CN106549750A - 以计算机实施的方法与使用其的系统、及计算机程序产品 - Google Patents

以计算机实施的方法与使用其的系统、及计算机程序产品 Download PDF

Info

Publication number
CN106549750A
CN106549750A CN201610033406.9A CN201610033406A CN106549750A CN 106549750 A CN106549750 A CN 106549750A CN 201610033406 A CN201610033406 A CN 201610033406A CN 106549750 A CN106549750 A CN 106549750A
Authority
CN
China
Prior art keywords
key
self
encryption device
computer
management server
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201610033406.9A
Other languages
English (en)
Other versions
CN106549750B (zh
Inventor
陈连埙
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Quanta Computer Inc
Original Assignee
Quanta Computer Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Quanta Computer Inc filed Critical Quanta Computer Inc
Publication of CN106549750A publication Critical patent/CN106549750A/zh
Application granted granted Critical
Publication of CN106549750B publication Critical patent/CN106549750B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0825—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using asymmetric-key encryption or public key infrastructure [PKI], e.g. key signature or public key certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0827—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving distinctive intermediate devices or communication paths
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0822—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using key encryption key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/083—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving central third party, e.g. key distribution center [KDC] or trusted third party [TTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0866—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving user or device identifiers, e.g. serial number, physical or biometrical information, DNA, hand-signature or measurable physical characteristics
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage

Abstract

本发明披露了以计算机实施的方法与使用其的系统、及计算机程序产品。实施例是关于在计算系统内的数据安全。本发明公开了使用与金钥管理服务器通信的服务控制器来使能加密金钥的自动产生。藉由使能用于加密金钥产生的自动机制，本发明可实现对于大量的服务器的数据加密效率。

