加密备份数据的商业价值是显而易见的。随着法律、法规要求加密来保护私人、财政和敏感的公司数据，提供加密技术的紧迫性不断升温。

事实上，加密技术本身并不困难，如AES-256算法早已集成到硬件中，并得到广泛应用。但是，存储数据加密的真正困难是密钥管理----在保证安全的情况下创建密钥、保护密钥、关联密钥与加密的数据。

存储数据的加密实行对称式或私钥加密，也就是说，每一把钥匙都是私有的，钥匙生成后，它必须受到保护并存储。对于私钥加密来说，一个加密密钥的生命周期包括四个阶段：密钥创建和使用、密钥托管、数据解密中使用密钥和密钥删除。密钥管理系统是加密系统的中心，控制着密钥生命周期的每一个阶段。下面以Spectra BlueScale加密技术密钥管理系统为例，说明密钥生命周期内的密钥管理要求是怎样转化为具体应用的。

Spectra T120/T950(右)采用了加密技术

创建密钥花样多

密钥整个生命周期包括创建、使用、存储密钥等，要符合当地的法律和规定。管理员要执行几项任务，这些是密钥管理软件不能提供的。鉴别并跟踪拥有加密特权的磁带库用户，并确定他们的密码在灾难或紧急状态下可以使用。

创建密钥时，密钥管理系统需要通过以下方法保护密钥。

1.只允许授权用户创建密钥。除此之外，一些安全系统在允许密钥创建之前要求多用户登录。Spectra Logic的BlueScale加密技术专业版在密钥创建前，要求多个授权用户登录系统。BlueScale加密技术的所有版本都提供一种特殊用户类型――加密管理员，这样标准磁带库管理员、操作员，甚至超级用户都不能使用加密功能。

2.创建很难甚至不可能破解的安全密钥。创建安全密钥涉及两个要素：长度和用于生成密钥的真正随机数字的使用。BlueScale加密技术执行AES-256算法，使用最长的密钥长度256字节。BlueScale加密技术还是用基于硬件的真正随机数字生成器来创建加密密钥，生成无续随机数字。在生成真正的随机数字方面，基于硬件的随机数字生成比其他方法要精确得多，基于软件的随机数字生成器会隐藏密钥的真正值。

3.BlueScale系统能够多层保护密钥。对用户来说最重要的是，系统允许密钥创建者为密钥指定绰号或名字。用户总是提及密钥的名字，而不是密钥的真实值(256位的密钥)。此外，密钥的值是加密的，加密方法是基于加密用户提供的密码短语。这用于创建密钥值的单向序列，之后该值将被加密。从这种状态解密密钥需要一个授权用户和一个特定密钥的密码短语，这会减弱加密技术的实施。

密钥更要妥善保管

密钥托管，也叫密钥存储，是密钥管理非常重要的一个方面。把密钥远程存储到另外的地方，而不是存储在加密数据的地方，这对保持加密数据的完整性非常重要，这样也能确保数据解密时密钥的可用性。离线密钥存储的意义和离线磁带存储的意义一样：面临灾难时，数据中心可能被毁坏或不能使用，但磁带上的数据以及解密数据的密钥可以恢复数据，如果有必要，还可以帮助重建系统。要托管密钥，管理员需要确认一个远程存储位置或一个值得信任的第三方托管服务，然后确定把密钥的副本已存储到的位置或服务。

允许和保护密钥托管的密钥管理软件允许用户复制密钥和保护复制密钥。

1.复制密钥。副本可以发给第三方或离线。BlueScale密钥管理系统允许用户把一个加密版本的密钥复制到USB设备上，还可以把加密的密钥通过电子邮件发给可信方。

2.保护复制密钥。BlueScale加密技术只允许授权用户输出或复制密钥。而且，密钥用加密管理员指定给密钥的密码短语进行了加密，要访问电子邮件中或存储的密钥，必须有密码短语。最好的方法是，用户用不同的方法发送密码短语和密钥。

BlueScale加密技术专业版允许把一个密钥分开存在多个USB设备上，每个存储密钥的USB设备都需要密码才能访问，之后密钥可以通过M/N共享方式恢复。也就是说，不必拥有所有部分才能恢复密钥，用户可以只拥有部分就可以恢复数据，这比只要求单个密码短语要安全得多。

没密钥休想解密

数据解密和恢复取决于正确的磁带、正确的密钥，以及支持解密适合的硬件。

1.要解密数据，需要能够对应加密数据和加密数据的密钥；加密密钥管理系统要安全支持这些联合，而不暴露密钥值；BlueScale加密技术通过在加密数据时写入加密名称信息来控制这一切，这样，当有存储加密数据的磁带装载到带库中时，BlueScale软件检查磁带库中是否有相应的密钥，这样就只暴露密钥名称；如果磁带库中没有密钥，加密软件将告诉用户，用于解密数据的密钥名称。

2.最可靠的密钥管理和加密系统提供多种解密数据的方法以供选择。最佳情况下，用户可以使用与加密数据时相类似的系统、设备或磁带库来解密和恢复数据，但是，一定要确保有一个候选方法。例如，BlueScale加密技术支持两种解密方法，最直接的解密数据方法是，使用配有BlueScale加密技术的Spectra磁带库进行解密，解密和恢复数据都变得非常容易。

BlueScale加密技术还支持数据解密的纯软件方法。

删除密钥等于删除数据

一旦加密数据的密钥的所有副本都被毁坏，那么加密数据将被视作删除。密钥管理软件需要提供删除特定加密密钥的功能。需要注意的是，数据删除可能有法律规定，如HIPAA，这种方法是目前最简单、最便宜的删除数据的方法。

密钥管理软件必须提供允许用户删除密钥的功能。BlueScale密钥管理软件的选项非常易于使用。如果密钥存储在磁带库中，使用密钥管理软件就可以删除它；如果密钥存储在USB设备上，通过该设备删除密钥，之后数据就被视作删除了，即使使用该密钥加密的数据还在，但数据已经不能访问。

结论

在密钥的整个生命周期中，管理密钥要求在安全、数据解密和恢复的简便性之间寻求一种平衡。用户必须为数据和站点找到合适的安全级别。密钥管理系统必须允许用户轻松创建和使用密钥、托管密钥，当需要解密数据时访问密钥，在其生命周期的末尾销毁密钥。