WO2014059860A1 - 一种提高云计算数据安全的方法及系统 - Google Patents

一种提高云计算数据安全的方法及系统 Download PDF

Info

Publication number
WO2014059860A1
WO2014059860A1 PCT/CN2013/084135 CN2013084135W WO2014059860A1 WO 2014059860 A1 WO2014059860 A1 WO 2014059860A1 CN 2013084135 W CN2013084135 W CN 2013084135W WO 2014059860 A1 WO2014059860 A1 WO 2014059860A1
Authority
WO
WIPO (PCT)
Prior art keywords
lba address
virtual
address space
cloud computing
actual
Prior art date
Application number
PCT/CN2013/084135
Other languages
English (en)
French (fr)
Inventor
赵乃岩
Original Assignee
北京卓微天成科技咨询有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 北京卓微天成科技咨询有限公司 filed Critical 北京卓微天成科技咨询有限公司
Priority to US14/129,980 priority Critical patent/US20140223576A1/en
Publication of WO2014059860A1 publication Critical patent/WO2014059860A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network

Definitions

  • the present invention relates to the field of data security technologies, and in particular, to a method and system for improving cloud computing data security. Background technique
  • cloud computing By transforming IT (Information Technology) resources into services (IT as a Service), cloud computing delivers to end-users in a pay-as-you-go business model, which greatly reduces user IT usage costs and accelerates IT resource delivery cycles. , improve operational efficiency.
  • Cloud computing promotes the concentration and sharing of IT resources. According to its deployment and service categories, cloud computing can be divided into private cloud computing, public cloud computing and hybrid cloud computing. Due to the different types of IT services provided, cloud computing The following modes are embodied: Infrastructure as a Service (IaaS), Platform as a Service (PaaS), Software as a Service (SaaS), Storage as a Service (cloud storage, Storage as a Service) and so on.
  • IaaS Infrastructure as a Service
  • PaaS Platform as a Service
  • SaaS Software as a Service
  • Storage as a Service cloud storage, Storage as a Service
  • cloud computing Although the user's IT cost can be reduced, it also makes the data security risk more concentrated in the cloud computing data center, which is reflected in the following aspects: 1) Data isolation and security issues in multi-tenant mode Public cloud computing data center, in multi-tenant mode, multiple tenants, especially the data of tenants who compete with each other, will cause certain security risks. Private cloud computing data centers also need to be used for various functional departments. The data between the two provides effective data isolation; 2) The hacker's illegal intrusion will lead to the leakage of important data; 3) The cloud computing data center administrator, especially the super administrator's human error or occupational compliance problem may lead to the leakage of user data, etc. Wait.
  • cloud computing data security solutions can be broadly divided into two categories:
  • One is for storage as a service (ie cloud storage), through logical level multi-tenant data isolation, Lai data encryption technology protects users' data security.
  • the so-called logical level of isolation mainly through the metadata information stored in the cloud computing data center side, such as object-based storage system (OSD), typical implementation of EMC Atmos, Amazon S3 storage services, etc.;
  • OSD object-based storage system
  • level-level isolation although the data seen by different users after login is only the data they authorize, in order to protect data security, users usually need to encrypt the data and transmit it to the cloud computing data center.
  • the other category is for cloud computing models other than storage as a service, such as software as a service (SaaS), infrastructure as a service (IaaS), platform as a service (PaaS), and so on.
  • SaaS software as a service
  • IaaS infrastructure as a service
  • PaaS platform as a service
  • the storage-as-a-service data security solution does not work because storage-as-a-service is mostly based on the Restful protocol rather than the SCSI-based protocol, accessing data in units of data objects or files, and data security.
  • the so-called multi-tenant data physical level isolation is mainly realized by dividing the different LUNs by the cloud computing data center. Each user is assigned one or more exclusive physical LUN devices on the data center side, and the data is only stored on the physical LUN device, thereby achieving physical level isolation between user data, typically
  • the solution is Netapp MultiStore.
  • Physical level isolation can be guaranteed to a certain extent
  • the performance and reliability of data access considering that in order to ensure performance, data is difficult to encrypt on the cloud computing side, and the risk of data security brought by cloud computing is unavoidable for cloud computing tenants.
  • the service contract with the cloud computing service provider can reduce the above risks to a certain extent, it cannot be avoided.
  • the illegal intruding user or the cloud computing data center administrator can still use the user data without the data owner's unauthorized authorization.
  • the saved LUN device is illegally mounted on other terminals to obtain data.
  • the existing cloud computing data security solution technology can not solve the data security problem of cloud computing modes other than storage as a service (especially IaaS, PaaS and SaaS), that is, 1 ⁇ in ensuring data security. ], taking into account the requirements of enterprise-class cloud computing applications such as data access performance and reliability. Summary of the invention
  • the present invention provides a method for improving the security of the cloud computing data, the method comprising:
  • the user establishes a device I information table for the physical LUN device available for the cloud computing service application instance; the user establishes a virtual LUN device, and sets a virtual LBA address space and an actual data storage LBA address space of the virtual LUN device according to the index information table. Corresponding rules;
  • the user establishes and maintains a correspondence between the virtual LBA address space of the data access virtual LUN device and the actual data storage LBA address space of the specified cloud computing data center; and according to the corresponding relationship, obtains an external data read/write request pointing
  • the virtual LBA address space corresponds to the storage location information of the actual data, completing the I/O redirection.
  • the content of the index information table includes a LUN device global ID, a cloud computing data center ID, and a LUN device local ID.
  • the cloud computing service application instance includes software as a service, infrastructure as a service, and peace. Taiwan is the service.
  • the virtual LUN device is placed on the client or a trusted third party host.
  • the step of establishing and saving the corresponding relationship specifically includes:
  • the user correspondingly associates the virtual LBA address segment with the actual LBA address segment according to the corresponding rule, and performs a virtual LBA address in the virtual LBA address segment and an actual LBA address in the corresponding actual LBA address segment.
  • the correspondence between the virtual LBA address space and the actual data storage LBA address space is established and saved.
  • the plurality of LBA addresses are a plurality of consecutive, discontinuous, regular or irregular LBA addresses.
  • the obtaining, according to the corresponding relationship, the storage location information of the actual data corresponding to the virtual LBA address space pointed by the external data read/write request, and the step of completing the I/O redirection includes:
  • the LBA address of the actual data storage corresponding to each virtual LBA address in the virtual LBA address space is queried and obtained.
  • the external data read/write request is forwarded to the actual data storage LBA address space according to the cloud computing data center and the LUN device local ID corresponding to each actual LBA address, and the data I/O request is redirected.
  • the method further includes: the user updating the correspondence according to a preset frequency.
  • the invention also provides a system for improving the security of cloud computing data, comprising:
  • a setting module configured to set up a virtual LUN device, and set a corresponding rule of the virtual LBA address space of the virtual LUN device and the actual data storage LBA address space according to the index information table;
  • Establishing a save module configured to establish, according to the corresponding rule, a correspondence between a virtual LBA address space of the data access virtual LUN device and an actual data storage LBA address space of the specified cloud computing data center;
  • the redirection module is configured to obtain, according to the correspondence, the storage location information of the actual data corresponding to the virtual LBA address space pointed by the external data read/write request, and complete the I/O redirection.
  • the establishing and saving module includes:
  • a selection unit configured to select multiple LB A addresses as the smallest partitioning unit of the virtual LB A address space and the actual LB A address space;
  • a dividing unit configured to divide the virtual LB A address space and the actual data storage LBA address space into an equal number of virtual LBA address segments and actual LBA address segments according to the minimum dividing unit;
  • a correspondence establishing unit configured to: the virtual LBA address segment and the actual LBA address segment are in one-to-one correspondence according to the corresponding rule, and the virtual LBA address in the virtual LBA address segment and the corresponding actual LBA address segment thereof
  • the actual LBA addresses in the one-to-one correspondence are corresponding, and the corresponding relationship between the virtual LBA address space and the actual data storage LBA address space is established and saved according to the above corresponding result.
  • the redirection module includes:
  • the first obtaining unit is configured to: according to the correspondence between the virtual LBA address space specified by the external data read/write request and the actual data storage LBA address space of the specified cloud computing data center, query and obtain corresponding to each virtual LBA address in the virtual LBA address space.
  • a second acquiring unit configured to query and acquire a cloud computing data center corresponding to each actual LBA address and a corresponding local device ID of the LUN device according to the global ID of the LUN device in the index information table;
  • the cloud computing data center and the LUN device local ID corresponding to each actual LBA address forward the external data read and write request to the actual data storage LBA address space to complete the redirection of the data I/O request.
  • the system further includes an update module, configured to update the correspondence by the user according to a preset frequency.
  • the invention realizes that the user data is isolated at the physical level of the cloud computing data center, so that the data owner can control the generation method, the saving method and the location information of the metadata, and takes into account the enterprise-level cloud computing service calculation for the I/O. Performance and reliability requirements, so that even if the cloud computing data center is illegally invaded, the physical LUN device where the user data is located will not be illegally mounted, and the user data will not be leaked, thus ensuring the security of the user data.
  • DRAWINGS configured to update the correspondence by the user according to a preset frequency.
  • FIG. 1 is a schematic diagram of correspondence between a virtual LBA address space and an actual data storage LBA address space according to an embodiment of the present invention
  • FIG. 2 is an example 1 of accessing a virtual LUN device by a third-party cloud computing service according to an embodiment of the present invention
  • FIG. 3 is an example 2 of accessing a virtual LUN device by a third-party cloud computing service according to an embodiment of the present invention
