哪一種加密方式會更好呢？

最近出現(xiàn)的丟失含有客戶數(shù)據(jù)的現(xiàn)象說明，對存儲數(shù)據(jù)進行加密是必要的。存儲行業(yè)已認識到了肩負的重大責(zé)任：確保存儲數(shù)據(jù)的安全性再也不是別人的問題。不過，哪一種加密方式會更好呢？

過去幾個月，企業(yè)對客戶數(shù)據(jù)管理不善的報道不斷見諸報端。一些企業(yè)丟失的備份磁帶里面含有上百萬客戶的個人數(shù)據(jù)，這些公司在業(yè)界都聲名顯赫，其中包括美國銀行(Bank of America)、花旗銀行(Citibank)、Ameritrade Holding 公司、時代華納公司(Time Warner)等。誰也不想看到發(fā)生這種事。

確保存儲數(shù)據(jù)安全需要加密

位于美國華盛頓的波音員工信用合作社（Boeing Employees' Credit Union，BECU）的系統(tǒng)和管理安全員Daniel Chow說：“丟失備份磁帶對企業(yè)會產(chǎn)生極為不利的影響。你最不想看到的就是自己的大名因泄露客戶數(shù)據(jù)而上了頭版頭條?！睘榱吮M量減少數(shù)據(jù)因磁帶丟失而被泄露的可能性，BECU采用了Decru公司的加密技術(shù)。前不久，Decru剛被Network Appliance公司收購。

這種舉動背后的原因很簡單。經(jīng)驗表明，試圖防止數(shù)據(jù)丟失的行動將以失敗而告終。明智的策略就是確保數(shù)據(jù)經(jīng)過加密，那樣即使落入不法分子之手，也無法被讀取。

那么應(yīng)當在哪個層面進行加密呢？可以通過軟件加密，在應(yīng)用程序內(nèi)部、數(shù)據(jù)庫或者文件系統(tǒng)層面進行加密。但如果處理不當，基于軟件的加密會給公司帶來開銷增大的壓力。另一種辦法是，你可以使用專用設(shè)備甚至硬盤，在數(shù)據(jù)寫入磁盤過程中對數(shù)據(jù)進行加密。大多數(shù)商業(yè)用戶似乎傾向于使用專用設(shè)備這種方法，因為不但方便，而且性能高。還有一個原因是，這種即插即用的方法可以滿足法規(guī)遵從的要求。

企業(yè)戰(zhàn)略集團的分析師Steve Duplessie說：“存儲安全終于引起了大家的注意，但關(guān)注力度還不夠大。隱私問題最終將會要求所有數(shù)據(jù)都要進行加密——這將給整個IT行業(yè)帶來重大問題。”

在過去，存儲領(lǐng)域和安全領(lǐng)域毫不相干。存儲人員滿足于讓安全人員處理防火墻、入侵檢測、病毒及其他外部威脅。不過人們很難對媒體報道視而不見。于是存儲行業(yè)已認識到了要負的重大的共同責(zé)任：確保存儲數(shù)據(jù)的安全性再也不是別人的問題。

迄今為止，這種認識已經(jīng)體現(xiàn)在行業(yè)媒體和商業(yè)會議簡報上，可是存儲安全方面的預(yù)算并沒有大幅增加。存儲安全技術(shù)和應(yīng)用軟件的采用率仍然很低。企業(yè)戰(zhàn)略集團估計，去年整個存儲安全市場的規(guī)模達到5000萬美元。不過預(yù)計今年會翻一番，在今后幾年會大幅增長。尤其是，備份市場正在促使人們采用加密技術(shù)。

硬件加密被普遍采用

作為華盛頓州最大的信用合作社，波音員工信用合作社（BECU）每天晚上都要在位于Tukwila的總部以及位于Kent的呼叫中心備份數(shù)據(jù)。備份采用EMC公司的Legato Networker軟件，把6TB數(shù)據(jù)從BECU的存儲區(qū)域網(wǎng)（SAN）傳送到惠普ESL9000磁帶庫——SAN主要包括惠普公司的硬件和博科通信系統(tǒng)公司的交換機。每天早上，這些磁帶再由Iron Mountain公司送到異地——最近發(fā)生磁帶丟失的一些事件牽涉到這家總部設(shè)在波士頓的第三方存儲提供商。不過一些安全專家對于把磁帶送到異地的這種方式深表憂慮。

W. Curtis Preston 是位于馬薩諸塞州的一家存儲咨詢和服務(wù)公司——GlassHouse科技公司負責(zé)數(shù)據(jù)保護服務(wù)的副總裁。他說：“如果你用UPS的快遞卡車運送備份磁帶，那么不要再這樣做了。如果你非得要把磁帶送到異地不可，就要確保磁帶已經(jīng)加過密。”

BECU使用Decru的DataFort專用設(shè)備，在送到異地之前先對所有備份數(shù)據(jù)進行加密。Chow說：“你可不能盲目地信任第三方，因為你其實根本不知道人家會怎么處理你的磁帶。所以，我們要把確保數(shù)據(jù)安全視為己任。”

BECU以單價2.5萬美元的價格購買了六個專用設(shè)備。放在總部的兩個SAN每個使用兩個專用設(shè)備，以確保冗余性；位于Kent的呼叫中心使用一個，位于Spokane的災(zāi)難恢復(fù)站點使用剩下一個。還需要許可證－密鑰管理服務(wù)器來為所有專用設(shè)備管理加密密鑰。Chow說，他傾向于采用硬件加密，原因在于他想避免性能受到任何影響。他說：“我們使用專用設(shè)備后沒有遇到任何開銷。”

