專利名稱：一種存儲域網絡環(huán)境加密方法及裝置的制作方法
技術領域：
本發(fā)明涉及計算機數(shù)據(jù)加密技術，特別是存儲域網絡和存儲數(shù)據(jù)加密的技術。
背景技術：
存儲域網絡和存儲數(shù)據(jù)加密技術是現(xiàn)階段計算機領域的兩種基本技術。存儲域網 絡(SAN =Storage Area Network)是計算機信息處理技術中的一種架構，它將服務器和遠程 的計算機存儲設備(如磁盤陣列、磁帶庫)連接起來，使得這些存儲設備看起來就像是本地 一樣。根據(jù)連接線路或接口的不同，可以將SAN區(qū)分為網絡SAN或者是光線通道SAN，這也 就是平時所稱的iSCSI和FC-SAN。存儲區(qū)域網絡(SAN)將不同的數(shù)據(jù)存儲設備連接在一起，構成一個存儲網絡。用 戶可以對該網絡進行添加或刪除節(jié)點(存儲設備，交換機等)，從而很容易的實現(xiàn)數(shù)據(jù)備份 和存檔以及數(shù)據(jù)保護。企業(yè)商務或運營商多采用SAN實現(xiàn)對數(shù)據(jù)的存儲和備份管理。由于 SAN是基于網絡化的存儲，因此，較之傳統(tǒng)的存儲技術，SAN擁有更大的容量和更強的性能。 通過專門的存儲管理軟件，可以直接在SAN里的大型主機、服務器或其他服務端電腦上添 加硬盤和磁帶設備。當前，使用最多的是基于光線通道的FC-SAN。附圖1給出了 SAN結構 圖，由圖1中可知，在用戶服務器與由FC存儲器或/和存儲陳列構成的存儲設備間通過FC 交換機連接。由于SAN環(huán)境的存儲數(shù)據(jù)通常采用明文存儲，即獲取磁盤就可以直接讀取數(shù)據(jù)， 從而使數(shù)據(jù)的安全性完全依賴數(shù)據(jù)存儲設備的物理訪問安全性，從而提高了數(shù)據(jù)成本，并 且存在嚴重的安全隱患，為此，用戶對SAN存儲數(shù)據(jù)的加密方法和技術提出急切需求。現(xiàn)有技術中存儲數(shù)據(jù)加密技術，存儲系統(tǒng)不具有任何加密策略，數(shù)據(jù)以明文的方 式存儲，其安全性較低。在一些高級的存儲器或存儲陣列會將數(shù)據(jù)加密部件集成到存儲設 備中，而低級或老式的存儲設備就不具備加密功能。另外，即使有加密功能的存儲器，其密 鑰也存放在存儲設備中，即數(shù)據(jù)、加密模塊、密鑰管理模塊集中于存儲設備中，從而使存儲 設備的關鍵信息集中于一處，安全性能相對降低。

發(fā)明內容
本發(fā)明針對現(xiàn)有存儲域網絡中數(shù)據(jù)的潛在安全問題，公開一種存儲域網絡環(huán)境加 密方法，同時公開一種用于本發(fā)明的方法的裝置。本發(fā)明的存儲域網絡環(huán)境加密方法是在存儲節(jié)點和客戶節(jié)間設置有至少一個密 鑰管理中心和至少一個數(shù)據(jù)加密中心，數(shù)據(jù)加密中心與客戶節(jié)點和存儲節(jié)點通過有線或/ 和無線網絡或/和光纖網絡連通，每個加密中心對至少一個磁盤或分區(qū)或存儲設備提供至 少一種加密算法。本發(fā)明實現(xiàn)前述加密方法的裝置是由一個作為密鑰管理中心的微處理器，至少 一個作為數(shù)據(jù)加密中心的微處理器，用戶服務器，網絡SAN(iSCSI)或/和FC-SAN存儲設備 構成。前述各設備間通過有線網絡或/和無線網絡或/和光纖網絡實現(xiàn)物理連接，并基于彼此間的通訊協(xié)議實現(xiàn)相互間的數(shù)據(jù)傳輸。其中用戶服務器與第一個數(shù)據(jù)加密中心之間傳輸明文或經用戶服務器加密后密文的數(shù)據(jù)，第η個數(shù)據(jù)加密中心與第η+1個數(shù)據(jù)加密中心 之間傳輸經過第η個數(shù)據(jù)加密中心加密后的密文加密數(shù)據(jù)，最后一個數(shù)據(jù)加密中心與SAN 存儲設備之間傳輸經最后一個數(shù)據(jù)加密中心加密后的密文加密數(shù)據(jù)，密鑰管理中心與各數(shù) 據(jù)加密中心間以密文傳輸。