存储安全年度回顾：行业标准与技术演进
题目：Storage Security Year in Review
演讲者：Eric Hibbard, CISSP, FIP, CISA, Director, Prodcut Planning-Security, Samsung Semiconductor, Inc.
会议：SNIA Compute, Memory, and Storage Summit
日期：2024年5月22日
我将进行一次存储安全年度回顾，简要概述过去九个月左右发生的一些重要事件，希望能给大家带来一些启发。
首先，让我们从威胁概述开始。总体而言，情况与去年类似，勒索病毒和数据泄露等传统攻击类型仍然猖獗，有时结合在一起形成混合攻击。供应链攻击也依然频发，服务商成为主要目标之一。在常规网络攻击方面，国家层面仍然重点关注关键基础设施，而医疗保健行业也成为热门目标。此外，有组织的犯罪分子仍活跃在银行、金融和政府网站领域。数据泄露事件频发，涉及上述各种攻击类型，并出现了许多新的恶意软件和漏洞。值得注意的是，攻击者开始利用AI来执行部分攻击活动。
面对这些威胁，我们该如何应对？众多标准和行业参与者共同构成了存储安全领域的防护网。要深入了解每个参与者的工作内容，可能需要花费两到三个小时。左侧是ISO、IEC和ITU等正式机构，它们为标准制定提供支持并协调各方合作。右侧则是制定各种规范的行业参与者。在存储领域，所有这些参与者都在不同程度上采用了与存储安全相关的标准和规范。
接下来，我将详细介绍一些具体内容。大家可能听说过ISO 27040。这是该标准的第二版，预计将于2024年1月发布。它全面涵盖了存储安全的各个方面，包括要求和指导。与之前的版本相比，这一版明确区分了要求和指导，使得内容更加清晰。它还包括了审计员检查表，为实施者提供了实用的指导。
该文档的结构已经发生了重大变化，与新版的27002标准保持一致，这是27000系列安全标准中的重要一员。因此，控制措施主要围绕组织、人员、物理和技术等方面展开。技术控制集在这里占据了主导地位。此外，该标准还参考了IEEE标准2883中关于介质特定标准化的内容。
与上一版相比，新版标准移除了大部分内容，并引入了针对不同技术的许多新控制措施，如IPMI、NVMe-oF、存储系统安全、数据归档和存储库以及备份等。此外，还补充了网络恢复机制。
与此相关的是，新的27002标准于2022年发布，并特别引用了27040标准中关于备份安全和介质销毁等方面的内容。尽管这一引用发生在27040第二版发布之前，但它并没有局限于2015年版本的存储安全标准。
接下来是IEEE 2883标准，它涉及存储销毁方面，于2022年发布。该领域的工作仍在继续，目前至少有三个与存储销毁相关的项目正在进行中。我将这些视为指导性标准，并正在研究如何利用存储销毁方法处理虚拟化或云销毁（在27040中称为逻辑销毁）。此外，还有一个新项目致力于探讨清除和破坏类机制的含义以及如何处理新形式的存储技术。此外，关于发现、认证和授权以及主机连接到存储设备的1667标准也有所更新。
如果您熟悉IEEE 1619标准的XTS标准，那么您可能知道该标准正在进行修订以解决一些发现问题。更重要的是，该标准与NIST紧密合作，他们希望更新特殊出版物800-38E以允许XTS成为FIPS 140认证的批准加密模式。一旦完成，将会有一个新版本的1619发布，而800-38E将指向这个新版本并解释任何可能的注意事项或问题。
在可信计算组织方面，存储领域也非常活跃。在过去的九个月到一年里，我们看到了Key Per I/O标准化通知的发布以及测试用例文档的开发。Opal SSC进行了一些调整，并有一个新版本（即2.3版）正在开发中，已接近公开审查阶段。此外，存储架构核心规范正在进行修订，目标是最终发布3.0版本，并且目前有多个功能集正在修订或开发中，其中许多是作为Opal SSC的补充。
在可信计算组织的其他部分，认证工作组发布了一个认证框架的第一部分，涉及术语概念和要求等方面的内容。在DICE工作组下，正在开发一个保护环境规范。设备简明证据绑定用于SPDM已经发布，以及设备薄型防火复合引擎的硬件要求。
最后，让我们来看看开放计算项目（OCP）中与安全和存储相关的一些内容。OCP数据中心NVMe SSD规范2.5版本于去年10月或11月发布，对先前版本的安全要求进行了重大更新。同期，OCP还发布了关于片上系统（SOC）Root of Trust规范和RTL的Caliptra 1.0版。此外，一些公告已经发布，其中包括OCP分层开源加密密钥管理（OCP L.O.C.K.），该服务正在开发中。同时，OCP的安全评估框架和S.A.F.E.计划也已建立。在S.A.F.E.框架下，固件和产品可以根据认可的评估者和既定的标准进行评估。