  • a flow chart of methods for improving the security of cloud computing data
  • FIG. 5 is a schematic structural diagram of a system for improving cloud computing data security according to an embodiment of the present invention. detailed description
  • the embodiment of the invention provides a method for improving the security of the cloud computing data, which is established by the user and saves the cloud computing at the user end (or a trusted third party host)
  • the service application instance data accesses the virtual LBA address space of the virtual LUN device and the corresponding data storage LBA address space of the cloud computing data center; and obtains the actual data corresponding to the virtual LBA address space pointed by the external data read/write request according to the correspondence relationship. Stores location information to complete I/O redirection of user data access.
  • cloud computing and cloud computing service application examples in the embodiments of the present invention are applicable only to cloud computing modes other than storage as a service (or cloud storage), including software as a service (SaaS), and infrastructure.
  • SaaS software as a service
  • IaaS Infrastructure as a Service
  • PaaS Platform as a Service
  • an embodiment of the present invention provides a method for improving security of cloud computing data, including the following steps:
  • Step 101 The user establishes an index information table for the physical LUN device available for the cloud computing service application instance.
  • the user needs to apply the instance of the cloud computing service owned or leased by the user, and plan the physical LUN device used to store the actual data.
  • These physical LUN devices can originate from cloud computing service providers (in their designated cloud computing data centers) or from third-party storage service providers (to ensure data access performance, they need to be built with cloud computing service providers) Good network connection), or It comes from the user's local data center.
  • the third-party storage service provider may include a storage-as-a-service provider (ie, a cloud storage service provider), such as an Amazon S3 storage service; it should be noted that most of the current public cloud storage services are based on the Restful protocol.
  • the user needs to establish an index information table of the global physical LUN device for the physical LUN device used by the cloud computing service application instance, as shown in Table 1.
  • the index information table includes a LUN device global ID, a cloud computing data center ID, and a LUN device local ID.
  • the LUN device global ID is one of the main reasons for establishing a correspondence between the virtual LBA address space and the actual data storage location on the future virtual LUN device.
  • the LUN device global ID and the assigned cloud computing data center ID are local variables, and their scope is limited to the virtual LUN device of the user.
  • the information in the index information table may not be ⁇ ], for example: 1 ⁇ ]
  • a cloud computing data center ID is at user A It can be assigned 0, can be assigned 1 at User B, etc.
  • This allocation method is good for protecting the privacy of data owner data.
  • the index information table is usually stored on the client or a trusted third party.
  • LUN device global ID Assigned cloud computing data center ID
  • the global ID of the LUN device refers to the unique identifier used by the cloud computing data center LUN device in establishing the LBA address space correspondence, including its corresponding cloud computing.
  • the data center ID (which may be the data center of the cloud computing service provider, or the third-party cloud storage service provider, or the data center local to the user) and the local ID of the LUN device at the cloud computing data center end.
  • the local ID of the LUN device indicates that the LUN device is assigned a unique identifier in the specified cloud computing data center, such as the specified LUN unit number in the specified storage pool.
  • the cloud computing data center LUN device can be implemented in different ways, which can be a real LUN device, or a virtual LUN device implemented by a storage virtualization technology, or a third-party cloud storage service provider.
  • the storage space is displayed on the LUN device of the cloud computing service application instance after the conversion from the REST protocol to the SCSI protocol.
  • the implementation of the embodiment of the present invention is performed on the physical LUN device for the data storage. No effect.
  • Step 102 The user establishes a virtual LUN device, and sets a corresponding rule of the virtual LBA address space of the virtual LUN device and the LBA address space of the actual data according to the global physical LUN device index information table. The user establishes and saves according to the corresponding rule. Correspondence between the virtual LBA address space of the data access virtual LUN device and the actual data storage LBA address space of the specified cloud computing data center.
  • the user needs to establish a virtual LUN device for accessing data by the cloud computing service application instance.
  • the virtual LUN device can be placed on the client side, or its trusted third-party host (if cloud computing The service provider is authorized by the user, and the cloud computing service provider can also act as a third-party host.
  • the LBA address space mapping rules can be manually set or set by the LBA address space corresponding rule setting engine. Specifically, in the process of establishing the correspondence between the LBA and the address space, the user can customize and select the corresponding rule according to the security requirements of the data stored on the virtual LUN device, for example, for data with lower security requirements, A regular algorithm is used as the corresponding rule. For example: After the actual LBA address set (that is, the set of all available actual LBA addresses) is established, the i-th virtual LBA address corresponds to the actual LBA address set.
  • Step 1.2 Randomly sort all remaining actual LBA addresses to generate an actual LBA address set IbaSet of length (n+1-i);
  • Step 1.3 Corresponding to the actual LBA address of the i-th virtual LBA address, the following operations are required:
  • step 1.1 the method for generating a true random number in step 1.1 is already mature.
  • the true random number generated in Applied Cryptography Protocols, Algorithms and C Source Code issued by the Machinery Industry Press, page 301 can be used. Methods such as using random noise, using computer clocks, CPU load, or network packet arrivals to generate true random numbers.
  • the correspondence between the virtual LBA address space and the actual data storage LBA address space of the cloud computing data center needs to be established.
  • the actual data storage LBA address space of the cloud computing data center may be derived from multiple physical LUN devices of multiple cloud computing data centers, and the cloud computing data centers are not limited to the local data center of the cloud computing service provider. , or a remote third-party cloud computing service provider's data center.
  • Figure 1 shows the correspondence between the virtual LBA address space of the virtual LUN device accessed by the cloud computing service application instance and the actual data storage LBA address space of the cloud computing data center after the LBA address space correspondence rule is established.
  • Virtual LUN device-side virtual LBA address corresponds to the actual data storage LBA address (virtual LUN device ID: virtual LBA address) (LUN device global ID: actual LBA address)
  • the information about the correspondence between the virtual LBA address space of the virtual LUN device accessed by the cloud computing service application instance and the actual data storage LBA address space of the specified cloud computing data center is shown in Table 2, and the corresponding relationship information is used in the embodiment of the present invention. It is called metadata information. In a specific application, the metadata information may be selected to be stored on the client or a trusted third party hosting end.
  • the correspondence between the virtual LBA address space of the virtual LUN device and the actual data storage LBA address space may occupy different storage spaces due to different corresponding rules of the user, if Metadata information can be used to save storage space and improve performance. You can use the following methods to create and save metadata information:
  • Select multiple LBA addresses can be consecutive LBA addresses, such as 0x00000000, 0x00000001, 0x00000002, 0x00000003; or regular non-contiguous LBA addresses, such as: 0x00000000, OxOOOOOOOA, 0x00000014, ⁇ ; or irregular, discontinuous , the random LBA address) as the smallest partition unit of the virtual LBA address space and the actual LBA address space; according to the smallest partition unit, the virtual LBA address space and the actual data storage LBA address space are divided into equal numbers of virtual LBA address segments and The actual LBA address segment; the user associates the virtual LBA address segment with the actual LBA address segment one by one according to the corresponding rule, and performs the virtual LBA address in the virtual LBA address segment and the actual LBA address in the corresponding actual LBA address segment. Correspondingly, according to the above corresponding result, the correspondence between the virtual LBA address space and the actual data storage LBA address space is established and saved.
  • Step 103 When the request for reading and writing external data reaches the virtual LBA address space specified by the virtual LUN device, according to the correspondence information of the LBA address space, the virtual LBA address space requested by the request is converted to the actual data storage location, and then completed. User data access I/O redirection.
  • the correspondence between the virtual LBA address space of the virtual LUN device and the actual data storage LBA address space of the specified cloud computing data center is established, and then all arrives.
  • the read and write I/O request of the virtual LUN address space of the virtual LUN device can be redirected to its corresponding actual data storage LBA address space.
  • Step 2.1 An external (read or write) I/O request arrives at a specified virtual LBA address space of the virtual LUN device, the virtual LBA address space containing at least one virtual LBA address;
  • Step 2.2 Query and obtain an LBA address of the actual data storage corresponding to each virtual LBA address in the virtual LBA address space according to the established LBA address space correspondence information table (such as Table 2); Step 2.3, according to the cloud computing data center end
  • the index information table of the global physical LUN device (such as Table 1) queries and obtains the cloud computing data center ID corresponding to each actual LBA address according to the global ID information of the LUN device corresponding to each actual LBA address obtained in step 2.2. And its corresponding LUN device local ID;
  • Step 2.4 Forward the I/O request to the actual data storage LBA address space obtained in step 2.2 according to the cloud computing data center ID and the LUN device local ID corresponding to each actual LBA address obtained in steps 2.2 and 2.3. This completes the redirection of data I/O requests.
  • the I/O request initiator that arrives at the virtual LUN device may be an end user; or may be a non-cloud computing service application instance, such as a local or remote application instance; or may be a local (ie, a private cloud service) or Remote public cloud computing service application instance. Because the feasibility of the embodiment of the present invention depends on how to handle the I/O request on the virtual LUN device, and is independent of the initiator of the I/O request, so the following only initiates the local or remote cloud application application instance.
  • the I/O request is taken as an example to further discuss the feasibility of the present invention.
  • step 2.4 if a third-party public cloud storage service is adopted, the process of identity authentication and accounting of the third-party public cloud storage may be required to complete the data I/O request. Redirect.
