В настоящее время системы хранения все чаще подвергаются кибер атакам. Криптографические файловые системы снижают вероятность разоблачения данных с помощью шифрования и защиты данных, а также предоставляют целостность методов и гарантию безопасности для своих клиентов. В данной статье описывается универсальный метод для шифрования файловых систем и ее реализация в распределенной системе хранения файлов (SAN). Ключ управления интегрирован с мета-данными службы файловой системы. Реализация поддерживает шифрование и защиту целостности на основе распределенной структуры данных «дерево». Эти методы были реализованы на основе программы файловой системы клиента. Сопоставительный анализ на основе эталонных данных показывает, что покрытие заметны для некоторых искусственно сконструированных вариантов использования, но этого очень мало для применения в типичных файловых системах.
Безопасности становится главное составляющей системы хранения данных. Сегодня, место для хранения обычно предоставляется по сложной сетевой системе. Эти сети традиционно приурочены к центрам обработки данных в физически защищенных местах. Но при наличии высокоскоростных локальных сетей и сетевых протоколов хранения данных, таких протоколов как fcip и iSCSI, эти сети становятся виртуальными, открытые для доступа пользователям. Таким образом, клиенты могут получить доступ к устройствам хранения напрямую, а существующие статическим методам безопасности больше нет смысла. Необходимы новые динамические механизмы безопасности для защиты данных в виртуальных и сетевых систем хранения данных. Безопасная система хранения должна обеспечивать защиту конфиденциальности и целостности данных. В распределенных системах хранения данных существует две различные формы, а также различные воздействия несанкционированного доступа:
Данные в «полёте»: данные, которые находятся в транзите между клиентами, серверами и устройствами хранения данных. Работа выполнена в исследовательской лаборатории IBM в Цюрихе. Можно получить доступ от других узлов в сети. Кибер атаки и их ответные меры похожи на их коммуникационные каналы связи, для которых криптографические защиты доступны.
Данные в состоянии покоя: данные, хранящиеся на запоминающем устройстве. Злоумышленник может получить физический доступ к устройству хранения или отправить соответствующие команды по сети. Если сеть не защищена, эти команды также могут быть инициированы клиентом, который может получить доступ к другим частям системы сетевого хранения. Данные в состоянии покоя отличаются от данных в «полёте», тем что иногда труднее применяется криптографическая защита, которая расширяет длину данных, добавляя несколько байт проверки целостности хранимых данных. Кроме того, данные должны быть доступны в произвольном порядке, в отличие от данных по каналу связи. В таких случаях, необходимы новые криптографические методы для защиты данных в состоянии покоя.
Систем хранения данных используется многоуровневую архитектуру, и криптографические защиты могут быть применены на любом слое. Например, на нынешний день существует один популярный метод, используемый для шифрования данных на уровне блоков для хранения данных в запоминающем устройстве, при этом данное устройство находиться в сетевом хранилище или на виртуальный драйвер устройства в операционной системе (например, шифрование с помощью петлевого устройства в Linux). Преимущество в том, что файловые системы могут использовать зашифрованные устройства без изменений, но недостатком является то, что такие файловые системы не могут продлить криптографической защиты для своих пользователей. Причина в том, что любая файловая система клиент может открыть пространство для хранения в незащищенном виде, к тому же система контроля доступа и администрирования ключами займет место ниже файловой системы. В данной статье я обращаюсь к шифрованию на уровне файловой системы. Эта статья расскажет о разработке и реализации криптографических методов защиты в высокопроизводительной распределенной файловой системе.
Криптографические файловые системы шифрования или защиты целостности хранимых данных с помощью шифрования и аутентификации данных. Криптография используется потому, что основной поставщик хранилища не доверяют, чтобы предотвратить несанкционированный доступ к данным. Например, поставщик хранилища может использовать съемный носитель или должны быть доступны через сеть, и поэтому правильный контроль доступа не может быть исполнено; другой распространенный пример побочных каналов данных разбиты диски, которые были заменены. В системе, использующей шифрование, доступ к ключам дает доступ к данным. Поэтому важно, чтобы поставщик безопасно управляет ключами шифрования файловой системы. Введение отдельной службы управления ключами, который должен быть синхронизирован, обеспечивая контроль доступа к информации. Аналогично, поставщики безопасности должны нести ответственность за управление ссылочной целостности значения, такие как метки всех файлов. Существуют криптографические файловые системы в двух формах: либо как улучшение в рамках существующей физической файловой системы, которая использует базовый блок-поставщика хранилища, или в качестве виртуальной файловой системы, которая монтируется с другой (виртуальной или физической) файловой системы.
Первый подход приводит в монолитной криптографические файловые системы, которые могут быть оптимизированы для повышения производительности. Второй подход результаты в штабелируемые или многоуровневая файловые системы, преимущество которого заключается в изоляции функции шифрования данных от деталей физической файловой системы. Таким образом, слой шифрования могут быть использованы для многих физических файловых систем, но поскольку операционная система должна сохранять копию данных на каждом слое, штабелируемые файловых систем, как правило, медленнее, чем монолитных. За последние 15 лет было сделано немало прототипов в производстве криптографических файловых систем.
