[發(fā)明專利]一種數(shù)據(jù)可信存儲(chǔ)的系統(tǒng)及其方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201410163220.6
• 申請(qǐng)日: 2014-04-22
• 公開(kāi)（公告）號(hào): CN103927489B
• 公開(kāi)（公告）日: 2017-01-18
• 發(fā)明（設(shè)計(jì)）人: 陳幼雷;郭偉;董唯元
• 申請(qǐng)（專利權(quán)）人: 陳幼雷
• 主分類號(hào): G06F21/57
• 分類號(hào): G06F21/57;G06F21/62;H04L29/06;H04L29/08
• 代理公司: 國(guó)防科技大學(xué)專利服務(wù)中心43202
• 代理人: 李振

1.一種數(shù)據(jù)可信存儲(chǔ)的系統(tǒng)，其特征在于：包括四個(gè)邏輯實(shí)體分別為可信管理中心、應(yīng)用服務(wù)器、存儲(chǔ)虛擬化安全網(wǎng)關(guān)和后端存儲(chǔ)系統(tǒng)；?

所述可信管理中心作為可信策略的配置和管理實(shí)體；所述可信管理中心負(fù)責(zé)配置、保存所有數(shù)據(jù)訪問(wèn)的可信存儲(chǔ)策略及安全策略，也提供對(duì)可信策略和安全策略查詢及管理的服務(wù)；可信存儲(chǔ)策略將定義符合什么安全狀態(tài)的訪問(wèn)請(qǐng)求端才允許對(duì)何種安全等級(jí)的數(shù)據(jù)進(jìn)行訪問(wèn)，可信存儲(chǔ)策略定義可信訪問(wèn)規(guī)則，包括訪問(wèn)目標(biāo)數(shù)據(jù)的安全級(jí)別，訪問(wèn)請(qǐng)求方的安全狀態(tài)和訪問(wèn)方式；可信存儲(chǔ)策略依據(jù)具體的應(yīng)用環(huán)境數(shù)據(jù)訪問(wèn)安全需求由安全管理人員制定并配置，該策略將作為可信存儲(chǔ)服務(wù)端代理驗(yàn)證訪問(wèn)是否合法的唯一依據(jù)；?

所述應(yīng)用服務(wù)器作為發(fā)起數(shù)據(jù)訪問(wèn)請(qǐng)求的實(shí)體，應(yīng)用服務(wù)器包括用于處理存儲(chǔ)傳輸?shù)腎O子系統(tǒng)和可信存儲(chǔ)客戶端代理功能組件；所述IO子系統(tǒng)負(fù)責(zé)將數(shù)據(jù)訪問(wèn)請(qǐng)求轉(zhuǎn)換為標(biāo)準(zhǔn)的IO傳輸請(qǐng)求，通常由應(yīng)用服務(wù)器的操作系統(tǒng)提供，實(shí)現(xiàn)相應(yīng)的底層設(shè)備傳輸驅(qū)動(dòng)功能；所述可信存儲(chǔ)客戶端代理功能組件是應(yīng)用服務(wù)器上的一個(gè)邏輯功能模塊，可信存儲(chǔ)客戶端代理功能組件負(fù)責(zé)截獲數(shù)據(jù)訪問(wèn)請(qǐng)求并對(duì)其進(jìn)行處理，它和可信存儲(chǔ)服務(wù)端代理功能組件進(jìn)行交互來(lái)實(shí)現(xiàn)度量和可信驗(yàn)證功能，并利用應(yīng)用服務(wù)器提供的數(shù)據(jù)傳輸功能將可信度量和驗(yàn)證的數(shù)據(jù)打包為傳輸協(xié)議能夠理解的數(shù)據(jù)包傳輸?shù)酱鎯?chǔ)虛擬化安全網(wǎng)關(guān)；?

所述存儲(chǔ)虛擬化安全網(wǎng)關(guān)是位于應(yīng)用服務(wù)器和后端存儲(chǔ)系統(tǒng)之間的邏輯功能設(shè)備，其是存儲(chǔ)服務(wù)器或者是服務(wù)器上的功能軟件；它負(fù)責(zé)處理對(duì)后端存儲(chǔ)系統(tǒng)的數(shù)據(jù)訪問(wèn)請(qǐng)求，利用虛擬化技術(shù)對(duì)訪問(wèn)請(qǐng)求進(jìn)行處理，實(shí)現(xiàn)虛擬設(shè)備和物理設(shè)備之間的映射，用后端可識(shí)別的存儲(chǔ)傳輸協(xié)議封裝數(shù)據(jù)塊和操作指令，并轉(zhuǎn)發(fā)到后端存儲(chǔ)系統(tǒng)上，存儲(chǔ)虛擬化安全網(wǎng)關(guān)還將執(zhí)行安全控制操作，根據(jù)可信存儲(chǔ)服務(wù)端代理的驗(yàn)證結(jié)果進(jìn)行訪問(wèn)請(qǐng)求的控制，也即拒絕或允許該請(qǐng)求；?