  • a local or remote cloud computing service application instance includes Software as a Service, Infrastructure as a Service, and Platform as a Service.
  • the local cloud computing service application instance occurs in an internal controllable private network (intranet), that is, a private cloud computing service; and the remote cloud computing service application instance occurs in an external uncontrollable public network (internet), that is, a public cloud computing service. .
  • the access of the virtual LUN device has two typical topologies: 1) an in-band architecture, which unifies the data and metadata access paths, that is, the data flow and the control flow are on the same line.
  • the upper transmission as shown in Figure 2;
  • Out-of-band architecture separates the data and metadata access paths, that is, the data stream and the control stream are transmitted separately without lines, as shown in Figure 3.
  • Users can choose based on the security of data access and data access performance requirements.
  • an agent program needs to be built on the cloud computing service application instance side, and the created virtual LUN device can be presented to the cloud computing service application instance to enable the cloud computing service application instance.
  • the access to the data is transparent, and the agent can also access the metadata information server to obtain the metadata information corresponding to each virtual LBA address in real time, and can also forward the I/O request received by the virtual LUN device to the LBA of the actual data storage. Address space.
  • the following describes the implementation flow of data read/write I/O redirection under two topologies.
  • Step 3.1 After the virtual LUN is mounted by the agent, the cloud computing service application instance reads and writes the I/O request to the specified virtual LBA address space of the virtual LUN device (if it is a write I/O request, the request should also include The written data), the virtual LBA address space contains at least one virtual LBA address;
  • Step 3.3 The metadata information server of the client (or the trusted third-party host) obtains the actual data storage LBA address set corresponding to the virtual LBA address space; and further accesses the actual LBA address space information according to the acquired data,
  • the data read/write I/O request is sent to the actual data storage LBA address space of the specified cloud computing data center, the I/O redirection is completed, and the data read and write result is passed through the agent, and returned to the cloud computing service application instance (if yes Read I/O, then you need to return the read data to the cloud computing service application instance).
  • the cloud computing data center in step 3.3 can be the data center managed by the cloud computing service provider, or the user local data center, or the data center of another storage service provider (such as a cloud storage service provider).
  • Step 4.1 After the virtual LUN is mounted by the agent, the third-party cloud computing service reads and writes the I/O request to reach the specified virtual LBA address space of the virtual LUN device, and the virtual LBA address space includes at least one virtual LBA address;
  • Step 4.2 The agent associated with the virtual LUN device accesses the metadata information server of the client (or the trusted third-party host) to obtain the LBA address set of the actual data storage corresponding to the virtual LBA address space.
  • Step 4.3 The actual LBA address space information is accessed according to the data obtained in step 4.2, and the agent associated with the virtual LUN device sends the data read/write I/O request received by the virtual LUN device to the actual data of the specified cloud computing data center.
  • Store the LBA address space complete the I/O redirection, and return the data read and write results to the cloud computing service application instance (if it is read I/O, then the read data needs to be returned to the cloud computing service application instance) .
  • the cloud computing data center of the above embodiment is not a data center managed by a cloud computing service provider or a user local data center, that is, other cloud computing service providers
  • the information exchanged between the cloud computing service application instance and the virtual LUN device is mainly metadata information, and the amount of information data is small, and has better performance than the in-band architecture.
  • users can update the metadata information of virtual LUN devices (only for LBA addresses that are not read or written), regardless of the in-band or out-of-band architecture.
  • the metadata information is updated.
  • the virtual LUN device accessed by the cloud computing service application instance is placed on the cloud computing service provider end, as described above, if the cloud computing service application end-to-user data access network speed It can meet the requirements (such as 8Gbps fiber or 10Gigabit Ethernet), or users are willing to sacrifice some data access performance and reliability for data security.
  • the virtual LUN device can also be placed on the user side. Since the implementation is basically the same, details will not be described here.
  • the access object of the virtual LUN device is either a user of the user end, a local or remote application instance (non-cloud computing service application instance), or a local or remote cloud computing service application instance; in the cloud computing service application instance access mode Whether the virtual LUN device is placed on the user end or the third-party cloud computing server; the implementation mode of the data read/write I/O redirection is applicable to both the in-band architecture and the out-band architecture.
  • an embodiment of the present invention further provides a system for improving security of cloud computing data, including: an establishing module, configured to establish an index information table for a physical LUN device available to a cloud computing service application instance;
  • the setting module is configured to establish a virtual LUN device, and set a corresponding rule of the virtual LBA address space of the virtual LUN device and the actual data storage LBA address space according to the index information table; and establish a save module, configured for the user to establish according to the corresponding rule Corresponding relationship between the virtual LBA address space of the data access virtual LUN device and the actual data storage LBA address space of the specified cloud computing data center;
  • the redirection module is configured to obtain storage location information of the actual data corresponding to the virtual LBA address space pointed by the external data read/write request according to the correspondence, and complete the I/O redirection.
  • establishing a save module includes:
  • a selection unit configured to select multiple LB A addresses as the smallest partitioning unit of the virtual LB A address space and the actual LB A address space;
  • a dividing unit configured to divide the virtual LBA address space and the actual data storage LBA address space into an equal number of virtual LBA address segments and actual LBA address segments according to the minimum splitting unit;
  • Correspondence relationship establishing unit configured for the user to correspondingly associate the virtual LBA address segment with the actual LBA address segment according to the corresponding rule, and perform the virtual LBA address in the virtual LBA address segment and the actual LBA address in the corresponding actual LBA address segment.
  • One-to-one correspondence and according to the above corresponding results, establish and save the correspondence between the virtual LBA address space and the actual data storage LBA address space.
  • the redirection module includes:
  • the first obtaining unit is configured to: according to the correspondence between the virtual LBA address space specified by the external data read/write request and the actual data storage LBA address space of the specified cloud computing data center, query and obtain corresponding to each virtual LBA address in the virtual LBA address space.
  • the second obtaining unit is configured to query and obtain the cloud computing data center corresponding to each actual LBA address and its corresponding LUN device local ID according to the global ID of the LUN device in the index information table;
  • Orientation unit used to calculate the data center and LUN according to each actual LBA address
  • the local ID is read, and the external data read and write request is forwarded to the actual data storage LBA address space to complete the redirection of the data I/O request.
  • the system for improving cloud computing data security in this embodiment further includes an update module, configured for the user to update the correspondence according to a preset frequency.
  • the method of the embodiments of the present invention is different from the method and system described in U.S. Patent No. 7,171,453, Virtual Private Volume Method and System.
  • the US patent protects the privacy of the storage service consumer and provider by storing a LUN correspondence table in the middle layer, that is, the two parties are invisible to each other, and is not used to solve the problem of cloud computing data security.
  • the technical solutions of the embodiments of the present invention are different.
  • the purpose of the embodiments of the present invention is to solve the data security problem at the data center of the cloud computing system, and the precondition is that there is no trust relationship between the consumers (users) using the storage service and between the storage service provider and the storage service provider. It is a public cloud computing data center).
  • the data access and transmission may be in a public network environment that is vulnerable to illegal attacks (public cloud computing services).
  • the LBA address correspondence information between the virtual LUN device and the physical LUN device of the cloud computing data center is specified by the terminal user.
  • the method is generated and saved to a location specified by the user.
  • the traditional storage virtualization method implements the LBA address mapping information between the virtual LUN device and the physical LUN device in a private network environment that is trusted by each other. Because of this, traditional storage is used. Virtualization technology, whether it is host based storage virtualization, switch based storage virtualization, or storage device based storage virtualization. The created virtual LUN device can be (illegally) mounted to other hosts to access the data on it. Compared with the existing cloud computing data center end data security solution, the method for improving cloud computing data security provided by the embodiments of the present invention has the following advantages:
  • the data owner can control the metadata (that is, the LBA address correspondence information between the virtual LUN device and the physical LUN device of the cloud computing data center side)
  • the generation method, storage method and location local or trusted third-party host, so that even if the cloud computing data center is illegally invaded, the LUN device where the user data is located will not be illegally mounted, and the user data will not be Leakage, the security of user data is guaranteed.
  • the LUN device corresponding to the user is in the cloud data center, and even if it is illegally mounted, the content cannot be obtained, and the security of the user data is guaranteed.
  • each functional module and unit involved in this embodiment may be implemented by a computer program running on computer hardware, and the program may be stored in a computer readable storage medium, and the program is executed.
  • the hardware refers to a server or a desktop computer, a notebook computer or the like including one or more processors and storage media; the storage medium may be a magnetic disk, an optical disk, or a read-only storage memory (Read-Only) Memory, ROM) or random access memory (RAM), etc.;
  • the computer program is implemented by a computer language not limited to (C++).

