一種安全存儲系統(tǒng)的密鑰管理方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明屬于安全存儲技術(shù)領(lǐng)域，具體涉及一種安全存儲系統(tǒng)的密鑰管理方法。
【背景技術(shù)】
[0002]目前，國內(nèi)的安全存儲系統(tǒng)產(chǎn)品較少，主要原因是存儲設(shè)備的廠商一般不涉及信息安全領(lǐng)域。國外的NetApp的DecruDataFort設(shè)備是企業(yè)級的存儲加密系統(tǒng)，它采用的技術(shù)路線是通過網(wǎng)關(guān)將所有數(shù)據(jù)加密后存儲至后端，網(wǎng)絡(luò)加密性能成為其重要性能瓶頸。EMC公司的Data Domain Encrypt1n使用集中式加密密鑰生命周期管理實現(xiàn)透明加解密，但是EMC的產(chǎn)品僅支持AES加密算法，不支持國產(chǎn)商密算法。
[0003]因此，研制安全高效的安全存儲系統(tǒng)的關(guān)鍵是設(shè)計出安全高效的密鑰管理體系。

【發(fā)明內(nèi)容】

[0004]為了克服現(xiàn)有技術(shù)的上述缺點，本發(fā)明提供了一種安全存儲系統(tǒng)的密鑰管理方法，安全存儲系統(tǒng)由安全管理中心和安全存儲陣列組成，安全管理中心負(fù)責(zé)密鑰管理，安全存儲陣列由陣列控制器和磁盤存儲單元組成，安全管理中心與陣列控制器之間通過安全通道實現(xiàn)密鑰分發(fā)，陣列控制器內(nèi)部通過部署加密代理和存儲加密模塊實現(xiàn)透明加解密。其中，密碼設(shè)備既支持國產(chǎn)商用密碼算法也支持多種通用算法，且可以根據(jù)用戶的安全需求選用不同的密碼算法。
[0005]本發(fā)明解決其技術(shù)問題所采用的技術(shù)方案是:一種安全存儲系統(tǒng)的密鑰管理方法，所述安全存儲系統(tǒng)包括安全管理中心和安全存儲陣列；所述安全管理中心負(fù)責(zé)密鑰管理，安全存儲陣列包括陣列控制器和磁盤存儲單元，安全管理中心與陣列控制器之間通過安全通道實現(xiàn)密鑰分發(fā)，陣列控制器內(nèi)部通過部署加密代理和存儲加密模塊實現(xiàn)透明加解
LU O
[0006]與現(xiàn)有技術(shù)相比，本發(fā)明的積極效果是:
[0007]1、安全高效。密鑰分發(fā)和密鑰協(xié)商都采用安全通道傳輸，密鑰采用三層體系，層層向下加密，保障其安全，同時，安全存儲陣列內(nèi)部部署加密卡，實現(xiàn)本地高性能的透明加解密；
[0008]2、易用友好，可與存儲設(shè)備無縫集成。密鑰管理體系中業(yè)務(wù)邏輯之間的交互皆遵循業(yè)界標(biāo)準(zhǔn)的技術(shù)，具備可維護(hù)性和伸縮性；
[0009]3、支持多種算法，滿足不同業(yè)務(wù)需求。支持國產(chǎn)商密算法和通用加密算法。
【附圖說明】
[0010]本發(fā)明將通過例子并參照附圖的方式說明，其中:
[0011]圖1是本發(fā)明方法的系統(tǒng)架構(gòu)圖。
【具體實施方式】
[0012]—種安全存儲系統(tǒng)的密鑰管理方法，其中:安全存儲系統(tǒng)包括安全管理中心和安全存儲陣列，其架構(gòu)如圖1所示，安全管理中心為安全存儲系統(tǒng)的密鑰管理中心，它負(fù)責(zé)對整個安全存儲系統(tǒng)密鑰進(jìn)行全生命周期管理，它的功能主要由部署其中的代理服務(wù)端程序?qū)崿F(xiàn)。安全存儲陣列包含陣列控制器和盤組，安全存儲陣列接收到安全管理中心下發(fā)的密文密鑰數(shù)據(jù)，并負(fù)責(zé)密鑰鏈的構(gòu)建和安全存儲，安全存儲系統(tǒng)的加解密過程在安全存儲陣列(主要由陣列控制器完成，其功能主要由代理客戶端程序?qū)崿F(xiàn))內(nèi)部實現(xiàn)，對上層應(yīng)用訪問是透明的，可無縫與數(shù)據(jù)庫、Mai 1、OA等業(yè)務(wù)系統(tǒng)集成。
[0013]1.安全存儲陣列中密鑰分發(fā)過程
