安全存儲系統大致可以分為四類：安全網絡文件系統、加密文件系統、可生存存儲系統和基于存儲的入侵檢測。它們分別從四個不同的層次提供存儲系統的機密性、完整性和可用性。

　　安全網絡文件系統

　　基于認證和訪問控制的網絡文件系統是較早考慮到安全因素的，包括NFS、AFS、NASD、SFS-RO等。在這類系統中，通過存儲服務器的認證和訪問控制提供數據的安全性。大多數這類系統也對網絡中傳輸的數據加密。但是它們不提供端到端的數據安全，也就是說它們不保證存儲在存儲服務器上的數據的機密性和完整性。而是假設文件服務器和系統管理員是可信的。

　　NASD是卡內基.梅隆大學并行數據實驗室提出的新型磁盤系統，通過增加磁盤處理能力構成智能磁盤，使得磁盤能判別用戶和加解密數據;主機和認證服務器通信獲得權限密鑰，再和存儲服務器通信獲得加密密鑰，較后直接和磁盤通信。

　　SFS-RO旨在提高大規�？蛻舳嗽L問網絡存儲系統上只讀數據的性能，同時提供一定的安全機制保證只讀數據訪問的安全。SFS-RO是在SFS的基礎上發展起來的，它通過增加只讀數據的副本，不僅提高了分布式環境下對只讀數據的可用性，而且通過一整套安全機制實現了只讀數據的安全訪問。

　　加密文件系統

　　加密文件系統目標是提供端到端的安全，在客戶端執行加密操作防止數據被文件服務器和其他未授權用戶竊取或篡改。這些系統將密碼操作(加密/解密、簽名/驗證)嵌入文件系統中。文件服務器被賦予較小的信任，由于它們不參與加密/解密過程，它們永遠無法獲知可讀的文本。這類系統面對的主要問題是密鑰管理。包括密鑰的粒度、密鑰的存儲、共享策略�？梢哉f靈活高效的密鑰管理策略是提高存儲安全系統效率的重要因素。另外，這類系統還要有效解決權限撤銷(Revocation)時文件的重加密帶來的額外開銷。

　　Goh于2003年提出了可應用于網絡存儲系統中的中間件層安全系統SiRiUS，它不需要修改存儲系統中的任何部分，通過截獲、轉換訪問數據系統調用實現安全功能，使用多對對應不同權限者的公開密鑰實現傳輸認證和授權。SiRiUS是在現有的不可信的網絡文件系統(如NFS,CIFS等)上提供文件讀寫的加密訪問。加州大學圣克魯斯分校的SNAD是一個基于分布式文件的存儲系統，磁盤具有一定的計算能力，能夠進行一些基本的存儲管理和用戶認證的功能�？蛻舳思用芩�有的數據后，將加密數據存儲在盤上。密鑰管理是一種鎖盒子(lockbox)方法，而lockbox存儲在一個可信的服務器上。如果共享用戶要讀數據，則用戶需從lockbox服務器上得到密鑰，然后再從磁盤上讀出加密數據，然后再用密鑰解密。

　　存儲系統中的數據加密技術的實現分成三類：基于主機、基于網絡(數據傳輸)以及基于磁帶機。這有點類似實現虛擬存儲的劃分方式。

　　基于主機層的數據加密技術，通常是一些軟件廠商在服務器端就對數據進行加密處理，如VERITAS NetBackup的加密軟件。通過內部網絡傳送到服務器時，資料已是加密狀態，然后再通過存儲網絡傳送到磁帶做備份。但這會加重服務器的工作負荷，影響系統整體性能，同時還會增加數據管理與調用的復雜性。所以，基本上只適用于需要進行點對點加密的小型企業。

　　基于網絡層的數據加密技術，事實上就是在設備I/O的端口外接一個硬件加密裝置。在數據傳輸的過程中，對所有經過的數據都一視同仁地做了加密。NetApp剛剛收購的Decru公司以及NeoScale都是采用這種方式。這種加密雖說比較完整，但由于不對加密數據進行區別，無疑增加了加密裝置的負擔。

　　基于磁帶機方式的數據加密技術，通過在磁帶機上對數據進行加密，使數據得到更安全的保護，且不需要額外的管理和備份策略的改變。這就是把以前的 WORM磁帶擴展成磁帶機對所有的磁帶進行加密。

