IP与FC融合式存储系统的安全体系设计与实现

发布时间：2020-05-21 14:38

【摘要】：随着信息技术的飞速发展,个人与组织对信息存储的需求越来越大,存储区域网也因此得到广泛的使用。然而存储区域网中的光纤通道存储区域网络与以太网存储区域网络各有优缺点,如果能够将两者进行融合,则能够进行优势互补,满足各种用户的需求。 无论是光纤通道存储区域网络还是以太网存储区域网络都存在安全问题,而且当两者被融合在一起时,又将出现新的安全问题。因此,需要针对这种融合式存储系统进行分析与研究,设计相应的安全体系以保证整个存储系统的安全性和可靠性。存储系统的安全性主要有以下几个方面:安全认证、访问控制、动态数据安全性和静态数据安全性。结合融合式系统的特点对挑战握手认证协议进行了改进,实现了存储用户与存储控制器的安全认证。由于光纤通道协议不同于IP协议,光纤通道发起端在使用挑战握手认证协议进行认证时采用的是带外认证方式,而IP发起端则是带内认证。提出了一种基于组和角色的访问控制模型,借助用户组控制用户对设备的访问,借助角色控制用户对数据的读写操作,从而实现对存储用户的多级访问控制。在以太网中传输的动态数据容易被截获、窃取或修改,因此在IP发起端与存储控制器之间建立起C/S模式的虚拟专用网对其加以保护。采用IEEE1619标准提出的XTS-AES加密算法对存储设备上的静态数据进行加密存储,同时对加密密钥进行统一分配和管理,以保证存储设备丢失时静态数据的安全性。 测试结果表明:设计方案能够为融合式存储系统提供全方位的安全保障,同时方案中使用的虚拟私有网络技术和XTS-AES加密算法对整个系统增加的额外开销并不大。
【图文】：

E FG H图 2.1 交换分区图是借助光纤交换机实现分区，把交换机上某些硬件端到这些端口的节点就处在同一个分区中[20]。在采用硬个端口地址集合代表一个分区，连接到同一集合中端可以实现互相通信。即使应用服务器与存储设备连接接的交换机端口不属于同一分区，那么应用服务器依是通过限制硬件端口的接入而实现访问控制，因此比灵活性很差，而且配置过程复杂。网络具有私有性、专用性，因此只采用了 LUN 技术进行访问控制。但是 LUN 技术只适合小规模 FC-SAN技术实现容易、管理简单，但是攻击者很容易通过伪

11全威胁如图2.3所示。图中的数字1~7分别表示融合式存储系统面临的7种安全威胁。第 1 种是存储用户非法访问存储控制器，第 2、3 种是用户与存储控制器传输数据的安全性，第 4 种是合法用户对存储设备的非法访问，第 5、6 种是存储控制器与存储设备传输数据的安全性，第 7 种是存储设备上的数据安全性。3256117 7422335 5 66IP路由器FC交换机存储控制器FC交换机IP路由器FC设备iSCSI设备iSCSI用户FC用户图 2.3 融合式存储系统面临的安全威胁对于第 1 种威胁，存储用户在与存储控制器建立数据通路以前，先进行安全认证，防止非法进入存储系统。对于第 2 种威胁，由于用户与存储控制器通过 IP 网络传输数据
【学位授予单位】：华中科技大学
【学位级别】：硕士
【学位授予年份】：2011
【分类号】：TP333

【参考文献】

相关期刊论文 前10条

1 宁云亭;;L2TP VPN的应用[J];电脑学习;2009年03期

2 王莹;何大军;;AES加密算法的改进与实现[J];电脑编程技巧与维护;2010年17期

3 卜晓燕;张根耀;郭协潮;;基于AES算法实现对数据的加密[J];电子设计工程;2009年03期

4 魏晓玲;;MD5加密算法的研究及应用[J];信息技术;2010年07期

5 赵凯;;VPN技术初探[J];信息技术;2010年10期

6 廖俊国;洪帆;肖海军;张昭理;;细粒度的基于角色的访问控制模型[J];计算机工程与应用;2007年34期

7 刘阳,朱方金,史清华;一个CHAP认证协议的改进方案[J];计算机工程;2005年05期

8 任传伦,李远征,杨义先;CHAP协议的分析和改进[J];计算机应用;2003年06期

9 何明星,范平志;新一代私钥加密标准AES进展与评述[J];计算机应用研究;2001年10期

10 朱立谷,赵青梅;SAN的安全技术研究[J];计算机应用研究;2003年05期

，

本文编号：2674452