Description

以计算机实施的方法与使用其的系统、及计算机程序产品
技术领域
本发明有关于一种在计算系统中的数据安全。
背景技术
数据安全技术正随着互联网服务的日益普及而变得更加重要。当企业和个人依赖于远端数据存储来发展的同时，存在关于数据安全措施而日益增长的需求，以减少可能会对数据拥有者导致无法挽回的财务和个人损失的数据破坏或数据黑客。数据安全性措施的一个重要方面是数据加密技术。
具体来说，数据加密技术可包括数据加密和数据解密。数据加密可以使用加密金钥将明文(clear text)转换为密文(cipher text)，而数据解密可以把密文转换为明文。
基于硬件的数据加密技术，例如自我加密装置(self-encrypting drive，SED)，可于当数据写入到一储存介质时对数据加密，而当数据自该储存介质读出时对数据进行解密。举例来说，一个SED可以使用加密金钥来加密或解密的受保护数据。然而，虽着云端计算的日益普及，对于数据中心中的大量SED来说，管理大量的加密金钥仍是一个挑战。
发明内容
本发明技术的一方面公开一种使用与一金钥管理服务器通信的一服务控制器来使能加密金钥自动产生的技术。通过使能关于加密金钥产生的自动机制，本发明可实现对于大量的服务器的数据加密效率。
根据一些实施例，本发明提供一种计算机实施方法，包括以下步骤：于与一计算装置联系的一服务控制器，接收来自一自我加密装置控制器的一安全金钥的一查询，其中，查询包括一自我加密装置的一识别符；根据自我加密装置的识别符的至少一部份产生关于安全金钥的一金钥请求；将金钥请求传送至与服务控制器通信的一金钥管理服务器；反应于金钥请求的传送，接收来自金钥管理服务器的安全金钥；以及反应于安全较的接收，将安全金钥传送至自我加密装置控制器。此外，服务控制器可接收来自一服务器管理装置的金钥管理服务器的一网络地址。
根据一些实施例，服务控制器，例如基板管理控制器(baseboardmanagement controller，BMC)，可通过一网络(例如，区域网络(local areanetwork，LAN))以为了自动加密金钥的产生而与一金钥管理服务器通信。BMC是一个独立且内嵌的微控制器，在一些实施例中，其负责管理与监控主要中央处理单元以及在主机板上的周边装置。BMC可藉由智能平台管理接口(Intelligent Platform Management Interface，IPMI)信息来与其他内部计算单元通信。BMC可使用远程管理控制协议(Remote Management ControlProtocol，RMCP)来与外部计算装置通信。或者，BMC可使用于智能平台管理接口(IPMI)RMCP+并通过LAN来与外部装置通信。根据一些实施例，BMC可通过由BMC的一网络接口控制器所实施的一专用接口来将一金钥请求提供给金钥管理服务器。此外，其他服务控制器，例如机架管理控制器(rack management controller，RMC)，可为了自动加密金钥的产生而与一金钥管理服务器通信。
根据一些实施例，BMC可传送安全金钥(例如一认证金钥或数据加密金钥)致储存控制器，以解锁一锁定的自我加密装置或配置一解锁的自我加密装置。对于一锁定的自我加密装置而言，储存控制器可储存认证金钥的密码散列。密码散列可被一散列函数来建立，此散列函数可将任何长度的输入字串转换为固定长度散列值。在接收来自BMC的认证金钥之后，储存控制器可建立接收到的认证金钥的散列，且将其与金钥的已储存散列进行比较。假使此两金钥相符合，自我加密装置被解锁，且可可读取/写入，如同一未加密的硬盘。对于缴所的自我加密装置而言，储存控制器可以接收到的认证金钥来配置自我加密装置，使得自我加密装置可在下一次的关闭时锁定。当自我加密装置再次开启电源时，其将维持锁定，直到一正确的认证金钥被提供为止。
根据一些实施例，金钥管理服务器为一外部金钥服务器，其配置来产生安全金钥(例如一认证金钥或数据加密金钥)。举例来说，金钥管理服务器可被配置来储存一认证金钥、自一储存介质撷取一已储存的认证金钥、调整已储存的认证金钥的属性、以及重新建立一新的认证金钥。金钥服务器也可被配置来储存数据加密金钥、自一储存介质撷取一已储存的数据加密金钥、调整已储存的数据加密金钥的属性、以及重新建立一新的数据加密金钥。
尽管许多本文利用BMC做为参考来描述的许多是范例，但是应该理解的是，这些只是示例，并且本发明不限于这方面。相反，独立于主要中央处理单元的任何服务控制器可以被利用来与金钥管理服务器通信。
此外，尽管本说明书使用的金钥管理服务器作为如何自动产生加密金钥的示例方式，本发明的技术也适用于可处理金钥请求并提供对应的加密金钥的其它金钥产生装置或元件。
本说明书的附加特征和优点将被阐述在下面的说明中，且部分将从描述中是显而易见的，或者可以通过本文公开的原理的实践而获知。本发明的特征和优点，藉由所附申请专利范围中所指出的仪器与结合的手段来了解和获得。本说明书的这些和其他特征根据下面的描述和所附的权利要求而变为更加清楚，或可以通过本文所阐述的原理的实践来获知。
附图说明
图1A表示根据本发明一些实施例的整体系统，其包括一金钥管理服务器以及多个服务器。
图1B表示根据本发明一些实施例的自我加密装置的示意方块图。
图2表示根据本发明一些实施例的自动加密金钥产生系统的示意方块图。
图3表示根据本发明一些实施例，用于自动加密金钥产生系统的方法流程图。
图4表是根据本发明一些实施例的计算装置的计算平台。
附图标记说明
100～自动加密金钥产生系统；
102、104～服务器；
106～自我加密装置；
108～金钥管理服务器；
110～服务器管理装置；
112～主机适配器；
114～自我加密控制器；
116～储存介质；
200～自动加密金钥产生系统；
202～服务器；
204～BMC；
206～处理器；
208～BIOS；
210～自我加密控制器/储存控制器；
212～自我加密装置；
214～自我加密装置；
216～金钥管理服务器；
218～加密金钥；
220～金钥管理器；
222～服务器管理装置；
302…312～步骤；
400～计算平台；
402～BMC；
404～处理器；
406～输入装置；
408～储存控制器；
410～网络接口；
412～显示器；
414～自我加密储存装置；
416～系统存储器。
具体实施方式
为使本发明的上述目的、特征和优点能更明显易懂，下文特举一较佳实施例，并配合附图，作详细说明如下。
为了满足不断增长的数据安全需求，现代数据中心需要高效且可扩展的数据加密技术。当加密金钥储存在独立于中央处理器(CPU)的存储介质中，一个自我加密装置(self-encrypting drive，SED)提供了可靠的密码解决方案来保护使用者数据。
传统上，SED以两级的加密金钥或密码来保护：认证金钥可以在加密的计算设备的引导阶段来对SED解除锁定。一旦得到确认，认证金钥可以用来对称为数据加密金钥的次要金钥进行解密。数据加密金钥可以被用来在使用者数据被写入至SED以及由SED读出时，对使用者数据进行加密与解密加密。认证金钥，也被称为加密金钥，其通常由使用者来提供。认证金钥也可以由金钥管理服务器来提供。
举例来说，在一个SED服务器的启动阶段，使用者被要求通过专用使用者界面(user interface，UI)输入一认证金钥。或者，使用者可以配置一SED服务器以启动到一非SED操作系统，并请求来自金钥管理服务器的认证金钥。在接收到来自金钥管理服务器的认证金钥后，SED服务器可以解锁SED，从而允许数据被读取/写入到磁盘。
然而，这些现有技术的金钥产生方法是耗时且难以管理的。尤其是在后者的方法中，来自外部非SED磁盘机的启动会使SED磁盘机暴露在潜在数据泄露风险中。因此，这些现有技术方法不适合于大量的SED需要被自动管理的丛集计算环境中。
