[发明专利]一种数据可信存储的系统及其方法

摘要

本发明公开了一种数据可信存储的系统及其方法，系统主要包括可信管理中心、应用服务器、存储虚拟化安全网关和后端存储系统四个逻辑实体，可信管理中心作为可信策略的配置和管理实体，应用服务器作为发起数据访问请求的实体，存储虚拟化安全网关作为接收应用层的数据请求，并利用虚拟化技术实现虚拟端口的映射，虚拟存储设备到物理存储设备的转换地址转换以及IO请求的封装，后端存储系统提供数据存储及操作的实际物理介质。其在存储虚拟化技术基础上，通过在存储虚拟化网关或代理层加入可信技术中对数据访问的控制流程，使得对存储系统的访问请求能够经过更严格的安全检查和控制，防止非法访问或恶意的数据存取操作。

主权项

一种数据可信存储的系统，其特征在于：包括四个逻辑实体分别为可信管理中心、应用服务器、存储虚拟化安全网关和后端存储系统；所述可信管理中心作为可信策略的配置和管理实体；所述可信管理中心负责配置、保存所有数据访问的可信存储策略及安全策略，也提供对可信策略和安全策略查询及管理的服务；可信存储策略将定义符合什么安全状态的访问请求端才允许对何种安全等级的数据进行访问，可信存储策略定义可信访问规则，包括访问目标数据的安全级别，访问请求方的安全状态和访问方式；可信存储策略依据具体的应用环境数据访问安全需求由安全管理人员制定并配置，该策略将作为可信存储服务端代理验证访问是否合法的唯一依据；所述应用服务器作为发起数据访问请求的实体，应用服务器包括用于处理存储传输的IO子系统和可信存储客户端代理功能组件；所述IO子系统负责将数据访问请求转换为标准的IO传输请求，由应用服务器的操作系统提供，实现相应的底层设备传输驱动功能；所述可信存储客户端代理功能组件是应用服务器上的一个逻辑功能模块，可信存储客户端代理功能组件负责截获数据访问请求并对其进行处理，它和可信存储服务端代理功能组件进行交互来实现度量和可信验证功能，并利用应用服务器提供的数据传输功能将可信度量和验证的数据打包为传输协议能够理解的数据包传输到存储虚拟化安全网关；所述存储虚拟化安全网关是位于应用服务器和后端存储系统之间的逻辑功能设备，其是存储服务器或者是服务器上的功能软件；它负责处理对后端存储系统的数据访问请求，利用虚拟化技术对访问请求进行处理，实现虚拟设备和物理设备之间的映射，用后端可识别的存储传输协议封装数据块和操作指令，并转发到后端存储系统上，存储虚拟化安全网关还将执行安全控制操作，根据可信存储服务端代理的验证结果进行访问请求的控制，也即拒绝或允许该请求；后端存储系统提供数据存储及操作的实际物理介质；后端存储系统包括物理或虚拟的存储设备，后端存储系统是数据访问请求实际操作数据的物理或虚拟存储设备，是数据的主要存储地；所述存储虚拟化安全网关负责接收应用层的数据请求，并利用虚拟化技术实现虚拟端口的映射，虚拟存储设备到物理存储设备的转换地址转换以及IO请求的封装；所述存储虚拟化安全网关包括虚拟存储管理模块和可信存储服务端代理功能组件，其中所述虚拟存储管理模块提供存储虚拟化技术的底层实现，负责对虚拟存储设备的管理，地址和端口映射，传输协议封装和解析操作，并将IO请求转换为后端存储系统识别的操作指令并发送到后端存储系统；所述可信存储服务端代理功能组件是存储虚拟化安全网关上的一个逻辑功能部件，或者是独立的专用硬件设备，可信存储服务端代理功能组件则负责实施数据访问的安全控制，并实施可信策略；所述可信存储服务端代理功能组件是负责对访问请求实施可信策略判定的逻辑功能部件，可信存储服务端代理功能组件将和可信存储客户端代理功能组件共同完成可信度量和远程验证流程，验证发起访问请求的实体是否符合可信策略和安全策略；可信存储服务端代理功能组件将获取访问请求中的可信属性，并查询可信策略服务器，根据规则验证访问请求是否来自一个符合可信策略规定的安全状态的实体；访问主体的可信属性不仅包含访问主体的身份信息，还包含访问主体所运行环境的安全状态信息，比如发出数据访问请求的应用程序，运行该应用程序的操作系统，所调用的系统组件和存储设备驱动程序；可信存储服务端代理功能组件将验证结果发送给存储虚拟化安全网关，由其进行传输的安全控制，允许或丢弃该访问请求。