哪一種加密方式會(huì)更好呢？

最近出現(xiàn)的丟失含有客戶(hù)數(shù)據(jù)的現(xiàn)象說(shuō)明，對(duì)存儲(chǔ)數(shù)據(jù)進(jìn)行加密是必要的。存儲(chǔ)行業(yè)已認(rèn)識(shí)到了肩負(fù)的重大責(zé)任：確保存儲(chǔ)數(shù)據(jù)的安全性再也不是別人的問(wèn)題。不過(guò)，哪一種加密方式會(huì)更好呢？

過(guò)去幾個(gè)月，企業(yè)對(duì)客戶(hù)數(shù)據(jù)管理不善的報(bào)道不斷見(jiàn)諸報(bào)端。一些企業(yè)丟失的備份磁帶里面含有上百萬(wàn)客戶(hù)的個(gè)人數(shù)據(jù)，這些公司在業(yè)界都聲名顯赫，其中包括美國(guó)銀行(Bank of America)、花旗銀行(Citibank)、Ameritrade Holding 公司、時(shí)代華納公司(Time Warner)等。誰(shuí)也不想看到發(fā)生這種事。

確保存儲(chǔ)數(shù)據(jù)安全需要加密

位于美國(guó)華盛頓的波音員工信用合作社（Boeing Employees' Credit Union，BECU）的系統(tǒng)和管理安全員Daniel Chow說(shuō)：“丟失備份磁帶對(duì)企業(yè)會(huì)產(chǎn)生極為不利的影響。你最不想看到的就是自己的大名因泄露客戶(hù)數(shù)據(jù)而上了頭版頭條?！睘榱吮M量減少數(shù)據(jù)因磁帶丟失而被泄露的可能性，BECU采用了Decru公司的加密技術(shù)。前不久，Decru剛被Network Appliance公司收購(gòu)。

這種舉動(dòng)背后的原因很簡(jiǎn)單。經(jīng)驗(yàn)表明，試圖防止數(shù)據(jù)丟失的行動(dòng)將以失敗而告終。明智的策略就是確保數(shù)據(jù)經(jīng)過(guò)加密，那樣即使落入不法分子之手，也無(wú)法被讀取。

那么應(yīng)當(dāng)在哪個(gè)層面進(jìn)行加密呢？可以通過(guò)軟件加密，在應(yīng)用程序內(nèi)部、數(shù)據(jù)庫(kù)或者文件系統(tǒng)層面進(jìn)行加密。但如果處理不當(dāng)，基于軟件的加密會(huì)給公司帶來(lái)開(kāi)銷(xiāo)增大的壓力。另一種辦法是，你可以使用專(zhuān)用設(shè)備甚至硬盤(pán)，在數(shù)據(jù)寫(xiě)入磁盤(pán)過(guò)程中對(duì)數(shù)據(jù)進(jìn)行加密。大多數(shù)商業(yè)用戶(hù)似乎傾向于使用專(zhuān)用設(shè)備這種方法，因?yàn)椴坏奖悖倚阅芨?。還有一個(gè)原因是，這種即插即用的方法可以滿(mǎn)足法規(guī)遵從的要求。

企業(yè)戰(zhàn)略集團(tuán)的分析師Steve Duplessie說(shuō)：“存儲(chǔ)安全終于引起了大家的注意，但關(guān)注力度還不夠大。隱私問(wèn)題最終將會(huì)要求所有數(shù)據(jù)都要進(jìn)行加密——這將給整個(gè)IT行業(yè)帶來(lái)重大問(wèn)題?！?

在過(guò)去，存儲(chǔ)領(lǐng)域和安全領(lǐng)域毫不相干。存儲(chǔ)人員滿(mǎn)足于讓安全人員處理防火墻、入侵檢測(cè)、病毒及其他外部威脅。不過(guò)人們很難對(duì)媒體報(bào)道視而不見(jiàn)。于是存儲(chǔ)行業(yè)已認(rèn)識(shí)到了要負(fù)的重大的共同責(zé)任：確保存儲(chǔ)數(shù)據(jù)的安全性再也不是別人的問(wèn)題。

迄今為止，這種認(rèn)識(shí)已經(jīng)體現(xiàn)在行業(yè)媒體和商業(yè)會(huì)議簡(jiǎn)報(bào)上，可是存儲(chǔ)安全方面的預(yù)算并沒(méi)有大幅增加。存儲(chǔ)安全技術(shù)和應(yīng)用軟件的采用率仍然很低。企業(yè)戰(zhàn)略集團(tuán)估計(jì)，去年整個(gè)存儲(chǔ)安全市場(chǎng)的規(guī)模達(dá)到5000萬(wàn)美元。不過(guò)預(yù)計(jì)今年會(huì)翻一番，在今后幾年會(huì)大幅增長(zhǎng)。尤其是，備份市場(chǎng)正在促使人們采用加密技術(shù)。