因此，有必要提供用于SED的自动金钥产生和管理协议，其同时可供数据安全与以及可扩展性的计算。
图1A表示根据本发明一些实施例的整体系统，其包括一金钥管理服务器以及多个服务器。应该理解的是，在图1A的拓扑仅为一示范例，且在图1A的网络中可包括任何数量的服务器、SED、以及网络元件。
自动加密金钥产生系统100可以包括由各种网络接口连接的大量服务器。例如，此系统可以包括其具有服务器102的第一机架以及具有服务器104的第二机架。根据一些实施例，服务器102包括一或多个自我加密装置(self-encrypting drive，SED)，例如，自我加密装置106或自我加密磁盘。另外，服务器102可以包括网络接口控制器(未表示出)，以用于网络连接。就本说明书的目的，服务器102可以是任何计算装置，其可计算和处理任何形式的数据。举例来说，服务器102可以是个人计算机、网络存储装置、网络计算装置。服务器102还可以包括，例如，各种输入/输出设备(例如显示器)、一或多个存储设备(例如独立磁盘备援阵列(redundant array ofindependent disk，RAID)、以及一个或多个网络接口控制器(network interfacecontroller，NIC)。服务器102可通过有线网络连接(例如以太网络)或无线网络连接(例如区域网络(local area network，LAN)或广域网络)来与金密钥管理服务器108通信。
服务器102和104可以承载不同的客户端应用程序，例如电子邮件或网络应用程序。服务器102和104可通过建立在机架架构内的交换结构层来传输数据。这种大量的数据，如果不加以保护，则可由未经授权且对数据拥有者造成大量损失的人员所破坏或窃取。
管理者或使用者可以配置金钥管理服务器108以自动分配一个安全金钥(例如，一个认证金钥或数据加密金钥)至自我加密装置106。为了本说明书的目的，金钥管理服务器108可以是任何计算装置或系统，其可自动产生、储存、且提供一或多个安全金钥给SED。
举例来说，管理者可以使用服务器管理装置110来提供与金钥管理服务器108相关联的IP地址给位于服务器102内的服务控制器(未表示出)。为了本说明书的目的，服务器管理装置110可以是被系统管理者所使用的任何适合的计算装置，其通过有线或无线网络来管理服务器。例如，服务器管理装置110可以是个人计算机、平板计算机、或基于网络的系统。服务器管理装置110可以将与金钥管理服务器108相关联的IP地址储存在一储存介质中。
根据服务器102的每一启动程序，服务控制器可根据此IP地址来发送金钥请求到金钥管理服务器108。此金钥请求可包括用于需要被解锁的请求自我加密装置(例如，自我加密装置106)的唯一识别符。例如，在接收到金钥请求之后，金钥管理服务器108可根据此唯一识别符来自动产生用于自我加密装置106的认证金钥，并将认证金钥传送到服务控制器。服务控制器可因此发送认证金钥至自我加密装置106以将其解锁。根据一些实施例，一个与自我加密装置106通信的一自我加密控制器(未显示出)可以接收此认证金钥，并判断其是否与自我加密装置106的一预配置密码相符。此外，金钥管理服务器108可根据此唯一服务器以自动产生一个数据加密金钥给自我加密装置106，并发送此数据加密金钥给服务控制器。
此外，如果自我加密装置106还没有以一认证金钥来被预配置，其将保持解锁如同一正常装置般运作。在这种情况下，在接收来自服务控制器的认证密钥之后，自我加密装置106可以认证金钥来自我配置，以使其可为了下一重新启动而被锁定。
根据一些实施例，在接收到金钥请求之后，金钥管理服务器108可以根据唯一识别符来自动产生用于自我加密装置106的一个数据加密金钥，且发送认证金钥到服务控制器。服务控制器可以因此将数据加密金钥传送到一个自我加密装置106以进行数据加密。根据一些实施例，与自我加密装置106通信的一个自我加密控制器(未显示出)可以接收数据加密金钥，并确判断其是否与自我加密装置106的预配置数据加密金钥相符合。
图1B表示根据本发明一些实施例的自我加密装置的示意方块图。自我加密装置106可以包括，但不限于，主机适配器112(Host adaptor)、自我加密控制器114、以及储存介质116。主机适配器112可以提供的主机接口，例如串行序列先进技术附件(Serial ATA Express，SATA)、序列式SCSI(SAS)、，SAS或快速周边组件互连(Peripheral Component InterconnectExpress，PCIe)。自我加密控制器114可以是任何类型的嵌入式处理器，以执行本所所公开的自我加密功能。储存介质116可以储存程序指令或数据一段时间的任何储存介质。例如，储存介质116可以是快闪磁盘机、固态磁盘(solid-state drive，SSD)、硬盘驱动(hard-disk drive，HDD)、或者前述的组合。
如图1A所述，自我加密控制器114可以接收来自服务控制器的主要金钥，如认证金钥，以解锁对于储存介质116的数据读取/写入功能。根据一些实施例，自我加密控制器114可以以与自我加密装置106相关的一以储存密码来验证接收到的认证金钥。根据一些实施例，自我加密控制器114可以创建接收到的认证密钥的散列，并将其与金钥或密码的存储散列进行比较。如果验证金钥被验证成功，自我加密装置106则可被解锁，并继续类似于一般硬盘的数据读取/写入功能。
举例来说，在自我加密装置106的数据写入路径中，自我加密控制器114可接收来自一主机接口(可以主机适配器112来实施)的明文(clear text)数据。当数据写入至储存介质116时，自我加密控制器可使用称为数据加密金钥的次要金钥来将明文加密为密文(cipher text)。相反地，再一数据读取路径上，自我加密控制器116可使用相同的数据加密来对密文进行解密，并产生明文数据。
根据一些实施例，数据加密金钥例如可由自我加密装置106所产生，且储存在本地装置中，数据加密金钥的加密格式可储存在自我加密装置106中，其可使用主要金钥或认证金钥来破解。此外，抹除数据加密金钥可使得所有加密的数据为不可读取的，因此提供了加密数据的一完全且不可逆的删除。
根据一些实施例，数据加密金钥可例如由金钥管理服务器108所产生，且与自我加密装置106联系的基板管理控制器(baseboard managementcontroller，BMC)(未显示)所接收。
图2表示根据本发明一些实施例的自动加密金钥产生系统的示意方块图。自动加密金钥产生系统200例如可包括服务器管理装置222、服务器202、以及金钥管理服务器216。服务器202可通过有线连接(例如乙太网络)或无线连接(例如区域网络(local area network，LAN)或广域网络)来与金钥管理服务器216以及服务器管理装置222通信。
如图2所示，服务器202可包括多个自我加密装置，例如，自我加密装置212与214、基板管理控制器(BMC)204、处理器206(例如，中央处理单元)、基本输出入操作系统208(basic input/output operation system)、以及可配置来管理自我加密装置212或214的至少一储存控制器210。
