iSCSI存儲(chǔ)系統(tǒng)中的安全性研究.pdf

1、隨著Internet的快速發(fā)展，iSCSI存儲(chǔ)系統(tǒng)因其具有容量大、性能高、擴(kuò)展性能好等優(yōu)點(diǎn)，已經(jīng)得到了廣泛的應(yīng)用。本文通過對(duì)iSCSI技術(shù)的研究，既充分看到iSCSI存儲(chǔ)系統(tǒng)與以往傳統(tǒng)存儲(chǔ)系統(tǒng)相比具有無可替代的優(yōu)勢，也看到了iSCSI存在的諸多問題。由于iSCSI的設(shè)計(jì)標(biāo)準(zhǔn)是在不受信任的廣域網(wǎng)環(huán)境中使用，數(shù)據(jù)的安全性就顯得至關(guān)重要。因此，本文針對(duì)iSCSI網(wǎng)絡(luò)存在的的安全性問題展開專門的研究和討論，重點(diǎn)研究如何消除iSCSI協(xié)議中存在的

2、安全隱患，并提出解決問題的相應(yīng)辦法。 本文研究分析了三個(gè)層面對(duì)iSCSI的安全性實(shí)施保護(hù)：在iSCSI連接層實(shí)現(xiàn)帶內(nèi)安全機(jī)制，即用戶進(jìn)行身份login認(rèn)證；在IP層實(shí)現(xiàn)基于數(shù)據(jù)包的安全保護(hù)機(jī)制Ipsec；以及提供高性能的遠(yuǎn)程復(fù)制系統(tǒng)，確保數(shù)據(jù)的萬無一失。 本文首先從目前iSCSI系統(tǒng)中廣泛使用的CHAP身份認(rèn)證協(xié)議分析起，由于iSCSI通信主要依靠initiator、target和ip通信節(jié)點(diǎn)來完成，因此首先在分散的存儲(chǔ)

3、空間中引入認(rèn)證機(jī)制。通過研究和分析，發(fā)現(xiàn)CHAP協(xié)議中存在口令易竊取、只支持服務(wù)端對(duì)客戶端的單向認(rèn)證、信道易受攻擊等安全隱患，進(jìn)而提出用Kerberos協(xié)議代替CHAP協(xié)議進(jìn)行身份認(rèn)證。為了進(jìn)一步提高Kerberos協(xié)議的安全性能，提出了用公鑰密碼體制直接對(duì)Kerberos協(xié)議安全性加以改進(jìn)的兩種解決方法，同時(shí)還引入U(xiǎn)SBKey硬件單元，加強(qiáng)私鑰管理。在通信開始的身份認(rèn)證階段就建立起安全防護(hù)屏障，防止非法用戶的攻擊和入侵。 在用

4、戶完成登錄以后，系統(tǒng)進(jìn)入數(shù)據(jù)傳輸階段，這就涉及到數(shù)據(jù)保密問題。為此本文研究和分析了Ipsec（Internet Protocol Security）技術(shù)，從Ipsec的工作模式到實(shí)現(xiàn)Ipsec的安全關(guān)聯(lián)，以及用IKE協(xié)調(diào)單元完成IKE協(xié)議的認(rèn)證。在此基礎(chǔ)上提出了相應(yīng)的對(duì)策和改進(jìn)措施。同時(shí)考慮到iSCSI采用改進(jìn)后的IKE進(jìn)行密鑰交換會(huì)影響I/O速度，提出了分級(jí)安全的iSCSI解決方案。 最后，為了保證iSCSI網(wǎng)絡(luò)上傳輸數(shù)據(jù)的安

5、全性和一致性，應(yīng)對(duì)各種突發(fā)事件，本文對(duì)iSCSI網(wǎng)絡(luò)系統(tǒng)中遠(yuǎn)程數(shù)據(jù)復(fù)制技術(shù)進(jìn)行了研究和討論。從遠(yuǎn)程復(fù)制的實(shí)現(xiàn)層次、采用何種同步模式以及如何實(shí)現(xiàn)數(shù)據(jù)遠(yuǎn)程復(fù)制等進(jìn)行了分析和討論，還對(duì)遠(yuǎn)程復(fù)制系統(tǒng)中關(guān)鍵部件——磁盤陣列進(jìn)行了專門研究，提出了切實(shí)可行的遠(yuǎn)程復(fù)制體系結(jié)構(gòu)。并提出“在遠(yuǎn)程復(fù)制系統(tǒng)設(shè)計(jì)過程中，在數(shù)據(jù)的可用性、數(shù)據(jù)的可靠性、系統(tǒng)效率和使用成本間如何取舍及均衡是系統(tǒng)設(shè)計(jì)需要考慮的核心問題”這一結(jié)論性觀點(diǎn)，為構(gòu)建iSCSI網(wǎng)絡(luò)系統(tǒng)提供了設(shè)計(jì)