计算机网络中隐私信息安全存储系统整体架构设计及仿真实验验证研究

汤培新

(广州市人力资源和社会保障数据服务中心,广东 广州 510000)

0 引言

目前,信息数据的隐私安全已成为计算机网络领域中的研究热点。董子渔[1]提出一种基于SAN技术的隐私信息安全存储系统,通过采用SAN网络框架,将网络信息安全存储系统划分为管理调控模块、资源池模块、安全控制模块以及网络安全模块,通过各模块间的调度与协作,实现了隐私数据的储存与管理,有效提高了数据安全保护效率。但在使用中,该方法也存在存储量受限的问题,导致系统无法及时更新。许建峰等[2]提出一种基于Modbus/TCP的隐私信息安全存储系统,在硬件方面优化计算机网络的网关,实现了安全级DCS与非安全级DCS的Modbus/TCP协议转换,并通过对安全信息进行加密传输和口令认证,实现信息安全存储。此系统在保证隐私数据安全存储效率的基础上,降低了安全检测的读带宽和写带宽,使系统能够同时执行更多的安全存储任务。但在使用中,该系统也存在无法压缩数据的缺点,造成该系统占用计算机网络空间较大的问题。基于此,本研究通过提出一种基于Linux系统的隐私信息安全存储系统,通过选取Linux系统作为设计核心,最大限度地发挥数据加解密技术优势,以实现对iSCSI报文携带数据的加解密处理,达到安全存储的最终目的,且所需存储空间更小,更适用于实践应用。

1 隐私信息安全存储系统整体架构设计

1.1 系统整体设计

Linux系统是一种基于自由和开放源代码的操作系统,具有较强的安全性与稳定性,可在多种应用平台上运行,并能为使用者提供众多应用程序的工具,以满足用户的实际操作需求。

1.1.1 控制平面设计

本系统控制平面设计时充分借助了Linux系统的IPC机制,即基于Netlink Socket的内核态与用户态间的双向数据传输技术,实现了数据平面数据包的高速转发,切实提高了隐私信息安全存储系统的信息管理效率与报文处理效率[3]。结构如图1所示。

图1 控制平面CPU结构

1.1.2 数据平面设计

数据平面CPU在ZOL核上运行,主要负责隐私信息安全存储系统的业务逻辑处理。按照系统业务需求的不同,数据平面CPU共包括网络报文处理模块和3DES加解密模块两大部分,二者分别以不同的进程进行。其中,网络报文处理进程负责为系统生产数据,数据加解密进程则负责对数据进行加解密处理,并在处理完成后,将数据复原为最原始的报文格式,再从网口发送出去[4]。在本系统中,将35个CPU划分为30个CPU进行数据包处理,5个CPU进行数据加解密处理,以构建出性能最佳的CPU分配比例。且两个进程所使用的CPU数量也可根据系统的实际需求进行动态调整,使渠道隐私信息安全存储系统处于最佳工作状态。

1.2 功能模块设计

1.2.1 网络报文处理模块功能设计

网络报文处理模块作为隐私信息安全存储系统的功能模块之一,既负责从网口接收的报文中提取IPSAN系统传输的数据;也负责将数据加解密模块处理后的数据复原成最初接收时的报文格式,再传输给mPIPE,从网口中发送出去。详细工作流程如图2所示。

图2 网络报文处理模块流程

(1)TCP重组。

TCP重组是指信息系统在工作时,Linux内核会依据网络拥塞情况,将一段较长的TCP流分割成一定长度,然后再给其添加IP头部,并重新计算校验,最后封装成IP数据从网口发送出去。通过此流程,可有效避免数据丢失的情况发生,切实保证了隐私数据传输的安全性。

(2)iSCSI协议解析。

因隐私信息安全存储系统只对IPSAN系统传输的数据加解密,其他报文直接转发,所以iSCSI协议解析的目的是从携带数据的iSCSI报文中获取数据,其他报文并不做处理。在协议解析时,首选判定iSCSI报文类型,若是直接进行登录操作、注销操作的iSCSI报文,则直接转发;若是携带数据的iSCSI报文,则需获取携带的数据以及密钥索引(包括目标器名称、逻辑单元号等),最后将所涉及的隐私数据保存在网络缓存中,移交至加解密模块对数据进行加解密处理。

