面向分散式存儲的雲安全架構

隨著資訊科技的現代化發展，人們對計算能力的要求也不斷提高，作為與計算密不可分的存儲技術，也伴隨著計算模型的升級，從最初的單機存儲、網路存儲、分散式存儲發展到現在的雲存儲。 雲存儲是在雲計算概念上延伸發展出來的一個新概念，是實現雲計算的系統架構中重要組成部分之一。 與雲計算類似，雲存儲是指通過集群應用、網格技術或分散式檔案系統等功能，將網路中大量不同類型的存放裝置通過虛擬化軟體集合起來協同工作，共同對外提供資料存儲和業務訪問功能，是對虛擬化存儲資源的管理和使用。

儘管很多研究機構認為雲計算提供了可靠安全的資料存儲中心，但安全問題依然是雲存儲中存在的主要問題之一。 從使用者角度考慮，資料的保存都交給雲存儲供應商，因此資料的可用性及安全性也成為雲存儲系統突出的問題。 在2010年3月召開的雲計算中國峰會（The cloud Computing　China Congress-CCCC 2010）中指出，隨著雲計算技術的逐步成熟，雲安全問題將日益突出，雲計算的資料安全正在成為人們關注的重要問題。

目前，在國內外的研究中，對雲存儲安全方面的研究還比較少。 Bowers等提出了分散式加密系統，Cachin等通過使用加密工具來解決資料完整性和一致性問題，研究資料可恢復機制，典型的包括Weatherspoon的Antiquity與Kotla的SafeSrore， Antiquity是OceanStore的最新改進版本，它被設計用於檔案系統和備份的應用程式存儲服務系統。 國內清華大學、華中科技大學、國防科技大學等科研院校也開始在雲存儲技術相關領域進行基礎性研究工作。 如何在複雜的網路環境中保障資料發佈及存儲服務中的隱私，實現雲存儲對使用者資料的安全性與可信性，是目前亟需解決的問題。

1 雲存儲系統安全威脅分析

1.1雲存儲系統結構

從實際應用和服務的角度考慮，雲存儲首先利用了網路，其次它可以按需分配，此外它的虛擬化主要用於存儲和資料管理。 與傳統的存儲相比，雲存儲不僅是一個硬體，而且是一個由網路設備、存放裝置、伺服器、應用軟體、公用訪問介面、接入網和用戶端程式等多個部分組成的複雜系統。 各部分以存放裝置為核心，通過應用軟體來對外提供資料存儲和業務訪問服務。 雲存儲系統的體系結構有以下4層，如圖1所示。

圖1　雲存儲系統結構

（1）存儲層是雲存儲最基礎的部分，它由各種各樣的存放裝置和網路設備組成。 同時，還有一個存儲管理系統，負責對硬體設備的集中管理、狀態監控以及維護升級等。

（2）基礎管理層是雲存儲最為核心的部分，也是最複雜的部分。 基礎管理層大量採用了集群管理技術和分散式存儲系統的成熟方法，在實現良好的可擴充性的同時，也滿足了可用性及性能的需求，它還負責資料加密、備份及容災等任務。

（3）應用介面層是利用雲存儲資源進行應用開發的關鍵區段。 雲存儲供應商通過應用介面層對客戶提供統一的協定和程式設計介面，以進行應用程式的開發。 通常這種協定都是基於網路的跨平臺協定。

（4）訪問層是基於雲存儲開發的應用程式的入口。 任何一個授權使用者都可以通過標準的公用應用介面來登錄雲存儲系統，共用雲存儲所提供的服務。

1.2 雲存儲系統安全分析

靈活性、便於使用的服務和易於共用基礎設施是雲計算的優勢，然而資料通過互聯網在各層之間進行傳輸並存儲，使用者對於敏感性資料存取時，無法對風險進行直接控制。 可以說，雲存儲自身的特點決定了它在現有的技術方面存在一些安全問題，具體表現如下。

（1）傳統的安全域劃分無效。 由於雲存儲中服務必須是可伸縮的，對外部來講並不是透明的，因此雲存儲中無法清晰地定義安全邊界及保護設備，為具體保護措施的實施增加了一定的難度。

（2）雲存儲是通過網路來傳輸資料的，其中包括網路中的惡意攻擊等造成的服務中斷、資料破壞、資訊被竊取和篡改等，對實現資料的安全存儲造成一定的影響，資料的安全通信、訪問認證與保密性也是有待解決的問題。

（3）資料存儲的安全性防護包括最終存儲資料的存放位置、資料完整性、資料間分散存放等。 此外，即使資料採用加密技術，也只是在網路上加密傳輸，資料在處理和存儲時也需要保護。

（4）資料的可靠性、可用性。 資料在存儲系統的容錯性、可恢復性和完整性面臨一些問題，如何避免在災難（停電、地震、水災、火災等）發生時帶來的服務中斷乃至資料介質被直接破壞等問題。

（5）如何實現資料之間的邏輯卷管理、存儲虛擬化管理和多鏈路冗余管理將會是一個巨大的難題，也將是整個雲存儲架構的性能瓶頸，而且還會帶來後期容量和性能擴展難等一系列問題。

由此可見，資料的安全性問題貫穿于整個雲架構的各個層次，單獨討論雲存儲在某一層中的安全性是毫無意義的。 總體而言，對該方面的研究存在兩種思路：

①借鑒資訊安全的C.I.A特性（機密性、完整性、可用性），為某一特定應用提出專門的實現思路（如增強檔案伺服器的安全性、用戶端加密檔案系統、對磁片磁帶全盤靜態加密、用戶端直接存取磁片的認證機制等）， 即將適用于資訊安全的措施（如加密技術、完整性技術）移植到存儲系統中；

②從存儲系統的體系結構入手，尋找安全高效的網路存儲與安全管理模式。 為此，本文設計了一種面向分散式分片存儲管理來解決雲存儲和應用過程中的資料安全性問題。