安全存储固态盘的优势.docx
- 文档编号:6263752
- 上传时间:2023-01-04
- 格式:DOCX
- 页数:12
- 大小:1.97MB
安全存储固态盘的优势.docx
《安全存储固态盘的优势.docx》由会员分享,可在线阅读,更多相关《安全存储固态盘的优势.docx(12页珍藏版)》请在冰豆网上搜索。
安全存储固态盘的优势
KontronSSD安全固态存储盘加密说明
此资料仅限于Kontron公司内部人员使用
目录
1.概述4
2.设计思想与诉求4
3.安全特性说明5
3.1可信的认证系统5
3.2数据实时硬加密5
3.3密钥的安全存储与迁移6
3.4快速的数据销毁6
4.模块说明6
4.1认证系统6
4.2多因素认证7
4.3加解密引擎7
4.4主密钥的迁移8
5.安全存储固态盘的优势8
5.1无缝集成的安全性8
5.2优异的性能9
5.3便于部署9
5.4便于维护9
5.5数据清除9
6.应用范例9
7、应用前景10
8.操作说明10
1.概述
随着固态盘的迅速发展,存储安全问题也将成为其在安全领域使用的一个主要研究课题。
国内外涉及重要政治、经济、商业、军事机密和个人隐私的计算机以及信息存储设备被盗、丢弃、废弃而引发的泄密事件屡有发生。
这些存储设备被盗、丢失事件给个人、团体、国家的经济造成了严重的损伤和重大的危害。
针对用户对数据安全方面的需求,Kontron科技有限公司在标准型SSD的基础上开发出具有数据加密和访问控制功能的安全存储固态盘。
本文档描述了Kontron安全存储固态盘的功能特性和相关的用户操作说明。
文档包括以下范围:
加密固态盘的设计思想,安全特性,关键模块说明,安全存储固态盘的优势,应用范例,应用前景和用户的操作说明。
2.设计思想与诉求
Kontron安全存储固态盘期望能够满足以下需求:
1)采用公有或者私有算法对用户数据加密,加密算法作为整个安全盘中的独立模块,可根据需求灵活选择和修改;
2)不影响现有的固态盘性能,不影响用户系统性能和功能;
3)实现加密密钥与加密数据分离存放,密钥单独存放在第3方的可信介质中;
4)预先配置的专用认证系统,不使用用户操作系统在应用层进行认证,确保认证系统安全;
5)认证,加密,访问控制完全独立于用户系统,保证系统的独立性,易移植性和兼容性;
为了满足设计要求,Kontron安全存储固态盘通过硬件方式实现固态盘数据的加解密;密钥与固态盘相分离,确保用户丢失了固态盘,固态盘中的数据依然无法被非法用户所盗取;加解密的密钥存储在可信介质USBKEY中,只有当用户与可信介质(USBKEY),可信介质与SSD认证通过后控制器才可以获取加解密的主密钥。
当用户启动主机时,安全存储固态盘首先表现为一个可引导的只读盘,该引导盘存放预装的认证系统,认证系统提供认证设备的驱动和用户认证的人机交互界面;认证过程包括用户身份认证、USBKEY与SSD盘之间的双重认证;认证通过后,认证系统才将密钥从USBKEY中导入到SSD盘的加密引擎中;密钥成功导入后,安全存储固态盘将重新枚举成正常可读写的固态盘,认证系统也将自动重启,正常引导到用户系统,完成进行认证系统与用户系统的切换。
固态盘中的加密引擎对于用户是透明的,用户进行数据的读写操作时都需要进行数据的加解密操作,当系统掉电后,用于加解密的密钥会自动消失,重新上电启动时需要再次进行认证和密钥的导入。
图片应用实例:
图1:
无USBKEY引导状态
图2:
插入引导USBKEY后启动,完成SSD与USBKEY认证
图3:
二次客户身份认证,验证客户密码,成功后即可启用
3.安全特性说明
3.1可信的认证系统
安全系统中的认证系统参预整个认证过程,保证认证系统的可信度能够大大提高整个安全系统的安全性。