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

一种提高云计算数据安全的方法及系统，属于数据安全技术领域。所述方法包括：用户为云计算服务应用实例可用的物理LUN设备建立索引信息表，根据索引信息表，设置虛拟LUN设备的虛拟LBA地址空间与实际数据存储LBA地址空间的对应规则；用户根据对应规则，建立并保存虛拟LBA地址空间与实际数据存储LBA地址空间的对应关系；根据对应关系，获取读写请求指向的虛拟LBA地址空间对应的实际数据的存储位置信息，完成I/O重定向。所述系统包括建立模块、设置模块、建立保存模块和重定向模块。本发明使数据所有者掌控元数据的生成方法、保存方法及位置，使用户数据所在的LUN设备不会被非法挂载，保障了用户数据的安全。

Description

一种提高云计算数据安全的方法及系统
技术领域
本发明涉及数据安全技术领域， 特別涉及一种提高云计算数据安全的方法 及系统。 背景技术
云计算通过将 IT( Information Technology )资源转化为服务（IT as a Service) , 以按需付费的商业模式交付给终端用户使用， 从而极大地降低了用户 IT使用成 本， 加速了 IT资源的交付周期， 提高了运营效率。云计算推动了 IT资源的集中 和共享， 按照其部署和服务范畴划分， 云计算可以分为私有云计算、 公有云计 算和混合云计算， 由于其提供的 IT服务种类的不同，云计算又以以下模式体现： 基础架构即服务 (IaaS, Infrastructure as a Service), 平台即服务 (PaaS, Platform as a Service), 软件即服务 (SaaS, Software as a Service), 存储即服务 (cloud storage, Storage as a Service) 等。
通过云计算， 虽然用户的 IT成本可以得到降低， 但是也使数据安全风险更 多地集中在云计算数据中心端，具体表现在以下几个方面： 1) 多租户模式下的数 据隔离和安全问题； 公有云计算数据中心， 处在多租户模式下， 多个租户特別 是彼此为竟争对手的租户的数据存储在一起会导致一定的安全风险， 私有云计 算数据中心也需要为各个职能部门之间的数据提供有效的数据隔离； 2) 黑客的 非法入侵会导致重要数据的泄漏； 3) 云计算数据中心管理员特別是超级管理员 的人为错误或者职业搡守问题可能导致用户数据的泄露等等。
目前， 云计算数据安全的解决方案大致可以分为两类：
一类是针对存储即服务 （即云存储）， 通过逻辑级別多租户的数据隔离， 依 赖数据加密技术保护用户的数据安全。 所谓逻辑级別的隔离， 主要通过云计算 数据中心端保存的元数据信息实现的，例如基于对象的存储系统（Object Storage Device, OSD) , 典型的实施有 EMC Atmos, Amazon S3存储服务等； 还有基于策 略多租户数据安全管理方法和系统， 如美国专利 US 2011/0022642 Policy Driven Cloud Storage Management and Cloud Storage Policy Router所记述。 £辑级別隔离 的情况下， 虽然不同用户登录后所见到的数据仅为其所授权的数据， 但是为了 保护数据安全， 用户通常需要将数据加密后传输到云计算数据中心。
另一类是针对存储即服务之外的云计算模式， 例如软件即服务 （SaaS)、 基 础架构即服务 （IaaS)、 平台即服务 （PaaS) 等。 对于这些云计算模式， 存储即 服务的数据安全解决方案并不适用， 这是因为， 存储即服务大多是基于 Restful 协议而不是基于 SCSI协议， 以数据对象或者文件为单位存取数据， 数据安全性 具有较高优先级 （数据通常需要加密）， 对数据访问延迟、 I/O 性能和可靠性的 要求较低； 而对于其他云计算模式 （即 SaaS, IaaS, PaaS等） 而言， 数据访问主 要是基于 SCSI协议的， 因此数据访问延迟性、 I/O性能及可靠性， 与数据的安 全性 1¾样具有相 1¾甚至更高的优先级， 1¾时为了保证数据访问 I/O性能，数据通 常不能被加密， 从而使得云计算的租户的数据安全完全依赖于云计算服务提供 商的职业搡守和其对数据安全性保护的技术能力。 对于该类云计算模式， 目前 的解决方案主要是通过云计算数据中心端的多租户数据物理级別隔离加之云计 算服务提供商与用户签订的 SLA (Service Level Agreement, 服务水平协议） 保 障。 所谓多租户数据物理级別的隔离主要通过云计算数据中心端划分不同 LUN 实现的。 每个用户在数据中心端被分配了一个或多个独占的物理 LUN设备， 其 数据仅保存在该物理 LUN设备上， 从而实现了不 1§]用户数据之间的物理级別隔 离， 典型的解决方案为 Netapp MultiStore。 物理级別隔离， 可以在一定程度上保 证数据访问的性能及可靠性， 但是， 考虑到为了保证性能， 数据在云计算端很 难加密， 由此带来的数据安全的风险则是云计算租户所不能不顾虑的。 虽然与 云计算服务商之间的服务合同可以在一定程度上降低以上风险， 但是也无法避 免， 非法入侵用户或者云计算数据中心管理员仍可以在数据所有者未授权的情 况下， 将用户数据保存的 LUN设备非法挂载到其他终端上， 进而获取数据的情 况。
综上所述， 现有的云计算数据安全解决方案技术还无法解决除存储即服务 之外的云计算模式 （特別是 IaaS、 PaaS和 SaaS) 的数据安全问题， 即在保证数 据安全的 1§]时， 兼顾数据访问性能、 可靠性等企业级云计算应用的要求。 发明内容
为了解决现有云计算数据安全解决方案不适用于云存储之外的云计算模 式， 以及易被非法获取等问题， 本发明提供了一种提高云计算数据安全的方法， 所述方法包括：
用户为云计算服务应用实例可用的物理 LUN设备建立索 I信息表； 用户建立一个虛拟 LUN设备， 根据所述索引信息表， 设置所述虛拟 LUN 设备的虛拟 LBA地址空间与实际数据存储 LBA地址空间的对应规则；
用户根据所述对应规则， 建立并保存数据访问虛拟 LUN设备的虛拟 LBA 地址空间与指定云计算数据中心的实际数据存储 LBA地址空间的对应关系； 根据所述对应关系， 获取外部数据读写请求指向的虛拟 LBA地址空间对应 的实际数据的存储位置信息， 完成 I/O重定向。
所述索引信息表的内容包括 LUN设备全局 ID、云计算数据中心 ID和 LUN 设备局部 ID; 所述云计算服务应用实例包括软件即服务、 基础架构即服务和平 台即服务。
所述虛拟 LUN设备放置在用户端或用户信赖的第三方托管端。
所述建立并保存对应关系的步骤具体包括：
选择多个 LBA地址作为虛拟 LBA地址空间和实际 LBA地址空间的最小分 割单元；
根据所述最小分割单元， 将所述虛拟 LBA地址空间和实际数据存储 LBA 地址空间， 分割成数量相等的虛拟 LBA地址段和实际 LBA地址段；
用户根据所述对应规则， 将所述虛拟 LBA地址段与实际 LBA地址段一一 对应， 以及将所述虛拟 LBA地址段中的虛拟 LBA地址与其对应的实际 LBA地 址段中的实际 LBA 地址进行一一对应， 并根据以上对应结果建立且保存虛拟 LBA地址空间与实际数据存储 LBA地址空间的对应关系。
所述多个 LBA地址为多个连续的、 不连续的、 有规律或无规律的 LBA地 址。
所述根据所述对应关系， 获取外部数据读写请求指向的虛拟 LBA地址空间 对应的实际数据的存储位置信息， 完成 I/O重定向的步骤具体包括：
根据外部数据读写请求指定的虛拟 LBA地址空间与指定云计算数据中心的 实际数据存储 LBA地址空间的对应关系， 查询并获取虛拟 LBA地址空间中每 个虛拟 LBA地址对应的实际数据存储的 LBA地址；
根据所述索引信息表中的 LUN设备全局 ID, 查询并获取每个实际 LBA地 址所对应的云计算数据中心和其对应的 LUN设备局部 ID;
根据每个实际 LBA地址对应的云计算数据中心和 LUN设备局部 ID,将外 部数据读写请求转发到实际数据存储 LBA地址空间上， 完成数据 I/O 请求的重 定向。 所述方法还包括： 用户按照预置的频率更新所述对应关系。
本发明还提供了一种提高云计算数据安全的系统， 包括：
建立模块， 用于用户为云计算服务应用实例可用的物理 LUN设备建立索引 信息表；
设置模块， 用于用户建立一个虛拟 LUN设备， 根据所述索引信息表， 设置 所述虛拟 LUN设备的虛拟 LBA地址空间与实际数据存储 LBA地址空间的对应 规则；
建立保存模块，用于用户根据所述对应规则，建立并保存数据访问虛拟 LUN 设备的虛拟 LBA地址空间与指定云计算数据中心的实际数据存储 LBA地址空 间的对应关系；
重定向模块， 用于根据所述对应关系， 获取外部数据读写请求指向的虛拟 LBA地址空间对应的实际数据的存储位置信息， 完成 I/O重定向。
所述建立保存模块包括：
选择单元， 用于选择多个 LB A地址作为虛拟 LB A地址空间和实际 LB A地 址空间的最小分割单元；
分割单元， 用于根据所述最小分割单元， 将所述虛拟 LB A地址空间和实际 数据存储 LBA地址空间， 分割成数量相等的虛拟 LBA地址段和实际 LBA地址 段；
对应关系建立单元， 用于用户根据所述对应规则， 将所述虛拟 LBA地址段 与实际 LBA地址段一一对应， 以及将所述虛拟 LBA地址段中的虛拟 LBA地址 与其对应的实际 LBA地址段中的实际 LBA地址进行一一对应， 并根据以上对 应结果建立且保存虛拟 LBA地址空间与实际数据存储 LBA地址空间的对应关 系。 所述重定向模块包括：
第一获取单元， 用于根据外部数据读写请求指定的虛拟 LBA地址空间与指 定云计算数据中心的实际数据存储 LBA地址空间的对应关系， 查询并获取虛拟 LBA地址空间中每个虛拟 LBA地址对应的实际数据存储的 LBA地址；
第二获取单元， 用于根据所述索引信息表中的 LUN设备全局 ID, 查询并获 取每个实际 LBA地址所对应的云计算数据中心和其对应的 LUN设备局部 ID; 定向单元， 用于根据每个实际 LBA地址对应的云计算数据中心和 LUN设 备局部 ID, 将外部数据读写请求转发到实际数据存储 LBA地址空间上， 完成 数据 I/O 请求的重定向。
所述系统还包括更新模块， 用于用户按照预置的频率更新所述对应关系。 本发明实现了用户数据在云计算数据中心端物理级別隔离的同时， 使数据 所有者可以掌控元数据的生成方法、 保存方法及位置信息， 并且兼顾了企业级 云计算服务计算对 I/O性能和可靠性的要求，从而使得即便云计算数据中心被非 法入侵，用户数据所在物理 LUN设备也不会被非法挂载，用户数据也不会泄露， 保障了用户数据的安全。 附图说明
图 1是本发明实施例虛拟 LBA地址空间到实际数据存储 LBA地址空间的 对应关系示意图；
图 2是本发明实施例第三方云计算服务对虛拟 LUN设备的访问实例一； 图 3是本发明实施例第三方云计算服务对虛拟 LUN设备的访问实例二； 图 4是本发明实施例的提高云计算数据安全的方法流程图；
图 5是本发明实施例的提高云计算数据安全的系统结构示意图。 具体实施方式
下面结合附图和实施例， 对本发明技术方案作进一步描述。
