YDT 2390-2011 通信存储介质（SSD）加密安全技术要求

本标准是通信存储安全系列标准之一，该系列标准预计发布如下 《IP存储网络安全技术要求》《IP存储网络安全测试方法》 《通信虚拟磁带库（VTL）安全技术要求》《通信虚拟磁带库（VTL）安全测试方法》 《通信存储介质（SSD）加密安全技术要求》《通信存储介质（SSD）加密安全测试方法》 随着灾备相关技术和业务的发展，还将制定后续相关标准。本标准按照GB/T 1.1-2009给出的规则起草。 本标准由中国通信标准化协会提出并归口。 范围 本标准规定了固态硬盘（SSD，Solid State Disk）加解密系统架构、加解密流程、身份认证模块要求、加解密算法模块要求和密钥管理模块要求等内容。 本标准适用于固态硬盘产品。 2 规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件，凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件. IEEE P1619：块存储设备数据密码保护标准（IEEE Standard for Cryptographic Protection of Data on Block-Oriented Storage Devices） IEEE P161921共享存储介质的宽数据块加密标准（IEEE Standard for Wide-Block Encryption for Shared Storage Media） 3 术语、定义和缩略语 3.1 术语和定义 以下术语和定义适用于本文件 3.1.1对称密码算法 Symmetric Cryptographic Algorithm知密密钥与解密密钥相同，或容易由其中任意一个密钥推导出另一个密钥的密码算法。 3.1.2散列算法 Hash Function又称为杂凑算法、哈希算法或数据摘要算法，是能够将一个任意长的比特串映射到一个固定长的比特串的一类函数。 3.2 缩略语 下列缩略语适用于本文件. AES Advanced Encryption Standard高级加密标准 SHA Secure Hash Algorithm安全散列算法 SSD Solid State Disk因志硬盘 4 SSD加解密系统架构 SSD加解密系统应包括模式设置模块、身份认证模块、加解密算法模块及密钥管理模块4个部分，整个系统架构如图1所示。 模式设置模块负责设置硬盘的工作模式，SSD加密硬盘应支持认证模式和不认证模式两种使用模式，模式设置模块可将认证模式变更为不认证模式或者将不认证模式变更为认证模式。 身份认证模块负责鉴别SSD硬盘使用者是否为合法用户，SSD硬盘启用认证模式后，用户应通过身份认证才能使用SSD硬盘。 加解密算法模块包括加密模块与解密模块，负责硬盘数据和会话密钥的加解密处理。 密钥管理模块负责密钥的生命周期管理，管理的密钥包括用户密钥、主密钥及会话密钥。用户密钥用于用户的身份认证，主密钥用于用户密钥丢失后的重置，会话密钥用于硬盘数据的加解密。 5 加解密流程 5.1 SSD 加密硬盘保留区 SSD加密硬盘应设置保留区作为安全区域，用于存放加密系统所需的用户密钥、主密钥、会话密钥等信息，出厂时在保留区中存放明文形式的缺省会话密钥。系统应保证该明文的可靠性，在工作状态下，没有途径可获取。保留区应至少有4份，互为备份，系统应支持保留区发生故障时的数据迁移，始终保证系统有4份可用的保留区， 5.2 SSD 加密硬盘使用模式 SSD加密硬盘应支持两种使用模式： ——不认证模式。在该模式下，用户可将该硬盘作为正常不加密的硬盘使用，不必设置用户密钥、主密钥和会话密钥，用户不必经过身份认证即可使用SSD硬盘；SSD硬盘上的数据为加密数据，硬盘使用出厂时的缺省会话密钥对写入的数据加密，对读出的数据解密。系统不要求身份认证，允许任何人使用硬盘. -认证模式，在该模式下，SSD硬盘为需要身份认证的加密硬盘。用户应设置用户密钥、主密钥和会话密钥，用户应使用用户密钥通过身份认证才能使用SSD硬盘；SSD硬盘上的数据为加密数据，使用会话密钥加解密；用户密钥的重置使用主密钥。 5.3 模式设置模块 系统应支持上电启动时进行模式设置和系统正常启动之后进行模式设置。模式设置模块应支持SSD固态硬盘从不认证模式进入认证模式，或者从认证模式进入不认证模式。进行模式设置的时候应允许用户选择保留硬盘原有数据或放弃全部数据.SSD固态硬盘在出厂时应设置为不认证模式，用户可在上电启动流程中通过热键等方式进入模式设置，改变固态硬盘的认证模式。用户也可在系统正常启动之后通过软件进行模式设置，改变固态硬盘的认证模式。模式设置模块流程如图2所示。 在模式设置1中，将生成新的会话密钥，对原硬盘数据进行先解密后加密的处理，并进行认证模式保留区初始化；模式设置1模块流程如图3所示。