传统的认证系统通常基于用户的操作系统,由于用户系统的多样性和复杂性,这种方式存在诸多安全隐患。
Kontron安全存储固态盘独创使用内嵌并且固化的认证系统,结合专利的多重引导技术,使得认证系统完全封闭,独立于用户的应用系统。
认证过程大致如下:
1)上电后,安全存储固态盘对系统标识为一个小容量(几十到几百MB)的可引导存储盘,且该盘内部被设定为只读;
2)BIOS获取该只读盘的主引导记录MBR,跳转到其引导分区,启动预装的嵌入式操作系统;
3)系统加载认证设备的驱动和认证界面;
4)用户输入认证的凭据进行认证,完成密钥的迁移;
5)系统自动重启,同时安全存储固态盘也会重新标识为正常容量的普通盘,存放用户数据或系统的数据区可以被主机访问;
6)进入用户操作系统。
该多引导认证(Multi-BootAuthentication)系统具有以下特点:
1)独立性:
认证系统和用户系统之间完全独立,认证过程完全不依赖用户系统,认证系统和用户系统互不可见;
2)透明性:
用户系统不可见认证分区,也不可见认证系统,不需要根据认证方式做任何改动或变更,可以无缝透明的集成到既有系统;
3)封闭性:
认证系统为用户定制,只完成认证工作,非预先设定的任何程序均无法在其中运行,运行过程中不与外界非预先设定的任何程序或设备交互;
4)抗攻击性:
认证分区在成功认证前为只读,成功认证后为不可见,在任何情况下都无法修改或破坏其内容,对于外界攻击完全免疫;
5)灵活性:
认证系统可以根据用户需要,实施不同级别,不同方式的认证。
可以方便的在同一套系统中实施多因素多级别的认证,独立或者混合实施口令、指纹、机器硬件ID、电子钥匙、网络集中授权、无线覆盖等方式的认证;
3.2数据实时硬加密
基于FPGA实现的SATA/PATA接口的SSD加密方案可以采用不同的加密算法和不同密钥长度加密引擎(如存放绝密级数据的SSD可以采用最高级的加密算法和256比特密钥长度加密引擎),并能够实现全盘数据加密,具有高安全性、高吞吐率特点。
加密算法通过硬件实现,克服了阻碍加密技术应用的两大障碍:
容易使用和系统性能不受影响。
在固态盘中进行加密,在降低系统复杂度提高系统性能的同时提高了安全性;并且在盘驱动器中将加密功能和密钥存储相分离;这样就可以阻挡窃取密钥或者系统其他敏感信息的恶意软件;再者硬件加解密性能和普通固态盘性能完全相同,对计算机的性能没有影响,并且密钥只在固态盘的控制器中使用,存放在易失的寄存器中,不离开控制器,恶意软件也无法获取密钥,当电源切断之后,存放在固态盘控制器中的密钥会自动消失,因此密钥的使用是安全的。
3.3密钥的安全存储与迁移
当某一硬件为信任根时,应具有不可更改性并具有签名的功能;信任链可以以信任根为起点,智能卡是一个具有小型处理器的芯片,具有签名功能,并且不能改变其固件。
同时Kontron安全存储固态盘的认证区也具有不可更改的特点,且具有一定的计算功能。
在固态盘认证过程中,以智能卡USBkey和固态盘为两个信任根,进行认证和密钥存储,用于加密的主密钥存储在USBkey中,在没有通过认证授权,是无法实施主密钥的下载的;并且在密钥下载过程中,密钥经过了USBkey公钥加密,下载过程也是被保证的。
3.4快速的数据销毁
只需更改安全存储固态盘的私有密钥,就能快速、安全地使存储的所有数据变为无效;只要消除信任根的访问口令,就可以使用户数据变的不可访问。
用户可在0.1秒钟内完成上述操作,不会像传统磁盘清除方法一样耗时且容易出现人为错误。
