陳俊健

佛山科學(xué)技術(shù)學(xué)院電子與信息工程學(xué)院 廣東 528000

0 引言

新興的存儲(chǔ)架構(gòu)都采用了數(shù)據(jù)路徑與控制路徑分離的方式，用戶獲取元數(shù)據(jù)信息后直接訪問(wèn)設(shè)備的數(shù)據(jù)塊，大大提高了存儲(chǔ)效率。同時(shí)它針對(duì)傳統(tǒng)的存儲(chǔ)系統(tǒng)只能記錄數(shù)據(jù)塊在磁盤的位置信息等極其有限的元數(shù)據(jù)信息，增強(qiáng)擴(kuò)展元數(shù)據(jù)的屬性，可以方便的記錄文件內(nèi)數(shù)據(jù)塊的敏感程度等安全信息。但目前存儲(chǔ)系統(tǒng)的加密存儲(chǔ)安全還建立在目錄級(jí)和文件級(jí)基礎(chǔ)之上，元數(shù)據(jù)信息也沒(méi)有對(duì)文件內(nèi)數(shù)據(jù)塊的敏感程度進(jìn)行記錄，對(duì)同一文件只能進(jìn)行整體全部有或無(wú)加密操作，并不能對(duì)文件的部分內(nèi)容進(jìn)行加密。這種統(tǒng)一粗粒度的加密方式會(huì)將同一文件中的敏感數(shù)據(jù)和非敏感數(shù)據(jù)全部加密，浪費(fèi)了很多CPU寶貴的計(jì)算時(shí)間。如果一個(gè)文件的不同區(qū)域要求不同的強(qiáng)度的加密保護(hù)，現(xiàn)有的加密方案只能用不同的加密算法對(duì)此文件進(jìn)行多次加密，從而生成多個(gè)文件，這不利于用戶和程序設(shè)計(jì)者管理這些文件，同時(shí)也浪費(fèi)了大量的存儲(chǔ)空間。

本文引入了存儲(chǔ)系統(tǒng)的細(xì)粒度加密安全的概念。由于存儲(chǔ)系統(tǒng)的最小單位不再是文件而是大量細(xì)粒度的數(shù)據(jù)塊，故我們可以將發(fā)掘這個(gè)優(yōu)勢(shì)，將加密的安全操作從文件級(jí)延伸至細(xì)粒度的數(shù)據(jù)塊級(jí)，對(duì)具有某些特殊需要的大文件在安全上實(shí)現(xiàn)細(xì)粒度的加密存儲(chǔ)。用戶可以根據(jù)文件的特征指定只對(duì)文件中的部分敏感數(shù)據(jù)進(jìn)行加密，根據(jù)敏感程度不同每個(gè)區(qū)域還可以指定一個(gè)加密算法。這些數(shù)據(jù)的加密信息存儲(chǔ)在元數(shù)據(jù)服務(wù)器中被安全的保護(hù)，如果非法用戶不能得到相關(guān)的加密信息，直接從存儲(chǔ)設(shè)備中取得的數(shù)據(jù)將由于關(guān)鍵區(qū)域被加密而使整個(gè)文件無(wú)法使用。

當(dāng)然如何使用戶方便透明的使用細(xì)粒度加密存儲(chǔ)方案也是必須要考慮的問(wèn)題。我們給用戶提供幾種不同的加密模式，使用戶可以根據(jù)實(shí)際存儲(chǔ)的文件類型方便的選擇不同的模式進(jìn)行加密操作。此外通過(guò)在元數(shù)據(jù)中加入安全相關(guān)的信息屬性，記錄文件的不同敏感區(qū)域和相應(yīng)的加密算法，就可以實(shí)現(xiàn)加密安全。實(shí)現(xiàn)了對(duì)文件訪問(wèn)的同時(shí)又不破壞單一文件的語(yǔ)義，應(yīng)用程序可以使用原來(lái)的接口來(lái)訪問(wèn)存儲(chǔ)系統(tǒng)，提高了系統(tǒng)的可移植性。

1 細(xì)粒度加密方案的設(shè)計(jì)

傳統(tǒng)的文件系統(tǒng)如CFS及Cryptfs加密方案實(shí)現(xiàn)起來(lái)比較簡(jiǎn)單，但并沒(méi)有將元數(shù)據(jù)與數(shù)據(jù)分離，存取大批量的數(shù)據(jù)時(shí)效率比較低下，同時(shí)用戶還需要自己去管理密鑰。當(dāng)前有很多基于數(shù)據(jù)塊的存儲(chǔ)系統(tǒng)解決了效率的問(wèn)題，也在磁盤加密安全上進(jìn)行了研究，如SFS、SNAD、SiRiUS及PLUTUS等，以上這些系統(tǒng)的訪問(wèn)控制管理機(jī)制都追求整個(gè)系統(tǒng)高性能，但很少考慮安全的開(kāi)銷對(duì)系統(tǒng)整體的影響，不能同時(shí)滿足安全和高效的需求。

