区或存储设备提供一种或多种加密方案进行选择，这里所述的加密方案也可以包含“不对数据进行加密”，因此其加密措施可靠，保密性强，可以充分保证数据的安全。加密中心对客户节点和存储节点透明，即无需再对客户节点或存储节点进行额外配置。

本发明具有以下优点：

1)可支持多种环境，例如FC-SAN，iSCSI等；2)连接灵活，可以将加密中心通过交换机连入SAN中，也可以直接通过连接线与存储节点和客户节点进行直接相连；

2)密钥管理灵活安全，有密钥管理中统一管理密钥，可以提高密钥的安全性，但是密钥中心又不拘泥于独立的物理设备；

3)加密算法灵活，加密中心可以提供多种加密算法；5)算法可迭代，数据更安全。由于加密中心可以串行连接，因此可以根据需要选择不同的密钥加密算法，提高数据安全性。

4)本发明适用于对低级或老式的存储设备的改造，使其可具有数据加密功能。

附图说明

图1为现有的存储域网络结构图。

图2为本发明具有加密中心和密钥管理中心的存储域网络结构示意图。

图3为本发明的加密中心内部功能示意图。

图4为本发明的密钥管理中心功能结构图。

图5为本发明的数据传输逻辑图。

图6为本发明具有多个加密中心的***示意图。

具体实施方式

附图2为本发明的一个***的结构示意图，作为本发明的最简单的基本***是在现有的存储域网络中，在用户服务器与存储设备间设置有一个数据加密中心和一个密钥管理中心，其中的数据加密中心与密钥管理中心可以是由设置同一个主机上的软件实现，也可以是由分别设置于不同主机上的软件实现。通过这一结构可实现不同的加密策略。本发明也可采用一个以上的多个数据加密中心和一个密钥管理中心的结构，或者采用一个以上的多个数据加密中心和一个以上的密钥管理中心结构。作为前者，由一个密钥管理中心与各数据加密中心实现物理物理连接，并以相应的的协议传输数据，这一实施例相当于图2中所示的数据加密中心为许多个，而仅设置一个密钥管理中心；作为后者则相当于由多个密钥管理中心分别与多个数据加密中心各自实现物理物理连接，并以相应的的协议传输数据，这一实施例则相当于图2中所示的数据加密中心和密钥管理中心均为许多个。在前述各***中可以根据设计者或使用者不同的要求分别建立不同数据加密策略。***在工作时，用户服务器与数据加密中心间以明文传输原始数据或经加密后的密文数据，而各数据加密中心间，以及最后一个数据加密中心与由存储阵列或/和FC存储器构成的存储度设备间则以密文传输数据。如此实现数据的加密传输功能，其数据加密中心、密钥管理中心内部功能参见图3和图4，而用户服务器与存在设备间数据传输逻辑参见图5。

下表给出了本发明的一个硬件配置实例。

应用环境	iSCSI/加密***	FC-SAN，/加密***	密钥管理***
应用环境	iSCSI/加密***	FC-SAN，/加密***	密钥管理***	硬盘数量	1*160G	1*160G	1*160G
硬盘接口	Ultra 320 SCSI	Ultra 320 SCSI	Ultra 320 SCSI	硬盘数量	1*160G	1*160G	1*160G
硬盘接口	Ultra 320 SCSI	Ultra 320 SCSI	Ultra 320 SCSI	内存	2G	2G	2G
CPU	至强3.0GHz/12MB 1333MHz FSB	双至强3.0GHz/12MB 1333MHz FSB	至强3.0GHz/12MB 1333MHz FSB	内存	2G	2G	2G
CPU	至强3.0GHz/12MB 1333MHz FSB	双至强3.0GHz/12MB 1333MHz FSB	至强3.0GHz/12MB 1333MHz FSB	网络接口	10/100/1000Base-T *2网卡	10/100/1000Base-T2 可选1000Base-SX2 网卡	10/100/1000Base -T*2 网卡
通信接口	10/100/1000Base-T 2 可选1000Base-SX2 网卡	1Gb/2Gb/4Gb/8Gb/16Gb 光纤适配卡	10/100/1000Base -T*2 网卡	网络接口	10/100/1000Base-T *2网卡	10/100/1000Base-T2 可选1000Base-SX2 网卡	10/100/1000Base -T*2 网卡

