資料中心的加密技術

目前，大多數資料中心的安全防護都集中在保護網際網路威脅上面。然而公司的資訊人員已經不能再忽略實體安全問題：芝加哥網站代管公司 C I Host 的資料中心已被小偷入侵 4 次，並偷走了伺服器硬體。備份的磁帶也往往成為偷兒的目標，因為它通常不受公司 IT 人員的管理。隱私權情報交換 (Privacy Rights Clearinghouse Web) 網站從 2005 年至今一共記錄了超過 40 起磁帶失竊的記錄，沒有記錄的案件可能更多。在本刊 2008 年的安全策略調查中顯示，電腦或儲存裝置被偷走，是接下來一年最可能發生的安全入侵事項的前 5 名之一。

顯而易見地，加密硬碟與磁帶，對保護資料來說十分重要。但為什麼不是所有公司都搶著去做這件事呢？因為如果加密要在公司內部完整進行，管理金鑰就變成極為難搞的事。雖然市面上存有許多加密方式，但金鑰管理卻是決定各種方式成敗的重點。而且，安全的問題可能要數年後，而且在資料外洩許久後，才可能被發現。一些資料需要放置數十年，而儲存一個可以保障該資料 10 或 20 年的金鑰是一大挑戰。

幸運的是，金鑰管理技術上的進步，以及在備份流程每一步中加密資料的全新選項，都降低金鑰流出問題的惱人程度。大多數我們訪談的廠商都意識到金鑰保存的問題，也都在努力解決。舉例來說，RSA 的金鑰管理套件可以與 RSA 的合作廠商共同運作，讓公司的資訊部門可以使用此軟體管理所有的加密金鑰。

加密廠商也開始在產品中建立金鑰管理功能，或是提供額外選購的選項給需要的客戶使用。

磁帶備份的問題

對於在資料送到備份伺服器之前，就在主機上加密資料的這個作法，安全分析師都十分喜歡。此舉可以達成點對點的安全隱私，也可以把可能出現安全問題的地方最小化。許多的產品都提供此一功能。賽門鐵克的 NetBackup 就是一個例子：只要產生一個金鑰然後在使用者介面上點選，就可以在所有文件上進行加密。備份伺服器可以讓用戶端在即時傳輸時進行加密。

然而這個作法也有缺點。在主機上加密資料，就必須在伺服器上進行資料最佳化。加密動作也會增加伺服器的負荷，不但會加長備份時間，也可能影響效能。再者，加密後的資料跟亂數資料的特性是一樣的，因此會讓磁帶的壓縮功能完全無效。由於大多數的磁帶機聲稱有 2:1 的硬體壓縮率，所以在伺服器進行加密就可能讓磁帶的用量加倍。

然而金鑰管理將可能成為最糟糕的問題。備份裝置廠商才正要開始在軟體中加入金鑰管理；大多數的廠商仍需要依賴進行備份的系統管理員來處理管理工作。

自動化的加密功能

在讀寫磁帶時進行加密的產品，則把加密的工作移到磁帶機上。這類裝置可以安裝在 SAN 的 Fibre Channel 、磁帶機的 SCSI 連線、或是 iSCSI 網路之中，提供大量的彈性。這些廠商把加密工作帶離伺服器，對於有多種備份軟硬體，或是重視安裝速度與設定便利性的環境來說，也是十分常見的選擇。 NetApp 的 Decru 與 nCipher 的 NeoScale CryptoStor 甚至可以在加密時同時進行壓縮，分離的金鑰管理裝置或軟體系統可以為系統提供數年所需的金鑰封存與安全性。

雖然聽起來不賴，但在投資加密設備前，還是要做好功課。思科推出的儲存媒體加密 (Storage Media Encryption) 刀鋒伺服器，讓 Fibre Channel 交換器產品的使用者一片混亂。而供應商 Kasten Chare 的客戶，使用的加密磁帶產品毫無未來更新與支援的時程。在 nCipher 推出磁帶加密時，NeoScale 的使用也面臨了類似的問題。

……未完（更多內容請參閱網路資訊雜誌 2008 年 11 月號 204 期）
(作/AVI BAUMSTEIN‧譯/郭文興)