为了更加完善地解决云计算数据安全问题， 本发明实施例提供了一种提高 云计算数据安全的方法， 该方法是由用户建立并在用户端 （或用户信任的第三 方托管端） 保存云计算服务应用实例数据访问虛拟 LUN设备的虛拟 LBA地址 空间和指定云计算数据中心的实际数据存储 LBA地址空间的对应关系； 根据该 对应关系获取外部数据读写请求指向的虛拟 LBA地址空间对应的实际数据的存 储位置信息，进而完成用户数据访问的 I/O重定向。通过上述方法可以实现多租 户数据在云计算数据中心端的物理隔离， 1§]时在数据不加密的情况下， 如果数 据所有者不授权 I/O请求的虛拟 LBA地址空间和指定云计算数据中心的实际数 据存储 LBA地址空间的对应关系信息， 数据实际内容很难被非法获取， 大大地 增强了用户数据的安全性。
需要说明的是， 本发明实施例所指云计算及云计算服务应用实例， 仅适用 于除了存储即服务（或称云存储）之外的云计算模式， 包括软件即服务（SaaS)、 基础架构即服务 （IaaS) 和平台即服务 （PaaS) 等。
参见图 4， 本发明实施例提供了一种提高云计算数据安全的方法， 包括如下 步骤：
步骤 101： 用户为云计算服务应用实例可用的物理 LUN设备建立索引信息 表。
首先， 用户需要为其所拥有的或所租用的云计算服务应用实例， 规划用来 存储实际数据的物理 LUN设备。 这些物理 LUN设备可以来源于云计算服务提 供商（位于其指定的云计算数据中心中），或者来源于第三方存储服务提供商（为 了保证数据访问性能， 它们需要与云计算服务提供商构建较好的网络连接）， 或 者来源于用户本地的数据中心。 在具体应用中， 第三方存储服务提供商可以包 括存储即服务提供商 （即云存储服务提供商）， 例如 Amazon S3存储服务； 需要 说明的是， 目前的公有云存储服务多数是基于 Restful协议的以数据对象或者文 件为单位的存取， 而不是基于 SCSI协议的数据块的存取， 为了使本发明实施例 的云计算服务应用实例可以访问其数据， 需要进行协议转换， 即将 Restful协议 转换为基于块的数据访问协议（block based protocol) , 这种协议转换已经有成功 的实践， 典型的有 StorSimple, TwinStrata的云存储产品与解决方案， 具体细节 这里不再赘述。
其次， 用户需要为云计算服务应用实例所使用到的物理 LUN设备建立一张 全局物理 LUN设备的索引信息表， 如表 1所示。 该索引信息表包括 LUN设备 全局 ID、 云计算数据中心 ID和 LUN设备局部 ID； 其中， LUN设备全局 ID是 建立未来虛拟 LUN设备上虛拟 LBA地址空间与实际数据保存位置对应关系的 主要依据之一； 1¾时， LUN设备全局 ID和所分配的云计算数据中心 ID都是局 部变量， 其作用范围仅限于该用户的该虛拟 LUN设备。 对于不同的用户甚至同 一用户的不同 （如下面步骤 102所述） 虛拟 LUN设备， 索引信息表所中的信息 都可以不 1§]， 例如： 1§]一云计算数据中心 ID在用户 A处可以被分配为 0， 在用 户 B处可以被分配为 1等等， 这种分配方法对于保护数据所有者数据的隐私性 有好处。 另外， 从数据安全性的考虑， 该索引信息表通常保存在用户端或者用 户信赖的第三方托管端。
表 1
LUN设备全局 ID 所分配的云计算数据中心 ID LUN设备局部 ID
00 0 0 01 0 1
14 1 4
25 2 5
··· ··· ··· 表 1中， LUN设备全局 ID指的是， 该云计算数据中心端 LUN设备在建立 LBA地址空间对应关系过程中所使用的唯一标识， 包含其对应的云计算数据中 心 ID (可以是云计算服务提供商的数据中心、或者是第三方云存储服务提供商、 或者是用户本地的数据中心） 和该 LUN设备在该云计算数据中心端的局部 ID。
LUN设备局部 ID指的是， 该 LUN设备在指定云计算数据中心范畴被分配唯一 的标识， 如指定存储池中指定的 LUN单元号。 需要指出的是， 云计算数据中心 端 LUN设备， 可以有不同的实现方式， 可以是真实的 LUN设备， 或者是通过 存储虛拟化技术实现的虛拟 LUN设备， 或者是第三方云存储服务提供商提供的 存储空间经过 Restful到 SCSI协议转换后展示给云计算服务应用实例的 LUN设 备， 但是无论哪种实现方式， 展现出来的都是用于数据存储的物理 LUN设备， 对于本发明实施例的实现步骤没有影响。
步骤 102: 用户建立一个虛拟 LUN设备，根据全局物理 LUN设备索引信息 表， 设置该虛拟 LUN设备的虛拟 LBA地址空间与实际数据存储的 LBA地址空 间的对应规则； 用户根据该对应规则， 建立并保存数据访问虛拟 LUN设备的虛 拟 LBA地址空间与指定云计算数据中心的实际数据存储 LBA地址空间的对应 关系。
用户需要建立一个虛拟 LUN设备用于云计算服务应用实例对数据的访问。 该虛拟 LUN设备可以放置在用户端， 或者其信赖的第三方托管端 （如果云计算 服务提供商获得了用户的授权， 则云计算服务提供商也可以作为第三方托管 端)。
为了保障数据的安全性， 用户需要根据其实际数据安全性要求， 设置 LBA 地址空间对应规则， 该 LBA地址空间对应规则可以人为手动来设置或通过 LBA 地址空间对应规则设定引擎来设置。 具体而言， 用户在建立 LBA地址空间的对 应关系过程中， 可以根据虛拟 LUN设备上所保存数据的安全性要求， 进行定制 和选择对应规则， 例如： 对于安全性要求较低的数据， 可以采用有规律的运算 法则作为对应规则， 例如： 在实际 LBA地址集合 （即所有可供选择的实际 LBA 地址组成的集合） 建立起来以后， 第 i个虛拟 LBA地址， 对应于实际 LBA地址 集合排在第 (i+1)位置的实际 LBA地址，如此类推；对于安全性要求较高的数据， 需要使 LBA地址空间对应规则和数据访问协议转换规则唯一，并且难以被破解。 在极端情况下， 为了最大限度地保证元数据的安全性， 可以采用虛拟 LBA地址 和实际数据存储 LBA地址的真随机对应规则， 将二者对应起来。 以下列举一个 方法以证明这种真随机对应规则方法的可行性。
假定虛拟 LUN设备上有 n个虛拟 LBA地址， 需要与多个云计算数据中心 存储的 n个实际数据存储 LBA地址对应起来， 那么，
步骤 1.1， 设定 i=l (i是自然数， i<=n)， 生成真随机数 Ri ;
步骤 1.2，将剩余所有实际 LBA地址进行随机排序，产生一个长度为 (n+1-i) 的实际 LBA地址集合 IbaSet;
步骤 1.3， 对应于第 i个虛拟 LBA地址的实际 LBA地址， 需要通过下面的 运算：
Xi= Ri mod (n+1-i) (其中 mod是取模运算）
获取 IbaSet第 Xi个实际 LBA地址； 步骤 1.4， 设定 i=i+l， 重复步骤 1.1到步骤 1.3， 循环执行直到 i=n, 所有虛 拟 LBA地址与实际 LBA地址对应起来。
需要说明的是， 步骤 1.1中生成真随机数的方法已经很成熟， 具体实现中可 以采用 Applied Cryptography Protocols, Algorithms and C Source Code issued by the Machinery Industry Press, 第 301页中给出的产生真随机数的方法， 例如使用 随机噪声、 使用计算机时钟、 CPU 负载或网络数据包到达次数等方法来产生真 随机数。
LBA地址空间对应规则建立以后，需要建立虛拟 LBA地址空间与云计算数 据中心的实际数据存储 LBA地址空间的对应关系。 需要说明的是， 云计算数据 中心的实际数据存储 LBA地址空间， 可能来源于多个云计算数据中心的多个物 理 LUN设备，且这些云计算数据中心不限于云计算服务提供商的本地数据中心， 或者远程的第三方云计算服务提供商的数据中心。
图 1示出了在 LBA地址空间对应规则建立后， 云计算服务应用实例所访问 虛拟 LUN设备的虛拟 LBA地址空间和云计算数据中心的实际数据存储 LBA地 址空间的对应关系。
表 2
虛拟 LUN设备端虛拟 LBA地址 对应实际数据存储 LBA地址 (虛拟 LUN设备 ID:虛拟 LBA地址） (LUN设备全局 ID：实际 LBA地址）
··· ···
1 : 32 00 : 48
··· …
1 : 49 25 : 94 表 2中示出了云计算服务应用实例所访问虛拟 LUN设备的虛拟 LBA地址 空间与指定云计算数据中心的实际数据存储 LBA地址空间的对应关系信息， 在 本发明实施例中这种对应关系信息被称为元数据信息。 在具体应用中， 该元数 据信息可以选择保存在用户端或者其信赖的第三方托管端。
需要说明的是， 虛拟 LUN设备的虛拟 LBA地址空间和实际数据存储 LBA 地址空间的对应关系信息 （即元数据信息） 可能因用户使用不同的对应规则， 而占用不同的存储空间， 如果为了减小元数据信息量进而达到节省存储空间和 提高性能的目的， 可以采用如下方法建立并保存元数据信息：
选择多个 LBA 地址 （可以是连续的 LBA 地址， 例如 0x00000000、 0x00000001、 0x00000002、 0x00000003； 或者是有规律的不连续的 LBA地址， 例如： 0x00000000、 OxOOOOOOOA, 0x00000014、 ΟχΟΟΟΟΟΟΙΕ; 或者是无规律、 不连续的、 随机的 LBA地址） 作为虛拟 LBA地址空间和实际 LBA地址空间的 最小分割单元；根据最小分割单元， 将虛拟 LBA地址空间和实际数据存储 LBA 地址空间， 分割成数量相等的虛拟 LBA地址段和实际 LBA地址段； 用户根据 对应规则， 将虛拟 LBA地址段与实际 LBA地址段一一对应起来， 以及将虛拟 LBA地址段中的虛拟 LBA地址与其对应的实际 LBA地址段中的实际 LBA地址 进行一一对应， 并根据以上对应结果建立且保存虛拟 LBA地址空间与实际数据 存储 LBA地址空间的对应关系。
步骤 103 :当外部数据读写的请求到达虛拟 LUN设备指定的虛拟 LBA地址 空间时， 根据 LBA地址空间的对应关系信息， 将该请求所申请的虛拟 LBA地 址空间转换到实际数据存储位置， 进而完成用户数据访问 I/O重定向。
在完成步骤 102后， 虛拟 LUN设备的虛拟 LBA地址空间与指定云计算数 据中心的实际数据存储 LBA地址空间的对应关系就建立起来了， 进而所有到达 虛拟 LUN设备的指定虛拟 LB A地址空间的读写 I/O请求可以被重定向到其对应 的实际数据存储 LBA地址空间。
具体而言， 假设有读写 I/O请求到达虛拟 LUN设备， 需要经过以下步骤完 成 I/O 重定向：
步骤 2.1， 外部 （读或者写） I/O请求到达虛拟 LUN设备的指定虛拟 LBA 地址空间， 该虛拟 LBA地址空间包含至少一个虛拟 LBA地址；
步骤 2.2， 根据已建立的 LBA地址空间对应信息表 （如表 2)， 查询并获取 虛拟 LBA地址空间中每个虛拟 LBA地址对应的实际数据存储的 LBA地址； 步骤 2.3， 根据云计算数据中心端的全局物理 LUN设备的索引信息表 （如 表 1 )， 根据步骤 2.2所获得的每个实际 LBA地址所对应的 LUN设备全局 ID信 息，查询并获取每个实际 LBA地址所对应的云计算数据中心 ID和其对应的 LUN 设备局部 ID;
步骤 2.4， 依据步骤 2.2和 2.3所获取的每个实际 LBA地址对应的云计算数 据中心 ID、 LUN设备局部 ID, 将该 I/O请求转发到步骤 2.2所获取的实际数据 存储 LBA地址空间上， 进而完成数据 I/O 请求的重定向。
