吴冬凌：内外兼修，方可保证数据安全无忧

从全球数据发展情况来看。目前谷歌、微软、亚马逊、苹果以及Facebook是资金投入最大的五家超大规模运营商，在2018年第三季度占整体260亿美元市场规模的70%，并将资金主要用于扩展和装备自己的。

在国内，阿里巴巴率先进入全球视野，在亚太领域中，阿里和腾讯进入亚太前五，据2018年数据显示，全球有超过四万个数据中心，其中99%以上是自有数据中心，以上也在代表着大家对数据的一种看法。

伴随数据量激增，除了数据容量变化以外，数据的分布和模式也发生了变化，右边的图大家可以看到，原来数据放在数据中心是集中的地方，现在从一个中心转网络边缘，这带来的巨大的挑战和冲击导致整个数据产生和发展的模型与布局发生了变化，意味着数据带来的风险也会逐步提升。

再加上数据必然会落实到某一种存储介质上，这里援引数据来帮助我们看到目前数据存储介质是什么样的状态，从左边的图上我们可以看到目前超过五成的数据放在HDD上，26%放在闪存上。

伴随着现在数据分布模式的变化，企业应用数据的主体对于数据的分布处理的策略也跟随着发生变化。现在企业倾向于边缘和节点，更愿意用HDD部署。我们可以看到数据有非常大的价值，而伴随数据量增长，也必然会出现数据安全的问题。

2018、2019出现了很多比较著名的安全事件，大家关注互联网会看到，比如“WannaCry（永恒之蓝）”、“Mirai（僵尸网络，DDos）”、“黑暗力量BlackEnergy”、“震网（基础设施蠕虫）”、“火焰”、“心脏滴血”，这些告诉我们什么呢？

现在的信息安全问题是实实在在还有巨大的漏洞，需要不断优化。比如全球信息安全领导厂商卡巴斯基对黑客组织Equation Group的调查报告显示，Equation Group通过重新编码我们硬盘驱动器里边的部件，带来的效果是在未知情况下在我们盘上的固件里预埋一个东西在里边，这样无论对你的盘做什么格式化删除等操作，我们都完全无能为力。我们总结具备的特性叫持久化，在你的存储控制器里边已经埋入安全性种子。这是带来所有的数据巨大的威胁。

数据的价值讲了很多应用，数据的安全问题我们同样要去考虑。在这里我们可以看到网络攻击常态化伴随什么问题，发生攻击的成本越来越低，一个小时只需要五美元，你在网上20美金可以买到很多网络攻击操作手段，这带来的问题网络的安全和攻击随时发生在我们周围。

而数据泄露的平均成本从2017年的362万美元上升到2018年386万美元，2019到392万美元。平均每条失窃记录的成本从2017的141美元上升为148美元。

因此我们说网络威胁是现在永恒的话题，数据就是资产，现在进一步会看到对数据基础设施的攻击，已经形成了一种暴恐的手段，其实已经形成了国家主权的恐吓。

这并不是我们臆想，而是实实在在发生的事情。回过头来看，为什么出现那么多攻击，设计的IT系统不能穷尽所有逻辑组合，利用缺陷挖掘漏洞进行攻击是网络安全永远的命题。

为了应对现在的网络攻击，主动免疫的安全目标，为了确保安全计算任务的逻辑不会被篡改和破坏，从而需要正确计算。

做了背景分享，国科微首席安全技术官吴冬凌为大家分享了国科微在数据安全上的想法和工作。首先这里我们举一个让大家都很好理解的简单业务模型，就是我们去上网，在外部浏览器去找我们想要的东西，然后数据会落地到落盘，无论是网络盘还是本地盘都经过这样一个过程。

回溯整个过程，三个地方将存在被攻击的点——网络传输中被攻击，计算过程中被攻击，数据存取中可能被攻击。

网络传输攻击是数据没有被加密。对用户环节比较有意思，我们经常举的一个例子，打印资料时走到打印机面前等打印机工作，发现它没有响，而隔壁打印机响了，你可能想是我弄错打印机了，但是也可能你被攻击了。

国科微处理数据安全上是由内而外，最用心保护数据，方案分成两个维度。一个内刚，一个外柔。

一个系统化芯片对数据安全，包括存储加密芯片，存储可计算芯片，存储控制芯片，控制器最核心那一块，存储加密芯片保证数据传输过程中会安全加密，保证数据不会被别人窃取，运行过程中关心的核心业务不会被篡改。

有了芯片其实不够，芯片是小而专的东西，业务千奇百怪，光有内刚还不行，有一个外柔，外柔是通过我们软件包裹场景，这样定义外柔，通过软件的设计实现满足业务上的高弹性和业务需要，同时软件系统会跑到主机上，对主机和操作系统的适配是我们看重的问题。

右边的图大家可以看到，这个是很简单的例子，这是一个服务器，前面可以看到有很多很多2.5寸盘，通过310盘保障数据的安全。第二个中间可以看到我们有加密卡有可信计算卡。

刚才提了我们内刚是芯片，我们现在策略基于芯片的安全构建我们整体安全，从芯片的安全分成几个大的框架，最下边基础的功能包括HASH，对称加密和非对称加密、安全存储等等，把这些东西打包构建我们芯片安全重要的步骤，基于芯片安全我们构建上层应用。

关于国科微的存储芯片产品，是GK2301系列芯片。拥有核心的自主知识产权，芯片版图，源代码以及信息安全保密建设，通过了严苛安全审查。 

还有就是GK2302系列，2019年4月，公司发布国内首款全自主设计固态硬盘控制芯片GK2302，搭载龙芯嵌入式CPU IP核。同时，该芯片通过国内首款获得国家密码管理局、中国信息安全测评中心双重认证。

有了芯片接下来汇报关于软件干了什么事，从这个图上可以简单的看到，我们通过软件去管理我们下边所有的这些芯片和芯片附带的产品，管理的什么事呢？实现芯片和芯片之间链路建设，保证所有传输的数据安全的，最常见的就是密钥，所有的空中传输一定是被保护的。

同时这个软件我们也做了X86、飞腾等平台的适配。安全保护只有双密算法不够的，需要有国密国测的认证，才能保证你做的事情满足了国家安全要求。

通过我们这个软件对外提供很多功能，签名的验签，标准的算法等，我们是全自主开发，有非常强的能力根据客户能力做定制，需要的场景安全自毁功能都可以。

最后提一下软件带来的好处，可以针对现有存储系统前端做一些新的优化。这个过程中所有加密过程发生在芯片里面，对于客户计算CPU没有损耗，我们叫加密存储性能无损失。

刚才给大家汇报了芯片和软件，所以说我们把芯片和软件合一放在一起，就看到了我们现在D3S高安数据存储解决方案，解决的典型场景存储要安全升级要做性能提速，做等保改造上一些工作，都可以选择我们D3S解决方案。

好处在于在你的升级过程中可以实现有客户投资利旧。第二既然可以利旧，新建系统也可以的。然后因为我们这个设计是采用无中心化设计，横向扩展能力非常好，可以提供大规模数据加密保存，提供这样的能力。最后会有非常强的加密芯片嵌入到系统里面，做这些数据功能的加持。

文章基于速记整理，未经演讲人审核，欢迎指正。

时间:2020-01-04 00:18  来源:    转发量:次