自我加密装置212可以是具有自我加密控制器的硬盘或储存介质，其可加密与解密使用者数据。每一自我加密装置可与一个唯一识别符相关联，例如全域唯一识别符(globally unique identifier，GUID)或通用唯一识别符(universally unique identifier，UUID)。一GUID可具有一128位的数值，且显示为具有连字符分隔群组的十六进制数位，例如3AEC1226-BA34-4069-CD45-12007C340981。一UUID可具有一128位的数值，且可以相似于GUID的格式来显示。此外，自我加密装置212可被划分为多个逻辑单元，每一逻辑单元被分配到一个唯一逻辑单元编号(logic unitnumber，LUN)。根据一些实施例，自我加密装置212的一被选择的逻辑单元可被加密，且剩余的逻辑单元可维持在非加密状态。
处理器206可以是一中央处理单元(central processing unit，CPU)，其配置来执行BIOS 208以及特定功能的各种程序指令。举例来说，处理器206可在服务器202的初始程序(例如启动程序)期间执行BIOS 208。BIOS 208可以是配置来初始且识别服务器202的各种元件的任何的程序指令或固件，服务器202的各种元件包括键盘、显示器、数据储存、以及其他输入或输出装置。BIOS 208可储存一BIOS存储器(未显示)，且在启动程序期间被处理器206来存取。
在启动程序期间，假使自我加密装置212以一认证金钥来锁定，BIOS208可识别一远小于实际自我加密装置(例如，自我加密装置212)的影子硬盘(shadow disk)。此影子硬盘可请求输入来对实际自我加密装置进行解锁的一认证金钥。此认证金钥也可使用来对一数据加密金钥进行解密。假使系统提供正确的认证金钥，处理器206可第二次执行BIOS 208以自实际自我加密装置(例如，自我加密装置212)启动，且自我加密装置212可像一正常硬盘一般来被存取。
BMC 204是一个独立且内嵌的微控制器，在一些实施例中，其负责管理与监控主要中央处理单元(例如，处理器206)以及在主机板上的周边装置(例如，开关、计算节点、以及储存节点)。根据一些实施例，BMC 204可通过以一相关网络接口控制器(未显示)来实施的专用网络接口(例如，LAN)，与服务器管理装置222通信。BMC 204也可通过专用LAN来与金钥管理服务器216通信。BMC 204可藉由使用被称为智能平台管理总线/桥接器(Intelligent Platform Management Bus/Bridge，IPMB)的一系统总线以通过智能平台管理接口(Intelligent Platform Management Interface，IPMI)信息来与处理器206或自我加密控制器210通信。随着内部集成电路(inter-integrated circuit，I2C)的加强实作，IPMB系以信息导向的硬件层级基本接口规格。由于其为受信任的内部通信，因此为免认证。根据一些实施例，BMC 204可执行一金钥管理程序(未显示)，以请求、接收、以及传送认证金钥给自我加密装置212与214。此外，应注意到独立于主要中央处理单元的其他类型服务控制器，例如机架管理控制器，可被使用来执行此处所述的功能。
根据一些实施例，服务器管理装置222可通过LAN将金钥管理服务器216的IP地址提供给BMC 204。举例来说，服务器管理者可通过服务器管理装置222的一使用者接口来发布一指令，以传送金钥管理服务器216的IP地址传送至BMC 204。BMC 204可根据此IP地址对金钥管理服务器216请求一认证金钥。
在服务器202的初始程序期间，BMC 204可接收来自于储存控制器210对于一认证金钥的查询(query)。举例来说，此查询可包括与自我加密装置212相关联的唯一识别符。唯一识别符的一个例子可包括全局唯一识别符(globally unique identifier，GUID)或通用唯一识别符(universally uniqueidentifier，UUID)。例如，自我加密装置212的一GUID可以是1ACD1226-BA34-4069-CD45-12007C340981。此外，自我加密装置212的逻辑单元编号(LUN)可与此询问相关联，以识别储存介质的一逻辑单元编号。
在接收到用于认证金钥的询问之后，BMC 204可根据自我加密装置212的唯一识别符以及金钥管理服务器216的IP地址来产生一金钥请求。举例来说，金钥请求的格式可符合金钥管理互通协议(Key ManagementInteroperability Protocol，KMIP)。KMIP是一种通信协议，其可使用金钥管理服务器来定义关于密码金钥管理的信息格式。此外，在本发明的一些实施例中，可使用其他适合的通信协议，例如可延伸标示语言金钥管理规格(XMLKey Management Specification，XKMS)。例如，金钥请求可包括请求标头、金钥请求的指令区段、以及与自我加密装置212相关联的唯一识别符。BMC204可通过金钥管理服务器216的IP地址来将金钥请求传送至金钥管理服务器216。此外，BMC 204可使用远程管理控制协议(Remote ManagementControl Protocol，RMCP)或用于智能平台管理接口(IPMI)的RMCP+，通过LAN来与金钥管理服务器216通信。再者，BMC 204可产生一状态信号，其描述金钥产生或检索程序的状态。举例来说，BMC 204可产生一第一状态信号，其指示出储存控制器210的金钥产生/检索程序的初始状态。根据一些实施例，BMC 204可产生一第一状态信息，且反应来自于服务控制器的第一状态请求而将其传送至储存控制器210。
金钥管理服务器216可以是一外部金钥服务器，其配置例如使用金钥管理器220来产生与管理加密金钥218。金钥管理服务器216也可配置来将加密金钥218储存在一储存介质，例如硬盘。加密金钥218可包括认证金钥以及数据加密金钥。根据一些实施例，金钥管理服务器216可接收来自BMC204的金钥请求。金钥管理服务器216可执行的其他功能包括例如有：自一储存介质撷取一已储存的认证金钥、调整已储存的认证金钥的属性、以及重新建立一新的认证金钥。
反应于接收此金钥请求，金钥管理服务器216识别在此金钥请求的唯一识别符，且判断对于自我加密装置212之一认证金钥先前是否已被建立并储存。假使对于自我加密装置212之认证金钥先前已被建立并储存，金钥管理器220可在一金钥回应中撷取此对应的加密金钥并将其传送至BMC 204。此金钥回应的格式可符合KMIP。举例来说，此金钥回应可包括一回应标头、一金钥值(例如，一256位的加密金钥)、以及与自我加密装置212相关联的唯一识别符。另一方面，假使先前没有认证金钥被建立，金钥管理服务器216可根据唯一识别符来建立一认证金钥，且将其储存在一储存介质。
根据一些实施例，BMC 204可发布一金钥产生指令给金钥管理服务器216。在建立认证金钥之后，金钥管理服务器216可随着本文所述的一金钥回应来响应BMC 204。此外，BMC 204可产生一第二状态信息给储存控制器210，其指示出金钥产生/检索程序正在进行。根据一些实施例，BMC 204可产生一第二状态信息，且反应于来自服务控制器一第二状态请求而将第二状态信息传送至储存控制器210。
在接收到来自金钥管理服务器216的认证金钥后，BMC 204可将认证金钥传送至储存控制器210，以解锁一锁定的自我加密装置212或是配置解锁的自我加密装置212，如下文所述。此外，BMC 204可产生一第三状态信息至储存控制器210，其指示出金钥就绪。根据一些实施例，BMC 204可产生一第三状态信息，且反应于来自服务控制器一第三状态请求而将第三状态信息传送至储存控制器210。