需要说明的是， 到达虛拟 LUN设备的 I/O请求发起者， 可以是终端用户； 也可以是非云计算服务应用实例， 例如本地或远程的应用实例； 还可以是本地 (即私有云服务） 或者远端的公有云计算服务应用实例。 因为， 本发明实施例 的可行性决定于如何处理到达虛拟 LUN设备上的 I/O请求， 而与 I/O请求的发 起者无关，所以下面仅以本地或远端的云计算服务应用实例发起 I/O请求为例进 一步讨论本发明的可行性。
另外， 上述步骤 2.4中， 如果采用了第三方公有云存储服务， 那么可能还需 要通过第三方公有云存储的身份认证、 计费等过程， 才能完成数据 I/O 请求的 重定向。
在本发明实施例中， 本地或者远端的云计算服务应用实例， 包括软件即服 务 （Software as a Service)、 基础架构即艮务 (Infrastructure as a Service)和平台即 服务 (Platform as a Service) 等模式下的云计算服务应用实例。本地云计算服务应 用实例发生在内部可控私有网络 （intranet) 中， 即私有云计算服务； 而远端的 云计算服务应用实例发生在外部不可控公共网络（internet) 中， 即公有云计算服 务。
对于本发明实施例， 虛拟 LUN设备的访问有两种典型拓朴结构： 1 ) 带内 架构 (in-band architecture), 统一了数据和元数据访问路径， 即数据流和控制流在 同一条线路上传输， 如图 2所示； 2) 带外架构， 分离了数据和元数据访问路径， 即数据流和控制流以不 1¾线路分开传输， 如图 3 所示。 用户可以根据数据访问 的安全性和数据存取性能的要求， 进行选择。
本发明实施例中， 无论哪种拓朴结构， 都需要在云计算服务应用实例端构 建一个代理程序，它可以将所创建的虛拟 LUN设备展现给云计算服务应用实例， 使云计算服务应用实例对数据的访问是透明的， 同时该代理程序也可以实时访 问元数据信息服务器获取每个虛拟 LBA地址对应的元数据信息， 还可以转发虛 拟 LUN设备接收的 I/O请求到实际数据存储的 LBA地址空间。以下分別阐述两 种拓朴结构下数据读写 I/O重定向的实现流程。
1、 带内架构， 参见图 2 :
步骤 3.1， 虛拟 LUN通过代理程序挂载以后， 云计算服务应用实例读写 I/O 请求到达虛拟 LUN设备的指定虛拟 LBA地址空间（如果是写 I/O请求， 则该请 求中还应包含待写入的数据）， 该虛拟 LBA地址空间包含至少一个虛拟 LBA地 址； 步骤 3.2， 代理程序将到达虛拟 LUN上的该虛拟 LBA地址空间的 I/O请求 转发给用户端 （或者可信赖第三方托管端） 的元数据信息服务器；
步骤 3.3， 用户端 （或者可信赖第三方托管端） 的元数据信息服务器， 获取 该虛拟 LBA地址空间对应的实际数据存储 LBA地址集合； 并进一步根据所获 取的数据访问实际 LBA地址空间信息， 将数据读写 I/O请求发送到指定云计算 数据中心的实际数据存储 LBA地址空间上， 完成 I/O重定向， 并将数据读写结 果通过代理程序， 返回给云计算服务应用实例 （如果是读 I/O， 那么需要将所读 数据一并返回给云计算服务应用实例）。
步骤 3.3 中的云计算数据中心可以是云计算服务提供商端所管理的数据中 心， 或者是用户本地数据中心， 或者是其他存储服务提供商 （比如云存储服务 提供商） 的数据中心。
2、 带外架构， 参见图 3 :
步骤 4.1，虛拟 LUN通过代理程序挂载以后， 第三方云计算服务读写 I/O请 求到达虛拟 LUN设备的指定虛拟 LBA地址空间， 该虛拟 LBA地址空间包含至 少一个虛拟 LBA地址；
步骤 4.2， 与该虛拟 LUN设备关联的代理程序， 访问用户端 （或者可信赖 第三方托管端） 的元数据信息服务器， 获取该虛拟 LBA地址空间对应的实际数 据存储的 LBA地址集合；
步骤 4.3， 依据步骤 4.2所获取的数据访问实际 LBA地址空间信息， 与该虛 拟 LUN设备关联的代理程序将虛拟 LUN设备接收到的数据读写 I/O请求发送 到指定云计算数据中心的实际数据存储 LBA地址空间上， 完成 I/O重定向， 并 将数据读写结果返回给云计算服务应用实例 （如果是读 I/O， 那么需要将所读数 据一并返回给云计算服务应用实例）。 如果以上实施例 （包括带内和带外架构） 的云计算数据中心不是云计算服 务提供商端管理的数据中心或者用户本地数据中心， 即其他云计算服务提供商
(如云存储服务提供商） 的数据中心， 那么在步骤 3.3和 4.3之前， 还需要根据 已保存的数据服务访问设定 （如认证付费等）， 访问该数据中心。
另外， 带外架构下， 云计算服务应用实例与虛拟 LUN设备交互的信息主要 是元数据信息， 信息数据量较小， 相对于带内架构， 具有更好的性能。
为了进一步提高安全性， 无论是带内或者带外架构， 用户均可以按照预置 的频率更新虛拟 LUN设备的元数据信息 （仅对未读写的 LBA地址有效）。 极端 情况下， 可以每次访问元数据信息后， 变换对应规则， 更新一次元数据信息。
需要说明的是，以上发明实施例中，云计算服务应用实例所访问的虛拟 LUN 设备被放置在云计算服务提供商端， 如上所述， 如果云计算服务应用实例端到 用户端的数据访问网络速度可以满足要求 （比如 8Gbps光纤或者万兆以太网）， 或者用户为了数据的安全性愿意牺牲一部分数据访问性能和可靠性等其他指 标， 该虛拟 LUN设备还可以放置在用户端。 鉴于实现方式基本相同， 这里不再 赘述细节。
总之， 虛拟 LUN设备的访问对象无论是用户端的用户， 抑或本地或者远程 的应用实例 （非云计算服务应用实例）， 抑或本地或者远程的云计算服务应用实 例； 在云计算服务应用实例访问模式下， 无论虛拟 LUN设备放置在用户端或者 是第三方云计算服务端；数据读写 I/O重定向的实现模式无论是带内架构，还是 带外架构， 本发明实施例都是可行的。
参见图 5， 本发明实施例还提供了一种提高云计算数据安全的系统， 包括： 建立模块， 用于用户为云计算服务应用实例可用的物理 LUN设备建立索引 信息表； 设置模块， 用于用户建立一个虛拟 LUN设备， 根据索引信息表， 设置虛拟 LUN设备的虛拟 LBA地址空间与实际数据存储 LBA地址空间的对应规则； 建立保存模块， 用于用户根据对应规则， 建立并保存数据访问虛拟 LUN设 备的虛拟 LBA地址空间与指定云计算数据中心的实际数据存储 LBA地址空间 的对应关系；
重定向模块， 用于根据对应关系， 获取外部数据读写请求指向的虛拟 LBA 地址空间对应的实际数据的存储位置信息， 完成 I/O重定向。
在本实施例中， 建立保存模块包括：
选择单元， 用于选择多个 LB A地址作为虛拟 LB A地址空间和实际 LB A地 址空间的最小分割单元；
分割单元， 用于根据最小分割单元， 将虛拟 LBA地址空间和实际数据存储 LBA地址空间， 分割成数量相等的虛拟 LBA地址段和实际 LBA地址段；
对应关系建立单元，用于用户根据对应规则，将虛拟 LBA地址段与实际 LBA 地址段一一对应， 以及将虛拟 LBA地址段中的虛拟 LBA地址与其对应的实际 LBA地址段中的实际 LBA地址进行一一对应，并根据以上对应结果建立且保存 虛拟 LBA地址空间与实际数据存储 LBA地址空间的对应关系。
在本实施例中， 重定向模块包括：
第一获取单元， 用于根据外部数据读写请求指定的虛拟 LBA地址空间与指 定云计算数据中心的实际数据存储 LBA地址空间的对应关系， 查询并获取虛拟 LBA地址空间中每个虛拟 LBA地址对应的实际数据存储的 LBA地址；
第二获取单元， 用于根据索引信息表中的 LUN设备全局 ID, 查询并获取每 个实际 LBA地址所对应的云计算数据中心和其对应的 LUN设备局部 ID;
定向单元， 用于根据每个实际 LBA地址对应的云计算数据中心和 LUN设 备局部 ID, 将外部数据读写请求转发到实际数据存储 LBA地址空间上， 完成 数据 I/O 请求的重定向。
本实施例的提高云计算数据安全的系统还包括更新模块， 用于用户按照预 置的频率更新对应关系。
本发明实施例的方法与美国专利 US 7171453 Virtual Private Volume Method and System中所记述的方法和系统不同。 美国专利通过在中间层保存一份 LUN 对应关系表保护存储服务使用方 （consumer) 和提供方 （provider) 的隐私性， 即双方互不可见， 并不是用于解决云计算数据安全的问题， 与本发明实施例的 技术方案不同。
本发明实施例提供的提高云计算数据安全的方法与传统的存储虛拟化方法 之间也存在着明显的区別。 本发明实施例的目的是为了解决云计算数据中心端 的数据安全问题， 其前提条件是使用存储服务的消费方 （用户） 之间， 以及他 们与存储服务提供方之间， 不存在信任关系 （特別是公有云计算数据中心）。 数 据的访问与传输可能处于一个易受到非法攻击的公有网络环境中 （公有云计算 艮务）， 虛拟 LUN设备与云计算数据中心的物理 LUN设备之间的 LBA地址对 应关系信息由终端用户以指定方法生成并保存到用户指定的位置。 传统的存储 虛拟化方法实现的是在一个彼此信任的私有网络环境中， 用户无法干预和保存 用户端虛拟 LUN设备与物理 LUN设备之间的 LBA地址对应关系信息， 正因为 如此， 基于传统的存储虛拟化技术， 无论是基于主机的存储虛拟化 (host based storage virtualization) , 还是基于交换机的存储虛拟化 ( Switch based storage virtualization) , 或者基于存储设备的存储虛扣化 (Storage device based storage virtualization) , 所创建的虛拟 LUN设备可以被 （非法） 挂载到其他主机， 访问 其上的数据。 与已有的云计算数据中心端数据安全解决方案相比， 本发明实施例提供的 提高云计算数据安全的方法具有如下优点：
1. 实现了用户数据在云计算数据中心端物理级別隔离的 1¾时， 使数据所有 者可以掌控元数据 （即虛拟 LUN设备和云计算数据中心端物理 LUN设备之间 的 LBA地址对应关系信息） 的生成方法、 保存方法及位置 （本地或者可信赖的 第三方托管端）， 从而使得即便云计算数据中心被非法入侵， 用户数据所在 LUN 设备也不会被非法挂载， 用户数据也不会泄露， 保障了用户数据的安全。
2. 在元数据以真随机方法生成的情况下，用户对应的 LUN设备在云计算数 据中心端， 即便被非法挂载， 也无法获得其内容， 保障了用户数据的安全性。
在实际应用中， 本实施例中所涉及的各个功能模块及单元， 均可以由运行 在计算机硬件上的计算机程序实现， 所述的程序可存储于计算机可读取存储介 质中， 该程序在执行时， 可包括如上述各方法的实施例的流程。 其中， 所述的 硬件指的是包含一个或者多个处理器和存储介质的服务器或者台式计算机、 笔 记本电脑等； 所述的存储介质可为磁碟、 光盘、 只读存储记忆体 （Read-Only Memory, ROM) 或随机存储记忆体 (Random Access Memory, RAM) 等； 所 述计算机程序由不限于（、 C++等计算机语言实现。
以上所述仅为本发明的较佳实施例， 并不用以限制本发明， 凡在本发明的 精神和原则之内， 所作的任何修改、 等同替换、 改进等， 均应包含在本发明的 保护范围之内。

