麒麟安全存储技术白皮书

《麒麟安全存储技术白皮书》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、麒麟天机安全存储系统技术白皮书麒麟天机安全存储系统技术白皮书湖南麒麟信息工程技术有限公司2010.03II麒麟天机安全存储系统技术白皮书文档修订记录版本修订内容修订人修订日期备注V4.0技术白皮书提纲郭向华10-03-03V4.0技术白皮书整理郭向华10-03-05II麒麟天机安全存储系统技术白皮书目录1．综述12．系统架构22.1系统架构图23．系统功能33.1全程的数据安全保障33.1.1强身份认证登录33.1.2加密的安全传输通道33.1.3用户数据实时加密存储到服务器33.2多方位的管理控制43.2.1管理层三权分立原则43.2.2有效的用户访问权限控

2、制43.2.3资源保护策略53.2.4磁盘配额的可控管理63.2.5敏感数据共享管理63.2.6恢复用户智能卡63.2.7细粒度的安全审计73.3透明的用户体验83.3.1数据透明访问83.3.2数据隐藏84系统环境8II麒麟天机安全存储系统技术白皮书1．综述随着网络应用的不断拓广，私人数据会越来越多的出现在网络上，如邮件、个人照片，个人通信录等，很多企业也建立了基于局域网甚至Internet的办公自动化系统，达到办公电子化和自动化的目的。然而数据的安全却存在很大的安全隐患，目前市场上的邮件服务器和办公自动化服务器等数据集中存储的服务器，数据基本上都是明文存放

3、，因此信息对系统管理员是完全开放的，非常不利于个人信息的保密。一旦数据服务器被攻破，服务器上的所有数据也将外泄。数据加密存储是解决数据安全的有效方法。使用应用级加/解密工具对文件数据加以保护，可以在一定程度上解决数据泄密的问题，但此种方法使用繁琐且存在易被攻破和旁路的致命缺点，无法从根本上解决诸如物理磁盘失窃、多操作系统引导、非授权访问等所带来的安全隐患。因此有必要采取一种更加安全、有效的实施数据的加/解密手段。麒麟天机安全存储系统(SecureStorageSystem,简称SSS)V4.0是为了解决局域网内数据保密问题的网络数据安全存储系统，由湖南麒麟信息

4、工程技术有限公司独立自主开发，基于高安全的Kylin安全操作系统，采用加密存储技术，为企业、军队、政府等提供了基于网络的数据安全存储解决方案。麒麟天机安全存储系统具备的以下特点，为用户机密数据提供安全保障：—数据实时加密存储，存放在服务器上的均为密文，非法用户无法获得有效数据—数据集中存储，便于安全管理，增强敏感数据访问可控性—加密的安全传输通道防止“中间人”截取数据—可选身份认证方式，用户可根据自身需要来确定选择—加密数据访问对用户透明，合法用户访问加密数据跟访问一般数据没有差别—敏感数据共享，用户之间共享的信息也是密文形式，只有授权的用户才可见并获取真实内

5、容—三权分立原则，由系统管理员、恢复管理员和安全管理员分别实施管理2010-03-05湖南麒麟信息工程技术有限公司8/8麒麟天机安全存储系统技术白皮书1．系统架构2.1系统架构图麒麟天机安全存储系统采用C/S结构，由安全存储系统服务器端和客户端组成。其中，服务器端承担着数据加密、文件存储、身份甄别的责任，基于Kylin安全操作系统；客户端则是基于Windows操作系统，为管理员和普通用户提供了友好便捷的操作界面。根据不同的职能，有管理用户客户端、普通用户客户端以及证书和智能卡系统。整个安全存储系统的结构如下图所示：图2.1安全存储系统整体架构图安全存储服务系统

6、构建在内部网络上，在内部网络与外部网络之间要么完全的物理隔离，要么使用防火墙等安全措施进行隔离。证书和智能卡管理系统与安全存储服务系统的其它部分采用物理隔离手段，因为证书和智能卡管理系统用于生成、存储智能卡认证的用户证书、密钥等敏感信息。2010-03-05湖南麒麟信息工程技术有限公司8/8麒麟天机安全存储系统技术白皮书1．系统功能3.1全程的数据安全保障3.1.1强身份认证登录麒麟天机安全存储系统提供了两种认证机制，一种是用户名口令认证，另一种是智能卡认证。若采用前一种，需在登录时属于用户名和密码；若采用智能卡认证则必须插入用户专用智能卡，并输入PIN码才能

7、登录。用户智能卡由安全管理员通过证书与智能卡系统离线生成和分发，即使智能卡不慎丢失，也可以通过系统管理员禁用该智能卡，被禁用后将不能使用。客户端和服务器相互认证利用现今流行的SSL协议，高层的应用协议能透明地建立于SSL协议之上。通过使用SSL协议，在应用层通信之前就已经完成加密算法、通信密钥的协商以及服务器认证工作。在此之后应用层协议所传送的数据都会被加密，从而保证通信的安全性。3.1.2加密的安全传输通道为了全面保障数据的安全性，天机安全存储系统采用先进的OpenVPN技术实现了数据的传输过程加密。整个系统的数据传输建立在一个虚拟私有专用网络之上，在客户端

8、与服务器交互时，通过端对端的专用加密通