[發明專利]一種數據可信存儲的系統及其方法

有效

• 申請號: 201410163220.6
• 申請日: 2014-04-22
• 公開（公告）號: CN103927489B
• 公開（公告）日: 2017-01-18
• 發明（設計）人: 陳幼雷;郭偉;董唯元
• 申請（專利權）人: 陳幼雷
• 主分類號: G06F21/57
• 分類號: G06F21/57;G06F21/62;H04L29/06;H04L29/08
• 代理公司: 國防科技大學專利服務中心43202
• 代理人: 李振

技術領域

本發明涉及信息技術中的信息安全領域，尤其涉及一種對數據進行可信存儲的系統和實現方法。

背景技術

云計算應用模式的出現和存儲虛擬化技術的應用給后端存儲系統的數據安全訪問帶來新的風險。首先，相對封閉的存儲系統更容易暴露在外部網絡攻擊環境下，而傳統的基于網絡的安全手段很容易被旁路或被突破。其次，連接存儲系統的存儲服務器，應用服務器，網絡設備等在被攻破后，很容易被當成攻擊的跳板，使后端存儲系統面臨被破壞威脅。

通常數據訪問主體在發起訪問請求時，傳統的訪問控制方法只是根據訪問主體是否具有權限來判斷，無法知道發出請求的訪問主體是否處于安全的運行環境下。即使訪問的主體具有合法的權限，如果處于惡意環境中的訪問主體對數據的訪問，仍然會造成數據的泄露和非法訪問，比如惡意程序能夠在訪問主體通過訪問控制驗證并獲得數據后，攻擊并截獲數據。或假冒合法的訪問主體身份通過訪問控制的驗證獲得數據的訪問權限。

同時傳統數據安全方法只是針對數據訪問過程的控制，沒有對存儲數據的系統自身的防護能力，因此，如果訪問程序如果處于惡意環境中，即使訪問程序是合法的數據訪問請求，也很容易被惡意程序利用，成為攻擊存儲系統的。這種安全風險，傳統的數據安全方法不能解決。

現有的針對存儲系統的數據安全方法主要集中在采用密碼技術對數據進行處理方面，比如通過密碼技術進行數據的分片存儲，跟身份認證相結合的密鑰管理技術，利用數字證書和客戶端用戶密鑰或文件密鑰對數據進行加密并發送給云存儲系統等。

現有技術主要利用密碼技術在數據的加解密，密鑰管理，數據分片，身份認證等方面進行設計，其本質上都是靠對數據密碼保護來達到數據安全目的。對數據的密碼保護對性能有一定要求，因此需要在存儲系統中部署專有的加解密硬件等。其次，密碼技術的關鍵是密鑰管理。往往設計復雜的密鑰管理其實用性會降低，而簡單的密鑰管理有很容易被攻破。因此密鑰管理往往容易成為這類方案的一個弱點。密鑰的配置和人為的錯誤也很容易造成密鑰強度不高，密鑰泄露等問題。

發明內容

針對上述問題，本發明提出了一種將可信計算技術和存儲虛擬化技術相結合的針對存儲系統的數據可信存儲方法。在傳統訪問控制權限判斷之外，增加對數據訪問主體所處的運行環境的安全狀態的檢查和判斷，使得只有處于合法運行狀態下的主體在發起數據訪問時，同時具備合法的權限下才能夠對數據進行訪問。這樣能夠增強數據存儲過程以及存儲系統自身的安全性，降低因虛擬化技術的應用所帶來的安全風險。

為了解決上述技術問題，本發明采用下述的技術方案：

一種數據可信存儲的系統，包括四個邏輯實體分別為可信管理中心、應用服務器、存儲虛擬化安全網關和后端存儲系統；

所述可信管理中心作為可信策略的配置和管理實體；所述可信管理中心負責配置、保存所有數據訪問的可信存儲策略及安全策略，也提供對可信策略和安全策略查詢及管理的服務；可信存儲策略將定義符合什么安全狀態的訪問請求端才允許對何種安全等級的數據進行訪問，可信存儲策略定義可信訪問規則，包括訪問目標數據的安全級別，訪問請求方的安全狀態和訪問方式；可信存儲策略依據具體的應用環境數據訪問安全需求由安全管理人員制定并配置，該策略將作為可信存儲服務端代理驗證訪問是否合法的唯一依據；

所述應用服務器作為發起數據訪問請求的實體，應用服務器包括用于處理存儲傳輸的IO子系統和可信存儲客戶端代理功能組件；所述IO子系統負責將數據訪問請求轉換為標準的IO傳輸請求，通常由應用服務器的操作系統提供，實現相應的底層設備傳輸驅動功能；所述可信存儲客戶端代理功能組件是應用服務器上的一個邏輯功能模塊，可信存儲客戶端代理功能組件負責截獲數據訪問請求并對其進行處理，它和可信存儲服務端代理功能組件進行交互來實現度量和可信驗證功能，并利用應用服務器提供的數據傳輸功能將可信度量和驗證的數據打包為傳輸協議能夠理解的數據包傳輸到存儲虛擬化安全網關；

所述存儲虛擬化安全網關是位于應用服務器和后端存儲系統之間的邏輯功能設備，其是存儲服務器或者是服務器上的功能軟件；它負責處理對后端存儲系統的數據訪問請求，利用虛擬化技術對訪問請求進行處理，實現虛擬設備和物理設備之間的映射，用后端可識別的存儲傳輸協議封裝數據塊和操作指令，并轉發到后端存儲系統上，存儲虛擬化安全網關還將執行安全控制操作，根據可信存儲服務端代理的驗證結果進行訪問請求的控制，也即拒絕或允許該請求；