以往，我们的信息资料都是记录在纸张上。只要有好的警卫和门锁，我们就可以高枕无忧了。在这种情况下，我们需要的是物理的防护。如今已经进入数字时代，企业机构的信息资料的安全已经面临着全新的挑战。
数字时代信息安全的新挑战
企业机构每时每刻所产生的数据资料，可以随着手指在鼠标上随意的点击，通过网络中的服务器、磁盘、光盘、磁带以及小巧轻便的U盘，在极短的时间里传遍全世界。这些数据流落到哪里去了，产生这些数据的人可能根本无法预知，对其最终的流向也毫无所悉。
进入数字时代，传统的物理防护措施已经毫无用武之地了。对于黑客和带有不满情绪的内部员工来说，门锁已经毫无意义。甚至，一个员工无意之间犯下的人为错误，都可能因为几次鼠标点击而使企业的资料公开在全世界所有的人面前。
数据资料本身是被动的、可以到处流动的，但是通过一定的加密手段，数据的访问权限就可以得到控制和管理。不管这些数据流到哪里，只有拥有密钥的人才可以使用。
许多全球瞩目的案例已经告诉我们，数字化的资料常常处在极高的风险之中，甚至造成全球性的震荡。不过，已经报道出来的灾难事件只是冰山的一角而已。
敏感信息总是难免误入不良分子的手中。防范的手段之一就是对存储装置之中的数据进行加密，这样即便这些保存着敏感信息的装置遗失、遭窃或者放在不适当的地方，只要你的密钥没有泄露，其中的信息还不至于太危险。
目前，这种基于设备的加密措施仍然具有一定的安全度。但是随着数字化信息的数量不断增加，以及解密技术的迅速发展，很可能就有人有办法破解出存放在设备之中的信息。因此，单一的数据加密方法并不是万无一失的。数据加密必须从整个企业及其长期战略的高度来筹划。
Sun公司的全面加密策略
经过对企业数据现状的深入研究，Sun公司认为，通过严谨、完备的数据加密解决方案，不仅能解决好目前的企业信息安全问题，而且可以通过建立一套基于规则的密钥管理体系来为企业长期的数据管理奠定一个良好的基础。
有意思的是，实现密钥管理并不困难，而且也花不了多少钱。只要引入一些不同层级的自动化工具，就可以减少甚至免除自己去取舍哪些数据应该加密以及各类数据应该分配什么密钥的麻烦。
Sun公司已经形成了完备的策略，采用多种加密方法来帮助企业把自己的数据牢牢掌握在手中。这些策略可以满足企业数据在产生、传递和存放三种不同状态下的安全需求。与这些策略相配套的技术可以确保企业自由地选择在何时、何地以记忆怎样的方式来实施数据加密。
三种基本加密方式
从基本原理来看，在数据的产生、传输和存储三个不同的阶段都可实施加密，分别称为基于主机加密（host-based encryption)、带内加密（in-band encryption)和基于设备加密（device-based encryp tion)。每种方式都有其特别的优势和缺陷。以下是简要的分析：
产生阶段：基于主机加密（host-based encryption）
基于主机加密也称为基于服务器加密（server-based encryption）。使数据在产生的同时就得到加密，这就避免了任何受到拦截或者被泄露的可能性，因此可以提供最高等级的数据安全。如果数据在加密之前就被别人拦截，此后的加密也就没有多大的意义了。
基于主机加密非常适合处于活动状态的数据库，这种数据总是处在不断的变化之中。尽管这种方式具有最高的安全性，但是仍然有些因素不可忽视。
第一，为了使用这种方式，必须修改现行的信息系统架构。如果采用带内加密或者基于设备加密的方式，加密工作是由网络或者存储设备来实现的，就不需要对主机或者服务器的运行架构做任何变更。
第二，一旦数据被主机或者服务器加密，就不能被压缩，因此随着数据量的增加，在主机上进行加密将会使得整体存储空间占用跟着增加。
第三，在主机上进行加密运算，一定会增加主机的工作负载，增加的幅度有可能达到40%，这就需要为企业数据中心增加新的处理能力，以便保证达到原有的性能。因此，这种方式将会增加数据中心的成本。已经上市的加密运算加速器以及迅速发展的网格计算平台（grid computing platform）有助于解决这个问题。