　　三種加密方式都有各自的優勢與缺陷所在，但由于在長期歸檔、固定內容和法規遵從這些需求上，有的用戶更傾向于使用磁帶技術，所以在加密要求下，通過磁帶機/庫這種方式有更強的優勢。而且，相對前面兩種方式，使用磁帶加密的方式在市場上出現的較早，而在法規推出之后，基本上所有的磁帶廠商都有各自的支持加密的產品。

可生存存儲系統

　　可生存存儲的概念是由卡內基·梅隆大學的PASIS項目組提出的，它所基于的設計理念是：傳統的構建安全系統的方法是采用防御機制抵御外來入侵以達到安全目標，而在由成千上萬結點組成的分布式系統中，結點失效或被攻擊應被視為普通事件而非異常。因此安全存儲系統的設計目標不應是避免結點失效，而是如何在部分節點失陷的情況下使系統仍能提供安全的、可信賴的服務，保證數據的機密性和完整性，并能對入侵造成的損失進行還原或修復

　　PASIS采用閾值方案，將一個文件分成多個數據段，分別存儲到各個服務節點上，當用戶需要訪問時，必須要訪問各個存儲服務器，當一個服務節點被攻破時，并不能泄漏任何完整的文件信息，保證了在存儲服務器被攻破后，仍然能夠保護數據的保密性。閾值方案簡單的說就是p-m-n(n>m>p)問題。所有的文件都被分段，并按照一定的策略存放到n個服務節點上，用戶通過讀取這n個存儲節點中的m個存儲節點(n>m),就能夠在客戶端合成完整的文件，這樣就實現了將安全控制分散到文件服務節點上，實現了文件的安全性。即使有p-1個(n>m>p)服務節點被占領，也不會造成任何完整信息泄漏。

　　除PASIS項目外，可生存存儲相關項目的研究較為知名的是加州大學伯克利分校的OceanStore項目，它提出一個覆蓋全球的信息持久存儲基礎設施，來提供高可擴展和高可用的信息存儲服務。為了確保數據的機密性和可用性，OceanStore將加密后的對象副本存放到分布于全球的多個結點上。相關研究還包括開源項目Freenet、IBM研究院的e-Vault、紐約大學的Publius等。

　　在可生存存儲系統中，必須對數據進行分片編碼，較常見的一些數據分片編碼算法都是基于門限方案(threshold scheme)來實現的。PASIS中提出一般性p-m-n門限方案的概念，即將文件經過編碼分成n個分片，滿足：少于p個分片不能獲得文件的任何信息，任意大于或等于m個分片可以恢復出原始文件。所有的數據分片編碼算法均可視為這種一般性門限方案p、m、n取不同值的實例，如信息分布算法(Information Dispersal Algorithm)、Ramp方案等。

　　一般來說，門限方案由于能夠同時提供安全性和可用性，因此相比于DES、AES等基于數據塊的加密算法，更適合應用在分布式存儲系統中提高系統的可生存性。但是由于這類算法一般帶有較大的計算和存儲額外開銷。近些年來，已有一些研究者在傳統的門限方案的基礎上做出改進，以降低原有算法的計算復雜度并提高安全性，但這方面研究目前尚處于探索階段，還沒有十分成熟的算法提出。

基于存儲的入侵檢測系統

　　隨著存儲系統的規模越來越大，提供的服務也越來越多樣化，系統越來越復雜，也不容易維護。而且惡意病毒、木馬程序、入侵等一系列因素使得系統的安全性越來越難得到保證。為此，人們產生了將系統的安全保障劃分到一個個子模塊中分別進行處理的思路。這類系統實際上是在存儲設備或文件服務器中嵌入入侵檢測系統(IDS)，這類系統的主要代表是卡內基·梅隆大學CMU的S4-自安全存儲Self-Securing Storage系統

　　卡內基·梅隆大學提出的自安全的存儲設備從較底層硬件實施了對數據的保護。它具有一種新的安全特性，即存儲磁盤甚至可以不信任本機的操作系統，懷疑所有對數據的讀寫請求。在自安全的存儲磁盤內部有一個嵌入式的子系統，通過內置的操作的指令對存儲的數據進行管理。其優點還包括，只需占用很少的資源來實現入侵檢測、錯誤診斷以及數據恢復等�？梢愿�靈活地實施安全性和完整性檢查。自安全的存儲設備不僅可以對存儲在其上的數據實施保護，還可以進行數據訪問控制。即使操作系統被入侵，自安全的存儲磁盤還可以通過訪問控制對數據進行保護。自安全的存儲設備使系統從軟件和硬件兩個方面分別實施安全保護，增強了整體的安全性能，也起到了一定的容侵容錯作用。