[0014]密鑰分發(fā)過程術(shù)語約定:密鑰分為三層，存儲并逐層保護(hù)。上層密鑰為安全存儲陣列的設(shè)備密鑰devMK，devMK用于保護(hù)密鑰加密密鑰KEK，devMK采用公鑰加密存儲；中間層是密鑰加密密鑰KEK，密鑰加密密鑰KEK用于加密數(shù)據(jù)加密密鑰DEK ;下層是數(shù)據(jù)加密密鑰DEK，DEK用于加密數(shù)據(jù)。
[0015]安全存儲陣列首次上線時，首先應(yīng)在安全管理中心注冊，若身份合法，則安全存儲陣列中的代理客戶端程序調(diào)用加密卡產(chǎn)生公私鑰對，并將公鑰發(fā)送到安全管理中心的代理服務(wù)端申請設(shè)備證書，代理服務(wù)端頒發(fā)設(shè)備證書，包含設(shè)備密鑰devMK，并與根證書一起發(fā)放到安全存儲陣列。
[0016]KEK和DEK密鑰分發(fā)流程:
[0017](I)安全管理中心啟動下發(fā)KEK和DEK密鑰(對應(yīng)的設(shè)備、類型、數(shù)量)操作；
[0018](2)安全管理中心檢測代理服務(wù)端與代理客戶端是否建立安全通道，如果沒有則返回錯誤，否則繼續(xù)；
[0019](3)代理服務(wù)端為對應(yīng)的陣列產(chǎn)生密鑰，KEK采用devMK加密，DEK采用KEK加密，并將密鑰進(jìn)行存儲；
[0020](4)代理服務(wù)端通過安全通道下發(fā)密鑰；
[0021 ] (5)代理客戶端收到密鑰驗證密鑰正確性(驗證校驗值)，將密鑰操作轉(zhuǎn)遞給陣列系統(tǒng)接口 ；
[0022](6)代理客戶端向代理服務(wù)端返回操作結(jié)果，成功更改密鑰狀態(tài)。
[0023]2.會話密鑰協(xié)商流程
[0024]會話密鑰協(xié)商過程的術(shù)語約定:KSK為安全管理中心的私鑰，KPK為安全管理中心的公鑰，ZSK為安全存儲陣列的私鑰，ZPK為安全存儲陣列的公鑰，SIG_ZSK(M)表示用安全存儲陣列私鑰ZSK對消息M簽名，SIG_KSK(M)表示用安全管理中心私鑰KSK對消息M簽名，PEN_ZPK(M)表示用安全存儲陣列的公鑰ZPK對消息M加密，H (M)表示用雜湊算法對消息M做Hash運算，SK為會話密鑰。
[0025]協(xié)商會話密鑰SK的詳細(xì)過程描述如下:
[0026](I)安全存儲陣列產(chǎn)生隨機(jī)數(shù)rl，采用安全存儲陣列的公鑰加密，A = PEN_ZPK(rl)，陣列對rl做簽名運算，B = SIG_ZSK(H(rl))，將A和B發(fā)送到安全管理中心；
[0027](2)安全管理中心接收A和B，用管理中心的私鑰解密A，采用數(shù)據(jù)庫存儲的陣列公鑰驗簽B，如驗證通過，則接收rl ;否則返回失敗消息給安全存儲陣列，要求重發(fā)；
[0028](3)安全管理中心產(chǎn)生隨機(jī)數(shù)r2，采用安全存儲陣列公鑰加密rl和r2，C = PEN_ZPK(rl，r2)，安全管理中心對rl做簽名運算，D = SIG_KSK (H(r2))，安全管理中心將C和D發(fā)送到安全存儲陣列；
[0029](4)安全存儲陣列接收C和D，用安全存儲陣列的私鑰解密C，比較⑴產(chǎn)生的隨機(jī)數(shù)rl是否一致，如一致，則接收；并且對D用安全管理中心的公鑰驗簽，如驗證通過，則接收r2 ;否則返回失敗消息給安全管理中心，要求重發(fā)；
[0030](5)通信雙方合成會話密鑰:SK = rl ? r2，至此完成密鑰協(xié)商，會話密鑰可用于對通信數(shù)據(jù)進(jìn)行加密。
【主權(quán)項】