本發(fā)明所述裝置的一個實施例是數(shù)據(jù)加密中心與密鑰管理中心通過設置于同一 個主機上的軟件實現(xiàn)。本發(fā)明所述裝置的另一個實施例是通過將數(shù)據(jù)加密中心與密鑰管理中心分別置 于不同的微處理機上的軟件實現(xiàn)，數(shù)據(jù)加密中心與密鑰管理中心通過有線網絡或/和無線 網絡或/和光纖網絡實現(xiàn)物理連接，并基于彼此間的通訊協(xié)議實現(xiàn)相互間的數(shù)據(jù)傳輸。由前述內容可知，本發(fā)明的加密系統(tǒng)由分別設置的數(shù)據(jù)加密中心和密鑰管理中心 構成，在存儲域網絡中構建密鑰管理中心，由密鑰管理中心負責產生、存儲、收回、更新和備 份密鑰；而數(shù)據(jù)加密中心必須通過密鑰管理中心獲取密鑰。密鑰管理中心可以獨立運行， 亦可以與加密中心共存。這種在存儲域網絡中建立數(shù)據(jù)加密中心具有對存儲數(shù)據(jù)加密的能 力，能夠支持分組加密算法，例如AES，DES，3DES，及多種模式，如XTS，CBC等。由于存儲節(jié)點 和客戶節(jié)點的連接通道必須經過一個或多個數(shù)據(jù)加密中心，而每個加密中心對一個磁盤或 分區(qū)或存儲設備提供一種或多種加密方案進行選擇，這里所述的加密方案也可以包含“不 對數(shù)據(jù)進行加密”，因此其加密措施可靠，保密性強，可以充分保證數(shù)據(jù)的安全。加密中心對 客戶節(jié)點和存儲節(jié)點透明，即無需再對客戶節(jié)點或存儲節(jié)點進行額外配置。本發(fā)明具有以下優(yōu)點1)可支持多種環(huán)境，例如FC-SAN，iSCSI等；2)連接靈活，可以將加密中心通過交 換機連入SAN中，也可以直接通過連接線與存儲節(jié)點和客戶節(jié)點進行直接相連；2)密鑰管理靈活安全，有密鑰管理中統(tǒng)一管理密鑰，可以提高密鑰的安全性，但是 密鑰中心又不拘泥于獨立的物理設備；3)加密算法靈活，加密中心可以提供多種加密算法；5)算法可迭代，數(shù)據(jù)更安全。 由于加密中心可以串行連接，因此可以根據(jù)需要選擇不同的密鑰加密算法，提高數(shù)據(jù)安全 性。4)本發(fā)明適用于對低級或老式的存儲設備的改造，使其可具有數(shù)據(jù)加密功能。


圖1為現(xiàn)有的存儲域網絡結構圖。圖2為本發(fā)明具有加密中心和密鑰管理中心的存儲域網絡結構示意圖。圖3為本發(fā)明的加密中心內部功能示意圖。圖4為本發(fā)明的密鑰管理中心功能結構圖。圖5為本發(fā)明的數(shù)據(jù)傳輸邏輯圖。
圖6為本發(fā)明具有多個加密中心的系統(tǒng)示意圖。
具體實施例方式附圖2為本發(fā)明的一個系統(tǒng)的結構示意圖，作為本發(fā)明的最簡單的基本系統(tǒng)是在 現(xiàn)有的存儲域網絡中，在用戶服務器與存儲設備間設置有一個數(shù)據(jù)加密中心和一個密鑰管理中心，其中的數(shù)據(jù)加密中心與密鑰管理中心可以是由設置同一個主機上的軟件實現(xiàn)，也 可以是由分別設置于不同主機上的軟件實現(xiàn)。通過這一結構可實現(xiàn)不同的加密策略。本 發(fā)明也可采用一個以上的多個數(shù)據(jù)加密中心和一個密鑰管理中心的結構，或者采用一個以 上的多個數(shù)據(jù)加密中心和一個以上的密鑰管理中心結構。作為前者，由一個密鑰管理中心 與各數(shù)據(jù)加密中心實現(xiàn)物理物理連接，并以相應的的協(xié)議傳輸數(shù)據(jù)，這一實施例相當于圖2 中所示的數(shù)據(jù)加密中心為許多個，而僅設置一個密鑰管理中心；作為后者則相當于由多個 密鑰管理中心分別與多個數(shù)據(jù)加密中心各自實現(xiàn)物理物理連接，并以相應的的協(xié)議傳輸數(shù) 據(jù)，這一實施例則相當于圖2中所示的數(shù)據(jù)加密中心和密鑰管理中心均為許多個。在前述 各系統(tǒng)中可以根據(jù)設計者或使用者不同的要求分別建立不同數(shù)據(jù)加密策略。系統(tǒng)在工作 時，用戶服務器與數(shù)據(jù)加密中心間以明文傳輸原始數(shù)據(jù)或經加密后的密文數(shù)據(jù)，而各數(shù)據(jù) 加密中心間，以及最后一個數(shù)據(jù)加密中心與由存儲陣列或/和FC存儲器構成的存儲度設備 間則以密文傳輸數(shù)據(jù)。如此實現(xiàn)數(shù)據(jù)的加密傳輸功能，其數(shù)據(jù)加密中心、密鑰管理中心內部 功能參見圖3和圖4，而用戶服務器與存在設備間數(shù)據(jù)傳輸邏輯參見圖5。
