CN106254061B - 一种高速网络存贮加解密方法 - Google Patents

Abstract

本发明提供一种高速网络存贮加解密方法，所述方法通过对状态信息进行exchange并发操作处理，完成对FC加密机的线速磁盘命令映射，再以64位突发流水线进行独立突发处理，使用接口FPGA对加密板进行数据流调度，在接口板FPGA和加解密板FPGA之间通过GPIO信号来调整水线的值，使用QDR SRAM作为一级缓存完成二级模块间的缓存，DIMM DDR3作为二级缓存完成一级模块之间的缓存，完成加解密过程，采用比较通用的HASH链表方式，可以快速且准确的定位到查找目标，通过在每个帧上打上令牌标记，可以有效防止乱序的发生；FPGA内部采取多条64位突发流水线，根据任务的不同进行独立突发处理，工序节点合成结果，有效的解决了接入处理能力。

Description

一种高速网络存贮加解密方法

技术领域

本发明属于信息网络体系结构下的信息安全技术领域，具体涉及一种高速网络存贮加解密方法。

背景技术

在存储领域中，FC SAN（光纤存储局域网）基于其先天的高性能、稳定性一直占据着大部分市场。随着近年来各种信息安全事件的爆发，人们迫切需要有一种途径来保障自己的数据安全，尤其是像银行等单位。针对用户的FC存储网络***的应用环境、FC协议特点和高可用性需求，如何稳定可靠、安全可控、快速高效地解决用户存储网络数据的保密问题以及密钥管理问题，正是研制高速网络存贮加密机的背景和意义所在。高速网络存储加密机主要通过一种基于FC协议的数据加解密机制，解析FC SAN网络中的应用服务器(以下称服务器端)和磁盘阵列(以下称存储器端)之间的FC协议，对于服务器端与存储器端之间传输的数据进行加解密。设备所使用的加解密技术避免了降低用户原有应用***的性能，特别是数据信息的传输效率，满足***的长延时特性对加解密体制提出的更苛刻的要求，在满足用户需求的同时，确保***符合国密局对商用密码产品的技术规范要求。

发明内容

为了解决上述问题，本发明提供一种高速网络存贮加解密方法，

所述方法通过对状态信息进行exchange并发操作处理，完成对FC加密机的线速磁盘命令映射，再以64位突发流水线进行独立突发处理，使用接口FPGA对加密板进行数据流调度，在接口板FPGA和加解密板FPGA之间通过GPIO信号来调整水线的值，使用QDR SRAM作为一级缓存完成二级模块间的缓存，DIMM DDR3作为二级缓存完成一级模块之间的缓存，完成加解密过程；

进一步地，所述方法包括：

S1：输入状态信息；

S2：对S1中状态信息进行exchange并发操作处理；

S3：对S2中处理过的信息进行数据处理；

S4：对S3中数据处理过的信息进行帧缓存和帧保序,完成加解密；

进一步地，所述S2具体为一次exchange的加解密操作中，密钥保持不变，记录数据帧中的LUN、LBA、ID和offset信息，后续到来的FCP_DATA根据ID唯一定位，所述LUN和LBA信息用于加解密的密钥指引；

进一步地，所述exchange具体为对FCP-SCSI磁盘操作命令，一次磁盘命令映射为一次exchange，每次exchange分解为多个单向的sequence，每个sequence分解为多个FC-2的帧；

进一步地，所述S2中处理并发的exchange和sequence交叉操作时通过HASH链表方式记录百万级的FC session，并以二次hash和动态更新解决HASH冲突；

进一步地，所述二次hash是对hash的关键字通过两次不同的hash算法，分别比较定位，所述动态更新是在一次exchange结束后及时清除session节点，释放资源；

进一步地，所述S3具体为在FPGA内部采取64位突发流水线，根据任务的不同进行独立突发处理，并使用工序节点合成结果，使用接口板FPGA对加密板进行数据流调度，在接口板FPGA和加解密板FPGA之间通过GPIO信号来调整水线的值；

进一步地，所述调整水线的值的具体方法为：当加解密板FPGA处理队列达到水线时，告知接口板FPGA选择性丢弃报文，接口板FPGA通过会话表中的统计信息丢弃同一连接上已传输数据最少的报文；

进一步地，所述S4具体为使用QDR SRAM作为一级缓存完成二级模块间的缓存，使用的DIMM DDR3作为二级缓存完成一级模块之间的缓存，并在每个帧上打上令牌标记；

进一步地，所述S1输入信息状态信息方法包括通过设备后部的心跳线同步和通过设备前部的HA接口同步。

本发明的有益效果如下：

1）通过处理并发的海量exchange和sequence交叉操作，完成线速的加解密操作，由于设备处在一个海量存储的节点上，因此并发的exchange的数量有可能达到百万级，也就是说***需要记录百万级的FC session，对于此FC session的实现机制将采用比较通用的HASH链表方式，可以快速且准确的定位到查找目标；