强调一点,Kontron安全存储固态盘的用户区不是简单的通过用USBKEY将其锁住,用户区的所有数据再写入过程中都进行了加密算法,所以即使通过非法途径将数据提取,里面的数据也是无法解析的,所以销毁、破坏USBKEY密匙的方法也称之为数据销毁。
Kontron同时可以提供电销毁的安全存储固态盘,通过触发销毁按钮,安全存储固态盘快速擦除固态盘上面的所有数据,并通过特殊算法在有限的时间内重复擦写重要区域数据,达到永久无法恢复的效果,与此同时将SATA/PATAController销毁,达到更加安全的销毁目的,参考KSSDS/P-VA的使用手册。
4.模块说明
4.1认证系统
Kontron安全存储固态盘被分为两个区,一块为只读区(ROM区),存放Linux认证系统,提供认证设备的驱动和用户认证的交互界面;另一块为用户数据区,用户区是由认证系统导入的,只有通过了用户与USBKEY认证、USBKEY与SSD盘之间的双重认证后,才可以进入用户系统。
也就是说:
用户授权码(口令,指纹或其他)、USBKEY(存放密钥)、安全存储固态盘(存放加密用户数据)三者是唯一绑定的,要想访问用户数据,三者缺一不可。
图1固态盘内部分2个区域
4.2多因素认证
1)实体认证
用户合法身份的认证,USBKEY通过用户输入的口令或者指纹方式验证用户的合法性,验证操作在USBKEY内部完成,可以防御非法用户的暴力攻击。
图2实体认证图
2)数据源认证
USBKEY与固态盘,固态盘与USBKEY之间的双向认证,通过使用RSA引擎,完成数字签名和验证操作,RSA算法可支持长度为1024bits和2048bits的密钥;验证过程中使用的随机数由随机数产生器生成,符合FIPS140-1标准,满足NIST测试程序;签名和验证签名操作都是分别由USBKEY和固态盘内部的CPU完成的,完全通过硬件方式完成的,密钥使用都是安全的。
图3数据源认证
4.3加解密引擎
加密固态盘加密使用对称加密算法AES对数据进行加解密操作,采用XTS-AES加密模式对长度为512Bytes数据单元进行加解密,加解密算法的实施符合IEEEStandardforCryptographicProtectionofDataonBlock-OrientedStorageDevices标准,AES支持长度为128bits和256bits的密钥;加解密操作完全由硬件实现,加解密操作对用户完全透明,并且密钥存储在寄存器中,无法被任何软件(包括固态盘内的固件)访问,掉电之后密钥自动清除。
Kontron安全存储固态盘是整合密码技术和控制技术为用户提供“固态盘加密+访问控制”一体化硬件解决方案。
系统结构框图如下图所示。
图4SSD数据安全方案结构框图
4.4主密钥的迁移
主密钥存储在USBKEY中,只有合法的用户和相匹配的固态盘,才可以读取USBKEY中的主密钥;非法用户或者合法用户拥有不匹配的固态盘,都不能获取主密钥的密文;主密钥经过RSA加密之后迁移到固态盘中。
图5密钥的迁移
5.安全存储固态盘的优势
5.1无缝集成的安全性
对于现有系统,不需要任何改动,即可借助Kontron安全存储固态盘增加加密和访问控制的功能,为用户系统提供无缝、透明且实时发挥作用的安全和加密。
5.2优异的性能
Kontron安全存储固态盘使用硬件加密,可高效地加密/解密硬盘上存储的所有数据,且不会对性能产生任何不良影响,无需划分加密数据和非加密数据,用户数据被全盘加密。
5.3便于部署
Kontron安全存储固态盘完全兼容现有硬盘,像使用标准硬盘一样安装和使用。
安全功能在硬盘中透明运行,无需进行其他配置。
整个设置过程非常简单,只需创建密码、输入指纹等认证因素以启用加密密钥即可。
5.4便于维护
Kontron安全存储固态盘无需应用补丁程序、更新或升级,所以避免了承担与软件解决方案关联的多项成本。