当自我加密装置212被一认证金钥锁定时，储存控制器210可储存认证金钥的密码散列(cryptographic hash)。在初始程序期间，于接收到来自BMC204的认证金钥之后，储存控制器210可建立接收到的认证金钥的散列，且将其与储存的金钥散列进行比较。假使此两金钥或密码相符合，自我加密装置212被解锁，且可读取/写入，如同一未加密的硬盘。此外，相符合的认证金钥也可对数据加密金钥进行解密，如说明书中先前所述，数据加密金钥可使用来对使用者数据进行加密与解密。
当自我加密装置212为解锁状态时，储存控制器210可以接收到的认证金钥来配置自我加密装置212。在下一次的电源关闭时，自我加密装置212可以此认证金钥来自我锁定。当自我加密装置212再次开启电源时，其将维持锁定，直到一正确的认证金钥被提供为止。
图3表示根据本发明一些实施例，用于自动加密金钥产生系统的方法流程图。应可理解，除非另有说明，在各种实施例的范围之内，可具有以相似或替代的顺序，或并列执行的额外的、较少的、或替代的步骤。
在步骤302中，一服务器管理者可藉由一金钥管理服务器的一网络地址来配置一服务控制器。举例来说，参阅图2，服务器管理者可使用服务器管理装置222来通过LAN提供金钥管理服务器216的IP地址给BMC 204。BMC 204可执行一金钥管理程序(未显示)，以请求、接收、并传送关于自我加密装置212与214的认证金钥。
在步骤304中，服务控制器可接收来自一储存控制器关于安全金钥的查询。一安全金钥可以是一认证金钥。举例来说，在服务器202的初始程序期间，BMC 204可接收来自储存控制器210的关于一认证金钥的查询。此查询例如可包括与自我加密装置212相关联的一唯一识别符。唯一识别符的一例子可包括全域唯一识别符(GUID)或通用唯一识别符(UUID)。
在步骤306，服务控制器可根据自我加密装置的识别符的至少一部份来产生关于安全金钥的一金钥请求。举例来说，BMC 204可根据自我加密装置212的唯一识别符以及金钥管理服务器216的IP地址来产生一金钥请求。此金钥请求的格式可符合KMIP。金钥请求可包括请求标头、金钥请求的指令区段、以及与自我加密装置212相关联的唯一识别符。
在步骤308，服务控制器可传送金钥请求至与服务控制器通信的一金钥管理服务器。举例来说，BMC 204可使用金钥管理服务器216的IP位置来将金钥请求传送至金钥管理服务器216。BMC 204可使用远程管理控制协议(RMCP)或用于智能平台管理接口(IPMI)的RMCP+，通过LAN来与金钥管理服务器216通信。
再次参阅图2，金钥管理服务器216可以是一外部金钥服务器，其配置来藉由使用金钥管理器220以管理认证金钥218。金钥管理服务器216也可配置来将认证金钥218储存至一储存介质，例如一硬盘。金钥管理服务器216可执行的其他功能包括例如有：自一储存介质撷取一已储存的认证金钥、调整已储存的认证金钥的属性、以及重新建立一新的认证金钥。
反应于接收此金钥请求，金钥管理服务器216可识别在此金钥请求的唯一识别符，且判断一对于自我加密装置212之认证金钥是否先前已被建立并储存。假使对于自我加密装置212之认证金钥先前已被建立并储存，金钥管理器220可在一金钥回应中撷取对应的加密金钥并将其传送至BMC 204。此金钥回应的格式可符合KMIP。举例来说，此金钥回应可包括一回应标头、一金钥值(例如，一256位的加密金钥)、以及与自我加密装置212相关联的唯一识别符。另一方面，假使先前没有认证金钥被建立，金钥管理服务器216可根据唯一识别符来建立一认证金钥，且将其储存在一储存介质。根据一些实施例，BMC 204可将一金钥产生指令发布至金钥管理服务器216。在建立认证金钥后，金钥管理服务器216可随着本文所述的一金钥回应来响应BMC 204。
在步骤310中，服务控制器可接收来自金钥管理服务器的安全金钥。举例来说，BMC 204可使用远程管理控制协议(RMCP)或用于智能平台管理接口(IPMI)的RMCP+，来接收来自金钥管理服务器216的金钥回应。
在步骤312，服务控制器可将安全金钥传送至自我加密装置。举例来说，BMC 204可将认证金钥传送至储存控制器210，以解锁一锁定的自我加密装置212或是配置解锁的自我加密装置212。此外，认证金钥可用来对与自我加密装置212相关联的数据加密金钥进行解密。
当自我加密装置212被一认证金钥锁定时，储存控制器210可储存认证金钥的密码散列。在接收到来自BMC 204的认证金钥之后，储存控制器210可建立接收到认证金钥的散列，且将其与储存的金钥散列进行比较。假使此两金钥或密码相符合，自我加密装置被解锁，且可读取/写入，如同一未加密的硬盘。此外，相符合的认证金钥也可对数据加密金钥进行解密，如说明书中先前所述，数据加密金钥可使用来对使用者数据进行加密与解密。
当自我加密装置212为解锁状态时，储存控制器210可使用接收到的认证金钥来配置自我加密装置212，使得自我加密装置212可在下一次的关闭时自我锁定。当自我加密装置212再次开启电源时，其将维持锁定，直到一正确的认证金钥被提供为止。
图4表示根据本发明一些实施例的系统架构400，以实施图1-3的系统与程序。计算平台400包括总线，其内部连接子系统与装置，例如BMC 402、处理器404、系统存储器416、输入装置406、储存控制器408、网络接口410、显示器412、以及自我加密储存装置414。处理器404可以一或多个中央处理单元(CPU)例如由Corporation制造的中央处理单元-或者一或多个虚拟处理器-以及CPU与虚拟处理器的任何结合来实施。计算平台40通过输入装置406以及显示器412来交换表示输入与输出的数据，例如包括但不限于键盘、滑鼠、音讯输入(例如，语音转文字装置)、使用者接口、显示器、监控器、触控感测显示器、LCD或LED显示器、以及其他输入/输出相关装置。
根据一些实施例，计算架构400由处理器执行特定操作，其执行储存在系统存储器416的一或多个指令的一或多个序列。计算平台400可以在客户机-服务器配置或点对点配置中的一服务器装置或一客户装置来实施、或者由任何移动计算装置来实施，包括智能型手机等等。这样的指令或数据可由另一计算机可读介质(例如，储存装置)来被读入至系统存储器416。在一些实施例中，硬布线(hard-wired)电路可使用来代替或者与软件指令结合。指令可以被嵌入在软件或固件。术语“计算机可读介质”指的是参与提供指令给处理器404用于执行的任何有形的介质。这种介质可以采取许多形式，包括但不限于，非易失性介质以及易失性介质。非易失性介质例如包括，光碟或磁盘。易失性介质包括动态存储器，例如系统存储器416。
计算机可读介质的常见形式包括，例如：软碟(floppy disk)、软性硬盘(flexible disk)、硬盘、磁盘、任何其它磁性介质、CD-ROM、任何其它光学介质、打孔卡片(punch card)、纸带、任何其他具有孔洞型样的物理介质、RAM、PROM、EPROM、FLASH-EPROM、，任何其他储存晶片或匣、或一计算机可读取的任何其他介质。指令还可以藉由使用传输介质来被传送或接收。术语“传送介质”可以包括能储存、编码、运载指令以由机器执行的任何有形的或无形的介质，并且包括数位或类比通信信号或其它无形介质，以促进这种指令的通信。传送介质包括同轴电缆、铜线、和光纤，包括包含用于传送一计算机数据信号的总线418的导线。
在所示的实施例中，系统存储器416可以包括各种软件程序，包含可执行指令，以实现本文所述的功能。在所出的实施例中，系统存储器416包括一个日志管理器、一日志缓冲器、或一日志储存库，每一者都可以被配置来提供本文所述的一个或多个功能。
本发明虽以较佳实施例公开如上，然其并非用以限定本发明的范围，任何本领域普通技术人员，在不脱离本发明的精神和范围内，可做若干的更改与修饰，因此本发明的保护范围是以权利要求为准。