第四，当从存储设备中提取数据的时候，必须由主机或者服务器运行解密软件，因此还必须同时对数据和解密软件进行维护。由于软件总是在不断地更新，所以这也将会增加系统维护的成本与复杂度。
总评：基于服务器加密具有很高的安全性，比较适合活动的数据（active data）。
传输阶段：带内加密（In-band encryption）
在带内加密方式中，数据是在从产生地向目的地传送的时候被加密的。这种方式在网络的层级上对数据进行保护，通过为网络设备或者存储网络（SAN）设备配备加密装置来实现。数据在离开主机或者服务器的时候并没有被加密，当进入网络的时候由专用的加密装置来加密。在网络上传输以及在存储设备中存储的数据都是经过加密的。
这种方式比较容易实现，但是需要注意到以下问题：
第一，带内加密没有基于主机加密或者基于设备加密那样高的安全性，有可能被不良人士通过改变LAN的网络设施这种迂回的方式，在数据尚未加密的时候就侵入进来。
第二，这也是费用比较高的一种方式，需要为每一对或者每6个存储设备之间配备专用的加密设备。
第三，在三种加密方式中，带内加密的可扩展性是最差的。对于当前的应用，这种方式可以较好地适应。但是随着数据量的增加，扩展费用是比较昂贵的。
总评：带内加密比较容易实现，作为一种局域网环境中的加密解决方案，可以很快地架设起来。
存储阶段：基于存储设备的加密（device-based encryption）
处于存储状态的数据可以通过磁盘控制器或者专用的存储服务器来进行加密，这样可以免除加密运算给工作服务器带来的性能压力。这种方式也非常容易实现，对于拥有多种操作系统但又比较固定的环境，是非常适用的，而且这种方式还支持数据压缩。另外，这种方式也不会在不知不觉之间就被恶意侵入。同时，由于由存储设备来负责加密工作，这就不需要对原有的数据架构做什么改变。解密工作也是在数据存储设备之中完成的，所以也不需要维护加密/解密软件。
尽管基于存储设备加密技术很有前途，但也有值得注意的问题：数据在传递过程以及进入存储设备之前中并没有被加密。
总评：基于存储设备的加密比较容易实现，价格也比较低廉，最适合于静态和归档数据。
密钥管理是核心关键
不论采用哪种加密方式，数据访问都是必须通过密钥来进行。这就是说，丢掉了密钥，就掉了所有的数据。因此，在以加密来实现数据安全的环境中，密钥是最重要的一部分。
即使在“卫兵和门锁”的时代，“钥匙”也是非常重要的。在数字时代，密钥如果出了问题，造成的后果将会更加严重。如果把纸张或者胶片资料锁在柜子里，通常只会给这个保密柜配一两把钥匙。如今，资料放在存储设备里，可能需要被全球各地很多人同时调阅。在这样的环境中，密钥的数量当然会非常大。新的挑战是，你需要管理的钥匙不再是一两把，而是成千上万甚至数百万个数字密钥。成功的密钥管理策略必须能够应对这种挑战，确保所有的密钥永远都不会丢失。
为所有的数据配备密钥，这并不是一个明智的方法。成功的密钥管理方法是利用密钥的冗余性，用较少的密钥来管理较多的数据。由一群特定的人分组管理不同的密钥。这样，如果某个密钥丢失，也可以在不危及数据的前提下更换密钥。冗余策略使密钥管理做到了设备无关性，让IT管理者可以自由地选择数据加密的地点和方式，不论是在主机上、网络上还是存储设备上。作为一项额外的回报，冗余策略还不需要对原来的应用和流程做出任何改变。
随着加密变得越来越普遍，密钥管理将会更加自动化，而且可以通过在操作系统和应用中植入一系列的规则来实现。当这些规则都就绪之后，带有自动密钥管理功能的文件加密技术将会支持通过密钥来进行数据管理。这样一来，企业用户就可以不再担心数据将会存在哪里，也不用担心数据有多少份拷贝散布在外面。
基于密钥管理的系统显然是一种必然趋势，Sun公司为此做出了清晰的阶段性规划。经过周密的设计，Sun公司的密钥管理系统可以在不要求用户改变原有硬件和工作流程的前提下顺利地引入最新的密钥管理技术。
