加密備份數據的商業價值是顯而易見的。隨著法律、法規要求加密來保護私人、財政和敏感的公司數據，提供加密技術的緊迫性不斷升溫。

事實上，加密技術本身并不困難，如AES-256算法早已集成到硬件中，并得到廣泛應用。但是，存儲數據加密的真正困難是密鑰管理----在保證安全的情況下創建密鑰、保護密鑰、關聯密鑰與加密的數據。

存儲數據的加密實行對稱式或私鑰加密，也就是說，每一把鑰匙都是私有的，鑰匙生成后，它必須受到保護并存儲。對于私鑰加密來說，一個加密密鑰的生命周期包括四個階段：密鑰創建和使用、密鑰托管、數據解密中使用密鑰和密鑰刪除。密鑰管理系統是加密系統的中心，控制著密鑰生命周期的每一個階段。下面以Spectra BlueScale加密技術密鑰管理系統為例，說明密鑰生命周期內的密鑰管理要求是怎樣轉化為具體應用的。

Spectra T120/T950(右)采用了加密技術

創建密鑰花樣多

密鑰整個生命周期包括創建、使用、存儲密鑰等，要符合當地的法律和規定。管理員要執行幾項任務，這些是密鑰管理軟件不能提供的。鑒別并跟蹤擁有加密特權的磁帶庫用戶，并確定他們的密碼在災難或緊急狀態下可以使用。

創建密鑰時，密鑰管理系統需要通過以下方法保護密鑰。

1.只允許授權用戶創建密鑰。除此之外，一些安全系統在允許密鑰創建之前要求多用戶登錄。Spectra Logic的BlueScale加密技術專業版在密鑰創建前，要求多個授權用戶登錄系統。BlueScale加密技術的所有版本都提供一種特殊用戶類型――加密管理員，這樣標準磁帶庫管理員、操作員，甚至超級用戶都不能使用加密功能。

2.創建很難甚至不可能破解的安全密鑰。創建安全密鑰涉及兩個要素：長度和用于生成密鑰的真正隨機數字的使用。BlueScale加密技術執行AES-256算法，使用最長的密鑰長度256字節。BlueScale加密技術還是用基于硬件的真正隨機數字生成器來創建加密密鑰，生成無續隨機數字。在生成真正的隨機數字方面，基于硬件的隨機數字生成比其他方法要精確得多，基于軟件的隨機數字生成器會隱藏密鑰的真正值。

3.BlueScale系統能夠多層保護密鑰。對用戶來說最重要的是，系統允許密鑰創建者為密鑰指定綽號或名字。用戶總是提及密鑰的名字，而不是密鑰的真實值(256位的密鑰)。此外，密鑰的值是加密的，加密方法是基于加密用戶提供的密碼短語。這用于創建密鑰值的單向序列，之后該值將被加密。從這種狀態解密密鑰需要一個授權用戶和一個特定密鑰的密碼短語，這會減弱加密技術的實施。

密鑰更要妥善保管

密鑰托管，也叫密鑰存儲，是密鑰管理非常重要的一個方面。把密鑰遠程存儲到另外的地方，而不是存儲在加密數據的地方，這對保持加密數據的完整性非常重要，這樣也能確保數據解密時密鑰的可用性。離線密鑰存儲的意義和離線磁帶存儲的意義一樣：面臨災難時，數據中心可能被毀壞或不能使用，但磁帶上的數據以及解密數據的密鑰可以恢復數據，如果有必要，還可以幫助重建系統。要托管密鑰，管理員需要確認一個遠程存儲位置或一個值得信任的第三方托管服務，然后確定把密鑰的副本已存儲到的位置或服務。

允許和保護密鑰托管的密鑰管理軟件允許用戶復制密鑰和保護復制密鑰。

1.復制密鑰。副本可以發給第三方或離線。BlueScale密鑰管理系統允許用戶把一個加密版本的密鑰復制到USB設備上，還可以把加密的密鑰通過電子郵件發給可信方。

2.保護復制密鑰。BlueScale加密技術只允許授權用戶輸出或復制密鑰。而且，密鑰用加密管理員指定給密鑰的密碼短語進行了加密，要訪問電子郵件中或存儲的密鑰，必須有密碼短語。最好的方法是，用戶用不同的方法發送密碼短語和密鑰。

BlueScale加密技術專業版允許把一個密鑰分開存在多個USB設備上，每個存儲密鑰的USB設備都需要密碼才能訪問，之后密鑰可以通過M/N共享方式恢復。也就是說，不必擁有所有部分才能恢復密鑰，用戶可以只擁有部分就可以恢復數據，這比只要求單個密碼短語要安全得多。

沒密鑰休想解密

數據解密和恢復取決于正確的磁帶、正確的密鑰，以及支持解密適合的硬件。

1.要解密數據，需要能夠對應加密數據和加密數據的密鑰；加密密鑰管理系統要安全支持這些聯合，而不暴露密鑰值；BlueScale加密技術通過在加密數據時寫入加密名稱信息來控制這一切，這樣，當有存儲加密數據的磁帶裝載到帶庫中時，BlueScale軟件檢查磁帶庫中是否有相應的密鑰，這樣就只暴露密鑰名稱；如果磁帶庫中沒有密鑰，加密軟件將告訴用戶，用于解密數據的密鑰名稱。

2.最可靠的密鑰管理和加密系統提供多種解密數據的方法以供選擇。最佳情況下，用戶可以使用與加密數據時相類似的系統、設備或磁帶庫來解密和恢復數據，但是，一定要確保有一個候選方法。例如，BlueScale加密技術支持兩種解密方法，最直接的解密數據方法是，使用配有BlueScale加密技術的Spectra磁帶庫進行解密，解密和恢復數據都變得非常容易。

BlueScale加密技術還支持數據解密的純軟件方法。

刪除密鑰等于刪除數據

一旦加密數據的密鑰的所有副本都被毀壞，那么加密數據將被視作刪除。密鑰管理軟件需要提供刪除特定加密密鑰的功能。需要注意的是，數據刪除可能有法律規定，如HIPAA，這種方法是目前最簡單、最便宜的刪除數據的方法。

密鑰管理軟件必須提供允許用戶刪除密鑰的功能。BlueScale密鑰管理軟件的選項非常易于使用。如果密鑰存儲在磁帶庫中，使用密鑰管理軟件就可以刪除它；如果密鑰存儲在USB設備上，通過該設備刪除密鑰，之后數據就被視作刪除了，即使使用該密鑰加密的數據還在，但數據已經不能訪問。

結論

在密鑰的整個生命周期中，管理密鑰要求在安全、數據解密和恢復的簡便性之間尋求一種平衡。用戶必須為數據和站點找到合適的安全級別。密鑰管理系統必須允許用戶輕松創建和使用密鑰、托管密鑰，當需要解密數據時訪問密鑰，在其生命周期的末尾銷毀密鑰。