存储安全不仅仅是密钥管理

存储安全已经成为让IT经理夜不能寐的最棘手问题之一，他们担心数据是否会泄露到那些企图盗取从信用卡、社会保障号码到银行账户、企业机密甚至是名人护照文件的不法分子手中。

最理想的情况是，信息从创建到被销毁都是经过加密的。而且大家还希望锁定数据，这样只有那些授权用户才能访问到每份文件。如果所有系统都支持这种机制就再好不过了，这样你就不会看到像间谍电影中那样数据被盗取的场景。当然，如果没有非常深入的研究是不可能实现这些的。

但是随着数据丢失事件像数据量本身那样飞速增长，应该是时候挑战一下支持整体数据安全。当然，研发和采用一个端对端解决方案是两码事，但是如果我们了解了这个问题的难度和复杂性，就等于有了一个解决问题的良好开端。

密钥管理

密钥管理一直是IT管理者最严峻的挑战之一，其理由非常简单：你很难对包括文件、存储网络、磁盘驱动器、磁带以及其他所有设备实施统一而安全的密钥管理。不同行业与政府对密钥管理的要求都是不同的。不同企业机构、甚至是机构内部的不同部门对安全性的等级要求都是不一样的，而且需要的安全策略类型也是不同的。

有些企业机构可能需要一种特定人群具有修改密钥权限的模式，还有一些企业机构可能需要让一人或者多人拥有相同的数据安全密钥控制权限。

你还需要解决安全性等级的问题。现在，你有针对磁带和磁盘驱动器不同的你要管理架构，更不用说数据路径下的其他因素了。现在有很多组织机构都致力于密钥管理的实施和统一。IEEE协会就是其中之一，去年在IEEE Mass Storage Conference上他们举行了一次关于密钥管理的峰会。未来密钥管理仍将是一个我们需要面对的难题。

性能问题

加密的另一大挑战就是性能问题。当然，加密的成本是取决于在哪加密、使用什么方法加密数据。例如，使用LTO-4加密硬件或者希捷Cheetah驱动器的数据加密功能是不需要任何成本的，原因非常简单：这些设备都采用了基于硬件的加密技术。

有些设备是在存储网络中进行加密的。这些设备可能是完全基于设备的，但是这对磁带来说并不是一件好事。如果你在压缩之前加密，那么压缩的几率就会降低；你需要做的是，先压缩后加密。这时候又有一个问题，inline设备能够对磁带驱动器进行完全压缩或者加密。随着磁带速度越来越快，这往往需要很高的成本。

那么服务器方面呢？我发现很多HSM应用能够在读取或者向磁带写入数据的时候进行校验和。我还发现当启动校验和的时候，磁带性能就会大幅下滑。

我们都知道，校验和计算的复杂性远低于加密算法的复杂性。加密算法的计算非常密集，而且通用CPU可能并不适用于运行这些复杂算法。这些类型的算法最适宜于在向ASIC或者更快的FPGAs这样专门的硬件上运行。CPU速度越来越快，但是内存带宽的增长速度并没有与CPU性能增长保持一致，将数据移入或者移出内存来在系统I/O处理密集的中加密或者解密数据，这可能无法卯足加密需求以确保设备满足I/O需求。