以下是一个具体的实施例

1.实施环境需求

硬件：

X86***(32位或64位)

内存(＞512M)

网卡(＞10Mb/s)

FC-HBA(具有两个端口)

软件

Linux操作***(内核版本＞2.6.26)

支持C语言，Shell语言，Python语言

PostgresQL数据库

支持SAN Target功能

2.构建密钥管理中心

密钥管理中心的构建主要包含：Python软件包的安装，IPSec软件包的安装，PostgreSQL数据库的安装，Qt软件包的安装，密钥管理软件的安装。

Python软件包和Qt软件包是密钥管理软件运行的基础，数据库被密钥管理软件用来存储和备份密钥等关键信息，IPsec用来实现密钥管理中心和数据加密中心之间的数据安全传输。密钥管理软件通过IPsec向数据加密中心发送指令和关键信息。

安装密钥管理中心相关软件包之前，首先是安装操作***，例如Debian 5.0。可以通过网络或本地光驱安装操作***，用户可以参考Debian操作***的安装手册，这里不再累述。用户进入新的操作***后，可以依照下面方式，依次安装所需软件。

3.安装Python

Python是图形管理软件的基础，因此，首先要安装Python解释器和相关工具。如果是采用Debian操作***，***会默认将Python基本工具安装完成。如果你的平台没有安装Python，可以通过下面的命令进行安装。

manager～# sudo apt-get install python

manager～# sudo apt-get install python-psycopg2

manager～# sudo apt-get install pyqt4-dev-tools

其中Python-psycopg2提供相关数据库的访问接口，而pyqt4-dev-tools则提供Qt4调用接口。可以通过下面的命令测试是否成功安装了python：

manager～# which python

如果该命令返回python的路径，则说明python已经被正确安装，否则python没有被安装在当前***上或者是安装不正确，其路径不在PATH环境变量里面。

4.安装IPsec

IPSec工具的安装是为了提高数据加密中心和密钥管理中心的通信，在数据加密中心和密钥管理中心构建IPSec通道。IPSec工具安装可以通过下面的步骤(假设用户已经从网络中获取keyutil软件包并被放置在当前文件夹下面)。

manager～# su

manager～# tar-xzvf keyutils_1.2.orig.tar.gz

manager～# cd keyutils-1.2

manager～# make

manager～# make install

manager～# which setkey

“which setkey”命令可以用来检验IPSec工具是否已经被成功安装。

5.安装PostgreSQL

PostgreSQL是一个强大的关系型数据库，在本***中提供对存储信息，密钥信息，数据加密中心节点信息的保存和备份。因此，为了保证***的正确运行，必须安装PostgreSQL数据库。在Debian***中，我们采用apt-get命令安装PostgreSQL数据库并创建相应的访问用户secer。

manager～#sudo apt-get install postgresql

manager～#su root

manager～#su postgres

manager～#createuser secer

6.安装Qt

在密钥管理中心***中，Qt提供图像接口的显示功能，用户可以通过该接口实现GUI管理，操作简单。Qt的安装主要包含以下步骤。

manager～#sudo apt-get install qt4-dev-tools

manager～#sudo apt-get install qt4-doc

manager～#sudo apt-get install qt4-qtconfig

manager～#sudo apt-get install qt4-demos

7.安装密钥管理软件

密钥管理软件的安装非常容易，当你获取到secsan-1.2软件包后，可以root身份进入到源代码目录：secsan-1.2，并且执行./secsan.sh脚本程序，该程序提供软件安装，软件卸载等功能。程序安装过程如下：

