麒麟安文档教材全存储技术白皮书.docxVIP

麒麟天机安全存储系统 技术白皮书 湖南麒麟信息工程技术有限公司 2010.03 文档修订记录 版 本 修订内容 修订人 修订日期 备 注 V4.0 技术白皮书提纲 郭向华 10-03-03 V4.0 技术白皮书整理 郭向华 10-03-05  目录 TOC \o 1-3 \h \z 1． 综述 1 2． 系统架构 2 2.1 系统架构图 2 3． 系统功能 3 3.1 全程的数据安全保障 3 3.1.1 强身份认证登录 3 3.1.2 加密的安全传输通道 3 3.1.3 用户数据实时加密存储到服务器 3 3.2 多方位的管理控制 4 3.2.1 管理层三权分立原则 4 3.2.2 有效的用户访问权限控制 4 3.2.3 资源保护策略 5 3.2.4 磁盘配额的可控管理 6 3.2.5 敏感数据共享管理 6 3.2.6 恢复用户智能卡 6 3.2.7 细粒度的安全审计 7 3.3 透明的用户体验 8 3.3.1 数据透明访问 8 3.3.2 数据隐藏 8 4 系统环境 8 综述 随着网络应用的不断拓广，私人数据会越来越多的出现在网络上，如邮件、个人照片，个人通信录等，很多企业也建立了基于局域网甚至Internet的办公自动化系统，达到办公电子化和自动化的目的。然而数据的安全却存在很大的安全隐患，目前市场上的邮件服务器和办公自动化服务器等数据集中存储的服务器，数据基本上都是明文存放，因此信息对系统管理员是完全开放的，非常不利于个人信息的保密。一旦数据服务器被攻破，服务器上的所有数据也将外泄。 数据加密存储是解决数据安全的有效方法。使用应用级加/解密工具对文件数据加以保护，可以在一定程度上解决数据泄密的问题，但此种方法使用繁琐且存在易被攻破和旁路的致命缺点，无法从根本上解决诸如物理磁盘失窃、多操作系统引导、非授权访问等所带来的安全隐患。因此有必要采取一种更加安全、有效的实施数据的加/解密手段。 麒麟天机安全存储系统(Secure Storage System,简称SSS)V4.0是为了解决局域网内数据保密问题的网络数据安全存储系统，由湖南麒麟信息工程技术有限公司独立自主开发，基于高安全的Kylin安全操作系统，采用加密存储技术，为企业、军队、政府等提供了基于网络的数据安全存储解决方案。 麒麟天机安全存储系统具备的以下特点，为用户机密数据提供安全保障： 数据实时加密存储，存放在服务器上的均为密文，非法用户无法获得有效数据 数据集中存储，便于安全管理，增强敏感数据访问可控性 加密的安全传输通道防止“中间人”截取数据 可选身份认证方式，用户可根据自身需要来确定选择 加密数据访问对用户透明，合法用户访问加密数据跟访问一般数据没有差别 敏感数据共享，用户之间共享的信息也是密文形式，只有授权的用户才可见并获取真实内容 三权分立原则，由系统管理员、恢复管理员和安全管理员分别实施管理 系统架构 系统架构图 麒麟天机安全存储系统采用C/S结构，由安全存储系统服务器端和客户端组成。其中，服务器端承担着数据加密、文件存储、身份甄别的责任，基于 Kylin安全操作系统；客户端则是基于Windows操作系统，为管理员和普通用户提供了友好便捷的操作界面。根据不同的职能，有管理用户客户端、普通用户客户端以及证书和智能卡系统。整个安全存储系统的结构如下图所示： 图2.1 安全存储系统整体架构图 安全存储服务系统构建在内部网络上，在内部网络与外部网络之间要么完全的物理隔离，要么使用防火墙等安全措施进行隔离。证书和智能卡管理系统与安全存储服务系统的其它部分采用物理隔离手段，因为证书和智能卡管理系统用于生成、存储智能卡认证的用户证书、密钥等敏感信息。 系统功能 全程的数据安全保障 强身份认证登录 麒麟天机安全存储系统提供了两种认证机制，一种是用户名口令认证，另一种是智能卡认证。若采用前一种，需在登录时属于用户名和密码；若采用智能卡认证则必须插入用户专用智能卡，并输入PIN码才能登录。用户智能卡由安全管理员通过证书与智能卡系统离线生成和分发，即使智能卡不慎丢失，也可以通过系统管理员禁用该智能卡，被禁用后将不能使用。 客户端和服务器相互认证利用现今流行的SSL协议，高层的应用协议能透明地建立于SSL协议之上。通过使用SSL协议，在应用层通信之前就已经完成加密算法、通信密钥的协商以及服务器认证工作。在此之后应用层协议所传送的数据都会被加密，从而保证通信的安全性。 加密的安全传输通道 为了全面保障数据的安全性，天机安全存储系统采用先进的OpenVPN技术实现了数据的传输过程加密。整个系统的数据传输建立在一个虚拟私有专用网络之上，在客户端与服务器