1.2.2 数据加解密模块功能设计

数据加解密模块的本质是通过复杂的加解密算法,对计算机网络中所传输的隐私数据进行加密处理。其模块流程如图3所示。从模块流程中可以看出,加解密模块首先从安全头获取密钥索引,然后再从密钥管理模块中查询密钥,最后将所查询到的密钥和数据一起传输到MiCA引擎中进行加解密处理,以保证隐私数据的安全性。

图3 数据加解密模块流程

密钥构成及管理。本系统中,数据加解密模块的核心功能是通过密钥管理才得以实现的。即将解密报文中的3个域(Logic Block Address、Target ID、LUN ID)作为密钥索引从密钥管理模块中查询密钥,有效保证了密钥的安全性。且在系统中,通过将以上3个密钥索引作为随机数种子,调取Linux系统的srand函数生成一组192bit随机字符串作为密钥,将密钥存储到SQLite数据库中,可防止黑客攻击所造成的数据丢失,极大地提高了密钥安全性。在实际操作时,只需在计算机本地磁盘中保存一个映射表,就可从SQLite数据库中查找到密钥索引所对应的密钥,完成数据加解密处理。

2 隐私信息安全存储系统仿真实验验证

为验证本文提出的基于Linux系统的隐私信息安全存储系统的应用效果,将基于SAN技术的信息安全存储系统与基于Modbus/TCP的信息安全存储系统作为对照组,进行仿真实验验证。

2.1 实验参数设定

仿真实验参数设定为:发送信息时的比特数1 bit、接收端与发送端之间的距离3 000 km、包速率3 pkt/s、平均时延3 ms、最大传输单位1 200 Byte、分组负载547 bytes。

2.2 存储量测试结果

存储量在计算机数据结构中是指算法执行过程时所需的最大存储空间,也指在SQLite数据库中存储数据的多少,计算公式为:存储量=存储单位个数×存储字长。设定主存地址寄存器为18位、主存数据寄存器为36位,在依据按字寻址范围为6 k的情况下,测试不同隐私信息安全存储系统数据存储量。测试结果如图4所示。

图4 3种隐私信息安全存储系统存储量测试结果

从存储量数据结果中可以看出:第一,当按字寻址范围达到6 000 k时,本文所提出的基于Linux系统的隐私信息安全存储系统的存储量可达到60 GB,基于SAN技术的信息安全存储系统存储量为54 GB,基于Modbus/TCP的信息安全存储系统存储量为57 GB,大小排序为本文所提出的系统>基于Modbus/TCP的系统>基于SAN技术的系统。第二,随着按字寻址范围的增大,本文所提出系统的存储量大小要普遍优于其他两种隐私信息安全存储系统。由此可见,本文所提出的基于Linux系统的隐私信息安全存储系统存储量要明显优于另外两个存储系统。根本原因在于本文所提出的隐私信息安全存储系统在设计初始,就通过设计数据加解密模块功能,对所要传输的隐私信息进行了加密与解密,以此提高了隐私信息数据存储量,避免了信息存储遗漏。

2.3 系统内存测试结果

隐私信息安全存储系统在运行时,CPU占用率越低,说明系统运行效果更好,表示系统具有较强的并发能力,可支持多个流程同时运行。设定最大储存数据大小为600 GB,测试不同隐私信息安全存储系统CPU占用情况。测试结果如图5所示。

图5 3种隐私信息安全存储系统系统内存测试结果

从图5中可以看出,当计算机储存数据量达到600 GB时,本文所提出的基于Linux系统的隐私信息安全存储系统的CPU占用速率为10.12%,基于SAN技术的信息安全存储系统的CPU占用率为11.23%,基于Modbus/TCP的信息安全存储系统的CPU占用率为11.97%,且随着存储数据的增大,本文提出系统的CPU占用率要明显低于其他两个系统,说明基于Linux的系统具有较好的并发性能,能支持多个流程同时运行,保障了数据的顺利传输。

3 结语

综上所述,通过仿真实验验证可以得出,本文所设计的基于Linux系统的隐私信息安全存储系统,存储量较高为60 GB,安全存储占用系统内存较低为10.12%。真正通过设计控制平面CPU和数据平面CPU的合理分配与网络报文处理模块与数据加解密模块的功能,实现了数据链的合理传输、数据的加密与解密,切实增强了计算机网络中隐私信息安全的存储效果,极大地提高了隐私信息的安全性,为通信传输提供了科学的安全保障,具有较强的实践推广价值。