存儲安全

雲計算的推廣套用不可避免需要雲存儲來實現對雲端信息提供存儲保障，所以，雲存儲其實是社會發展、技術發展的一個必然趨勢。雲存儲是一個多種利弊的相糾纏的狀態，喜歡的人毫無顧忌的在使用，而相對謹慎的人卻一邊看著雲存儲的便利，一邊靜觀雲存儲的安全威脅。

基本介紹

• 中文名：存儲安全
• 外文名：Storage security
• 類別：存儲系統
• 目的：保護數據
• 基礎：加密和認證
• 技術：存儲安全技術等

概述

雲計算的推廣套用不可避免需要雲存儲來實現對雲端信息提供存儲保障，所以，雲存儲其實是社會發展、技術發展的一個必然趨勢。雲存儲是一個多種利弊的相糾纏的狀態，喜歡的人毫無顧忌的在使用，而相對謹慎的人卻一邊看著雲存儲的便利，一邊靜觀雲存儲的安全威脅。

謹慎的人並不是杞人憂天，亞馬遜、谷歌等等全球最大的運服務提供商，相繼、屢次出現宕機等事故，再給用戶帶來使用不便的同時，有的甚至造成用戶永久數據丟失。

雲存儲

雲存儲是通過網路提供可配置的虛擬化的存儲及相關數據的服務。雲存儲的內涵是存儲虛擬化和存儲自動化。它是基於網路的，並且是可以配製、按需分配的，它是一種虛擬化的存儲和數據管理。

優勢

雲存儲服務提供了許多相當誘人的優勢。它可以按量付費，沒有資本支出，即使以後存儲需求增加，用戶也不需要再購買其他設備。你可以動態調整存儲容量，而且只需為實際使用的容量付費。

從短期和長期來看，雲存儲服務最大的特點就是可以為小企業減少成本。他們不必購買硬體和軟體，省去了聘請專業的IT人士的投資，不需要考慮後續的升級問題等等。對於所有的用戶來說，雲存儲可以更好的備份本地數據，並可以異地處理日常數據。同時，公司員工可以在任何地方訪問他們需要的數據，而不必擔心內外網路的阻隔。

威脅

雲存儲服務的威脅首先是身份認證和訪問控制問題，有可能導致數據或者存儲的信息被假冒和竊取。第二個風險是數據存儲和傳輸的保密性問題。企業的經營數據和個人的數據，如果放到這個雲端存儲以後無法保證信息在存儲和傳輸過程中的保密性，可能發生大量的商業信息和隱私泄露的問題。

第三是數據隔離問題，對不同的雲用戶來說，雲存儲系統是一個相同的物理系統，不再象傳統網路一樣有物理的隔離和防護邊界，就存在虛擬系統被越界訪問等無法保證信息隔離性的問題。第四就是套用安全，對於運行在雲存儲平台之上的雲套用，如果其本身未遵循安全規則或存在套用安全漏洞，就可能導致雲存儲數據被非法訪問或破壞等問題。

著作權風險也不容忽視，一些個人或團體會將以影視音樂為主體的檔案通過雲存儲的客戶端上傳至網盤中，然後通過分享的方式對圈子內提供下載，大量的有著作權的視頻音樂被這種特殊盜版方式進行傳播。

此外，雲存儲所帶來的個人隱私泄露也是資深人士所擔心的，有很多移動平台用戶喜歡隨時將自己用手機或平板拍攝的照片與視頻通過雲存儲快速上傳到網盤中，你上傳的每一張照片或其他檔案都有可能是明文保存的，管理員可以從服務端的平台中直接查看和刪除用戶上傳的檔案，這些檔案中不乏用戶的機密檔案或用戶隱私。

最後，我們還不得不考慮運營停止的後患，在當下的網際網路環境下，雲存儲服務商每年的資金投入都很龐大，而我們還沒看清雲存儲的盈利模式，究竟有多少服務商可以持續永久的提供這種服務，這種服務後期是否收費?是否會因為虧損問題、盈收問題而被迫停止運營，在這種情況已有用戶的數據向何處遷移?數據安全由誰負責，服務商在一定時間會關停服務才是用戶數據留存問題最大的隱患。

