1． 技術背景介紹

近年來，跨數(shù)據(jù)中心的大數(shù)據(jù)遷移需求日益旺盛，一方面是由于云計算技術的發(fā)展使得數(shù)據(jù)中心之間的數(shù)據(jù)共享變得更容易，另一方面是企業(yè)業(yè)務的訴求推動。比如，跨站點的虛擬機容災恢復技術，就需要傳輸虛擬機鏡像這類大文件（通常幾十個G）；在比如，跨站點的虛擬機整機遷移技術，也需要傳輸鏡像文件。

云環(huán)境一般采用的方式是建立一個私有網(wǎng)絡，實現(xiàn)站點間的點對點傳輸，這樣可以保證傳輸效率，而且和公網(wǎng)隔離，安全性高。不幸的是，建立私有網(wǎng)絡通道的成本太高，而且，跨國站點還需要獲得當?shù)卣脑S可，手續(xù)繁瑣。

另一種方式是利用公網(wǎng)完成數(shù)據(jù)傳輸。這種方式的挑戰(zhàn)是要確保數(shù)據(jù)的安全傳輸，以及高吞吐量，同時要具備可擴展性?，F(xiàn)有的網(wǎng)絡安全傳輸機制，比如公鑰授權（PKI），SSL／TLS協(xié)議，可以提升公網(wǎng)環(huán)境下的數(shù)據(jù)安全性。盡管這些機制在不斷的加強和改進，但是使用公共網(wǎng)絡作為底層數(shù)據(jù)傳輸意味著發(fā)送方和接收方實體不能通過設計來控制數(shù)據(jù)傳輸路徑中的所有節(jié)點。因此，這些機制可能仍然容易受到竊聽、偽裝和其他類型的網(wǎng)絡攻擊。

2． VMWARE專利方案

2．1 總體架構

本專利通過區(qū)塊鏈技術，云存儲服務，實現(xiàn)了在公網(wǎng)環(huán)境下安全，高性能數(shù)據(jù)傳輸技術，有效解決了跨站點大數(shù)據(jù)傳輸?shù)耐袋c。

系統(tǒng)環(huán)境中，發(fā)送者位于第一個站點，接收者位于第二個站點，兩個站點可能是地理位置隔離的辦公地點或者數(shù)據(jù)中心。發(fā)送者可以將大容量的虛擬機鏡像文件發(fā)送給接收者（通常在容災恢復場景以及虛擬機整機遷移場景）。這兩個站點通過網(wǎng)管接入公網(wǎng)，可以同時訪問區(qū)塊鏈網(wǎng)絡以及云存儲網(wǎng)絡。

區(qū)塊鏈網(wǎng)絡為雙方提供安全的認證機制以及可信傳輸機制；云存儲網(wǎng)絡則提供高性能數(shù)據(jù)傳輸?？梢院唵螌^(qū)塊鏈網(wǎng)絡理解為傳輸控制面，云存儲網(wǎng)絡理解為傳輸數(shù)據(jù)，二者各司其職。

2．1．1區(qū)塊鏈網(wǎng)絡

通過區(qū)塊鏈網(wǎng)絡，發(fā)送方和接收方可以在公網(wǎng)環(huán)境下安全的交換信息。這些信息被加密后保存在區(qū)塊鏈上，利用強大的算力做背書，防止數(shù)據(jù)被篡改。而且只有接收方才能利用私鑰將信息解密后查看?？梢赃x擇比特幣，萊特幣等主流的區(qū)塊鏈網(wǎng)絡。

2．1．2云存儲服務

云存儲為數(shù)據(jù)傳輸提供高性能傳輸通道，發(fā)送方上傳到云存儲后，接收方從相同地址下載。存儲服務包括下載地址，賬號密碼等信息，提供數(shù)據(jù)安全保證。目前主流的公有云對象存儲服務包括亞馬遜的S3，Google Drive，Dropbox，微軟的One－Drive等等。