2）每个单元的处理延时将导致帧的缓存量很大，通过在每个帧上打上令牌标记，可以有效防止乱序的发生；

3）硬件完成所有FCP的数据帧转发、加解密，软件完成配置和管理；

4）FPGA内部采取多条64位突发流水线，根据任务的不同进行独立突发处理，工序节点合成结果，有效的解决了接入处理能力；

5）加密板使用接口FPGA做数据流调度，实现了数据均衡算法，在多个加密芯片芯片间平衡分配数据流，最大限度发挥多加密芯片的处理能力；

6）由于接口支持8G数据接入，而加解密处理能力只有4G，这必然导致会有一部分报文在设备内部被丢弃，由于FC协议不像TCP协议那样可以只对丢弃的某一个报文进行重传，而是将整个操作进行重传，所以在接口板FPGA和加解密板FPGA之间通过GPIO信号来调整水线的值，当加解密板FPGA处理队列达到水线时告知接口板FPGA选择性丢弃报文，接口板FPGA通过会话表中的统计信息来保证只丢弃那些同一连接上已传输数据最少的报文；

7）FPGA工作在166MHz主频，满足4Gbps处理能力；

8）既可以通过设备后部的心跳线同步状态信息，也可以通过设备前部的HA接口同步状态信息，实现双机热备。

附图说明

图1为实现本发明所述方法的设备的硬件结构图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细描述。应当理解，此处所描述的具体实施例仅仅用于解释本发明，并不用于限定本发明。相反，本发明涵盖任何由权利要求定义的在本发明的精髓和范围上做的替代、修改、等效方法以及方案。进一步，为了使公众对本发明有更好的了解，在下文对本发明的细节描述中，详尽描述了一些特定的细节部分。对本领域技术人员来说没有这些细节部分的描述也可以完全理解本发明。

下面结合附图和具体实施例对本发明作进一步说明，但不作为对本发明的限定。下面为本发明的举出最佳实施例：

如图1所示，本发明提供一种高速网络存贮加解密方法，所述方法基于图1中的硬件结构，通过对状态信息进行exchange并发操作处理，完成对FC加密机的线速磁盘命令映射，再以64位突发流水线进行独立突发处理，使用接口FPGA对加密板进行数据流调度，在接口板FPGA和加解密板FPGA之间通过GPIO信号来调整水线的值，使用QDR SRAM作为一级缓存完成二级模块间的缓存，DIMM DDR3作为二级缓存完成一级模块之间的缓存，完成加解密过程，所述方法包括：

S1：输入状态信息；

S2：对S1中状态信息进行exchange并发操作处理；

S3：对S2中处理过的信息进行数据处理；

S4：对S3中数据处理过的信息进行帧缓存和帧保序,完成加解密，所述S1输入信息状态信息方法包括通过设备后部的心跳线同步和通过设备前部的HA接口同步，所述S2具体为一次exchange的加解密操作中，密钥保持不变，记录数据帧中的LUN、LBA、ID和offset信息，后续到来的FCP_DATA根据ID唯一定位，所述LUN和LBA信息用于加解密的密钥指引，所述exchange具体为对FCP-SCSI磁盘操作命令，一次磁盘命令映射为一次exchange，每次exchange分解为多个单向的sequence，每个sequence分解为多个FC-2的帧，所述处理并发的exchange和sequence交叉操作时通过HASH链表方式记录百万级的FC session，并以二次hash和动态更新解决HASH冲突，所述二次hash是对hash的关键字通过两次不同的hash算法，分别比较定位，所述动态更新是在一次exchange结束后及时清除session节点，释放资源，所述S3具体为在FPGA内部采取64位突发流水线，根据任务的不同进行独立突发处理，并使用工序节点合成结果，使用接口板FPGA对加密板进行数据流调度，在接口板FPGA和加解密板FPGA之间通过GPIO信号来调整水线的值，所述调整水线的值的具体方法为：当加解密板FPGA处理队列达到水线时，告知接口板FPGA选择性丢弃报文，接口板FPGA通过会话表中的统计信息丢弃同一连接上已传输数据最少的报文，所述S4具体为使用QDR SRAM作为一级缓存完成二级模块间的缓存，使用的DIMM DDR3作为二级缓存完成一级模块之间的缓存，并在每个帧上打上令牌标记。

本发明所述方法具体加密流程如下：

在磁盘写的过程中，写命令和写数据在设备内部都是由接口板FPGA外网接收后，发送到加解密模块，对需要加密的数据进行加密后，再发送到接口板FPGA内网。其对应的会话记录在外网接口板。该流程主要分为以下几个步骤：