下表給出了本發(fā)明的一個硬件配置實例。 以下是一個具體的實施例1.實施環(huán)境需求硬件X86系統(tǒng)(32位或64位)內存(> 512M)網卡(> 10Mb/s) FC-HBA (具有兩個端口 )軟件Linux操作系統(tǒng)(內核版本> 2. 6. 26)支持C語言，Shell語言，Python語言PostgresQL 數(shù)據(jù)庫支持SAN Target 功能2.構建密鑰管理中心密鑰管理中心的構建主要包含Python軟件包的安裝，IPSec軟件包的安裝， PostgreSQL數(shù)據(jù)庫的安裝，Qt軟件包的安裝，密鑰管理軟件的安裝。Python軟件包和Qt軟件包是密鑰管理軟件運行的基礎，數(shù)據(jù)庫被密鑰管理軟件 用來存儲和備份密鑰等關鍵信息，IPsec用來實現(xiàn)密鑰管理中心和數(shù)據(jù)加密中心之間的數(shù) 據(jù)安全傳輸。密鑰管理軟件通過IPsec向數(shù)據(jù)加密中心發(fā)送指令和關鍵信息。
安裝密鑰管理中心相關軟件包之前，首先是安裝操作系統(tǒng)，例如Debian 5.0。可以通過網絡或本地光驅安裝操作系統(tǒng)，用戶可以參考Debian操作系統(tǒng)的安裝手冊，這里不再 累述。用戶進入新的操作系統(tǒng)后，可以依照下面方式，依次安裝所需軟件。3.安裝 PythonPython是圖形管理軟件的基礎，因此，首先要安裝Python解釋器和相關工具。如 果是采用Debian操作系統(tǒng)，系統(tǒng)會默認將Python基本工具安裝完成。如果你的平臺沒有 安裝Python，可以通過下面的命令進行安裝。manager # sudo apt-get install pythonmanager # sudo apt-get install python-psycopg2manager # sudo apt-get install pyqt4_dev_tools其中Python_psycopg2提供相關數(shù)據(jù)庫的訪問接口，而pyqt4-dev_tools則提供 Qt4調用接口?？梢酝ㄟ^下面的命令測試是否成功安裝了 python manager # which python如果該命令返回python的路徑，則說明python已經被正確安裝，否則python沒 有被安裝在當前系統(tǒng)上或者是安裝不正確，其路徑不在PATH環(huán)境變量里面。4.安裝 IPsecIPSec工具的安裝是為了提高數(shù)據(jù)加密中心和密鑰管理中心的通信，在數(shù)據(jù)加密 中心和密鑰管理中心構建IPSec通道。IPSec工具安裝可以通過下面的步驟(假設用戶已 經從網絡中獲取keyutil軟件包并被放置在當前文件夾下面)。manager # sumanager # tar_xzvf keyutils_l. 2. orig. tar. gzmanager # cd keyutils-1. 2manager # makemanager # make installmanager # which setkey“which setkey”命令可以用來檢驗IPSec工具是否已經被成功安裝。5.安裝 PostgreSQLPostgreSQL是一個強大的關系型數(shù)據(jù)庫，在本系統(tǒng)中提供對存儲信息，密鑰信 息，數(shù)據(jù)加密中心節(jié)點信息的保存和備份。因此，為了保證系統(tǒng)的正確運行，必須安裝 PostgreSQL數(shù)據(jù)庫。在Debim系統(tǒng)中，我們釆用apt-get命令安裝PostgreSQL數(shù)據(jù)庫并 創(chuàng)建相應的訪問用戶secer。manager #sudo apt-get install postgresqlmanager #su rootmanager #su postgresmanager #createuser secer6.安裝 Qt在密鑰管理中心系統(tǒng)中，Qt提供圖像接口的顯示功能，用戶可以通過該接口實現(xiàn) ⑶I管理，操作簡單。Qt的安裝主要包含以下步驟。manager #sudo apt-get install qt4_dev_tools