Claims (10)

1.一种以计算机实施的方法，包括：
于与一计算装置联系的一服务控制器，接收来自一自我加密装置控制器的一安全金钥的一查询，其中，该查询包括一自我加密装置的一识别符；
根据该自我加密装置的该识别符的至少一部份产生关于该安全金钥的一金钥请求；
将该金钥请求传送至与该服务控制器通信的一金钥管理服务器；
反应于该金钥请求的传送，接收来自该金钥管理服务器的该安全金钥；以及
反应于该安全金钥的接收，将该安全金钥传送至该自我加密装置控制器。
2.如权利要求1所述的以计算机实施的方法，还包括：
于与该计算装置联系的该服务控制器，接收与该金钥管理服务器相关联的一网络地址。
3.如权利要求1所述的以计算机实施的方法，其中，该自我加密装置控制器配置使用该安全金钥对该自我加密装置进行解锁。
4.如权利要求1所述的以计算机实施的方法，其中，该自我加密装置控制器被配置以配置该自我加密装置，以与该安全金钥相关联。
5.如权利要求1所述的以计算机实施的方法，其中，该自我加密装置控制器被配置以建立该安全金钥的一散列，且将该安全金钥的该散列与一预配置安全金钥的一已储存散列进行比较。
6.如权利要求1所述的以计算机实施的方法，其中，该服务控制器为一基板管理控制器。
7.如权利要求1所述的以计算机实施的方法，其中，该安全金钥配置以执行以下至少一者：对该自我加密装置进行解锁、对储存在自我加密装置的一数据加密金钥进行解密。
8.如权利要求1所述的以计算机实施的方法，其中，该安全金钥为一数据认证金钥。
9.一种系统，包括：
一处理器；以及
一存储器，包括多个指令，当该等指令由该系统执行时，导致该系统执行以下操作：
于与一计算装置联系的一服务控制器，接收来自一自
我加密装置控制器的一安全金钥的一查询，其中，该查询包括一自我加密装置的一识别符；
根据该自我加密装置的该识别符的至少一部份产生关于该安全金钥的一金钥请求；
将该金钥请求传送至与该服务控制器通信的一金钥管理服务器；
反应于该金钥请求的传送，接收来自该金钥管理服务器的该安全金钥；以及
反应于该安全金钥的接收，将该安全金钥传送至该自我加密装置控制器。
10.一种计算机程序产品，储存在一非易失性计算机可读储存介质，该计算机程序包括：
一第一程序代码，用以于与一计算装置联系的一服务控制器接收来自一自我加密装置控制器的一安全金钥的一查询，其中，该查询包括一自我加密装置的一识别符；
一第二程序代码，用以根据该自我加密装置的该识别符的至少一部份产生关于该安全金钥的一金钥请求；
一第三程序代码，用以将该金钥请求传送至与该服务控制器通信的一金钥管理服务器；
一第四程序代码，用以反应于该金钥请求的传送来接收来自该金钥管理服务器的该安全金钥；以及
一第五程序代码，用以反应于该安全较的接收来将该安全金钥传送至该自我加密装置控制器。
CN201610033406.9A 2015-09-22 2016-01-19 以计算机实施的方法与使用其的系统、及计算机程序产品 Active CN106549750B (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US14/861,595 2015-09-22
US14/861,595 US10069625B2 (en) 2015-09-22 2015-09-22 System and method for automatic key generation for self-encrypting drives