5.5数据清除
对于加密固态盘,可即时清除其中存储的密钥信息,从而轻松重新部署和废弃硬盘,缩短了覆盖和清除硬盘数据所需的时间并降低了相关成本。
6.应用范例
局域网内的本地加密解密:
图6说明了在局域网内的本地加密解密过程。
在用户计算机开机后启动SSD的授权方式,授权方式是用户启动密钥传递的认证过程。
授权的方式根据密钥载体的不同和用户密级的不同可能有多种形式:
可以采用口令、指纹、智能卡、视网膜、语音等方式产生的密码中的一种或者多种混合来实现授权。
若授权方式正确,通过加密链路将密钥从载体中传递到SSD的加密引擎中。
由于在SSD中该密钥不能读也不能保存,掉电之后密钥也随之丢失,下次使用必须再次从密钥载体中重新传递。
我们将SSD内部分2个区域:
只读的ROM和加密的用户数据区。
在系统上电(包括SSD上电)之后,本SSD将枚举成一个小容量的,只读的ROM盘,其中已经根据用户的认证方式需要预装了认证系统,该认证系统将完成整个认证和授权的过程,如果认证成功,则使用获取的密钥访问用户的系统,如果认证失败,则继续枚举成ROM盘,或者根据用户定义,将盘锁定或者启动自毁,清空所有数据。
若认证成功完成,加密的用户数据区通过加解密引擎被用户系统使用。
采样此方式的优点是:
①整个系统结构简单;②单个密钥的丢失不至于危及到这个系统的数据安全;
图6局域网内本地加密解密示意图
7、应用前景
在恶劣环境及宇航应用系统中,固态盘存储系统的竞争优势日益明显。
它具有体积小、重量轻、速率高、功耗低等特点。
在大容量存储需求场合,固态硬盘正向磁盘机、磁带机提出挑战。
在野外现场、军事前沿以及宇航应用中,由于它没有机械运行部件,自身加固比磁盘、磁带机容易实现,因而成为优选品种。
在某些要求数据高度保密,或要求突发事件时能够迅速擦除关键数据等特殊应用(例如侦察飞机的数据记录器等)环境中,更是非它莫属。
随着互联网络快速发展和普及,病毒、黑客等各种安全威胁的出现,考虑到个人信息和数据泄漏事件持续增多,SSD的数据安全性也引起了广泛关注,尤其是军方,一旦数据被窃取,其损失是无法估量的。
而我们所研制的加密策略,具有完全的自主知识产权,不会受到系统的升级、扩展的任何影响,可极大的保护数据的安全性和可靠性。
对于关键领域,在某些特定的情况下,如战争中的黑盒子或某些涉密机器、存储设备的遗失,需要快速的将数据进行销毁,以免落入敌军手中,造成重大损失。
实施数据快速自毁策略,将可进一步的保证数据的安全性。
8.操作说明
Kontron的实施范例以USB接口的电子钥匙为密钥载体,以Linux系统为认证操作系统,认证程序运行在剪裁后的Linux系统上。
Kontron安全存储固态盘进入用户系统之前,首先进入的是只读的认证系统,完成用户身份的识别,USBKEY与固态盘之间的双向认证和主密钥的传输。
系统上电后,操作步骤如下:
1)插入USBKEY;
2)用户可以输入密码,指纹方式进行用户身份识别;
3)若
(2)执行成功后,则执行步骤(4);否则提示用户插入合法的USBKEY,转到
(1);
4)进行USBKEY与固态盘之间的双向认证;
5)若(4)执行成功,则执行步骤(6),否则提示用户插入合法的USBKEY,转到
(1);
6)主密钥传输到固态盘;
7)(6)执行成功后,系统自动重启,进入用户数据区;
认证流程如下图所示:
KyleLiu
ProductlineSalesManager
Email:
Kyle.liu@
Tel:
138********5
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 安全 存储 固态 优势