基于iSCSI协议的IP SAN安全机制研究与实现

论文摘要

随着企业存储容量的爆炸性增长,传统直接连接存储的吞吐能力及管理模式已不能满足业务需求,存储区域网(SAN)技术能够提供高性能、大容量的数据访问,成为存储带宽、容量和管理问题的解决途径。基于iSCSI协议的IP存储区域网(IP SAN)在IP网络中传输I/O数据块,以其低廉、便捷、开放的优异品质成为构建SAN的主要技术之一,却存在与IP网络同样的安全问题。保证数据在不可信的网络环境上的传输安全及在不可信的存储设备上的存储安全成为基于iSCSI协议的IP SAN在应用中亟待解决的问题。本文提出一种基于iSCSI协议的IP SAN虚拟加密卷模型,在Initiator端的iSCSI层嵌入加密机制,采用Target端映射虚拟加密卷的方法实现存储设备上静态数据的加密及网络中传输数据的加密。模型分为Initiator端与Target端两部分,Initiator端在iSCSI协议层嵌入安全保护模块,对SCSI数据执行实时的加/解密与消息认证码的生成/检验,并引入密钥保险箱机制实现数据密钥的加密存储及存储数据的安全共享。Target端不解密I/O数据块,仅执行访问控制及加密卷逻辑地址向物理地址映射的虚拟化。同时,本文利用iSCSI协议的附加头部机制扩展了iSCSI报文格式,通过定义读写数据块及安全属性的消息交互与状态转换流程,为initiator提供了访问密钥等加密卷安全属性的机制,保证了数据机密性与完整性。本文将虚拟加密卷模型与Linux的SCSI子系统结合,进行了原型实现。最后,对模型进行了安全性分析与性能测试,实验数据显示,模型提供的安全机制对性能的影响不大,读写性能优于IPSec安全机制。

论文目录

• 摘要
• Abstract
• 第一章 绪论
• 1.1 课题研究背景及意义
• 1.1.1 网络存储系统概述
• 1.1.2 IP SAN及iSCSI简介
• 1.1.3 基于iSCSI的 IP SAN的安全威胁与安全需求
• 1.2 国内外研究现状
• 1.3 研究的主要内容及论文组织安排
• 第二章 相关技术分析
• 2.1 iSCSI技术
• 2.1.1 SCSI规范
• 2.1.2 iSCSI协议栈及通讯过程
• 2.1.3 iSCSI协议会话机制
• 2.1.4 iSCSI协议安全机制
• 2.2 访问控制技术
• 2.3 存储加密系统
• 2.3.1 加密存储标准
• 2.3.2 设备级存储加密
• 2.3.3 文件系统级存储加密
• 2.3.4 应用程序级存储加密
• 2.4 本章小结
• 第三章 基于iSCSI协议的IP SAN安全机制研究
• 3.1 IP SAN安全机制研究
• 3.2 虚拟加密卷模型研究
• 3.2.1 虚拟加密卷机密性研究
• 3.2.2 虚拟加密卷用户认证与访问控制研究
• 3.2.3 虚拟加密卷完整性研究
• 3.2.4 虚拟加密卷通信机制研究
• 3.3 本章小结
• 第四章 基于iSCSI协议的 IP SAN安全机制实现
• 4.1 加密元数据和 Targct基本信息结构
• 4.1.1 加密元数据结构
• 4.1.2 Target基本信息结构
• 4.2 Target端安全功能实现
• 4.2.1 Target端分层结构实现
• 4.2.2 存储管理模块实现
• 4.2.3 认证模块实现
• 4.2.4 虚拟化模块实现
• 4.3 Initiatior端安全功能实现
• 4.3.1 Initiator端分层结构实现
• 4.3.2 安全管理模块实现
• 4.3.3 安全保护模块实现
• 4.4 对性能的改进方法
• 4.5 本章小结
• 第五章 基于iSCSI协议的 IP SAN安全机制分析与测试
• 5.1 系统安全性分析
• 5.2 系统性能测试
• 5.3 本章小结
• 第六章 总结与展望
• 6.1 主要工作总结
• 6.2 下一步工作展望
• 参考文献
• 作者简历 攻读硕士学位期间完成的主要工作
• 致谢