Publications (2)

Publication Number Publication Date
CN106549750A true CN106549750A (zh) 2017-03-29
CN106549750B CN106549750B (zh) 2019-08-30

Family

ID=58283300

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201610033406.9A Active CN106549750B (zh) 2015-09-22 2016-01-19 以计算机实施的方法与使用其的系统、及计算机程序产品

Country Status (3)

Country Link
US (1) US10069625B2 (zh)
CN (1) CN106549750B (zh)
TW (1) TWI581125B (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112600670A (zh) * 2020-12-25 2021-04-02 深圳深度探测科技有限公司 一种针对大量分散的安全机架的集中管理系统及管理方法

Families Citing this family (24)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10382201B1 (en) * 2015-09-22 2019-08-13 Seagate Technology Llc Removable circuit for unlocking self-encrypting data storage devices
TW201715431A (zh) * 2015-10-29 2017-05-01 宇瞻科技股份有限公司 具網路認證功能之硬碟管理系統及其方法
US10089028B2 (en) * 2016-05-27 2018-10-02 Dell Products L.P. Remote secure drive discovery and access
US20180183581A1 (en) * 2016-12-28 2018-06-28 Intel Corporation Arrangements for datalink security
US10460110B1 (en) 2017-02-17 2019-10-29 Seagate Technology Llc Systems and methods for unlocking self-encrypting data storage devices
US10678953B1 (en) 2017-04-26 2020-06-09 Seagate Technology Llc Self-contained key management device
TWI644229B (zh) 2017-05-04 2018-12-11 慧榮科技股份有限公司 採加密技術之數據中心與數據中心操作方法
WO2019010421A1 (en) * 2017-07-07 2019-01-10 Ligatti Jay SYSTEMS AND METHODS FOR GENERATING SYMMETRIC CRYPTOGRAPHIC KEYS
US11120151B1 (en) 2017-08-02 2021-09-14 Seagate Technology Llc Systems and methods for unlocking self-encrypting data storage devices
US10855451B1 (en) * 2017-08-02 2020-12-01 Seagate Technology Llc Removable circuit for unlocking self-encrypting data storage devices
US10398046B2 (en) * 2018-01-30 2019-08-27 Quanta Computer Inc. Server rack with damping post
US10678708B2 (en) * 2018-02-07 2020-06-09 Seagate Technology Llc Encrypted raid drive management
JP2020030527A (ja) * 2018-08-21 2020-02-27 キオクシア株式会社 記憶装置及びプログラム
IT201800010856A1 (it) * 2018-12-06 2020-06-06 Mbda italia spa Metodo e sistema informatico per la gestione da remoto di Self-Encrypting Disks (SEDs) tramite topologia client/server
US11368299B2 (en) * 2018-12-10 2022-06-21 Marvell Asia Pte, Ltd. Self-encryption drive (SED)
US11429541B2 (en) * 2019-01-07 2022-08-30 Dell Products L.P. Unlocking of computer storage devices
US11650938B2 (en) * 2019-01-25 2023-05-16 Dell Products L.P. Device-capability-based locking key management system
US11227058B2 (en) * 2019-07-30 2022-01-18 EMC IP Holding Company, LLC System and method for shredding a forum of secrets
US11809611B2 (en) * 2020-02-24 2023-11-07 Microsoft Technology Licensing, Llc Protecting device detachment with bus encryption
JP2022048601A (ja) * 2020-09-15 2022-03-28 キオクシア株式会社 ストレージ装置及び鍵配送方法
US11392325B2 (en) 2020-09-28 2022-07-19 Quanta Computer Inc. Method and system for parallel flash memory programming
US20230100958A1 (en) * 2021-09-28 2023-03-30 Dell Products L.P. System and method of configuring a non-volatile storage device
US11954239B2 (en) * 2021-12-27 2024-04-09 Dell Products L.P. Data storage system using selective encryption and port identification in communications with drive subsystem
US11895227B1 (en) * 2023-05-23 2024-02-06 Cloudflare, Inc. Distributed key management system with a key lookup service