manager #sudo apt-get install qt4_docmanager #sudo apt-get install qt4-qtconfigmanager #sudo apt-get install qt4_demos7.安裝密鑰管理軟件密鑰管理軟件的安裝非常容易，當你獲取到secsan-1. 2軟件包后，可以root身份進入到源代碼目錄uecsan-l. 2，并且執(zhí)行./secsan. sh腳本程序，該程序提供軟件安裝， 軟件卸載等功能。程序安裝過程如下manager #sumanager #. cd /secsan-1. 2manager /secsan. sh_i kmcInstall seckmc tool. . . DoneInstall secsan database. . . Donemanager # seckmc如果正確安裝，當seckmc工具被執(zhí)行的時候，則一個密鑰管理軟件將會被調用， 該軟件給用戶提供圖形操作界面8.構建數(shù)據(jù)加密中心數(shù)據(jù)加密中心的實施主要包含IPSec軟件包的安裝，設備映射功能軟件包的安 裝，設備加密管理軟件包的安裝，SAN目標端管理軟件的安裝以及SAN發(fā)起端管理軟件的安裝。IPSec用來實現(xiàn)密鑰管理中心和數(shù)據(jù)加密中心之間的數(shù)據(jù)安全傳輸，設備映射功 能軟件被加密管理軟件用來對磁盤進行加密，設備加密管理軟件除了調用設備映射軟件對 磁盤加密以外，還具有調用SAN目標端和發(fā)起端指令的功能，用來將自身構建成目標端并 且獲取其它目標端的存儲設備。數(shù)據(jù)加密軟件根據(jù)接收到得指令對本地存儲設備進行操作。安裝數(shù)據(jù)加密中心相關軟件包之前，首先是安裝操作系統(tǒng)，例如Debian 5. 0?？梢?通過網絡或本地光驅安裝操作系統(tǒng)，用戶可以參考Debian操作系統(tǒng)的安裝手冊，這里不再 累述。用戶進入新的操作系統(tǒng)后，可以依照下面方式，依次安裝所需軟件。9.安裝 IPSec數(shù)據(jù)加密中心系統(tǒng)上IPSec的安裝過程和密鑰管理系統(tǒng)的IPSec工具安裝一樣。 安裝過程如下所述。encryptor # suencryptor # tar_xzvf keyutils_l. 2. orig. tar. gzencryptor # cd keyutils-1. 2encryptor # makeencryptor # make installencryptor # which setkey10.安裝設備映射軟件包設備映射軟件是在初始原存儲設備和加密虛擬存儲設備之間建立映射，從而可以 實現(xiàn)對存儲設備或磁盤磁帶的加密。安裝過程如下
encryptor # sudo apt-get install dmsetupencryptor # sudo apt-get install ntfsprogsencryptor # sudo which dmsetup如果“sudo which dmsetup”可以正確將軟件所在的路徑返回，則相關工具已經正確安裝，否則安裝失敗。11.安裝SAN發(fā)起端和目標端軟件SAN的發(fā)起端和目標端的安裝通常要依據(jù)SAN的種類和底層物理設備，例如是 iSCSI存儲域網絡和FC存儲域網絡的安裝不同，QLA2xxx HBA和EmulexHBA的軟件安裝也 不相同。這里以簡單的iSCSI為例來安裝相應的SAN發(fā)起端和目標端軟件。