第一阶段：有限的密钥管理。初期的解决方案同样具有很强的安全措施，但只有有限的密钥管理能力。加密主要通过存储设备来实现，这样就可以不对应用和基础结构造成影响，从而在很短的时间内、以比较简便的方式即可完成。
第二阶段：文件级别的密钥管理。密钥将被动态地部署在Sun存储软件架构之中。
第三阶段：基于规则的自动化密钥管理。在文件级或者数据块层级上，可以用通用的工具集命令对设备层级的加密。
设计思想决定先进性
尽管市场上不止一家厂商可以提供数据加密解决方案，但是设计思想决定了Sun StorageTek的先进性。评价不同数据加密解决方案的优劣，首要是看它把密钥管理放在什么地位。
在复杂多变的企业IT系统中，只有坚持贯彻始终的密钥管理策略，才能为用户提供最大的利益。如果没有保持一致性的密钥管理策略，就没有办法从根本上解决复杂的密钥管理问题，用户就必须疲于应付各个不同设备中的密钥管理问题，从而在管理成本和复杂度上付出极大的代价。
与别家厂商提供的加密解决方案不同，Sun公司提供统一并且可适用于异构环境的密钥管理解决方案??Crypto Key Management Station (KMS，密钥管理平台)，这是一个独立于平台、应用和设备的密钥管理系统，不仅可以实现密钥管理，还可以在异构的企业IT系统中实施数据加密决策。
Sun公司的KMS由一台Ultra 20服务器（包括显示器、键盘和鼠标）组成，运行安全性极高的Solaris 10操作系统，其中还包括一个SCA 6000 crypto-module卡和KMS 密钥管理软件。不像其他厂商为不同设备配备不同的密钥管理系统，Sun公司的这套方案具备整个企业中所有加密设备的密钥管理能力。所以，IT管理人员只需要学习和管理一套系统即可。
磁带加密存储利器??Sun StorageTek T10000
正如前面所述，Sun公司提出了清晰的数据加密解决方案蓝图，其中第一阶段就是实施基于存储设备的加密。就在不久前，Sun公司发布了与此相关的产品：Sun StorageTek Crypto-Ready T10000磁带驱动器和Sun StorageTek Crypto密钥管理工作站。
StorageTek Crypto-Ready T10000磁带驱动器支持Solaris OS、z/OS和Windows等多种操作系统，支持客户采用AES-256加密算法，在数据写入驱动器时为数据加密，而且无论是针对应用、操作系统或是主要存储器件，都不影响数据备份时间或恢复时间，因此可以大大降低将数据暴露在未授权的人员面前的危险，防止在数据中心内外两种情况下的数据丢失，确保数据在传递中的安全。
除了具备Sun StorageTek统一化密钥管理体系在架构上的优势之外，StorageTek Crypto-Ready T10000磁带驱动器作为一个独立的存储设备，其加密机制也明显优于竞争对手的产品。
例如，有的竞争对手产品把加密密钥也放在磁带机上，尽管这个密钥本身也是被加密的，但是如果磁带设备落入不良分子手中，这仍然是非常危险的。另外，把密钥与数据一起写在磁带上，如果这些数据遭到破坏，密钥也就丢失了。从性能方面来看，把密钥与数据一起写在磁带上，也会因为存储数据的时候必须先读取密钥而影响效率。与此相反，Sun公司的磁带机只是把密钥的标示符号写在磁带上，实际的密钥是保存在密钥管理平台之中，这几乎不会对性能带来任何影响，而且具有更高的安全性。
企业数据正在以不可想象的速度向全球各地蔓延，传统的数据安全管理方式已经远远不能跟上实际需求。在数字时代，最安全可靠的途径就是加密。为此，Sun公司提出了清晰的蓝图，在数据的产生、传输和存储等不同的环节实施完备的加密措施，同时还特别强调采用高度一致性的密钥管理解决方案。根据Sun StorageTek数据加密解决方案的蓝图，企业用户最终将会走向基于密钥管理的完全自动化的数据系统。
本文节选自《信息存储》杂志2006年度特刊，点击此处浏览全部文章。
想要免费申请订阅《信息存储》杂志，请点击此处。
