圖1：添加加密密鑰
“2005年2月25日，美國銀行對外發(fā)布公告，稱其去年12月份在將磁帶從銀行搬遷到備份倉庫時丟失了包含約120萬聯(lián)邦雇員個人資料的計算機備份磁帶，其中還包括持有美國銀行發(fā)行的Visa卡的某些參議員的個人資料?！?/P>
兩年后的今天，相信很多人還對這條新聞記憶猶新，雖然美國銀行的磁帶丟失事件沒有造成嚴(yán)重的后果，但該事件的發(fā)生對數(shù)據(jù)保護產(chǎn)品廠商和用戶的影響程度并不亞于美國的9?11事件。人們開始意識到一個新問題：如果不能很好地管理自己的數(shù)據(jù)備份，保證這些數(shù)據(jù)拷貝的安全性，可能比沒有備份還要糟糕。試想一下，如果一盤存有公司機密信息的磁帶不慎丟失或者被盜，而這些機密信息在寫入磁帶時又沒有采用任何加密手段進行處理，會導(dǎo)致什么樣的后果呢？拾獲或者竊取磁帶的人可以輕易地讀取里面的數(shù)據(jù)，并可能對這些數(shù)據(jù)加以濫用，最終可能給公司帶來無法估量的損失。類似的事件也可能發(fā)生在公司內(nèi)部，有機會接觸到磁帶的人可以通過任意一臺備份服務(wù)器將未加密的數(shù)據(jù)恢復(fù)到由他掌管的系統(tǒng)，進而可以不受限制地訪問他原本沒有權(quán)限訪問的數(shù)據(jù)，多數(shù)備份軟件都提供重定向恢復(fù)的功能，要完成以上操作非常簡單。
對數(shù)據(jù)安全性要求較高的公司都采取了一定的措施來保護他們的數(shù)據(jù)，服務(wù)器和個人計算機上的敏感數(shù)據(jù)都采用了加密存儲技術(shù)，在開放式網(wǎng)絡(luò)中的通訊流量也都采用了加密傳輸?shù)缺Ｗo措施。但是他們往往忽視了一點，備份軟件在備份這些數(shù)據(jù)時，可能把未經(jīng)加密的數(shù)據(jù)直接寫入了磁盤或磁帶。
Symantec Backup Exec 11d的數(shù)據(jù)加密功能介紹
Symantec與Veritas公司合并之后，開始整合兩家公司原有的產(chǎn)品和技術(shù)，原Veritas公司的數(shù)據(jù)保護產(chǎn)品在安全性方面不斷得到加強，Backup Exec 11d就是一個很好的例子，Symantec在Backup Exec 11d中增添了數(shù)據(jù)加密技術(shù)，一種真正的備份數(shù)據(jù)保護技術(shù)，與以往版本的Backup Exec中所提供的驗證口令的磁帶保護方法有著本質(zhì)的區(qū)別。下面我們就來了解一下這個全新的數(shù)據(jù)加密特性。
為了防范他人非法訪問備份磁帶竊取數(shù)據(jù)，Backup Exec 11d可以采用AES加密技術(shù)將存儲于磁帶上的用戶數(shù)據(jù)進行加密。要使用這一功能，用戶先要定義一個口令，Backup Exec 11d以該口令為種子，生成一個128位或256位的加密密鑰，每個口令都只能得到唯一的加密密鑰。加密密鑰分為兩種：受限密鑰和普通密鑰，備份時你可以任意選擇密鑰，但那些使用受限密鑰加密的備份集只能由密鑰的主人（密鑰與Backup Exec中的用戶登錄賬號相對應(yīng)）進行恢復(fù)。
為了保證密鑰的私密性，Backup Exec 11d不保存用于生成密鑰的口令，只將加密密鑰存儲在數(shù)據(jù)庫中，供加密或解密數(shù)據(jù)時使用。數(shù)據(jù)庫中的密鑰只能在生成密鑰的備份服務(wù)器上使用，但是你可以在其它的備份服務(wù)器上使用相同的口令生成相同的加密密鑰。
圖1：添加加密密鑰
下面我們來了解一下使用加密技術(shù)的備份流程：
1，用戶在作業(yè)設(shè)置中選擇現(xiàn)有的加密密鑰或輸入口令以生成新密鑰。與備份作業(yè)相關(guān)聯(lián)的密鑰、加密級別和加密算法等信息都保存在數(shù)據(jù)庫中。