encryptor # sudo apt-get install iscsiadmencryptor # sudo apt-get install open-iscsi其中iscsiadm包含相應的發(fā)起端工具，open-iscsi包含相應的目標端軟件工具。 你可以通過” sudo which iscsiadm”和“sudo which ietadm”命令用來檢查相關工具的安 裝結果。當SAN發(fā)起端和目標端軟件被成功安裝后，真正的數(shù)據(jù)加密軟件需要安裝了。12.安裝數(shù)據(jù)加密軟件同密鑰管理軟件的安裝一樣，首先要獲取secsan-1. 2軟件包，然后將用戶切換到 root身份進行軟件安裝。程序安裝過程如下manager #sumanager #. cd /secsan-1. 2manager #· /secsan. sh_i decInstall secdec tool. . . Donemanager # secdec如果正確安裝，當secdec工具被執(zhí)行的時候，數(shù)據(jù)加密中心系統(tǒng)上將會運行一個 守護進程，該進程將會與密鑰管理軟件建立通信并等待密鑰管理系統(tǒng)的命令指示，根據(jù)命 令指示對數(shù)據(jù)加密中心進行操作和管理。13.構建存儲數(shù)據(jù)加密網絡當密鑰管理中心和數(shù)據(jù)加密中心構建完成后，用戶可以根據(jù)自己的需求，仿照圖 <5>構建自己的存儲數(shù)據(jù)加密網絡，將數(shù)據(jù)加密中心和密鑰管理中心連接到可以相同通信 的網絡中(可以同一個局域網或不同局域網)，然后通過IPC0NFIG配置固定IP地址。每一個數(shù)據(jù)加密中心都有唯一的IP encryptorl #sudo ipconfig ethO 192.168.1.101encryptor2 #sudo ipconfig ethO 192.168.1.102encryptor3 #sudo ipconfig ethO 192.168.1.103密鑰管理中心亦具有唯一的IP地址manager #sudo ipconfig ethO 192. 168. 2. 101通過PING命令測試網絡是否連通manager # ping 192. 168. 1. 101Pinging 192. 168. 1. 101 with 32 bytes of data Reply from 192.168.1.101 :bytes = 32 time = 76ms TTL = 47
Reply from 192. 168. 1. 101 :bytes = 32 time = 75ms TTL = 47manager # ping 192. 168. 1. 102Pinging 192. 168. 1. 102 with 32 bytes of data Reply from 192. 168. 1. 102 :bytes = 32 time = 76msTTL = 47Reply from 192. 168. 1. 102 :bytes = 32 time = 75msTTL = 47manager # ping 192. 168. 1. 103Pinging 192. 168. 1. 103 with 32 bytes of data Reply from 192. 168. 1. 103 :bytes = 32 time = 76ms TTL = 47
Reply from 192. 168. 1. 103 :bytes = 32 time = 75ms TTL = 47當數(shù)據(jù)加密中心和密鑰管理中心被正確接入網絡后，可以根據(jù)SAN環(huán)境構建技 術，將數(shù)據(jù)加密中心連接到存儲域網絡中。如果該存儲域網絡是iscsi并且數(shù)據(jù)加密中心 可以被其它存儲端或發(fā)起端訪問，則環(huán)境構建完成，如果數(shù)據(jù)加密中心不能被訪問，則需網 絡管理員從新配置網絡，將數(shù)據(jù)加密中心添加到iscsi中。如果存儲域網絡是FC-SAN，則需 要SAN管理員通過FC光線將數(shù)據(jù)加密中心連接到FC-SAN環(huán)境中，并配置相應FC交換機， 將數(shù)據(jù)加密中心添加到相應ZONE中。