存儲安全已經成為IT經理們每天晚上都會想起的一個很大的問題，他們總是在擔心他們的數據是否安全，是否會落到那些企圖盜取信用卡、社會保障號碼、銀行賬戶、企業機密甚至是名人護照的壞人手中。
最完美的世界是，信息從創建到被銷毀的過程中都是被加密的，而且大家還希望能夠鎖定數據，這樣每個檔案就可以只被那些授權的用戶查看。這是很好的，如果所有的系統都支持這種機制就更好了，這樣就不會再有人像你看到的間諜電影那樣欺騙你，當然，如果沒有真正下些功夫的話，這一切都是不會實現的。
但是，隨著數據破壞事件增長的速度像數據量自身一樣越來越快，應該是時候來探討一些較大的挑戰了，比如支持整體數據安全的話題。當然，研究和采用一個端到端的解決方案與此是兩個不同的東西，但如果我們了解了問題的難度和復雜性，那么至少我們也算是有了一個良好的開始。
密鑰管理
密鑰管理始終是安全清單上位列最前的挑戰，原因很簡單：你真的很難對包括文件、存儲網絡、磁盤驅動器、磁帶以及其他所有設備都實施一種統一而安全的密鑰管理。密鑰管理的要求因為不同的行業和不同政府的規定而不同。即使是不同的企業機構甚至是企業機構內部的不同安全部門對安全性的等級要求都是不一樣的，而且需要的安全策略類型也不盡相同。
有些企業機構可能需要一個模式，其法定的人都必須能夠改變密鑰（你最好不要出現法定人在同一地點同一時間進行修改的情況，否則你的控制權可能會丟失。）還有在其他地方，一些企業機構可能需要一個人或多個人擁有相同數據安全密鑰控制權限，當然，讓一個人控制顯然不是個好主意。
你同時也要解決安全性等級的問題，現在你有針對磁帶和磁盤驅動器的不同的需要管理的架構，更不要提其他的數據路徑了?，F在有許多組織機構都在致力于密鑰管理的實施和統一。IEEE協會就是其中之一，在去年的IEEE Mass Storage Conference大會上，他們組織了一場關于密鑰管理的峰會。在未來的歲月里，密鑰管理將會困擾我們很長一段時間。
性能問題
能和密鑰管理相提并論的另一大加密挑戰來自于性能，當然，加密的成本取決于你是用什么樣的方法在什么數據上加密，比如說，使用LTO-4加密硬件或者希捷Cheetah驅動器的數據加密功能是不需要任何成本的，原因非常簡單：這些設備都采用了基于硬件的加密技術，可以在硬件上運行快速的加密。
有一些設備，則是在存儲網絡中進行加密的，這些設備可能會是全速運轉的設備，這對于磁帶可能卻不是件好事。如果你在壓縮之前加密，那么你的壓縮率就會降低，因此你需要做得是先壓縮然后再加密。問題因此出現，在線設備雖然能夠對磁帶驅動器進行完全的壓縮或是加密，但是隨著磁帶速度的越來越快，這通常很難做到以合理的成本完成這一切工作。
那么現在服務器端的情況如何呢？我發現，很多HSM應用能夠在讀取或者向磁帶寫入數據的時候進行校驗和。我還發現，當啟動校驗和的時候，磁帶性能就會大幅下滑。
我們都知道，計算和校驗的復雜性遠遠低于加密算法的復雜性，加密算法屬于非常計算密集型的運算，而一般的通用CPU不可能是做這種類型算法的最好的選擇。這些類型的算法最適宜于在向ASIC或者更快的FPGAs這樣專門的硬件上運行。CPU速度越來越快，但是內存帶寬的增長速度并沒有與CPU性能增長保持一致，將數據移入或者移出內存來在系統I/O處理密集的中加密或者解密數據，這可能無法卯足加密需求以確保設備滿足I/O需求。
標準
雖然可能會有一個專門的制定關于密鑰管理標準的組織，但其組成問題還遠遠沒有得到解決，更談不上解決密鑰管理標準的問題了。因為這無法解決針對整個數據路徑的安全性和密鑰管理需求。
由于加密框架以必須能夠確定加密文件系統為最低起點（我發現一些集團機構打算在內存中加密數據，然后在處理之前解密數據），所以一個加密的架構應該能夠針對文件系統內的每一份文件，并且支持不同級別的加密功能，同時還要能夠確?？梢宰粉櫟絹碓?，且在整個生命周期中維護這個來源。
除了這種維護措施之外，還要解決長期擁有的問題。例如，如果一份文件是被一位用戶加密，但是需要被另外一位用戶使用，那么其他用戶是如何獲得認證的？如果原始用戶并不是在理想狀態下創建的文件將會發生什么？文件如何被解密然后送交另一位用戶？誰擔負這個責任？需要怎樣的安全機制來確保文件所有權被遷移、而負責遷移的人不會獲得文件訪問權？在加密環境下，你擁有根密碼并不意味著你能夠看到所有數據。
這只是文件系統可能會發生的一些問題。我相信你肯定會設想一個由存儲網絡、存儲控制器和存儲設備構成的完全安全的環境。管理架構是一個難題。
所有人團結起來
加密是一個很難纏的問題，主要是因為性能問題和管理的復雜性。如果想要有效并且具有可管理性的加密，需要解決的問題就不僅僅是密鑰管理的問題，盡管這可能是其中最重要的一步。還需要從用戶一直到設備的標準架構。不同的標準組織應該聯合起來，也就是說，像The OpenGroup (POSIX)、IETF、ANSI T10、T11和T13這些組織都應該致力于SAN設備的相關標準，如果FCoE是未來的存儲發展趨勢，我們甚至還要對FCoE也加以考慮。
加密今天唯一解決的一個問題是：磁帶的加密，這樣我們就可以將™郵寄運輸，而不用想磁盤驅動器一樣擔心數據的加密。對磁盤驅動器進行加密，這樣如果卸載磁盤驅動器就不能對其進行讀取。這些解決方案解決了現實環境中諸多問題，但是不能解決類似TJX系統被侵入這樣的問題，其因此損失了數百萬美元。。
我認為，在開始實施端對端加密之前，我們必須解決兩個短期內的主要問題。首先，我們需要找出如何不利用CPU在主機加密的方法，因為雖然現有的CPU技術仍然為物理應用提高了足夠的計算能力，但是無法以線速率進行加密和解密。
其次，我們需要端對端標準解決數據路徑和數據遷移環境中的加密和密鑰管理問題。也就是說，必須利用像NFS、ftp、插槽和其他一些遷移方法。這對標準組織和必須執行這些標準的廠商來說都是一個重要要求。
我想，我們現在離數據安全的世界還差得遠，是的，一些廠商有特定于某些供應商的解決方案，但是我們永遠需要有一個在標準框架內的東西，我們將不得不讓每個人都朝著同一個方向前進。