硬件加密被普遍采用

作為華盛頓州最大的信用合作社，波音員工信用合作社（BECU）每天晚上都要在位于Tukwila的總部以及位于Kent的呼叫中心備份數(shù)據(jù)。備份采用EMC公司的Legato Networker軟件，把6TB數(shù)據(jù)從BECU的存儲(chǔ)區(qū)域網(wǎng)（SAN）傳送到惠普ESL9000磁帶庫(kù)——SAN主要包括惠普公司的硬件和博科通信系統(tǒng)公司的交換機(jī)。每天早上，這些磁帶再由Iron Mountain公司送到異地——最近發(fā)生磁帶丟失的一些事件牽涉到這家總部設(shè)在波士頓的第三方存儲(chǔ)提供商。不過(guò)一些安全專(zhuān)家對(duì)于把磁帶送到異地的這種方式深表憂(yōu)慮。

W. Curtis Preston 是位于馬薩諸塞州的一家存儲(chǔ)咨詢(xún)和服務(wù)公司——GlassHouse科技公司負(fù)責(zé)數(shù)據(jù)保護(hù)服務(wù)的副總裁。他說(shuō)：“如果你用UPS的快遞卡車(chē)運(yùn)送備份磁帶，那么不要再這樣做了。如果你非得要把磁帶送到異地不可，就要確保磁帶已經(jīng)加過(guò)密。”

BECU使用Decru的DataFort專(zhuān)用設(shè)備，在送到異地之前先對(duì)所有備份數(shù)據(jù)進(jìn)行加密。Chow說(shuō)：“你可不能盲目地信任第三方，因?yàn)槟闫鋵?shí)根本不知道人家會(huì)怎么處理你的磁帶。所以，我們要把確保數(shù)據(jù)安全視為己任。”

BECU以單價(jià)2.5萬(wàn)美元的價(jià)格購(gòu)買(mǎi)了六個(gè)專(zhuān)用設(shè)備。放在總部的兩個(gè)SAN每個(gè)使用兩個(gè)專(zhuān)用設(shè)備，以確保冗余性；位于Kent的呼叫中心使用一個(gè)，位于Spokane的災(zāi)難恢復(fù)站點(diǎn)使用剩下一個(gè)。還需要許可證－密鑰管理服務(wù)器來(lái)為所有專(zhuān)用設(shè)備管理加密密鑰。Chow說(shuō)，他傾向于采用硬件加密，原因在于他想避免性能受到任何影響。他說(shuō)：“我們使用專(zhuān)用設(shè)備后沒(méi)有遇到任何開(kāi)銷(xiāo)?！?

他還可以睡得更踏實(shí)些，因?yàn)檫@套系統(tǒng)在審查和測(cè)試期間運(yùn)行順暢。譬如說(shuō)，有人拿到磁帶后，試圖從中抽取文件，結(jié)果得到的是一堆亂七八糟的東西。同樣，IT人員向?qū)彶椴块T(mén)證明了迅速解密的能力，并成功地通過(guò)了數(shù)據(jù)恢復(fù)測(cè)試。

雖然大多數(shù)組織在加密時(shí)最先從備份數(shù)據(jù)入手，不過(guò)像佛羅里達(dá)州的Payformance公司卻決定對(duì)各種數(shù)據(jù)都進(jìn)行加密。Payformance的應(yīng)用軟件允許公司可在內(nèi)部用打印機(jī)打印激光防偽支票、報(bào)表、票據(jù)及其他文檔。金融服務(wù)和醫(yī)療保健客戶(hù)非常關(guān)注機(jī)密的付款數(shù)據(jù)的安全性和隱私性。個(gè)人醫(yī)療信息必須嚴(yán)加保護(hù)。

Betancourt曾對(duì)微軟Windows Server 2003內(nèi)置的加密文件系統(tǒng)進(jìn)行了測(cè)試，結(jié)果對(duì)基于軟件的加密性能并不滿(mǎn)意。他說(shuō)，加密出現(xiàn)延遲，哪怕延遲不到一個(gè)小時(shí)，也意味著迫使客戶(hù)等待。該公司最終決定采用NeoScale Systems公司的CryptoStor專(zhuān)用設(shè)備。使用故障替換模式的兩個(gè)設(shè)備可以直接連入該公司的2TB SAN的結(jié)構(gòu)里面——該SAN使用的是EMC CX500磁盤(pán)陣列、戴爾公司的磁帶驅(qū)動(dòng)器和McData公司的光纖交換機(jī)。公司在加入CryptoStor專(zhuān)用設(shè)備的前后對(duì)SAN進(jìn)行了測(cè)試，結(jié)果發(fā)現(xiàn)性能并沒(méi)有受到影響。所以，對(duì)各種數(shù)據(jù)進(jìn)行加密似乎再簡(jiǎn)單不過(guò)了。

