利用基于控制器的加密方案進行資料保護（一）

　　衆所周知，資料保護至關重要。随着越來越多的系統采用了基于8G Fibre Channel和12G SAS/SATA控制器的加密方案（CBE），許多人也開始關注并試圖了解如何對采用CBE子產品的産品進行FIPS驗證。

　　本系列文章将闡述CBE的原理及其必要性，并概要介紹為加密子產品擷取FIPS驗證的若幹核心問題。

基于控制器的加密方案

　　CBE是包含在協定控制器内的一種高性能資料加密技術。常見的陣列控制器設計中帶有一個管理SAN接口的協定控制器，另一個管理盤片接口的協定控制器，以及位于二者之間的CPU聯合體，如圖所示：

　　要進行加密，則需要一個加密子產品、核心管理客戶及與核心伺服器之間的互聯。資料加密可以在系統中若幹點進行，如主機、SAN基礎設施内、或是任一存儲盤片上。

　　理想情況下，加密解決方案應該能：

·        将複雜度降至最低

·        確定可靠性

·        不影響性能

·        采用經過驗證的、安全的架構

　　為了實作該目标，由于陣列控制器的I/O控制器是所有資料自然的彙聚點所在，是以是進行加密的理想位置。還有一點很重要，此處實作線速加密不需要額外的主機CPU或系統記憶體。

FIPS 140的相關背景

      FIPS 驗證發源于1995年，當時National Institute of Standards and Technology (NIST，美國标準及技術學會)和Communications Security Establishment Canada (CSEC，加拿大通信安全機構)共同成立了Cryptographic Module Validation Program (CMVP，加密子產品驗證計劃)以從事符合Federal Information Processing Standards 140 (FIPS 140，聯邦資訊處理标準 140)标準的加密子產品驗證工作。

　　聯邦機構都要求購買經過FIPS 140驗證的加密産品。是以，如果某款加密産品未得到FIPS 140驗證，那麼該産品就不可能進入聯邦機構。更有甚者，還有多家商業機構也采用了FIPS 140标準。

　　該标準的最新版本為FIPS 140-2，下一個版本——FIPS 140-3正在制訂中。

FIPS 140-2驗證流程

      FIPS140-2驗證适用于特定的軟體及硬體配置。該驗證為使用者提供了一定保證，確定某項技術已經通過了嚴格的測試，可以用于安全敏感型的資訊。

　　測試通常在獨立的Cryptographic and Security Testing (CST，加密與安全測試)實驗室進行。整個測試流程可能需要6~12個月或更長時間，其中包括三個階段：

　　第一階段: 産品開發人員送出需要測試的産品。

　　第二階段: 實驗室分析送出的資訊，包括：

•        産品設計及文檔稽核

•        算法測試

•        實體安全性測試（如有必要）

•        源代碼稽核

•        功能測試

　　測試完成後，實驗室送出全套驗證測試方案供Cryptographic Module ValidationProgram (CMVP，加密子產品驗證計劃)進行稽核。

　　第三階段 (驗證&認證):驗證流程的最後一步是由CMVP在NIST網頁上釋出FIPS 140-2認證。

　　下一篇博文将講述FIPS 140-2驗證的級别及其需求。