14.系統(tǒng)測試當新的系統(tǒng)環(huán)境構建完成后，分別在數(shù)據(jù)加密中心和密鑰管理中心運行secsaru dec和secsan_kmc程序，并且按照secsar^kmc的⑶I操作說明，將數(shù)據(jù)加密中心的名稱和 IP地址添加到密鑰管理中心的數(shù)據(jù)中，則用戶可以在密鑰管理中心獲取相應數(shù)據(jù)加密中心 的管理界面，通過該界面，用戶可以指定磁盤加密算法，密鑰長度，實現(xiàn)對數(shù)據(jù)的復合加密。通過此種加密方式，系統(tǒng)可以通過采用3種方式加強數(shù)據(jù)的安全性1)對于無加 密機制的SAN環(huán)境可以通過該方式實現(xiàn)數(shù)據(jù)加密；2)對于已經存在加密機制的SAN環(huán)境， 可以加強數(shù)據(jù)安全性；3)采用多重數(shù)據(jù)加密過程，可以進一步提高數(shù)據(jù)安全性?？傊?，該加 密方式可以通過可變的參數(shù)配置，不僅具有較好的數(shù)據(jù)加密算法配置的靈活性，而且可以 保證數(shù)據(jù)具有很高的安全性。
權利要求
一種存儲域網絡環(huán)境加密方法，其特征是在存儲節(jié)點和客戶節(jié)間設置有至少一個密鑰管理中心和至少一個數(shù)據(jù)加密中心，數(shù)據(jù)加密中心與客戶節(jié)點和存儲節(jié)點通過有線或/和無線網絡或/和光纖網絡連通，每個加密中心對至少一個磁盤或分區(qū)或存儲設備提供至少一種加密算法。
2.實現(xiàn)權利要求1所述加密方法的裝置，其特征是裝置由一個作為密鑰管理中心的 微處理器，至少一個作為數(shù)據(jù)加密中心的微處理器，用戶服務器，網絡SAN(iSCSI)或/和 FC-SAN存儲設備構成，前述各設備間通過有線網絡或/和無線網絡或/和光纖網絡實現(xiàn)物 理連接，并基于彼此間的通訊協(xié)議實現(xiàn)相互間的數(shù)據(jù)傳輸，其中用戶服務器與第一個數(shù)據(jù) 加密中心之間傳輸明文或經用戶服務器加密后密文的數(shù)據(jù)，第η個數(shù)據(jù)加密中心與第η+1 個數(shù)據(jù)加密中心之間傳輸經過第η個數(shù)據(jù)加密中心加密后的密文加密數(shù)據(jù)，最后一個數(shù)據(jù) 加密中心與SAN存儲設備之間傳輸經最后一個數(shù)據(jù)加密中心加密后的密文加密數(shù)據(jù)，密鑰 管理中心與各數(shù)據(jù)加密中心間以密文傳輸。
3.如權利要求2所述的裝置，其特征是數(shù)據(jù)加密中心與密鑰管理中心通過設置于同一 個主機上的軟件實現(xiàn)。
4.如權利要求2所述裝置，其特征是通過將數(shù)據(jù)加密中心與密鑰管理中心分別置于不 同的微處理機上的軟件實現(xiàn)，數(shù)據(jù)加密中心與密鑰管理中心通過有線網絡或/和無線網絡 或/和光纖網絡實現(xiàn)物理連接，并基于彼此間的通訊協(xié)議實現(xiàn)相互間的數(shù)據(jù)傳輸。
全文摘要
本發(fā)明公開計算機存儲域網絡和存儲數(shù)據(jù)加密的技術。本發(fā)明的存儲域網絡環(huán)境加密方法是在存儲節(jié)點和客戶節(jié)間設置有至少一個密鑰管理中心和至少一個數(shù)據(jù)加密中心，數(shù)據(jù)加密中心與客戶節(jié)點和存儲節(jié)點通過有線或/和無線網絡或/和光纖網絡連通，每個加密中心對至少一個磁盤或分區(qū)或存儲設備提供至少一種加密算法。本發(fā)明實現(xiàn)前述加密方法的裝置是由密鑰管理中心的微處理器，數(shù)據(jù)加密中心的微處理器，用戶服務器，以及網絡SAN(iSCSI)或/和FC-SAN存儲設備構成。
文檔編號H04L29/08GK101841412SQ20101014447
公開日2010年9月22日 申請日期2010年4月9日 優(yōu)先權日2010年4月9日
發(fā)明者白樹偉 申請人:蘭州韋爾斯信息科技有限公司