然后，是SNIA，今年有一些重要进展。他们发布了几篇白皮书。一篇是关于加密和密钥管理的，另一篇是关于光纤通道安全的。这两篇论文都被新的27040标准所引用。在27040中，先前的教程材料基本上都被移除了，现在则指向了这两篇来自SNIA的文档。此外，还引用了第三篇文档，即SNIA数据保护最佳实践。这篇论文正在与SNIA合作开发，将对第一版进行重大改写。
此外，SNIA有多个版本的存储系统TLS规范，目前版本2.2正在修订中，并且正在与ISO IEC 20648进行精心协调。因此，该标准的第二版正在制定中，预计这两个版本将以最终形式同步发布。
在DMTF中，值得注意的活动包括组件测量和认证（CMA）SPDM和PCIe ID活动。这可以看作是一种传输方式，允许通过ID实现完整性和数据加密机制。因此，这是一种用于与某些类型的存储设备一起使用的链路加密方法。
还有安全协议和数据模型，更常见的是SPDM。目前，有1.0、1.1和1.2版。目前看来，1.2版似乎是目前最具提升的版本。1.3版于去年5月发布，目前正在进行1.3.1版本的工作。预计在未来一两个月内，我们将看到这个新版本发布。尽管它被标记为一个次要版本，但在1.3版和1.3.1版之间有很多变化和增强。
在PCI-SIG标准体系下，PCIe IDE技术有望成为一种保护主机与存储设备之间通信的安全工具，而这在过去一直缺乏必要的支持和功能。因此，相关规范已经基本完成，我们观察到供应商正朝着统一的方向发展，即主机端和驱动端（如果可以这样称呼的话）都必须支持该技术，并解决相关的互操作性问题。可以说，我们目前正处于该领域发展的关键阶段。
这催生了下一个项目：TDISP，即PCI可信执行环境设备接口安全协议。设想一个受信任的虚拟机需要与存储设备的某个部分进行安全通信，TDISP协议就可实现这一目的。它本质上是在两个受信任端点之间建立安全通道。TDISP运行在PCIe IDE之上，提供链路加密，并负责处理可信执行环境之间的通信。要设置这些功能，可能需要类似SPDM的工具，用于建立IDE使用的密钥，然后再供TDISP使用。这是一个多层架构，涉及的细节比我刚才描述的还要多。
对于关注CXL的用户而言，还有一些需要关注的重点。CXL 3.1规范已经发布，后续版本的工作也已基本确定了诸多安全功能。从行业角度来看，我们正在审查这些安全功能，力求理解其影响和需要考虑的因素。例如，在多个服务器之间共享内存可能会带来一些挑战。如何防止这些服务器相互干扰？一种可能的解决方案是加密，但随之而来的问题包括加密的执行位置、密钥管理以及如何在内存扩展时保持高吞吐率。CXL确实具有一些很有吸引力的功能，但目前为止，我们尚未看到这些机制的实际应用。根据未来的用例，很可能需要一些安全功能。
最后是NVMe over Fabrics。从安全角度来看，它理论上允许在NVMe领域中共享存储设备。为了实现这一目标并增强安全性，我们看到了使用传输层安全 (TLS) 来协助处理链路加密和可能的认证。这涉及许多组成部分，其中许多规范已经或即将完成，用例正在制定，供应商们正携手探讨当前和未来所需的功能。这就是目前正在进行的事情。
接下来，让我们简要探讨一下后量子密码学。加密是解决这些问题中的关键技术之一。在标准制定方面，NIST发布了三份FIPS 203、204、205草案，这些草案主要定义了一些算法，旨在应对未来量子计算带来的挑战。
与此同时，NSA发布了CNSA 2.0版本。值得注意的是，CNSA制定了一份时间表，明确要求根据加密密钥管理功能的使用方式，在特定日期之前采用这些算法。该时间表规定了2030年和2033年的截止日期。
现在重要的是要牢记，这项技术已经全面投入使用。这意味着在此之前会有一个逐步过渡的阶段。这一点在CNSA的材料中有所体现。因此，这对存储行业的影响非常迅速，因为从供应链的角度来看，为了满足政府设施中的这些需求，供应商及其供应链中的各个环节都需要采取积极的行动。因此，我们预计在2025年、2026年，甚至可能在2027年，产品将必须具备这些功能。当然，目前这些算法还处于草案阶段，但我们预计在不久的将来，这些问题将得到解决。
总而言之，存储安全威胁形势依然严峻且不断演变。我们观察到越来越多的存储安全需求，尤其是对认证和链路加密的需求，以及对平台级和设备级内部安全机制的需求和开发。
与此同时，复杂性和相互依赖性也在不断增加。我提到的TDISP就是一个很好的例子，它并非孤立存在，还有其他相关场景值得关注。我认为，对于许多行业参与者而言，一个重大的挑战是后量子密码学（PQC）的要求和时间表如何演变。PQC的应用无疑将对客户和供应商都产生重大影响，这将是一个复杂且长期的过渡过程，需要各方共同努力，积极应对。
--【本文完】---
近期受欢迎的文章：
更多交流，可添加本人微信
（请附姓名/单位/关注领域）