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20100031045A1 (en) * 2008-07-30 2010-02-04 Lakshmi Narasimham Gade Methods and system and computer medium for loading a set of keys
CN102222049A (zh) * 2010-04-14 2011-10-19 微软公司 自加密存储设备的可扩展管理
CN103713854A (zh) * 2012-10-08 2014-04-09 国际商业机器公司 实现自加密驱动的动态绑定
CN104252426A (zh) * 2013-06-28 2014-12-31 国际商业机器公司 利用自加密驱动器加密盘驱动器上的数据的方法和系统
CN104424016A (zh) * 2013-08-28 2015-03-18 Lsi公司 用于自加密驱动器的虚拟带集中

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8938626B2 (en) 2012-07-17 2015-01-20 Dell Products, L.P. Single command functionality for providing data security and preventing data access within a decommissioned information handling system
US9235710B2 (en) * 2013-05-23 2016-01-12 Cisco Technology, Inc. Out of band management of basic input/output system secure boot variables
JP2015065495A (ja) 2013-09-24 2015-04-09 ルネサスエレクトロニクス株式会社 暗号鍵供給方法、半導体集積回路および暗号鍵管理装置

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20100031045A1 (en) * 2008-07-30 2010-02-04 Lakshmi Narasimham Gade Methods and system and computer medium for loading a set of keys
CN102222049A (zh) * 2010-04-14 2011-10-19 微软公司 自加密存储设备的可扩展管理
CN103713854A (zh) * 2012-10-08 2014-04-09 国际商业机器公司 实现自加密驱动的动态绑定
CN104252426A (zh) * 2013-06-28 2014-12-31 国际商业机器公司 利用自加密驱动器加密盘驱动器上的数据的方法和系统
CN104424016A (zh) * 2013-08-28 2015-03-18 Lsi公司 用于自加密驱动器的虚拟带集中

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112600670A (zh) * 2020-12-25 2021-04-02 深圳深度探测科技有限公司 一种针对大量分散的安全机架的集中管理系统及管理方法

Also Published As

Publication number Publication date
TW201712588A (zh) 2017-04-01
US10069625B2 (en) 2018-09-04
CN106549750B (zh) 2019-08-30
US20170085374A1 (en) 2017-03-23
TWI581125B (zh) 2017-05-01

Similar Documents

Publication Publication Date Title
CN106549750A (zh) 以计算机实施的方法与使用其的系统、及计算机程序产品
US9998464B2 (en) Storage device security system
US8170213B1 (en) Methodology for coordinating centralized key management and encryption keys cached through proxied elements
US20090046858A1 (en) System and Method of Data Encryption and Data Access of a Set of Storage Devices via a Hardware Key
TWI630503B (zh) 遠端監視系統及遠端監視裝置
US10169602B2 (en) Method for local key management setup and recovery
US10015015B1 (en) Method and apparatus for verifying system log integrity
EP1953669A2 (en) System and method of storage device data encryption and data access via a hardware key
TWI620093B (zh) 用於保全電腦大容量儲存資料的方法和裝置
CN106462718A (zh) 存储设备的快速数据保护
US20190266334A1 (en) System and Method for User Managed Encryption Recovery Using Blockchain for Data at Rest
CN106575342A (zh) 包括关系数据库的内核程序、以及用于执行所述程序的方法和装置
US11120151B1 (en) Systems and methods for unlocking self-encrypting data storage devices
CN107528829B (zh) Bmc芯片、服务器端及其远程监控管理方法
EP1953668A2 (en) System and method of data encryption and data access of a set of storage devices via a hardware key
US10678953B1 (en) Self-contained key management device
US11368291B2 (en) Mutually authenticated adaptive management interfaces for interaction with sensitive infrastructure
CN101841412A (zh) 一种存储域网络环境加密方法及装置
US10382201B1 (en) Removable circuit for unlocking self-encrypting data storage devices
TWI779711B (zh) 分散式安全通信系統、資訊處置系統及用於提供分散式安全通信之方法
US11416615B2 (en) Configuring trusted remote management communications using UEFI
TWI789291B (zh) 用於認證在儲存裝置和主機裝置之間的資料傳輸之模組和方法
WO2023277969A1 (en) Passcode authentication based data storage device
TW202217619A (zh) 分散式密鑰管理系統
JP6588863B2 (ja) 鍵管理システム、サーバ、及び鍵管理方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant