哪一种加密方式会更好呢？

最近出现的丢失含有客户数据的现象说明，对存储数据进行加密是必要的。存储行业已认识到了肩负的重大责任：确保存储数据的安全性再也不是别人的问题。不过，哪一种加密方式会更好呢？

过去几个月，企业对客户数据管理不善的报道不断见诸报端。一些企业丢失的备份磁带里面含有上百万客户的个人数据，这些公司在业界都声名显赫，其中包括美国银行(Bank of America)、花旗银行(Citibank)、Ameritrade Holding 公司、时代华纳公司(Time Warner)等。谁也不想看到发生这种事。

确保存储数据安全需要加密

位于美国华盛顿的波音员工信用合作社（Boeing Employees' Credit Union，BECU）的系统和管理安全员Daniel Chow说：“丢失备份磁带对企业会产生极为不利的影响。你最不想看到的就是自己的大名因泄露客户数据而上了头版头条。”为了尽量减少数据因磁带丢失而被泄露的可能性，BECU采用了Decru公司的加密技术。前不久，Decru刚被Network Appliance公司收购。

这种举动背后的原因很简单。经验表明，试图防止数据丢失的行动将以失败而告终。明智的策略就是确保数据经过加密，那样即使落入不法分子之手，也无法被读取。

那么应当在哪个层面进行加密呢？可以通过软件加密，在应用程序内部、数据库或者文件系统层面进行加密。但如果处理不当，基于软件的加密会给公司带来开销增大的压力。另一种办法是，你可以使用专用设备甚至硬盘，在数据写入磁盘过程中对数据进行加密。大多数商业用户似乎倾向于使用专用设备这种方法，因为不但方便，而且性能高。还有一个原因是，这种即插即用的方法可以满足法规遵从的要求。

企业战略集团的分析师Steve Duplessie说：“存储安全终于引起了大家的注意，但关注力度还不够大。隐私问题最终将会要求所有数据都要进行加密——这将给整个IT行业带来重大问题。”

在过去，存储领域和安全领域毫不相干。存储人员满足于让安全人员处理防火墙、入侵检测、病毒及其他外部威胁。不过人们很难对媒体报道视而不见。于是存储行业已认识到了要负的重大的共同责任：确保存储数据的安全性再也不是别人的问题。

迄今为止，这种认识已经体现在行业媒体和商业会议简报上，可是存储安全方面的预算并没有大幅增加。存储安全技术和应用软件的采用率仍然很低。企业战略集团估计，去年整个存储安全市场的规模达到5000万美元。不过预计今年会翻一番，在今后几年会大幅增长。尤其是，备份市场正在促使人们采用加密技术。

硬件加密被普遍采用

作为华盛顿州最大的信用合作社，波音员工信用合作社（BECU）每天晚上都要在位于Tukwila的总部以及位于Kent的呼叫中心备份数据。备份采用EMC公司的Legato Networker软件，把6TB数据从BECU的存储区域网（SAN）传送到惠普ESL9000磁带库——SAN主要包括惠普公司的硬件和博科通信系统公司的交换机。每天早上，这些磁带再由Iron Mountain公司送到异地——最近发生磁带丢失的一些事件牵涉到这家总部设在波士顿的第三方存储提供商。不过一些安全专家对于把磁带送到异地的这种方式深表忧虑。

W. Curtis Preston 是位于马萨诸塞州的一家存储咨询和服务公司——GlassHouse科技公司负责数据保护服务的副总裁。他说：“如果你用UPS的快递卡车运送备份磁带，那么不要再这样做了。如果你非得要把磁带送到异地不可，就要确保磁带已经加过密。”

BECU使用Decru的DataFort专用设备，在送到异地之前先对所有备份数据进行加密。Chow说：“你可不能盲目地信任第三方，因为你其实根本不知道人家会怎么处理你的磁带。所以，我们要把确保数据安全视为己任。”

BECU以单价2.5万美元的价格购买了六个专用设备。放在总部的两个SAN每个使用两个专用设备，以确保冗余性；位于Kent的呼叫中心使用一个，位于Spokane的灾难恢复站点使用剩下一个。还需要许可证－密钥管理服务器来为所有专用设备管理加密密钥。Chow说，他倾向于采用硬件加密，原因在于他想避免性能受到任何影响。他说：“我们使用专用设备后没有遇到任何开销。”