SUNDR — это распределенная файловая система, которая работает с абсолютно ненадежным сервером хранения. Это гарантирует, что клиенты могут обнаружить любое нарушение целостности и последовательности, так долго, как они видят обновления файла друг от друга, но он не может предотвратить изменений в данных, хранящиеся на сервере. SUNDR обеспечивает защиту целостности файла, используя структуру данных «дерево», и делает частое использование цифровых подписей. Еще одна система, которая защищает целостность файла I3FS, многоуровневая файловая система, предназначенная для обнаружения вредоносного модификации файла в связи. Он является вторым механизмом авторизации, кроме обычной файловой системы авторизации и действует как растяжка. Две системы защиты целостности файлов с помощью структуры данных «дерево», предназначенные только для чтения и распространения данных, где обновление возможно только при помощи автономных операций. Как I3FS, они не реализуют стандартный файл интерфейса системы и требуют специальной команды для операций записи. Криптографическая файловая система также была реализована с использованием безопасных сетевых дисках. Устройств хранения данных и представляют собой гибридные конструкции, обеспечивающих традиционные для хранения блока, а также особенности, которые часто встречаются в объектно-накопителей и файловых серверов. В отличие от традиционных поставщиков услуг хранения, устройств и требуют строгой аутентификации клиента для любой операции, а также выполнять проверку данных о содержании. Данные зашифрованы с помощью 3-х клиентов, прежде чем отправить его и проверку подлинности с помощью ТВ-блок цифровых подписей или в блоке секретного ключа аутентификации (MAC)
Часто ресурсы для высокопроизводительных вычислений являются общими системами и доступ к ограниченным наборам данных или ресурсов, должен быть проверен. Эти потребности проверки подлинности может принимать несколько форм, как внутренних, так и внешних для кластера высокопроизводительных вычислении (HPC). Вычислительный стек, который использует веб-сервисы среди узлов могут потребовать выполнить проверку подлинности между узлами одного и того же задания или возможно, нужно обратиться к источникам данных за пределами. Традиционные механизмы защиты, такие как пароли или цифровые сертификаты могут создать проблемы. Распространение и хранение незашифрованных паролей или ключей шифрования между узлами в системах высокопроизводительных вычислении без специальной защиты является плохой практикой безопасности. Что бы достичь обратного ответа пользователя нужно использовать полностью интерактивный суперкомпьютер гарантирующий подключение пользователя. Решением может быть включение для этих случаи программного обеспечение на основе подписки сертификата, однако они требуют значительных знаний в области цифровых сертификатов для настройки.
Управление криптографическими ключами на высокопроизводительных кластерах. Задача любого криптографического ключа системы управления заключается в том, чтобы принять ключи и связанные с ними инфраструктуры открытых ключей доступных для авторизованных клиентов, но одновременно гарантировать защиту. Наиболее широко используемое решение для такого баланса является смарт-карта, которую можно получить с помощью интерфейса стандартом pkcs#11. В то время как аппаратное масштабирование смарт-карт в среде высокопроизводительных вычислений не представляется возможным, криптографическая библиотека, которая действует аналогично, смарт-карта является практичным. Существует несколько коммерческих и открытых реализаций источника, но речь идет о разных ситуациях, которые тесно связаны с программными пакетами и не предназначены для защиты ключей от экспорта своих уполномоченных пользователей. Было разработана криптографическая библиотека на основе стандартом pkcs#11, который соединяется с демоном, запущенным в качестве отдельного пользователя, который хранит и управляет криптографическими ключами для всех пользователей системы. Ключ для хранения этой системы предназначен для того, чтобы ключи были только под привилегированными пользователями системы. Непривилегированные пользователи могут получить доступ к ключам через интерфейс pkcs#11 и не может экспортировать их в другие места. Это обеспечивает безопасность для криптографических ключей, пока все еще позволяющих быть использованным с общим приложений безопасности, таких как безопасность транспортного уровня. Ключ и PKI генерация сертификата или продление на сотни узлов может быть достигнуто с помощью одной команды параллельно. Это позволяет ключам и сертификатам предварительно сгенерировать для каждого пользователя. Скорость тоже важный фактор. Коммерческие смарт-карты рассчитаны примерно на одну операцию в секунду. Дойдя обратно на маршрут криптографических операций с помощью смарт-карты пользователь будет быстро находить пространство. С помощью виртуальных смарт-карт мы ограничены только скорость обработки вычислительных узлов, способных более ста операций в секунду на одно ядро процессора, и которые масштабируются линейно.
Интеграция с диверсией эта система для криптографической проверки подлинности для внешних систем, был использован для обеспечения авторизованного доступа к диверсии. Клиент обычно либо просить сохранить пароль пользователя в открытом виде в домашнем каталоге или попросить пользователя ввести свой пароль для каждой команды, подрывная деятельность. Признавая, что широкое распространение хранение паролей в виде простого текста нужно избегать и что часто побуждает пользователя ввести свой пароль, но было предложено лучшее решение. Настройки сервера по https были перенастроены на запрос и проверку подлинности сертификата PKI и применять сертификации. Клиент был настроен для проверки подлинности с помощью сертификатов хранения в pkcs# криптографический интерфейс библиотеки, таким образом, нынешний пользователь может быть доказан на сервер подрывной деятельности без вмешательства пользователя или хранение паролей открытым текстом.
Литература:
- searchsecurity.techtarget.com
- old.tusur.ru
- cyberleninka.ru