1）服务器发送FCP_CMMD写命令帧。

2）接口板FPGA外网的接口模块接收到FCP_CMMD写命令帧后，通过合路器发送到协议解析模块。

3）接口板FPGA外网在协议解析模块识别该帧为FCP_CMMD写命令帧，并提取帧头中的S_ID,D_ID,OX_ID信息,以及FC帧载荷中的LUN和LBA信息。

4）接口板FPGA外网在磁盘映射表模块使用D_ID查找相应的Device_ID。

5）接口板FPGA外网在会话表模块以{S_ID,D_ID,OX_ID}为关键字创建一条会话，同时在会话中记录{LUN,LBA,Device_ID}信息。

6）接口板FPGA外网在上行模块将FCP_CMMD写命令帧使用自定义PDU封装后交给XAUI收发模块，最后发送到加解密模块。

7）加解密模块将该PDU报文透传发送到接口板FPGA内网。

8）接口板FPGA内网的XAUI收发模块从加解密模块收到该PDU报文后，交给下行模块处理。

9）接口板FPGA内网的下行模块从PDU报文中取出FCP_CMMD写命令帧后，通过合路器发送到接口模块，最后发送到磁盘阵列。

10）磁盘阵列回复FCP_XFER_RDY传输准备帧。

11）接口板FPGA内网的接口模块接收到FCP_XFER_RDY传输准备帧后，通过合路器发送到协议解析模块。

12）接口板FPGA内网的协议解析模块识别该帧为FCP_XFER_RDY传输准备帧，然后发送到上行模块。

13）接口板FPGA内网的上行模块将FCP_XFER_RDY帧使用自定义PDU进行封装，发送到XAUI收发模块，最后发送到加解密模块。

14）加解密模块将该PDU报文透传发送到接口板FPGA外网。

15）接口板FPGA外网的XAUI收发模块从加解密模块收到该PDU报文后，交给下行模块处理。

16）接口板FPGA外网的下行模块从PDU报文中取出FCP_XFER_RDY传输准备帧后，通过合路器发送到接口模块，最后发送到服务器。

17）服务器接收到FCP_XFER_RDY传输准备帧之后，发送FCP_DATA写数据帧。

18）接口板FPGA外网的接口模块接收到FCP_DATA写数据帧后，通过合路器发送到协议解析模块。

19）接口板FPGA外网的协议解析模块识别该帧为FCP_DATA写数据帧，并提取帧头中的S_ID,D_ID,OX_ID信息。

20）接口板FPGA外网在会话表模块以{S_ID,D_ID,OX_ID}为关键字进行查找，查找到会话后，获得会话信息{LUN,LBA, Device_ID}。

21）接口板FPGA外网在上行模块将FCP_DATA写数据帧按512字节进行拆分，将每个片段使用自定义PDU进行封装，发送到XAUI收发模块，最后发送到加解密模块。

22）加解密模块对PDU报文中的数据进行加密后，发送到接口板FPGA内网。

23）接口板FPGA内网的XAUI收发模块从加解密模块收到该PDU报文后，交给下行模块处理。

24）接口板FPGA内网的下行模块从PDU报文中取出FCP_DATA写数据帧，如果不是最后一个分片，将该分片缓存后不再进行后续流程的处理。

25）接口板FPGA内网的下行模块接收到最后一个分片后将所有FCP_DATA片段拼接为一个完整的FCP_DATA写数据帧，然后通过合路器发送到接口模块，最后发送到磁盘阵列。

26）反复步骤17-25，处理多个FCP_DATA写数据帧。

27）磁盘阵列发送FCP_RSP写响应帧。

28）接口板FPGA内网的接口模块接收到FCP_RSP写响应帧后，通过合路器发送到协议解析模块。

29）接口板FPGA内网的协议解析模块识别该帧为FCP_RSP写响应帧，并提取帧头中的S_ID,D_ID,OX_ID信息。

30）接口板FPGA内网在会话表模块以{S_ID,D_ID,OX_ID}为关键字进行关闭连接的操作。

31）接口板FPGA内网的上行模块将FCP_RSP写响应帧使用自定义PDU进行封装，发送到XAUI收发模块，最后发送到加解密模块。

32）加解密模块将该PDU报文透传发送到接口板FPGA外网。

33）接口板FPGA外网的XAUI收发模块从加解密模块收到该PDU报文后，交给下行模块处理。

34）接口板FPGA外网的下行模块从PDU报文中取出FCP_RSP写响应帧后，通过合路器发送到接口模块，最后发送到服务器。

35）服务器完成一次写操作。

其中加密方法的算法类型包括对称分组密码算法、非对称密码算法和密码杂凑算法，密码运算中使用的随机数采用安全芯片内的物理噪声源产生。其中：

1）非对称密码算法采用国密局批准使用的SM2算法，采用已经定型的宏思安全芯片HS32U2-K（SSX0912-B）的硬实现。

2）密码杂凑算法采用国密局批准使用的SM3算法。采用已经定型的宏思安全芯片HS32U2-K（SSX0912-B）的软实现。

3）对称分组密码算法采用国密局批准使用的SM4算法。采用定型的宏思安全芯片HS32U2-K（SSX0912-B）的软实现（用于密钥管理），以及接口板FPGA的软实现（用于业务加解密）。