他還可以睡得更踏實些，因為這套系統(tǒng)在審查和測試期間運行順暢。譬如說，有人拿到磁帶后，試圖從中抽取文件，結(jié)果得到的是一堆亂七八糟的東西。同樣，IT人員向?qū)彶椴块T證明了迅速解密的能力，并成功地通過了數(shù)據(jù)恢復(fù)測試。

雖然大多數(shù)組織在加密時最先從備份數(shù)據(jù)入手，不過像佛羅里達州的Payformance公司卻決定對各種數(shù)據(jù)都進行加密。Payformance的應(yīng)用軟件允許公司可在內(nèi)部用打印機打印激光防偽支票、報表、票據(jù)及其他文檔。金融服務(wù)和醫(yī)療保健客戶非常關(guān)注機密的付款數(shù)據(jù)的安全性和隱私性。個人醫(yī)療信息必須嚴加保護。

Betancourt曾對微軟Windows Server 2003內(nèi)置的加密文件系統(tǒng)進行了測試，結(jié)果對基于軟件的加密性能并不滿意。他說，加密出現(xiàn)延遲，哪怕延遲不到一個小時，也意味著迫使客戶等待。該公司最終決定采用NeoScale Systems公司的CryptoStor專用設(shè)備。使用故障替換模式的兩個設(shè)備可以直接連入該公司的2TB SAN的結(jié)構(gòu)里面——該SAN使用的是EMC CX500磁盤陣列、戴爾公司的磁帶驅(qū)動器和McData公司的光纖交換機。公司在加入CryptoStor專用設(shè)備的前后對SAN進行了測試，結(jié)果發(fā)現(xiàn)性能并沒有受到影響。所以，對各種數(shù)據(jù)進行加密似乎再簡單不過了。

Payformance公司使用另一個CrytoStor設(shè)備用于磁帶加密。賽門鐵克公司的Veritas Backup Exec 10軟件可以通過該專用設(shè)備把數(shù)據(jù)發(fā)送到戴爾PowerVault 132T磁帶庫上。這些磁帶放到異地保存起來。那么，磁帶備份架構(gòu)為什么不用故障替換機制呢？原因是如果該專用設(shè)備失效，公司準備好了暫時停止磁帶備份，進行修復(fù)。但SAN不一樣，人們無法忍受SAN出現(xiàn)任何的停運時間。

加密軟硬兼施

主要的存儲加密廠商如Decru、NeoScale、Kasten Chase Applied Research和Vormetric都提供基于專用設(shè)備的產(chǎn)品。不過，Vormetric提供的工具卻有別于其他產(chǎn)品，原因在于它既使用軟件進行加密，又使用專用設(shè)備管理所需密鑰。

計算機游戲中間件公司Havok在愛爾蘭都柏林和美國舊金山的辦事處都使用Vormetric公司的CoreGuard安全系統(tǒng)（CoreGuard Security System）。 Havok的IT主管Alistair Duff說：“轟動一時的《Half-Life 2》游戲被破解事件引起了我們的注意，因為這款游戲里面有我們編寫的代碼?！?

Havok對所要保護的數(shù)據(jù)有所選擇。它只保護游戲代碼及放在幾臺服務(wù)器和桌面電腦上的其他重要數(shù)據(jù)?？梢詫o態(tài)數(shù)據(jù)和傳輸中數(shù)據(jù)進行加密。如果你在使用PC，倘若想訪問某個文件，文件在網(wǎng)絡(luò)上傳輸過程中進行解密，然后以明文格式出現(xiàn)在你的機器上，前提是你要有所需的授權(quán)級別。

可以通過應(yīng)用程序、用戶和主機限制訪問。CoreGuard安全系統(tǒng)的軟件裝在每臺受保護的機器上，而兩個辦事處都有一個專用設(shè)備。該系統(tǒng)還為Duff防御病毒帶來的威脅提供了另一道保護機制。即使特洛伊木馬進來，它也無法加以安裝及運行，因為系統(tǒng)不允許它運行。

經(jīng)濟因素和法規(guī)要求左右加密的進程

經(jīng)濟因素恐怕是加密技術(shù)還沒有真正流行起來的主要原因。由于數(shù)據(jù)保護裝置的單價高達2萬美元以上，或者每個軟件加密許可證高達2000美元，成本不菲。但用戶要想到另一個問題，需要多少費用才能彌補客戶數(shù)據(jù)泄露所造成的破壞與影響呢？

波音員工信用合作社（BECU）的Chow說：“像Iron Mountain和美國銀行這些公司因為最近的安全事件而名譽受損。所以，決定投資回報的因素很簡單——企業(yè)的信譽值多少錢？”

盡管成本高昂，但采用加密技術(shù)可能很快就會成為不可避免的事情。美國加利福尼亞等州已經(jīng)通過了相關(guān)法律：哪家公司不對數(shù)據(jù)進行加密，將面臨沉重的處罰。其他州也在亦步亦趨；一項聯(lián)邦法規(guī)也在探討當中。雖然這些法律通常并不要求加密，但加利福尼亞的SB 1386卻要求公司向媒體及可能受影響的所有客戶披露安全事件——這對公司形象來說無異是一場災(zāi)難。

企業(yè)戰(zhàn)略集團的Jon Oltsik說：“要是美國銀行的磁帶經(jīng)過加密，它也許用不著披露失竊事件?，F(xiàn)在是停止討論安全、改而開始專門調(diào)撥預(yù)算去解決這個經(jīng)營風(fēng)險的時候了?！?（CCW）