HUSt是隨著大容量存儲(chǔ)系統(tǒng)的日益增多而提出的一種多層次、可擴(kuò)展的存儲(chǔ)模式，它取代傳統(tǒng)的模式，采用的概念使基于固定數(shù)據(jù)塊的SAN方案擴(kuò)展為支持變長(zhǎng)的數(shù)據(jù)塊，并賦予存儲(chǔ)以智能和主動(dòng)服務(wù)的特性，已應(yīng)用于檔案及GIS存儲(chǔ)等大型的存儲(chǔ)系統(tǒng)中。同時(shí)HUSt系統(tǒng)上也實(shí)現(xiàn)了一種加密的文件系統(tǒng)保證安全。

以上這些方案都只討論了文件級(jí)的加密方案，對(duì)日益增長(zhǎng)的大量細(xì)粒度的數(shù)據(jù)塊加密并不支持。也沒(méi)有根據(jù)文件類型進(jìn)行模式的分類和對(duì)細(xì)粒度的加密構(gòu)想進(jìn)行分析。

如圖1所示，我們?cè)贖USt加密文件系統(tǒng)的基礎(chǔ)上設(shè)計(jì)了一種新的細(xì)粒度加密方案。當(dāng)一個(gè)文件被用戶指定對(duì)某個(gè)數(shù)據(jù)塊進(jìn)行加密后，這些文件通過(guò)兩種層次的數(shù)據(jù)處理過(guò)程進(jìn)行處理：第一層負(fù)責(zé)處理數(shù)據(jù)塊的分拆，第二層負(fù)責(zé)數(shù)據(jù)塊的加密。

圖1 存儲(chǔ)系統(tǒng)細(xì)粒度加密方案

在存儲(chǔ)系統(tǒng)中文件數(shù)據(jù)塊的大小是變長(zhǎng)的，為了保證文件數(shù)據(jù)塊盡可能的分布在多個(gè)設(shè)備中提高系統(tǒng)的存儲(chǔ)效率，每個(gè)數(shù)據(jù)塊的大小會(huì)有所控制，所有關(guān)于數(shù)據(jù)塊的信息都存儲(chǔ)在元數(shù)據(jù)服務(wù)器的數(shù)據(jù)庫(kù)中。我們可以對(duì)元數(shù)據(jù)的信息進(jìn)行適當(dāng)?shù)膶傩詳U(kuò)充來(lái)滿足存儲(chǔ)系統(tǒng)加密安全的要求，當(dāng)用戶讀取元數(shù)據(jù)信息來(lái)獲取文件的數(shù)據(jù)塊信息的同時(shí)也會(huì)讀取相關(guān)的加密安全信息屬性。整個(gè)文件的元數(shù)據(jù)信息被分層的組織在一個(gè)樹(shù)型的結(jié)構(gòu)中，如圖2所示。每個(gè)文件加密存儲(chǔ)的時(shí)候會(huì)指向每一個(gè)元數(shù)據(jù)信息，每一個(gè)元數(shù)據(jù)信息指向此在文件中偏移地址等相關(guān)信息。特定類型的大文件加密之前用戶都會(huì)指定一個(gè)模式和敏感數(shù)據(jù)塊的偏移地址，與安全相關(guān)的內(nèi)容如采用的加密算法無(wú)縫的添加到元數(shù)據(jù)服務(wù)器的數(shù)據(jù)庫(kù)中。模式1和模式3中所有加密塊均采取同一算法，故在數(shù)據(jù)塊元數(shù)據(jù)信息中指定某一算法。模式2可以由每個(gè)用戶指定相應(yīng)的敏感區(qū)域，故還應(yīng)該記錄每個(gè)用戶和使用的算法。模式4需指定敏感區(qū)域使用的算法，但不必將算法和某個(gè)用戶對(duì)應(yīng)起來(lái)。

圖2 安全信息的數(shù)據(jù)結(jié)構(gòu)

2 細(xì)粒度加密方案的實(shí)現(xiàn)

HUSt是我們遵循OSD－2標(biāo)準(zhǔn)開(kāi)發(fā)的一種存儲(chǔ)系統(tǒng)原型，在HUSt的存儲(chǔ)安全上也遵循T10標(biāo)準(zhǔn)設(shè)計(jì)了一整套的解決方案，此方案還沒(méi)有涉及到塊級(jí)的加密存儲(chǔ)。由于存儲(chǔ)系統(tǒng)的元數(shù)據(jù)信息非常豐富，故我們將細(xì)粒度加密方案集成到HUSt存儲(chǔ)安全體系中去，來(lái)滿足大量的特定文件的塊級(jí)加密存儲(chǔ)。它的基本架構(gòu)如圖3所示，整個(gè)系統(tǒng)主要由三部分組成：

