可支持多协议盘阵的存储加密技术研究

发布时间：2020-07-09 21:45

【摘要】： 新的应用需求对存储设计提出了新的挑战,对于目前普遍存在的存储安全性和存储管理性问题,本文以磁盘阵列为研究对象,从存储加密和多协议支持两个方面分别展开研究,设计一种既支持多协议又具备安全特性的加密多协议磁盘阵列。随着存储技术的迅猛发展,新的存储器件层出不穷,当更换存储设备而升级系统时,这里就存在一个研究话题：存储设备兼容性问题,包括新旧存储设备的兼容性和不同类型设备的兼容性,本文采用多协议方式来支持对不同类型存储设备进行统一访问,这也是本文研究多协议存储的出发点；另外,当存储系统从单协议支持变成多协议支持后,协议传输环节变得复杂,安全漏洞也随之出现,特别是当多个用户分别采用不同协议访问该存储系统时,潜在的数据安全性成为突出问题。因此存储系统设计者需要关注存储安全性,上述两个问题归根结底是存储多协议支持问题和数据安全性问题,可归属于“存储资源和存储数据管理”的研究范畴。从数据安全性的角度看,不仅要保证数据的可用性,还要保证数据机密性,对于磁盘阵列这种存储设备而言,可不考虑数据可用性设计,因为设计磁盘阵列的初衷就是出于数据可用性考虑,磁盘阵列由多个磁盘通过盘阵控制器联在一起,并在特定磁盘上存放冗余校验数据,当某一磁盘发生故障时能通过数据重构方式将失效盘上数据恢复出来,确保上层业务持续不中断,本文将侧重于磁盘阵列的数据机密性研究。为了获得加密多协议磁盘阵列这种既支持多种协议又支持数据加密的存储设备,本文分别从数据访问协议和存储加密两个方面进行探讨,分别研究了存储读写加密、磁盘阵列加密、多协议磁盘阵列三个相互关联的主题,最后将上述三种研究成果集中体现到一种加密多协议磁盘阵列的设计中。在调研国内外存储安全的发展状况和相关法律法规的基础上,对现有几种存储安全技术(如全盘加密技术、基于虚拟磁盘与卷加密技术,基于文件与目录的加密技术)进行分析,剖析了加密文件系统的调用流程和运行原理,提出了一种针对数据加密的存储读写优化方法,出于加密开销和使用便利性考虑,将该加密读写方法具体实现为一种内核态加密文件系统(EE-FS),最后对该加密文件系统的密文开销进行了测试,实验结果表明,在内核态加载加／解密模块对系统性能影响较小。为了在高机密性和高性能之间得到一个比较好的平衡点,本文设计了一种部分数据段加密的磁盘阵列加密方案(简称“部分数据段加密方案”),该方案将文件数据分成多个段,对部分数据段进行加密以产生加密段,通过加密段和未加密数据段计算出校验值,然后将加密段、未加密段和校验值分条存放到不同的磁盘驱动器上,加密操作和校验值计算可并行进行。该方案只对部分数据段进行加密,在为磁盘阵列增加了安全性的同时,维持一个较高的存储访问性能。本加密方案除了对部分加密磁盘阵列的读写访问流程和实现模块等方面进行了分解和阐述,还通过具体盘阵加密案例,验证了加密磁盘阵列的实现可行性。对于加密多协议磁盘阵列研究,本文先从协议兼容、协议转换角度探讨支持多种不同访问协议的多协议磁盘阵列的设计,包括多协议磁盘阵列的研究思路、协议适配模块的设计、盘阵启动端和目标器的设计等,然后加入磁盘阵列加密方面的研究,提出了一种融合存储加密和多协议技术的磁盘阵列框架,通过分析加密层次、加密算法、协议适配层、存储资源池等方面问题,设计了一种加密多协议盘阵的原型系统。借助协议适配模块将不同类型的磁盘资源进行整合起来,形成一个大存储池,数据密文模块负责存储数据的加／解密处理,提高数据机密性,为了应对不同的应用需求,多协议磁盘阵列支持不同访问接口。最后对全文作了总结,并展望了加密多协议磁盘阵列的下一步工作。
【学位授予单位】：华中科技大学
【学位级别】：博士
【学位授予年份】：2010
【分类号】：TP333
【图文】：

示意图,物理,逻辑,示意图

华中科技大学博士学位论文动态利用[8]。傅湘林博士给出了一种基于TcP/IP的统一存储网 (UnitedstorageNetwork，usN)设计[7]，其示意图如图1一1所示。这里说的‘统一’有三层含义:(l)访问协议的统一，通过协议转换模块将不同的访问协议(FC和isCsl)统一在一起，在具体研究中，采用一个专门的管理器来负责，而在本论文研究中，将协议转换模块实现到磁盘阵列内部，和基于TCP/IP的纯软件实现有区别;(2)访问层次的统一，统一存储网能同时访问不同层次、不同粒度的数据，例如通过NFS一Head或NAS一Head的同时，可以将块级设备(如isCSI)挂载到这些设备头上

示意图,文件系统,示意图,虚拟存储

本本地文件系统统统统统统统统统统统统统统统统统统统统统统虚拟存储节点图1一 2vsfs中分布式文件系统的作用示意图。VSFS文件系统的元数据存放在虚拟存储服务器VSFS一Server的本地物理文件系统中，本地物理文件系统可以是本地操作系统支持的文件系统，如ExtZ，Ext3，Ext4，ReiserFS等等。在客户端VSFS一Client上运行一个用户空间守护进程 (VSFSCd)，然后为每个用户提供一个的全局命名空间，在文件系统模块被加载之后，可以从任意一个授权客户端进入文件系统的根目录，即得到一个统一的全局命名空间。从上层应用的角度来看

拓扑图,拓扑图,客户端,授权协议

口口口口口口 Ser7errr (((((((((((((((((((((((((((((((((((((C正匀匀 ............... NNNASBOXXX图1一 ActiveDirectory协议下的 NAsBox拓扑图考虑一个已经建立了支持CIFS、NFS和Hl，1，P的NAS盒的企业或机构，它使用 windowsActiveDirect。巧授权体系作为授权协议。在这种情形下，NAS服务器和客户端都是基于Linux的，并且都使用winbind守候进程来对 ActiveDirecto咧及务器进行反向验证，其架构拓扑如图1一3所示。在图中，NAS客户端使用mount命令或者Samba客户端命令向SaJ爪ba服务器发出起始cIFs请求

【相似文献】