Claims

权 利 要 求 书
1、 一种提高云计算数据安全的方法， 其特征在于， 所述方法包括： 用户为云计算服务应用实例可用的物理 LUN设备建立索引信息表； 用户建立一个虛拟 LUN设备， 根据所述索引信息表， 设置所述虛拟 LUN 设备的虛拟 LBA地址空间与实际数据存储 LBA地址空间的对应规则；
用户根据所述对应规则， 建立并保存数据访问虛拟 LUN设备的虛拟 LBA 地址空间与指定云计算数据中心的实际数据存储 LBA地址空间的对应关系； 根据所述对应关系， 获取外部数据读写请求指向的虛拟 LBA地址空间对应 的实际数据的存储位置信息， 完成 I/O重定向。
2、 如权利要求 1所述的提高云计算数据安全的方法， 其特征在于， 所述索 引信息表的内容包括 LUN设备全局 ID、 云计算数据中心 ID和 LUN设备局部 ID; 所述云计算服务应用实例包括软件即服务、 基础架构即服务和平台即服务。
3、 如权利要求 2所述的提高云计算数据安全的方法， 其特征在于， 所述虛 拟 LUN设备放置在用户端或用户信赖的第三方托管端。
4、 如权利要求 3所述的提高云计算数据安全的方法， 其特征在于， 所述建 立并保存对应关系的步驟具体包括：
选择多个 LB A地址作为虛拟 LB A地址空间和实际 LB A地址空间的最小分 割单元；
根据所述最小分割单元， 将所述虛拟 LBA地址空间和实际数据存储 LBA 地址空间， 分割成数量相等的虛拟 LBA地址段和实际 LBA地址段；
用户根据所述对应规则， 将所述虛拟 LBA地址段与实际 LBA地址段一一 对应， 以及将所述虛拟 LBA地址段中的虛拟 LBA地址与其对应的实际 LBA地 址段中的实际 LBA 地址进行一一对应， 并根据以上对应结果建立且保存虛拟 LBA地址空间与实际数据存储 LBA地址空间的对应关系。
5、 如权利要求 4所述的提高云计算数据安全的方法， 其特征在于， 所述多 个 LBA地址为多个连续的、 不连续的、 有规律或无规律的 LBA地址。
6、 如权利要求 5所述的提高云计算数据安全的方法， 其特征在于， 所述根 据所述对应关系， 获取外部数据读写请求指向的虛拟 LBA地址空间对应的实际 数据的存储位置信息， 完成 I/O重定向的步驟具体包括：
根据外部数据读写请求指定的虛拟 LBA地址空间与指定云计算数据中心的 实际数据存储 LBA地址空间的对应关系， 查询并获取虛拟 LBA地址空间中每 个虛拟 LBA地址对应的实际数据存储的 LBA地址；
根据所述索引信息表中的 LUN设备全局 ID, 查询并获取每个实际 LBA地 址所对应的云计算数据中心和其对应的 LUN设备局部 ID；
根据每个实际 LBA地址对应的云计算数据中心和 LUN设备局部 ID, 将外 部数据读写请求转发到实际数据存储 LBA地址空间上， 完成数据 I/O 请求的重 定向。
7、 如权利要求 6所述的提高云计算数据安全的方法， 其特征在于， 所述方 法还包括： 用户按照预置的频率更新所述对应关系。
8、 一种提高云计算数据安全的系统， 其特征在于， 包括：
建立模块， 用于用户为云计算服务应用实例可用的物理 LUN设备建立索引 信息表；
设置模块， 用于用户建立一个虛拟 LUN设备， 根据所述索引信息表， 设置 所述虛拟 LUN设备的虛拟 LBA地址空间与实际数据存储 LBA地址空间的对应 规则；
建立保存模块，用于用户根据所述对应规则，建立并保存数据访问虛拟 LUN 设备的虛拟 LBA地址空间与指定云计算数据中心的实际数据存储 LBA地址空 间的对应关系；
重定向模块， 用于根据所述对应关系， 获取外部数据读写请求指向的虛拟 LBA地址空间对应的实际数据的存储位置信息， 完成 I/O重定向。
9、 如权利要求 8所述的提高云计算数据安全的系统， 其特征在于， 所述建 立保存模块包括：
选择单元， 用于选择多个 LB A地址作为虛拟 LB A地址空间和实际 LB A地 址空间的最小分割单元；
分割单元， 用于根据所述最小分割单元， 将所述虛拟 LBA地址空间和实际 数据存储 LBA地址空间， 分割成数量相等的虛拟 LBA地址段和实际 LBA地址 段；
对应关系建立单元， 用于用户根据所述对应规则， 将所述虛拟 LBA地址段 与实际 LBA地址段一一对应， 以及将所述虛拟 LBA地址段中的虛拟 LBA地址 与其对应的实际 LBA地址段中的实际 LBA地址进行一一对应， 并根据以上对 应结果建立且保存虛拟 LBA地址空间与实际数据存储 LBA地址空间的对应关 系。
10、 如权利要求 9 所述的提高云计算数据安全的系统， 其特征在于， 所述 重定向模块包括：
第一获取单元， 用于根据外部数据读写请求指定的虛拟 LBA地址空间与指 定云计算数据中心的实际数据存储 LBA地址空间的对应关系， 查询并获取虛拟 LBA地址空间中每个虛拟 LBA地址对应的实际数据存储的 LBA地址； 第二获取单元， 用于根据所述索引信息表中的 LUN设备全局 ID, 查询并获 取每个实际 LBA地址所对应的云计算数据中心和其对应的 LUN设备局部 ID； 定向单元， 用于根据每个实际 LBA地址对应的云计算数据中心和 LUN设 备局部 ID, 将外部数据读写请求转发到实际数据存储 LBA地址空间上， 完成 数据 I/O 请求的重定向。
11、 如权利要求 10所述的提高云计算数据安全的系统， 其特征在于， 所述 系统还包括更新模块， 用于用户按照预置的频率更新所述对应关系。
PCT/CN2013/084135 2012-10-17 2013-09-24 一种提高云计算数据安全的方法及系统 WO2014059860A1 (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US14/129,980 US20140223576A1 (en) 2012-10-17 2013-09-24 Method and System for Improving the Data Security of Cloud Computing

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201210393824.0A CN102882885B (zh) 2012-10-17 2012-10-17 一种提高云计算数据安全的方法及系统
CN201210393824.0 2012-10-17

Publications (1)

Publication Number Publication Date
WO2014059860A1 true WO2014059860A1 (zh) 2014-04-24

