應(yīng)用安全密碼學(xué)的算法基本上都是很成熟的算法，對(duì)應(yīng)剛才說(shuō)的三大課題，其實(shí)在密碼學(xué)里有三大類的算法，有對(duì)稱密鑰算法和雜湊算法和非對(duì)稱密鑰算法，當(dāng)然他們并不是一個(gè)算法只解決一個(gè)問(wèn)題，有時(shí)候是多類算法聯(lián)合起來(lái)，可以實(shí)現(xiàn)剛才安全的服務(wù)，所以這是三大類算法。

說(shuō)到密碼學(xué)，有重要地一點(diǎn)，就是密鑰，因?yàn)樗械臇|西都是靠密鑰實(shí)現(xiàn)保護(hù)的，那么密鑰的管理就包括密碼的生成、密鑰的生成、密鑰的存儲(chǔ)和交換、密鑰的使用、更替、銷毀等等，這些都是很重要的課題。比如說(shuō)密鑰生成，通常做數(shù)據(jù)加密的時(shí)候，我們都會(huì)用所謂的對(duì)稱加密算法，用一個(gè)128或者256比特的密鑰，這個(gè)密鑰通常就是一個(gè)簡(jiǎn)單的隨機(jī)數(shù)或者通過(guò)一個(gè)隨機(jī)數(shù)通過(guò)特定運(yùn)算生成，但是對(duì)這個(gè)隨機(jī)數(shù)就會(huì)有一寫(xiě)要求，比如說(shuō)我們隨便在電腦上調(diào)一個(gè)高級(jí)語(yǔ)言的函數(shù)產(chǎn)生一個(gè)隨機(jī)數(shù)，這個(gè)隨機(jī)數(shù)我們叫偽隨機(jī)數(shù)，都是靠算法實(shí)現(xiàn)的，是可重現(xiàn)的，如果是這種方式實(shí)現(xiàn)隨機(jī)數(shù)，來(lái)生成一個(gè)密鑰，那是非常不安全的，所以通常來(lái)說(shuō)安全的方法一定要有一個(gè)真正的隨機(jī)數(shù)，這個(gè)只能是靠硬件實(shí)現(xiàn)，而不能靠軟件實(shí)現(xiàn)。

密鑰其實(shí)有很多很多種，根據(jù)我們最佳實(shí)踐，最安全的方法是一個(gè)密鑰只能是做一件事，而且一個(gè)密鑰只能是保護(hù)盡量少的數(shù)據(jù)，如果一個(gè)密鑰保護(hù)了太多的數(shù)據(jù)，密鑰被破解的幾率就會(huì)大大增加。我們可以看到一系列各種各樣的密鑰，比如對(duì)稱加密密鑰、非對(duì)稱密鑰，隨機(jī)數(shù)生成密鑰、簽名密鑰、驗(yàn)證密鑰、交換密鑰、導(dǎo)入導(dǎo)出密鑰等等，五花八門(mén)。

剛才我簡(jiǎn)單的介紹了跟安全有關(guān)的一些密碼學(xué)的知識(shí)，下面再來(lái)看一看落到存儲(chǔ)系統(tǒng)里，數(shù)據(jù)安全到底要保護(hù)什么數(shù)據(jù)，我們的數(shù)據(jù)可以分為三大類，第一，動(dòng)態(tài)數(shù)據(jù)，第二，靜態(tài)數(shù)據(jù)，第三，工作數(shù)據(jù)。