Payformance公司使用另一個(gè)CrytoStor設(shè)備用于磁帶加密。賽門(mén)鐵克公司的Veritas Backup Exec 10軟件可以通過(guò)該專(zhuān)用設(shè)備把數(shù)據(jù)發(fā)送到戴爾PowerVault 132T磁帶庫(kù)上。這些磁帶放到異地保存起來(lái)。那么，磁帶備份架構(gòu)為什么不用故障替換機(jī)制呢？原因是如果該專(zhuān)用設(shè)備失效，公司準(zhǔn)備好了暫時(shí)停止磁帶備份，進(jìn)行修復(fù)。但SAN不一樣，人們無(wú)法忍受SAN出現(xiàn)任何的停運(yùn)時(shí)間。

加密軟硬兼施

主要的存儲(chǔ)加密廠商如Decru、NeoScale、Kasten Chase Applied Research和Vormetric都提供基于專(zhuān)用設(shè)備的產(chǎn)品。不過(guò)，Vormetric提供的工具卻有別于其他產(chǎn)品，原因在于它既使用軟件進(jìn)行加密，又使用專(zhuān)用設(shè)備管理所需密鑰。

計(jì)算機(jī)游戲中間件公司Havok在愛(ài)爾蘭都柏林和美國(guó)舊金山的辦事處都使用Vormetric公司的CoreGuard安全系統(tǒng)（CoreGuard Security System）。 Havok的IT主管Alistair Duff說(shuō)：“轟動(dòng)一時(shí)的《Half-Life 2》游戲被破解事件引起了我們的注意，因?yàn)檫@款游戲里面有我們編寫(xiě)的代碼?！?

Havok對(duì)所要保護(hù)的數(shù)據(jù)有所選擇。它只保護(hù)游戲代碼及放在幾臺(tái)服務(wù)器和桌面電腦上的其他重要數(shù)據(jù)。可以對(duì)靜態(tài)數(shù)據(jù)和傳輸中數(shù)據(jù)進(jìn)行加密。如果你在使用PC，倘若想訪問(wèn)某個(gè)文件，文件在網(wǎng)絡(luò)上傳輸過(guò)程中進(jìn)行解密，然后以明文格式出現(xiàn)在你的機(jī)器上，前提是你要有所需的授權(quán)級(jí)別。

可以通過(guò)應(yīng)用程序、用戶(hù)和主機(jī)限制訪問(wèn)。CoreGuard安全系統(tǒng)的軟件裝在每臺(tái)受保護(hù)的機(jī)器上，而兩個(gè)辦事處都有一個(gè)專(zhuān)用設(shè)備。該系統(tǒng)還為Duff防御病毒帶來(lái)的威脅提供了另一道保護(hù)機(jī)制。即使特洛伊木馬進(jìn)來(lái)，它也無(wú)法加以安裝及運(yùn)行，因?yàn)橄到y(tǒng)不允許它運(yùn)行。

經(jīng)濟(jì)因素和法規(guī)要求左右加密的進(jìn)程

經(jīng)濟(jì)因素恐怕是加密技術(shù)還沒(méi)有真正流行起來(lái)的主要原因。由于數(shù)據(jù)保護(hù)裝置的單價(jià)高達(dá)2萬(wàn)美元以上，或者每個(gè)軟件加密許可證高達(dá)2000美元，成本不菲。但用戶(hù)要想到另一個(gè)問(wèn)題，需要多少費(fèi)用才能彌補(bǔ)客戶(hù)數(shù)據(jù)泄露所造成的破壞與影響呢？

波音員工信用合作社（BECU）的Chow說(shuō)：“像Iron Mountain和美國(guó)銀行這些公司因?yàn)樽罱陌踩录u(yù)受損。所以，決定投資回報(bào)的因素很簡(jiǎn)單——企業(yè)的信譽(yù)值多少錢(qián)？”

盡管成本高昂，但采用加密技術(shù)可能很快就會(huì)成為不可避免的事情。美國(guó)加利福尼亞等州已經(jīng)通過(guò)了相關(guān)法律：哪家公司不對(duì)數(shù)據(jù)進(jìn)行加密，將面臨沉重的處罰。其他州也在亦步亦趨；一項(xiàng)聯(lián)邦法規(guī)也在探討當(dāng)中。雖然這些法律通常并不要求加密，但加利福尼亞的SB 1386卻要求公司向媒體及可能受影響的所有客戶(hù)披露安全事件——這對(duì)公司形象來(lái)說(shuō)無(wú)異是一場(chǎng)災(zāi)難。

企業(yè)戰(zhàn)略集團(tuán)的Jon Oltsik說(shuō)：“要是美國(guó)銀行的磁帶經(jīng)過(guò)加密，它也許用不著披露失竊事件?，F(xiàn)在是停止討論安全、改而開(kāi)始專(zhuān)門(mén)調(diào)撥預(yù)算去解決這個(gè)經(jīng)營(yíng)風(fēng)險(xiǎn)的時(shí)候了?！?（CCW）