后端存儲(chǔ)系統(tǒng)提供數(shù)據(jù)存儲(chǔ)及操作的實(shí)際物理介質(zhì)；后端存儲(chǔ)系統(tǒng)包括物理或虛擬的存儲(chǔ)設(shè)備，后端存儲(chǔ)系統(tǒng)是數(shù)據(jù)訪問(wèn)請(qǐng)求實(shí)際操作數(shù)據(jù)的物理或虛擬存儲(chǔ)設(shè)備，是數(shù)據(jù)的主要存儲(chǔ)地。?

2.根據(jù)權(quán)利要求1所述的數(shù)據(jù)可信存儲(chǔ)的系統(tǒng)，其特征在于：所述存儲(chǔ)虛擬化安全網(wǎng)關(guān)負(fù)責(zé)接收應(yīng)用層的數(shù)據(jù)請(qǐng)求，并利用虛擬化技術(shù)實(shí)現(xiàn)虛擬端口的映射，虛擬存儲(chǔ)設(shè)備到物理存儲(chǔ)設(shè)備的轉(zhuǎn)換地址轉(zhuǎn)換以及IO請(qǐng)求的封裝；所述存儲(chǔ)虛擬化安全網(wǎng)關(guān)包括虛擬存儲(chǔ)管理模塊和可信存儲(chǔ)服務(wù)端代理功能組件，其中所述虛擬存儲(chǔ)管理模塊提供存儲(chǔ)虛擬化技術(shù)的底層實(shí)現(xiàn)，負(fù)責(zé)對(duì)虛擬存儲(chǔ)設(shè)備的管理，地址和端口映射，傳輸協(xié)議封裝和解析等操作，并將IO請(qǐng)求轉(zhuǎn)換?為后端存儲(chǔ)系統(tǒng)識(shí)別的操作指令并發(fā)送到后端存儲(chǔ)系統(tǒng)；所述可信存儲(chǔ)服務(wù)端代理功能組件是存儲(chǔ)虛擬化安全網(wǎng)關(guān)上的一個(gè)邏輯功能部件，或者是獨(dú)立的專用硬件設(shè)備，可信存儲(chǔ)服務(wù)端代理功能組件則負(fù)責(zé)實(shí)施數(shù)據(jù)訪問(wèn)的安全控制，并實(shí)施可信策略。?

3.根據(jù)權(quán)利要求2所述的數(shù)據(jù)可信存儲(chǔ)的系統(tǒng)，其特征在于：所述可信存儲(chǔ)服務(wù)端代理功能組件是負(fù)責(zé)對(duì)訪問(wèn)請(qǐng)求實(shí)施可信策略判定的邏輯功能部件，可信存儲(chǔ)服務(wù)端代理功能組件將和可信存儲(chǔ)客戶端代理功能組件共同完成可信度量和遠(yuǎn)程驗(yàn)證流程，驗(yàn)證發(fā)起訪問(wèn)請(qǐng)求的實(shí)體是否符合可信策略和安全策略；可信存儲(chǔ)服務(wù)端代理功能組件將獲取訪問(wèn)請(qǐng)求中的可信屬性，并查詢可信策略服務(wù)器，根據(jù)規(guī)則驗(yàn)證訪問(wèn)請(qǐng)求是否來(lái)自一個(gè)符合可信策略規(guī)定的安全狀態(tài)的實(shí)體；訪問(wèn)主體的可信屬性不僅包含訪問(wèn)主體的身份信息，還包含訪問(wèn)主體所運(yùn)行環(huán)境的安全狀態(tài)信息，比如發(fā)出數(shù)據(jù)訪問(wèn)請(qǐng)求的應(yīng)用程序，運(yùn)行該應(yīng)用程序的操作系統(tǒng)，所調(diào)用的系統(tǒng)組件和存儲(chǔ)設(shè)備驅(qū)動(dòng)程序等；可信存儲(chǔ)服務(wù)端代理功能組件將驗(yàn)證結(jié)果發(fā)送給存儲(chǔ)虛擬化安全網(wǎng)關(guān)，由其進(jìn)行傳輸?shù)陌踩刂疲试S或丟棄該訪問(wèn)請(qǐng)求。?