manager～#su

manager～#.cd～/secsan-1.2

manager～#./secsan.sh-i kmc

Install seckmc tool...Done

Install secsan database...Done

manager～# seckmc

如果正确安装，当seckmc工具被执行的时候，则一个密钥管理软件将会被调用，该软件给用户提供图形操作界面

8.构建数据加密中心

数据加密中心的实施主要包含IPSec软件包的安装，设备映射功能软件包的安装，设备加密管理软件包的安装，SAN目标端管理软件的安装以及SAN发起端管理软件的安装。

IPSec用来实现密钥管理中心和数据加密中心之间的数据安全传输，设备映射功能软件被加密管理软件用来对磁盘进行加密，设备加密管理软件除了调用设备映射软件对磁盘加密以外，还具有调用SAN目标端和发起端指令的功能，用来将自身构建成目标端并且获取其它目标端的存储设备。数据加密软件根据接收到得指令对本地存储设备进行操作。

安装数据加密中心相关软件包之前，首先是安装操作***，例如Debian 5.0。可以通过网络或本地光驱安装操作***，用户可以参考Debian操作***的安装手册，这里不再累述。用户进入新的操作***后，可以依照下面方式，依次安装所需软件。

9.安装IPSec

数据加密中心***上IPSec的安装过程和密钥管理***的IPSec工具安装一样。安装过程如下所述。

encryptor ～# su

encryptor ～# tar-xzvf keyutils_1.2.orig.tar.gz

encryptor ～# cd keyutils-1.2

encryptor ～# make

encryptor ～# make install

encryptor ～# which setkey

10.安装设备映射软件包

设备映射软件是在初始原存储设备和加密虚拟存储设备之间建立映射，从而可以实现对存储设备或磁盘磁带的加密。安装过程如下：

encryptor ～# sudo apt-get install dmsetup

encryptor ～# sudo apt-get install ntfsprogs

encryptor ～# sudo which dmsetup

如果“sudo which dmsetup”可以正确将软件所在的路径返回，则相关工具已经正确安装，否则安装失败。

11.安装SAN发起端和目标端软件

SAN的发起端和目标端的安装通常要依据SAN的种类和底层物理设备，例如是iSCSI存储域网络和FC存储域网络的安装不同，QLA2xxx HBA和EmulexHBA的软件安装也不相同。这里以简单的iSCSI为例来安装相应的SAN发起端和目标端软件。

encryptor ～# sudo apt-get install iscsiadm

encryptor ～# sudo apt-get install open-iscsi

其中iscsiadm包含相应的发起端工具，open-iscsi包含相应的目标端软件工具。你可以通过”sudo which iscsiadm”和“sudo which ietadm”命令用来检查相关工具的安装结果。当SAN发起端和目标端软件被成功安装后，真正的数据加密软件需要安装了。

12.安装数据加密软件

同密钥管理软件的安装一样，首先要获取secsan-1.2软件包，然后将用户切换到root身份进行软件安装。程序安装过程如下：

manager～#su

manager～#.cd～/secsan-1.2

manager～#./secsan.sh-i dec

Install secdec tool...Done

manager～# secdec

如果正确安装，当secdec工具被执行的时候，数据加密中心***上将会运行一个守护进程，该进程将会与密钥管理软件建立通信并等待密钥管理***的命令指示，根据命令指示对数据加密中心进行操作和管理。

13.构建存储数据加密网络

当密钥管理中心和数据加密中心构建完成后，用户可以根据自己的需求，仿照图<5>构建自己的存储数据加密网络，将数据加密中心和密钥管理中心连接到可以相同通信的网络中(可以同一个局域网或不同局域网)，然后通过IPCONFIG配置固定IP地址。