網路檔案系統

存儲安全系統大致可以分為四類：安全網路檔案系統、加密檔案系統、可生存存儲系統和基於存儲的入侵檢測。它們分別從四個不同的層次提供存儲系統的機密性、完整性和可用性。

基於認證和訪問控制的網路檔案系統是最早考慮到安全因素的，包括NFS、AFS、NASD、SFS-RO等。在這類系統中，通過存儲伺服器的認證和訪問控制提供數據的安全性。大多數這類存儲安全系統也對網路中傳輸的數據加密。但是它們不提供端到端的數據安全，也就是說它們不保證存儲在存儲伺服器上的數據的機密性和完整性。而是假設檔案伺服器和存儲安全系統管理員是可信的。

NASD是卡內基.梅隆大學並行數據實驗室提出的新型磁碟系統，通過增加磁碟處理能力構成智慧型磁碟，使得磁碟能判別用戶和加解密數據;主機和認證伺服器通信獲得許可權密鑰，再和存儲伺服器通信獲得加密密鑰，最後直接和磁碟通信。

SFS-RO旨在提高大規模客戶端訪問網路存儲安全系統上唯讀數據的性能，同時提供一定的安全機制保證唯讀數據訪問的安全。SFS-RO是在SFS的基礎上發展起來的，它通過增加唯讀數據的副本，不僅提高了分散式環境下對唯讀數據的可用性，而且通過一整套安全機制實現了唯讀數據的安全訪問。

加密檔案系統

加密檔案系統目標是提供端到端的安全，在客戶端執行加密操作防止數據被檔案伺服器和其他未授權用戶竊取或篡改。這些系統將密碼操作(加密/解密、簽名/驗證)嵌入檔案系統中。檔案伺服器被賦予最小的信任，由於它們不參與加密/解密過程，它們永遠無法獲知可讀的文本。這類存儲安全系統面對的主要問題是密鑰管理。包括密鑰的粒度、密鑰的存儲、共享策略。可以說靈活高效的密鑰管理策略是提高存儲安全系統效率的重要因素。另外，這類存儲安全系統還要有效解決許可權撤銷(Revocation)時檔案的重加密帶來的額外開銷。

Goh於2003年提出了可套用於網路存儲系統中的中間件層安全系統SiRiUS，它不需要修改存儲系統中的任何部分，通過截獲、轉換訪問數據系統調用實現安全功能，使用多對對應不同許可權者的公開密鑰實現傳輸認證和授權。SiRiUS是在現有的不可信的網路檔案系統(如NFS,CIFS等)上提供檔案讀寫的加密訪問。加州大學聖克魯斯分校的SNAD是一個基於分散式檔案的存儲安全系統，磁碟具有一定的計算能力，能夠進行一些基本的存儲管理和用戶認證的功能。客戶端加密所有的數據後，將加密數據存儲在盤上。密鑰管理是一種鎖盒子(lockbox)方法，而lockbox存儲在一個可信的伺服器上。如果共享用戶要讀數據，則用戶需從lockbox伺服器上得到密鑰，然後再從磁碟上讀出加密數據，然後再用密鑰解密。

存儲安全系統中的數據加密技術的實現分成三類：基於主機、基於網路(數據傳輸)以及基於磁帶機。這有點類似實現虛擬存儲的劃分方式。

基於主機層的數據加密技術，通常是一些軟體廠商在伺服器端就對數據進行加密處理，如VERITASNetBackup的加密軟體。通過內部網路傳送到伺服器時，資料已是加密狀態，然後再通過存儲網路傳送到磁帶做備份。但這會加重伺服器的工作負荷，影響存儲安全系統整體性能，同時還會增加數據管理與調用的複雜性。所以，基本上只適用於需要進行點對點加密的小型企業。

基於網路層的數據加密技術，事實上就是在設備I/O的連線埠外接一個硬體加密裝置。在數據傳輸的過程中，對所有經過的數據都一視同仁地做了加密。NetApp剛剛收購的Decru公司以及NeoScale都是採用這種方式。這種加密雖說比較完整，但由於不對加密數據進行區別，無疑增加了加密裝置的負擔。

基於磁帶機方式的數據加密技術，通過在磁帶機上對數據進行加密，使數據得到更安全的保護，且不需要額外的管理和備份策略的改變。這就是把以前的WORM磁帶擴展成磁帶機對所有的磁帶進行加密。