(1) 客戶端(Client)。它將根據(jù)文件的類型來(lái)設(shè)定所需加密的模式和各敏感區(qū)域的位置并將此信息提供給MDS，同時(shí)根據(jù)MDS返回的密鑰對(duì)數(shù)據(jù)塊進(jìn)行加解密操作。

(2) 元數(shù)據(jù)服務(wù)器(MetaData Server,MDS)。它將文件拆分成很多小的數(shù)據(jù)塊并分配到不同的OSD設(shè)備中，同時(shí)還包含一個(gè)密鑰管理模塊用于生成對(duì)敏感區(qū)域加密的密鑰，并將密鑰存儲(chǔ)在相關(guān)的元數(shù)據(jù)信息中。

(3) 存儲(chǔ)設(shè)備(Storage Device,SD)。它主要是完成快速的存儲(chǔ)用戶提交的數(shù)據(jù)?？蛻舳?、元數(shù)據(jù)服務(wù)器和存儲(chǔ)設(shè)備之間通過(guò)互聯(lián)網(wǎng)絡(luò)連接到一起，具有非常高的存儲(chǔ)速度和良好的擴(kuò)展性。

細(xì)粒度的加密方式會(huì)導(dǎo)致一個(gè)文件可能有多個(gè)密鑰，這就會(huì)使整個(gè)系統(tǒng)處理的密鑰比文件級(jí)加密多一個(gè)數(shù)量級(jí)，如何有效的對(duì)密鑰進(jìn)行管理是一個(gè)必需考慮的問(wèn)題。本方案將可選的加密算法和此數(shù)據(jù)塊的加密密鑰組合成一個(gè)屬性結(jié)構(gòu)加密存儲(chǔ)在可信的元數(shù)據(jù)服務(wù)器中。當(dāng)用戶需要密鑰進(jìn)行加解密操作時(shí)，首先向元數(shù)據(jù)服務(wù)的安全管理模塊提出請(qǐng)求，經(jīng)過(guò)安全認(rèn)證后，元數(shù)據(jù)服務(wù)器通過(guò)一個(gè)加密通道將此結(jié)構(gòu)傳送給用戶，用戶得到密鑰就調(diào)用相關(guān)的算法加解密文件數(shù)據(jù)。

3 結(jié)論

在存儲(chǔ)系統(tǒng)HUSt實(shí)際的應(yīng)用過(guò)程中我們發(fā)現(xiàn)存儲(chǔ)的很多大文件有明顯的特征，即可以對(duì)文件內(nèi)的數(shù)據(jù)塊進(jìn)行分類來(lái)實(shí)現(xiàn)更細(xì)粒度的加密存儲(chǔ)。同時(shí)可以利用存儲(chǔ)系統(tǒng)豐富的元數(shù)據(jù)信息存儲(chǔ)屬性算法和用戶信息來(lái)實(shí)現(xiàn)更精細(xì)的加密安全操作。

本文介紹了基于數(shù)據(jù)塊細(xì)粒度加密的構(gòu)想，在此基礎(chǔ)上將之應(yīng)用到的存儲(chǔ)系統(tǒng)HUSt上。對(duì)一些存在典型的區(qū)域敏感特征的應(yīng)用存儲(chǔ)系統(tǒng)會(huì)充分的挖掘其文件的內(nèi)部信息，實(shí)現(xiàn)了對(duì)細(xì)粒度的數(shù)據(jù)塊進(jìn)行加密的方案。該方案既提供了足夠的安全性又解決了系統(tǒng)效率的問(wèn)題。

[1] M. Blaze. A cryptographic file system for UNIX. In Proceedings of the 1st ACM Conference on Communications and Computing Security1993.

[2] C. P. Wright, M. C. Martino and E. Zadok. Ncryptfs： a secure and convenient cryptographic file system. In Proceedings of the USENIX Annual Technical Conference2003.

[3] E. Riedel, M. Kallahalla, and R. Swaminathan. A Framework for Evaluating Storage System Security. In Proceedings of the 1st Conference on File and Storage Technologies2002.

[4] L. F. Zeng, K.Zhou, and H. Jiang, HUSt： A Heterogeneous Unified Storage System for GIS Gid”,Finalist Award, HPC Storage Challenge, the 2006 International Conference for high Performance Computing, Networking, Storage and Analysis(SC’06).2006.

[5] SCSI Object Based Storage Device Commands2(OSD-2).http：//www. t10. org.

[6] 肖達(dá),舒繼武,薛巍,劉志才,鄭緯民.基于組密鑰服務(wù)器的加密文件系統(tǒng)的設(shè)計(jì)和實(shí)現(xiàn).計(jì)算機(jī)學(xué)報(bào).2008.