每一个数据加密中心都有唯一的IP：

encryptor1～#sudo ipconfig eth0 192.168.1.101

encryptor2～#sudo ipconfig eth0 192.168.1.102

encryptor3～#sudo ipconfig eth0 192.168.1.103

密钥管理中心亦具有唯一的IP地址：

manager～#sudo ipconfig eth0 192.168.2.101

通过PING命令测试网络是否连通：

manager～# ping 192.168.1.101

Pinging 192.168.1.101 with 32 bytes of data：

Reply from 192.168.1.101：bytes＝32 time＝76ms TTL＝47

Reply from 192.168.1.101：bytes＝32 time＝75ms TTL＝47

manager～# ping 192.168.1.102

Pinging 192.168.1.102 with 32 bytes of data：

Reply from 192.168.1.102：bytes＝32 time＝76msTTL＝47

Reply from 192.168.1.102：bytes＝32 time＝75msTTL＝47

manager～# ping 192.168.1.103

Pinging 192.168.1.103 with 32 bytes of data：

Reply from 192.168.1.103：bytes＝32 time＝76ms TTL＝47

Reply from 192.168.1.103：bytes＝32 time＝75ms TTL＝47

当数据加密中心和密钥管理中心被正确接入网络后，可以根据SAN环境构建技术，将数据加密中心连接到存储域网络中。如果该存储域网络是iSCSI并且数据加密中心可以被其它存储端或发起端访问，则环境构建完成，如果数据加密中心不能被访问，则需网络管理员从新配置网络，将数据加密中心添加到iSCSI中。如果存储域网络是FC-SAN，则需要SAN管理员通过FC光线将数据加密中心连接到FC-SAN环境中，并配置相应FC交换机，将数据加密中心添加到相应ZONE中。

14.***测试

当新的***环境构建完成后，分别在数据加密中心和密钥管理中心运行secsan_dec和secsan_kmc程序，并且按照secsan_kmc的GUI操作说明，将数据加密中心的名称和IP地址添加到密钥管理中心的数据中，则用户可以在密钥管理中心获取相应数据加密中心的管理界面，通过该界面，用户可以指定磁盘加密算法，密钥长度，实现对数据的复合加密。

通过此种加密方式，***可以通过采用3种方式加强数据的安全性：1)对于无加密机制的SAN环境可以通过该方式实现数据加密；2)对于已经存在加密机制的SAN环境，可以加强数据安全性；3)采用多重数据加密过程，可以进一步提高数据安全性。总之，该加密方式可以通过可变的参数配置，不仅具有较好的数据加密算法配置的灵活性，而且可以保证数据具有很高的安全性。

Claims

1.一种存储域网络环境加密方法，其特征是在存储节点和客户节间设置有至少一个密钥管理中心和至少一个数据加密中心，数据加密中心与客户节点和存储节点通过有线或/和无线网络或/和光纤网络连通，每个加密中心对至少一个磁盘或分区或存储设备提供至少一种加密算法。

2.实现权利要求1所述加密方法的装置，其特征是装置由：一个作为密钥管理中心的微处理器，至少一个作为数据加密中心的微处理器，用户服务器，网络SAN(iSCSI)或/和FC-SAN存储设备构成，前述各设备间通过有线网络或/和无线网络或/和光纤网络实现物理连接，并基于彼此间的通讯协议实现相互间的数据传输，其中：用户服务器与第一个数据加密中心之间传输明文或经用户服务器加密后密文的数据，第n个数据加密中心与第n+1个数据加密中心之间传输经过第n个数据加密中心加密后的密文加密数据，最后一个数据加密中心与SAN存储设备之间传输经最后一个数据加密中心加密后的密文加密数据，密钥管理中心与各数据加密中心间以密文传输。

3.如权利要求2所述的装置，其特征是数据加密中心与密钥管理中心通过设置于同一个主机上的软件实现。

4.如权利要求2所述装置，其特征是通过将数据加密中心与密钥管理中心分别置于不同的微处理机上的软件实现，数据加密中心与密钥管理中心通过有线网络或/和无线网络或/和光纤网络实现物理连接，并基于彼此间的通讯协议实现相互间的数据传输。