Family

ID=47484028

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2013/084135 WO2014059860A1 (zh) 2012-10-17 2013-09-24 一种提高云计算数据安全的方法及系统

Country Status (3)

Country Link
US (1) US20140223576A1 (zh)
CN (1) CN102882885B (zh)
WO (1) WO2014059860A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015188246A1 (en) * 2014-06-09 2015-12-17 Royal Canadian Mint/Monnaie Royale Canadienne Cloud-based secure information storage and transfer system

Families Citing this family (32)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9135460B2 (en) * 2011-12-22 2015-09-15 Microsoft Technology Licensing, Llc Techniques to store secret information for global data centers
CN102882885B (zh) * 2012-10-17 2015-07-01 北京卓微天成科技咨询有限公司 一种提高云计算数据安全的方法及系统
US8769644B1 (en) * 2013-03-15 2014-07-01 Rightscale, Inc. Systems and methods for establishing cloud-based instances with independent permissions
KR20160103110A (ko) * 2013-12-31 2016-08-31 후아웨이 테크놀러지 컴퍼니 리미티드 네트워크 요소 데이터 액세스 방법, 액세스 장치, 및 네트워크 관리 시스템
CN104778129B (zh) * 2014-01-14 2021-08-27 中兴通讯股份有限公司 一种移动终端的虚拟存储的实现方法及装置
CN104660578B (zh) * 2014-04-22 2017-12-19 董唯元 一种实现数据安全存储及数据访问控制的系统及其方法
CN105099869B (zh) * 2014-05-07 2018-10-09 三竹资讯股份有限公司 具有多个组织结构的讯息传递装置与方法
CN105100043B (zh) * 2014-05-07 2018-11-13 三竹资讯股份有限公司 适合个人及组织的讯息传递装置与方法
US20150326513A1 (en) * 2014-05-07 2015-11-12 Mitake Information Corporation Message transmission system and method suitable for individual and organization
US20150327064A1 (en) * 2014-05-07 2015-11-12 Mitake Information Corporation Message transmission system and method for a structure of a plurality of organizations
CN105893139B (zh) * 2015-01-04 2020-09-04 伊姆西Ip控股有限责任公司 在云存储环境中用于向租户提供存储服务的方法和装置
US10505862B1 (en) * 2015-02-18 2019-12-10 Amazon Technologies, Inc. Optimizing for infrastructure diversity constraints in resource placement
US9667657B2 (en) * 2015-08-04 2017-05-30 AO Kaspersky Lab System and method of utilizing a dedicated computer security service
CN105554084B (zh) * 2015-12-10 2018-12-07 杭州古北电子科技有限公司 生成一次性资源地址并与真实资源地址映射的方法
US10826973B2 (en) * 2016-02-04 2020-11-03 Carrier Corporation Security system including business continuity provider
US10412168B2 (en) 2016-02-17 2019-09-10 Latticework, Inc. Implementing a storage system using a personal user device and a data distribution device
CN106790082B (zh) * 2016-12-22 2019-10-01 北京启明星辰信息安全技术有限公司 一种云应用访问控制方法及系统
CN106790112B (zh) * 2016-12-26 2020-05-05 重庆高开清芯科技产业发展有限公司 一种集成轻量级区块链的节点操作系统及数据更新的方法
CN107277045A (zh) * 2017-07-25 2017-10-20 合肥红铭网络科技有限公司 一种虚拟主机云端托管安全系统
US10581969B2 (en) 2017-09-14 2020-03-03 International Business Machines Corporation Storage system using cloud based ranks as replica storage
US10372371B2 (en) * 2017-09-14 2019-08-06 International Business Machines Corporation Dynamic data relocation using cloud based ranks
US10721304B2 (en) 2017-09-14 2020-07-21 International Business Machines Corporation Storage system using cloud storage as a rank
US10372363B2 (en) 2017-09-14 2019-08-06 International Business Machines Corporation Thin provisioning using cloud based ranks
CN110086840B (zh) * 2018-01-26 2022-03-11 浙江宇视科技有限公司 图像数据存储方法、装置及计算机可读存储介质
US10824742B2 (en) * 2018-03-28 2020-11-03 Mitel Cloud Services, Inc. Method and system for moving customer data to trusted storage
US10536522B2 (en) * 2018-04-30 2020-01-14 EMC IP Holding Company LLC Data storage system with LUN archiving to cloud using volume-to-object translation
CN108809984B (zh) * 2018-06-13 2020-09-08 广东奥飞数据科技股份有限公司 一种基于时域的云计算智能安全系统
CN109587254B (zh) * 2018-12-11 2021-09-17 深圳市口袋网络科技有限公司 云服务器访问方法、装置、云服务器及存储介质
US11301396B2 (en) * 2019-03-29 2022-04-12 Intel Corporation Technologies for accelerated data access and physical data security for edge devices
CA3177396A1 (en) * 2020-06-29 2022-01-06 Prabhu PALANISAMY Temporary cloud provider credentials via secure discovery framework
CN113411398B (zh) * 2021-06-18 2022-02-18 全方位智能科技(南京)有限公司 一种基于大数据的文件清理写入及清理管理系统及方法
CN114422265B (zh) * 2022-02-28 2024-05-03 海信集团控股股份有限公司 数据访问方法及服务器

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101477444A (zh) * 2008-12-29 2009-07-08 成都市华为赛门铁克科技有限公司 一种虚拟存储方法和设备
CN102088491A (zh) * 2011-02-01 2011-06-08 西安建筑科技大学 一种面向分散式的云存储安全架构及其数据存取方法
CN102221982A (zh) * 2011-06-13 2011-10-19 北京卓微天成科技咨询有限公司 块级虚拟化存储设备上实现重复数据删除的方法及系统
CN102882885A (zh) * 2012-10-17 2013-01-16 北京卓微天成科技咨询有限公司 一种提高云计算数据安全的方法及系统

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7171453B2 (en) * 2001-04-19 2007-01-30 Hitachi, Ltd. Virtual private volume method and system
US6934799B2 (en) * 2002-01-18 2005-08-23 International Business Machines Corporation Virtualization of iSCSI storage
GB2422669A (en) * 2005-01-31 2006-08-02 Hewlett Packard Development Co Article and a mobile networkable device for reading navigational data from an article
CN101997929A (zh) * 2010-11-29 2011-03-30 北京卓微天成科技咨询有限公司 一种云存储的数据存取的方法、装置及系统
CN102055797A (zh) * 2010-11-29 2011-05-11 北京卓微天成科技咨询有限公司 一种云存储的数据存取的方法、装置及系统
IL210169A0 (en) * 2010-12-22 2011-03-31 Yehuda Binder System and method for routing-based internet security
US20120185618A1 (en) * 2011-01-13 2012-07-19 Avaya Inc. Method for providing scalable storage virtualization
CN102325179B (zh) * 2011-09-07 2014-12-24 深圳市硅格半导体有限公司 移动存储设备及其共享云端内容的方法
CN102394923A (zh) * 2011-10-27 2012-03-28 周诗琦 一种基于n×n陈列结构的云系统平台
CN102497428A (zh) * 2011-12-13 2012-06-13 方正国际软件有限公司 远程存储系统及其进行远程存储的方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101477444A (zh) * 2008-12-29 2009-07-08 成都市华为赛门铁克科技有限公司 一种虚拟存储方法和设备
CN102088491A (zh) * 2011-02-01 2011-06-08 西安建筑科技大学 一种面向分散式的云存储安全架构及其数据存取方法
CN102221982A (zh) * 2011-06-13 2011-10-19 北京卓微天成科技咨询有限公司 块级虚拟化存储设备上实现重复数据删除的方法及系统
CN102882885A (zh) * 2012-10-17 2013-01-16 北京卓微天成科技咨询有限公司 一种提高云计算数据安全的方法及系统

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015188246A1 (en) * 2014-06-09 2015-12-17 Royal Canadian Mint/Monnaie Royale Canadienne Cloud-based secure information storage and transfer system

Also Published As

Publication number Publication date
US20140223576A1 (en) 2014-08-07
CN102882885A (zh) 2013-01-16
CN102882885B (zh) 2015-07-01

Similar Documents

Publication Publication Date Title
WO2014059860A1 (zh) 一种提高云计算数据安全的方法及系统
US11270006B2 (en) Intelligent storage devices with cryptographic functionality
US10402578B2 (en) Management of encrypted data storage
US10503917B2 (en) Performing operations on intelligent storage with hardened interfaces
KR101966767B1 (ko) 클라우드 서비스를 위한 암호화 키 관리 시스템
US8769310B2 (en) Encrypting data objects to back-up
KR101579814B1 (ko) 피어­투­피어 오버레이 네트워크들에서 액세스 제어를 가능하게 하는 것
US9147081B2 (en) Method of access control to stored information and system thereof
US20080022120A1 (en) System, Method and Computer Program Product for Secure Access Control to a Storage Device
US8948399B2 (en) Dynamic key management
US8954760B2 (en) Authentication of solution topology
CA3117713C (en) Authorization with a preloaded certificate
WO2014194494A1 (zh) 数据安全的保护方法、服务器、主机及系统
WO2015196890A1 (zh) 硬盘安全访问控制方法和硬盘
WO2011147361A1 (zh) 云计算中实现资源管理的方法、设备及系统
US11695541B2 (en) Implementing resilient deterministic encryption
Malik et al. Privacy and security in mobile cloud computing
US11809589B2 (en) Secure data structure for database system
JP2022007746A (ja) 情報処理システム及び情報処理方法
WO2017183089A1 (ja) 計算機、計算機システム、およびプログラム

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 14129980

Country of ref document: US

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13847598

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

32PN Ep: public notification in the ep bulletin as address of the adressee cannot be established

Free format text: NOTING OF LOSS OF RIGHTS PURSUANT TO RULE 112(1) EPC (EPO FORM 1205A DATED 24/08/2015)

122 Ep: pct application non-entry in european phase

Ref document number: 13847598

Country of ref document: EP

Kind code of ref document: A1