1.一種安全存儲系統(tǒng)的密鑰管理方法，其特征在于:所述安全存儲系統(tǒng)包括安全管理中心和安全存儲陣列；所述安全管理中心負(fù)責(zé)密鑰管理，安全存儲陣列包括陣列控制器和磁盤存儲單元，安全管理中心與陣列控制器之間通過安全通道實現(xiàn)密鑰分發(fā)，陣列控制器內(nèi)部通過部署加密代理和存儲加密模塊實現(xiàn)透明加解密。2.根據(jù)權(quán)利要求1所述的一種安全存儲系統(tǒng)的密鑰管理方法，其特征在于:所述密鑰分發(fā)的流程為: 步驟一、devMK的發(fā)放: 安全存儲陣列首次上線時，首先在安全管理中心注冊，若身份合法，則安全存儲陣列中的代理客戶端程序調(diào)用加密卡產(chǎn)生公私鑰對，并將公鑰發(fā)送到安全管理中心的代理服務(wù)端申請設(shè)備證書，代理服務(wù)端頒發(fā)包含devMK的設(shè)備證書，并與根證書一起發(fā)放到安全存儲陣列； 步驟二、KEK和DEK的分發(fā): (1)安全管理中心啟動下發(fā)KEK和DEK密鑰操作； (2)安全管理中心檢測代理服務(wù)端與代理客戶端是否建立安全通道，如果沒有則返回錯誤，反之則進(jìn)入第(3)步； (3)代理服務(wù)端為對應(yīng)的陣列產(chǎn)生密鑰，并采用devMK加密KEK，采用KEK加密DEK，然后將密鑰進(jìn)行存儲； (4)代理服務(wù)端通過安全通道下發(fā)密鑰； (5)代理客戶端收到密鑰，并在驗證密鑰正確后將密鑰操作轉(zhuǎn)遞給陣列系統(tǒng)接口； (6)代理客戶端向代理服務(wù)端返回操作結(jié)果，成功更改密鑰狀態(tài)； 所述devMK是指作為上層密鑰的安全存儲陣列的設(shè)備密鑰；所述KEK是指作為中間層密鑰的密鑰加密密鑰；所述DEK是指作為下層密鑰的數(shù)據(jù)加密密鑰。3.根據(jù)權(quán)利要求1所述的一種安全存儲系統(tǒng)的密鑰管理方法，其特征在于:所述加解密過程的會話密鑰協(xié)商流程為: (1)安全存儲陣列產(chǎn)生隨機(jī)數(shù)rl，并對rl采用公鑰加密后得到Ajfrl做簽名運算得到B，然后將A和B發(fā)送到安全管理中心； (2)安全管理中心接收A和B，用私鑰解密A，并采用數(shù)據(jù)庫存儲的陣列公鑰驗簽B，若驗證失敗，則返回失敗消息給安全存儲陣列，要求重發(fā)，驗證通過則接收rl，然后進(jìn)入第(3)步； (3)安全管理中心產(chǎn)生隨機(jī)數(shù)r2，然后采用安全存儲陣列的公鑰對rl和r2加密后得到C，并對rl做簽名運算得到D，然后將C和D發(fā)送到安全存儲陣列； (4)安全存儲陣列接收C和D，用私鑰解密C，并判斷解密結(jié)果是否與第(I)步產(chǎn)生的隨機(jī)數(shù)rl 一致，如不一致，則返回失敗消息給安全管理中心，要求重發(fā)；如一致，則接收，并且對D用安全管理中心的公鑰驗簽，如驗證通過，則接收r2，然后進(jìn)入第(5)步； (5)通信雙方合成會話密鑰:SK= rl ? r2，至此完成密鑰協(xié)商。4.根據(jù)權(quán)利要求3所述的一種安全存儲系統(tǒng)的密鑰管理方法，其特征在于:所述安全存儲陣列對rl做的簽名運算為:B = SIG_ZSK(H(rl))05.根據(jù)權(quán)利要求3所述的一種安全存儲系統(tǒng)的密鑰管理方法，其特征在于:所述安全管理中心對rl做的簽名運算為:D = SIG_KSK(H(r2))0
【專利摘要】本發(fā)明公開了一種安全存儲系統(tǒng)的密鑰管理方法，所述安全存儲系統(tǒng)包括安全管理中心和安全存儲陣列；所述安全管理中心負(fù)責(zé)密鑰管理，安全存儲陣列包括陣列控制器和磁盤存儲單元，安全管理中心與陣列控制器之間通過安全通道實現(xiàn)密鑰分發(fā)，陣列控制器內(nèi)部通過部署加密代理和存儲加密模塊實現(xiàn)透明加解密。本發(fā)明的積極效果是：安全高效；易用友好，可與存儲設(shè)備無縫集成，密鑰管理體系中業(yè)務(wù)邏輯之間的交互皆遵循業(yè)界標(biāo)準(zhǔn)的技術(shù)，具備可維護(hù)性和伸縮性；支持多種算法，滿足不同業(yè)務(wù)需求，支持國產(chǎn)商密算法和通用加密算法。
【IPC分類】H04L9/08, H04L29/06
【公開號】CN105119719
【申請?zhí)枴緾N201510675608
【發(fā)明人】尹一樺, 王斯梁
【申請人】成都衛(wèi)士通信息產(chǎn)業(yè)股份有限公司
【公開日】2015年12月2日
【申請日】2015年10月16日