[發明專利]一種Linux文件保護系統及方法有效

申請號：	201010196554.5	申請日：	2010-06-10
公開（公告）號：	CN101901313A	公開（公告）日：	2010-12-01
發明（設計）人：	任元;王戍靖	申請（專利權）人：	中科方德軟件有限公司
主分類號：	G06F21/00	分類號：	G06F21/00
代理公司：	暫無信息	代理人：	暫無信息
地址：	100080 北京***	國省代碼：	北京;11
權利要求書：	查看更多	說明書：	查看更多
摘要：
搜索關鍵詞：	一種 linux 文件保護系統方法
鉆瓜網技術展會專利詞庫專利權人專利榜在售專利公布日期熱門專利

【說明書】：

技術領域

本發明涉及信息系統及文件安全保護技術，尤其涉及一種Linux文件保護系統及方法。

背景技術

近年來，隨著個人計算機、辦公自動化的普及，保護敏感文件不被泄漏成為人們關注的熱點問題。系統入侵者除了直接竊取存儲信息，還可以通過網絡攻擊來竊奪文件數據；而且，由于共享的需求，敏感數據會有多人訪問，這也增大了數據泄漏的可能性。

目前，文件安全保護大體可分為三個層次：(1)身份識別：判斷是否是許可用戶，即對用戶身份做基于密碼的驗證；(2)訪問控制：基于用戶、組權限分配的自主訪問控制及基于使用最小特權原則的強制訪問控制；前者是Linux系統自帶的；而后者在大多數情況下，需要有極其復雜的配置或者需要修改文件系統才能實現，并且在許多時候會造成與其他應用程序的兼容性問題；(3)數據加密：對數據或文件進行加密已經成為一種公認的比較成功的保護方法。事實上，人們早已開發了許多優秀的加密算法，如，數據加密標準(DES，DataEncryption?Standard)、AES算法和RSA公鑰加密算法等，并且有一些應用程序，如crypt，即使用該程序的加密算法，用戶通過軟件工具手動完成加密和解密的工作。由于這些應用程序操作麻煩、沒有和整個系統緊密地結合而且容易受到攻擊，因此一般用戶并不愿意使用。透明加密文件系統的出現較好地解決了易用性的問題，它或與設備驅動緊密結合、或與文件系統緊密結合，為用戶提供透明存取的加密存儲服務。合法登錄系統的用戶用密碼將該文件系統掛載到系統上，該文件系統的文件以密文形式存在于磁盤，合法用戶可以像使用普通文件一樣使用這些文件。

現有的大多數文件保護方法，要么使用強制訪問控制來保護敏感文件的線上安全，要么使用透明加密文件保護敏感文件的線下安全，或者二者結合使用，甚至使用工具以手工方式去加、解密敏感文件。但這些方法都不能完全阻止用以下幾種方式非法獲取敏感文件的明文內容；如，進程仿冒可以穿透強制訪問控制，超級用戶可以很容易的得到透明加密文件系統中文件的明文，手工解密不能防止在解密后被其它非法入侵的用戶查看到明文內容。

發明內容

有鑒于此，本發明的主要目的在于提供一種Linux文件保護系統，以對文件提供動態和靜態安全保護緊密相結合的一體化保護，防止其被非法竊取、篡改、刪除或執行；同時保證許可進程能夠正常操作這些受保護的文件。

本發明的另一目的在于提供一種Linux文件保護方法，通過身份驗證、訪問控制與加密存儲技術的有機融合，對文件提供可靠的、使用方便的安全保護。

為達到上述目的，本發明的技術方案是這樣實現的：

一種Linux文件保護系統，包括Linux文件系統的系統調用接口、Linux虛擬文件系統和Linux的統一密鑰安裝LUKS加密格式磁盤分區，該系統進一步包括：文件保護模塊、文件保護策略配置和Linux透明加密文件系統；其中，

LUKS加密格式磁盤分區，用于在Linux系統物理磁盤分區和文件映象中建立加密文件系統，以對該文件系統進行管理；

Linux文件系統的系統調用接口，用于通過該接口調用Linux文件系統；

Linux虛擬文件系統，為Linux內核中的一個軟件抽象層，用于通過一些數據結構及其方法向實際的文件系統提供接口機制；

文件保護模塊，用以根據文件保護策略配置中用于進程驗證的需要，獲取當前進程的能夠用于確認其真實身份及狀態的信息；

文件保護策略配置，用于針對不同文件屬性設置的文件保護機制，以及通過文件保護策略來配置文件保護規則；

Linux透明加密文件系統，用于實現文件的靜態保護功能，使得在關機后，及卸載透明加密文件系統后，不能非法獲得其中的密文并解密。

其中，所述文件保護模塊，位于Linux文件系統的系統調用接口與Linux虛擬文件系統應用程序編程接口API界面之間；