您好,欢迎访问山东渔翁信息技术股份有限公司官方网站
渔翁信息

专注密码硬件研发生产定制

咨询热线: 400-6686-188

产品中心

热门产品

联系我们

咨询热线:400-6686-188

市场合作:孙经理:13806311977

售后服务:房经理:0631-5651692

邮箱:support@fisherman-it.com

地址:济南市高新区齐鲁软件园F座

新闻中心 您的位置:首页 > 新闻中心 >

数据加密

文章出处:渔翁信息作者:渔翁信息人气:发表时间:2018-09-13 14:45

1.从密码生成的硬件或软件获得数据加密密钥,此种密钥通常是对称加密密钥。

2.用对称加密密钥加密明文,把密文保存到存储平台。

3.用主密钥加密数据加密密钥,把其上传到存储平台。

部分重要术语有:

·加密区域(EZ):加密区域是HDFS中的目录及其所有内容,即其中的每个加密文件与子目录。此目录中的文件将在写入时被透明加密,并在读取时被透明解密。每个加密区域都与创建区域时指定的密钥相关联。加密区域中的每个文件还有其自己的加密/解密密钥。系统从不永久存储这些DEK,除非用加密区域的密钥对其加密。该加密DEK叫做EDEK。EDEK会作为Name Node上的文件元数据的一部分永久存储。密钥可有多个密钥版本,每个版本均有自己不一样的密钥材料。通过修改加密区域的密钥可实现密钥旋转,即提高其版本。然后,通过用新的加密区域密钥重新加密文件的DEK来实现单文件密钥轮换,以创建新的EDEK。加密密钥可通过密钥的名称或通过特定的密钥版本获取。

·加密区域密钥(EZK):对加密区域的数据加密密钥进行加密的密钥,可以是对称密钥,也可以是非对称密钥。

·数据加密密钥(DEK):执行数据加密的密钥,是对称加密密钥。

·密钥管理服务(KMS):KMS服务是可与代表HDFS守护程序和客户端的后备key store交互的代理。后备key store和KMS均实施Hadoop Key Provider客户端API。加密和解密EDEK完全发生在KMS上。更为重要的是,客户端请求创建或解密EDEK时从不处理EDEK的加密密钥。在加密区域中创建新文件时,NameNode会要求KMS生成使用加密区域的密钥加密的新EDEK。从加密区域读取文件时,NameNode给客户端提供文件的EDEK与加密EDEK的加密区域密钥版本。然后,客户端请求KMS解密EDEK,包括检查客户端是否有权访问加密区域密钥版本。如果成功,客户端将借DEK解密文件内容。读取和写入的全部步骤均将自动由DFSClient、NameNode与KMS间的交互进行。借助正常的HDFS文件系统权限控制访问加密文件数据与元数据。通常情况下,后备key store配置成仅允许最终用户访问用来加密DEK的加密区域密钥。这意味着HDFS可安全地存储与处理EDEK,因HDFS用户将不能访问EDEK加密密钥。也就是说,如果HDFS受到破坏,恶意用户将只获得已加密文本和EDEK的访问权限。这不会带来安全威胁,因为加密区域密钥的访问权限由KMS和key store的一组单独权限控制。

·EDEK:数据加密密钥的加密密钥。

下一篇:密钥管理服务 上一篇:api认证是什么
  1. 一键分享到

返回顶部