4）随机数采用国密局已经定型的宏思WNG系列物理噪声源WNG9，充分保证产生的随机数具有很好的随机性。

网络存储加密机采用的密码算法均设置有对密码算法、软硬件模块的完整性、正确性检验等安全机制，从而确保密码算法始终处于正确、安全的工作状态中。

网络存储加密机所有使用的密钥、认证时的随机参量均由安全芯片的物理噪声源产生。

上述加密方法主要用于业务数据加解密、摘要、数字签名验证、身份认证、存储保护加密和密钥分发加密等功能。其中业务数据加密功能使用了SM4算法，分组长度为128bit，密钥长度为128bit；数字签名验证和身份认证功能采用SM2、SM3算法共同实现，公/私钥长度为512/256 bit。存储保护加密功能采用SM4算法实现，分组算法密钥长度128bit。密钥分发加密算法采用SM2，SM3，SM4算法共同完成，公/私钥长度为512/256 bit，分组算法密钥长度128 bit。

其中，业务数据加密算法，采用SM4算法，通过分组ECB模式实现。

存储保护加密算法，采用SM4算法，通过分组ECB模式实现。

密钥分发加密算法，采用SM2、SM3和SM4算法，通过数字信封方式实现。

身份认证加密算法，采用SM2和SM3算法实现。

密码算法在网络存储加密机中的具体配置、作用及管理如下：

以上所述的实施例，只是本发明较优选的具体实施方式的一种，本领域的技术人员在本发明技术方案范围内进行的通常变化和替换都应包含在本发明的保护范围内。

Claims (8)

1.一种高速网络存贮加解密方法，其特征在于，所述方法通过对状态信息进行exchange并发操作处理，完成对FC加密机的线速磁盘命令映射，再以64位突发流水线进行独立突发处理，使用接口板FPGA对加解密板进行数据流调度，在接口板FPGA和加解密板FPGA之间通过GPIO信号来调整水线的值，使用QDR SRAM作为一级缓存完成二级模块间的缓存，DIMM DDR3作为二级缓存完成一级模块之间的缓存，完成加解密过程,所述exchange具体为对FCP-SCSI磁盘操作命令，一次磁盘命令映射为一次exchange，每次exchange分解为多个单向的sequence，每个sequence分解为多个FC-2的帧。

2.根据权利要求1所述的加解密方法，其特征在于，所述方法包括：

S1：输入状态信息；

S2：对S1中状态信息进行exchange并发操作处理；

S3：对S2中处理过的信息进行数据处理；

S4：对S3中数据处理过的信息进行帧缓存和帧保序,完成加解密。

3.根据权利要求2所述的加解密方法，其特征在于，所述S2具体为一次exchange的加解密操作中，密钥保持不变，记录数据帧中的LUN、LBA、ID和offset信息，后续到来的FCP_DATA根据ID唯一定位，所述LUN和LBA信息用于加解密的密钥指引。

4.根据权利要求2所述的加解密方法，其特征在于，所述S2中处理并发的exchange和sequence交叉操作时通过HASH链表方式记录百万级的FC session，并以二次hash和动态更新解决HASH冲突，所述二次hash是对hash的关键字通过两次不同的hash算法，分别比较定位，所述动态更新是在一次exchange结束后及时清除session节点，释放资源。

5.根据权利要求2所述的加解密方法，其特征在于，所述S3具体为在FPGA内部采取64位突发流水线，根据任务的不同进行独立突发处理，并使用工序节点合成结果，使用接口板FPGA对加解密板进行数据流调度，在接口板FPGA和加解密板FPGA之间通过GPIO信号来调整水线的值。

6.根据权利要求5所述的加解密方法，其特征在于，所述调整水线的值的具体方法为：当加解密板FPGA处理队列达到水线时，告知接口板FPGA选择性丢弃报文，接口板FPGA通过会话表中的统计信息丢弃同一连接上已传输数据最少的报文。

7.根据权利要求2所述的加解密方法，其特征在于，所述S4具体为使用QDR SRAM作为一级缓存完成二级模块间的缓存，使用的DIMM DDR3作为二级缓存完成一级模块之间的缓存，并在每个帧上打上令牌标记。

8.根据权利要求2所述的加解密方法，其特征在于，所述S1输入信息状态信息方法包括通过设备后部的心跳线同步和通过设备前部的HA接口同步。