什么是靜態(tài)數(shù)據(jù)？靜態(tài)數(shù)據(jù)就是已經(jīng)保存到到存儲(chǔ)介質(zhì)上的數(shù)據(jù)，這個(gè)數(shù)據(jù)一定要保護(hù)，不然別人把你的盤(pán)偷走了，你的數(shù)據(jù)就沒(méi)有了。第二，動(dòng)態(tài)數(shù)據(jù)，因?yàn)閿?shù)據(jù)不是靜止的，特別是現(xiàn)在的分布式時(shí)代，數(shù)據(jù)應(yīng)用程序在很遙遠(yuǎn)的地方，要從存儲(chǔ)設(shè)備把數(shù)據(jù)讀取出去，都要經(jīng)過(guò)各式各樣的網(wǎng)絡(luò)和網(wǎng)關(guān)以及各種各樣的服務(wù)器，這個(gè)數(shù)據(jù)在流動(dòng)過(guò)程里任何時(shí)候都可能會(huì)被別人攔截，所以動(dòng)態(tài)數(shù)據(jù)是需要保護(hù)的。還有正在被使用的數(shù)據(jù)，比如你把數(shù)據(jù)已經(jīng)從數(shù)據(jù)中心拿到本機(jī)了，你在使用它肯定會(huì)在內(nèi)存里留下痕跡，這個(gè)時(shí)候也有可能別人如何黑到你的電腦里，你正在使用這個(gè)數(shù)據(jù)，也會(huì)被人竊取，所以這個(gè)是安全領(lǐng)域需要解決的三大類數(shù)據(jù)的保護(hù)。

這個(gè)圖是來(lái)自ISO關(guān)于存儲(chǔ)安全的一份文檔的圖，描述了數(shù)據(jù)從左側(cè)到最右側(cè)，右側(cè)是存儲(chǔ)設(shè)備，就是靜態(tài)的數(shù)據(jù)，在最左側(cè)是一些客戶端，在使用數(shù)據(jù)，或者說(shuō)產(chǎn)生一些數(shù)據(jù)，數(shù)據(jù)總是有的地方產(chǎn)生，我們姑且稱之為數(shù)據(jù)源，這些數(shù)據(jù)中間要經(jīng)過(guò)網(wǎng)絡(luò)，網(wǎng)關(guān)和各個(gè)服務(wù)器，最終到存儲(chǔ)設(shè)備，我們選擇安全的時(shí)候，必須要選擇在什么地方去實(shí)現(xiàn)數(shù)據(jù)的加密，我們可以選擇在應(yīng)用層加密，也就是我的數(shù)據(jù)一產(chǎn)生就把它加密，把數(shù)據(jù)發(fā)送到網(wǎng)絡(luò)，發(fā)送到存儲(chǔ)的系統(tǒng)過(guò)程之前，就把它加密，這樣是最安全的，我們就不用保護(hù)網(wǎng)絡(luò)了，我們也不用保護(hù)存儲(chǔ)設(shè)備了，數(shù)據(jù)一產(chǎn)生就被加密了。

第二類方式，我們選擇在文件系統(tǒng)加密，因?yàn)槟闳ジ囊粋€(gè)應(yīng)用程序，比如應(yīng)用程序產(chǎn)生數(shù)據(jù)的時(shí)候，一定要加密，這個(gè)很嚴(yán)格，你要改應(yīng)用程序，太多了，我們不妨選擇在文件系統(tǒng)層加密，應(yīng)用程序調(diào)用標(biāo)準(zhǔn)的文件訪問(wèn)接口讀取文件的時(shí)候，我們寫(xiě)文件的時(shí)候加密，讀文件的時(shí)候解密，文件系統(tǒng)，不管是集中式的文件系統(tǒng)還是分布式的文件系統(tǒng)，都有一些加密的文件。

另一個(gè)選擇，可能在網(wǎng)絡(luò)層加密，做一個(gè)加密網(wǎng)關(guān)，數(shù)據(jù)在這里就加密要讀出去時(shí)候解密，這是網(wǎng)絡(luò)層。

最后一個(gè)層，在存儲(chǔ)設(shè)備層來(lái)加密，這是最底層的加密，理論來(lái)說(shuō)在應(yīng)用層加密是最安全的，但是它最復(fù)雜的，存儲(chǔ)設(shè)備層加密是相對(duì)最簡(jiǎn)單的，但是是最不安全的，前面還有一條暢長(zhǎng)的路，沒(méi)有得到保護(hù)。