2．1．3 HBDT模塊

HBDT全稱為Hybird Blockchain－based Data Transfer（混合區(qū)塊鏈數(shù)據(jù)傳輸），同時部署在發(fā)送方和接收方，屬于核心的通信裝置。HBDT需要利用區(qū)塊鏈網(wǎng)絡傳輸數(shù)據(jù)控制信息，所以，包含一個或多個區(qū)塊鏈客戶端，同時，HBDT需要具備和云存儲通信的能力，完成大數(shù)據(jù)量傳輸工作，下面的流程展示了HBDT的主要功能。

2．2 總體流程

發(fā)送方通過區(qū)塊鏈向接收方轉移一個token，其內容包含數(shù)據(jù)所在的云存儲信息，元數(shù)據(jù)信息等，也就是將數(shù)據(jù)的下載地址告訴接收方。然后，接收方通過私鑰提取出數(shù)據(jù)地址信息后，回復一個token表示ACK。

接著，發(fā)送方將數(shù)據(jù)上傳到云存儲網(wǎng)絡，同時，接收方從相同的云存儲地址下載數(shù)據(jù)。上述過程會不斷重復，直到數(shù)據(jù)下載完成，具體流程如下圖所示：

本專利方案有以下幾點優(yōu)勢：

1）實現(xiàn)了公網(wǎng)環(huán)境下的數(shù)據(jù)傳輸，節(jié)約成本；

2）與現(xiàn)有的安全傳輸機制相比，專利方案提供更加安全，防篡改的特性，抵御多種網(wǎng)絡攻擊。這得益于區(qū)塊鏈網(wǎng)絡的特點；

3）區(qū)塊鏈網(wǎng)絡只負責完成控制面數(shù)據(jù)傳輸，云存儲網(wǎng)絡則負責數(shù)據(jù)面?zhèn)鬏?。這主要是因為，公有區(qū)塊鏈網(wǎng)絡的性能較低，而且傳輸成本比較昂貴（例如，比特幣網(wǎng)絡1MB數(shù)據(jù)大概需要3美元），所以，將大體量的數(shù)據(jù)面信息通過價格低廉的云存儲網(wǎng)絡傳輸；

控制面和數(shù)據(jù)面解耦后，系統(tǒng)的架構更加靈活，擴展性更強，可以組裝不同的公有區(qū)塊鏈網(wǎng)絡以及多個云存儲服務。

2．3 認證流程

區(qū)塊鏈的token交易信息中，交易發(fā)起方可以在交易信息中記錄一些私有信息（只有接收方可見）。認證流程就是利用這些私有信息，交換公鑰和證書，完成雙方的身份確認。具體流程如下：

2．4 token交換流程

發(fā)送方將元數(shù)據(jù)信息，云存儲地址信息寫入token交易的私有信息中，然后，將token發(fā)送到接收方的區(qū)塊鏈地址上。其中，DSpec表示元數(shù)據(jù)信息，例如，數(shù)據(jù)長度，CSpec表示云存儲信息，例如，存儲對象的URL地址、登錄賬號等信息。

接收方收到token后，用私鑰解密出私有信息后，進行校驗，然后，將校驗結果通過token私有信息發(fā)送回去，完成確認。具體流程如下：

2．5 云存儲上傳／下載流程

發(fā)送方將數(shù)據(jù)上傳到約定的云存儲地址上，然后，接收方開始下載，一旦下載完成，則刪除數(shù)據(jù)，并發(fā)送一個token給發(fā)送方，通知本輪數(shù)據(jù)傳輸已完成，可以進行下一輪數(shù)據(jù)傳輸。發(fā)送方收到token后，確認下載完成，則重復上述過程進行下一輪數(shù)據(jù)上傳，知道所有數(shù)據(jù)全部傳輸完成，具體流程如下：

3． 總結

數(shù)據(jù)的安全性一直是云計算領域的重要問題之一，特別是公網(wǎng)環(huán)境下的公有云。而區(qū)塊鏈技術作為可信數(shù)據(jù)傳輸?shù)妮d體，為云計算領域帶來了全新的問題解決思路。相信在未來，區(qū)塊鏈的安全技術會在越來越多的領域發(fā)揮它的價值。

審核編輯：符乾江