　　Datafort簡介

　　由于存儲安全技術的巨大的實用價值，近幾年不但在學術界積極展開研究，工業界也出現了一批轉注于此領域的存儲廠商，并推出了多款存儲安全產品，如Decru公司的Datafort，Neoscale公司的CryptoStor，Vormetric公司的CoreGuard等。下面就其中的典型代表Decru的Datafort作簡要介紹。

　　Decru DataFort 設備是企業級的存儲加密系統，它是一種基于網絡的加密系統，典型的部署方式是采用后端加密方式運作，將DataFort直接接上IP 交換器或光纖信道交換器，透過交換器將前端送來的數據指向DataFort，經DataFort加密后才會送到儲存裝置。通過引入專用的網絡設備(appliance)進行加密和密鑰管理，實現了硬件線速加密和對前端用戶的透明，可以用于SAN(Datafort FC系列)或NAS(Datafor E系列)中的關鍵數據保護。

　　Datafort的專用設備位于客戶端和存儲服務器的數據通路之中，它集成了數據加密、密鑰管理、基于策略的訪問控制和安全審計功能。專用設備截獲用戶的存儲訪問請求，通過協議解析(NFS、CIFS、iSCSI等)得到其中的數據，并根據用戶預先設定的策略進行相應的加解密操作。其中由硬件實現的AES256 加密對性能的影響幾乎可忽略不計。Datafort的體系結構如圖所示。

　　未來發展

　　2006年數據保護是存儲界較具影響力的事件之一。企業擁有的有價值數據越多，數據泄密的風險就越大。IDC在較近關于存儲管理的調查中發現：36.3%的公司將“提高數據可用性、安全性和數據恢復”作為它們的首選。

　　在學術領域，存儲安全逐漸得到關注，IEEE計算機協會主辦的存儲安全工作組會議(Security in Storage Workshop，SISW)已經舉辦了三屆;2005年ACM創辦了存儲安全性與可生存性工作組會議(Storage Security and Survivability，StorageSS)。

　　在工業界，EMC、IBM、HP、Symantec等公司在各自的存儲產品中增加了安全機制。HP在其存儲服務器中加入了Lustre對象存儲文件系統;Panasas推出了面向對象的并行集群存儲系統，將對象機制加入文件級存儲訪問。存儲網絡工業協會(Storage Networking Industry Association, SNIA)成立了存儲安全工業論壇(Storage Security Industry Forum，SSIF)來推動存儲安全的發展;還成立對象存儲設備(Object-based Storage Device，OSD)工作組，發布了ANSI的X3 T10標準，該標準對SCSI標準進行擴充，在指令級這一層次增加了安全方法。

　　縱觀近幾年產業界的發展，存儲安全技術的發展趨勢是集成化和標準化。集成化是指越來越多的安全功能已通過專用硬件實現，并無縫集成到整個系統中。硬件方法不占用主機的資源，可以做到對用戶透明，將加解密對性能的影響降到較低，并且可以避免軟件方法固有的安全隱患，較大限度的保證整個系統的安全性;標準化是指一套通用的密鑰管理接口�，F有的系統多采用自己專用的密鑰管理接口，因此不同產品直接很難做到互操作�，F在已有廠商，如EMC和Decru已經著手制定一套通用的密鑰管理API標準，其目標是使符合該標準的產品具有互操作性，這必將大大加速相關技術的實用化進程。

　　存儲安全從上世紀九十年代末開始，逐漸從網絡安全中脫離出來，發展成信息安全中獨立的領域，以美國為主的發達國家各研究機構在政府的支持下大力開展相關研究，并取得了很多成果。而目前國內大量的研究、開發和實際應用都集中在網絡安全和系統安全上。存儲安全的研究與技術開發處于空白。很多存儲廠商所謂“存儲安全產品”也僅止步于初級加密，更沒有自己的關鍵技術，而國內研發和生產存儲保護產品尚存在技術上的困難。因此，研究和開發具有自主知識產權的存儲安全技術和產品，對我國的信息安全基礎設施建設，具有重要的戰略意義。