2，在作業(yè)初始化階段，備份服務(wù)器與遠程代理通訊，告知遠程代理采用何種加密算法，并將密鑰傳送給遠程代理，為保證密鑰的安全，密鑰通過公共密鑰/私有密鑰加密技術(shù)傳輸。
3，遠程代理得到密鑰后，按照介質(zhì)服務(wù)器指定的加密方式加密數(shù)據(jù)。
4，加密后的數(shù)據(jù)經(jīng)網(wǎng)絡(luò)傳遞到備份服務(wù)器，寫入磁帶或磁盤。備份集帶有一個標(biāo)記，用于指示備份集中的數(shù)據(jù)是否經(jīng)過加密。編錄信息中也記錄了加密數(shù)據(jù)時所用密鑰的標(biāo)識符（密鑰的哈希值）。
5，備份完成時，遠程代理丟棄剛剛用過的密鑰。
圖2：為備份作業(yè)指定加密密鑰
恢復(fù)加密備份數(shù)據(jù)的流程剛好相反：
1，備份服務(wù)器發(fā)現(xiàn)備份集中包含加密數(shù)據(jù)，將在數(shù)據(jù)庫中尋找加密數(shù)據(jù)時所用的密鑰，如果找不到合適的密鑰，將提示用戶輸入口令以重新生成加密時所使用的密鑰。
2，備份服務(wù)器將找到的密鑰利用公共密鑰/私有密鑰加密技術(shù)傳遞給遠程代理。
3，備份服務(wù)器從備份集的存儲位置讀出加密數(shù)據(jù)，傳遞給遠程代理，遠程代理將數(shù)據(jù)解密，恢復(fù)到指定的位置。
4，恢復(fù)過程結(jié)束后，遠程代理丟棄剛剛用過的密鑰。
圖3：恢復(fù)窗口中的加密備份集
很明顯，精心設(shè)計的備份/恢復(fù)流程可以充分保證數(shù)據(jù)和密鑰的安全，數(shù)據(jù)存儲和數(shù)據(jù)傳輸都采用了可靠的加密技術(shù)。即便備份服務(wù)器與遠程代理之間的連接建立在開放式的公共網(wǎng)絡(luò)之上，也無需擔(dān)心數(shù)據(jù)在傳輸過程中被他人截獲。
如果你的網(wǎng)絡(luò)中安裝有多臺備份服務(wù)器并使用了集中管理服務(wù)器功能組件，在主控服務(wù)器上定義的作業(yè)在分派到受控服務(wù)器執(zhí)行時，所需的加密密鑰也會傳送到受控服務(wù)器（同樣采用公共密鑰/私有密鑰加密技術(shù)傳送），作業(yè)完成之后該加密密鑰將會刪除。如果作業(yè)定義在受控服務(wù)器之上，密鑰會長期保存在受控服務(wù)器。如果采用集中式編錄，密鑰在作業(yè)完成后將從受控服務(wù)器刪除，如果采用分布式編錄，密鑰會在受控服務(wù)器上長期保存。
加密功能可以與智能災(zāi)難恢復(fù)功能同時使用，在定義用于災(zāi)難恢復(fù)的備份作業(yè)時，可以加密備份數(shù)據(jù)，在執(zhí)行備份服務(wù)器本地災(zāi)難恢復(fù)時，向?qū)崾居脩糨斎牖謴?fù)操作所需的口令。在執(zhí)行遠程的災(zāi)難恢復(fù)時，要求備份服務(wù)器上存在所有恢復(fù)操作所需的密鑰。
幾點注意事項
通過口令生成加密密鑰的過程是不可逆的，但是為了防范他人用蠻力攻擊的方法猜測口令，要保證用于生成密鑰的口令具有一定的復(fù)雜度。
用戶要牢記自己的口令，如果沒有了加密密鑰，又不知道當(dāng)初生成密鑰時使用的口令，將無法恢復(fù)使用該密鑰加密的所有數(shù)據(jù)，即使是軟件廠商也無能為力。
如果需要同時使用數(shù)據(jù)加密和壓縮功能，應(yīng)該在首先執(zhí)行壓縮操作，加密后的數(shù)據(jù)壓縮比率很低。因為磁帶設(shè)備的硬件壓縮功能只能在數(shù)據(jù)最后寫入磁帶時發(fā)揮作用，要想在Backup Exec 11d中同時使用這兩種功能，則只能啟用軟件壓縮。
數(shù)據(jù)加解密過程發(fā)生在被保護的計算機上，加解密過程可能會對該計算機上的其它應(yīng)用造成一定的影響，加解密過程占用系統(tǒng)資源的多少與密鑰的長度密切相關(guān)，所以請根據(jù)安全性和性能要求綜合考慮密鑰的長度。
本文節(jié)選自《信息存儲》雜志2006年度特刊，點擊此處瀏覽全部文章。
想要免費申請訂閱《信息存儲》雜志，請點擊此處。