他还可以睡得更踏实些，因为这套系统在审查和测试期间运行顺畅。譬如说，有人拿到磁带后，试图从中抽取文件，结果得到的是一堆乱七八糟的东西。同样，IT人员向审查部门证明了迅速解密的能力，并成功地通过了数据恢复测试。

虽然大多数组织在加密时最先从备份数据入手，不过像佛罗里达州的Payformance公司却决定对各种数据都进行加密。Payformance的应用软件允许公司可在内部用打印机打印激光防伪支票、报表、票据及其他文档。金融服务和医疗保健客户非常关注机密的付款数据的安全性和隐私性。个人医疗信息必须严加保护。

Betancourt曾对微软Windows Server 2003内置的加密文件系统进行了测试，结果对基于软件的加密性能并不满意。他说，加密出现延迟，哪怕延迟不到一个小时，也意味着迫使客户等待。该公司最终决定采用NeoScale Systems公司的CryptoStor专用设备。使用故障替换模式的两个设备可以直接连入该公司的2TB SAN的结构里面——该SAN使用的是EMC CX500磁盘阵列、戴尔公司的磁带驱动器和McData公司的光纤交换机。公司在加入CryptoStor专用设备的前后对SAN进行了测试，结果发现性能并没有受到影响。所以，对各种数据进行加密似乎再简单不过了。

Payformance公司使用另一个CrytoStor设备用于磁带加密。赛门铁克公司的Veritas Backup Exec 10软件可以通过该专用设备把数据发送到戴尔PowerVault 132T磁带库上。这些磁带放到异地保存起来。那么，磁带备份架构为什么不用故障替换机制呢？原因是如果该专用设备失效，公司准备好了暂时停止磁带备份，进行修复。但SAN不一样，人们无法忍受SAN出现任何的停运时间。

加密软硬兼施

主要的存储加密厂商如Decru、NeoScale、Kasten Chase Applied Research和Vormetric都提供基于专用设备的产品。不过，Vormetric提供的工具却有别于其他产品，原因在于它既使用软件进行加密，又使用专用设备管理所需密钥。

计算机游戏中间件公司Havok在爱尔兰都柏林和美国旧金山的办事处都使用Vormetric公司的CoreGuard安全系统（CoreGuard Security System）。 Havok的IT主管Alistair Duff说：“轰动一时的《Half-Life 2》游戏被破解事件引起了我们的注意，因为这款游戏里面有我们编写的代码。”

Havok对所要保护的数据有所选择。它只保护游戏代码及放在几台服务器和桌面电脑上的其他重要数据。可以对静态数据和传输中数据进行加密。如果你在使用PC，倘若想访问某个文件，文件在网络上传输过程中进行解密，然后以明文格式出现在你的机器上，前提是你要有所需的授权级别。

可以通过应用程序、用户和主机限制访问。CoreGuard安全系统的软件装在每台受保护的机器上，而两个办事处都有一个专用设备。该系统还为Duff防御病毒带来的威胁提供了另一道保护机制。即使特洛伊木马进来，它也无法加以安装及运行，因为系统不允许它运行。

经济因素和法规要求左右加密的进程

经济因素恐怕是加密技术还没有真正流行起来的主要原因。由于数据保护装置的单价高达2万美元以上，或者每个软件加密许可证高达2000美元，成本不菲。但用户要想到另一个问题，需要多少费用才能弥补客户数据泄露所造成的破坏与影响呢？

波音员工信用合作社（BECU）的Chow说：“像Iron Mountain和美国银行这些公司因为最近的安全事件而名誉受损。所以，决定投资回报的因素很简单——企业的信誉值多少钱？”

尽管成本高昂，但采用加密技术可能很快就会成为不可避免的事情。美国加利福尼亚等州已经通过了相关法律：哪家公司不对数据进行加密，将面临沉重的处罚。其他州也在亦步亦趋；一项联邦法规也在探讨当中。虽然这些法律通常并不要求加密，但加利福尼亚的SB 1386却要求公司向媒体及可能受影响的所有客户披露安全事件——这对公司形象来说无异是一场灾难。

企业战略集团的Jon Oltsik说：“要是美国银行的磁带经过加密，它也许用不着披露失窃事件。现在是停止讨论安全、改而开始专门调拨预算去解决这个经营风险的时候了。” （CCW）