[發明專利]數據加密方法及系統

有效

• 申請號: 201410719901.6
• 申請日: 2014-12-02
• 公開（公告）號: CN105656866B
• 公開（公告）日: 2019-10-22
• 發明（設計）人: 劉遵一
• 申請（專利權）人: 華為技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/08
• 代理公司: 北京三高永信知識產權代理有限責任公司 11138
• 代理人: 羅振安

本發明公開一種數據加密方法及系統，屬于信息安全技術領域。用于網絡附加存儲NAS系統，NAS系統包括多個文件系統，方法包括：獲取第一文件系統的文件系統加密密鑰；為第一文件系統中的第一文件生成文件密鑰序列號；根據第一文件系統的文件系統加密密鑰和第一文件的文件密鑰序列號為第一文件生成文件加密密鑰；當檢測到對第一文件的寫入指令時，根據第一文件的文件加密密鑰對寫入數據加密得到寫入數據對應的密文。本發明能夠解決同一文件系統中數據采用同一密鑰存儲，數據的安全性較低，且數據的管理粒度過大，無法實現文件系統中單獨文件的管理的問題，達到文件級數據加密的效果，提高數據的安全性，實現單獨文件的管理。

技術領域

本發明涉及信息安全技術領域，特別涉及一種數據加密方法及系統。

背景技術

隨著互聯網信息技術的發展，信息的存儲安全越來越重要。以網絡附加存儲(英文：Network Attached Storage，簡稱：NAS)系統為例，NAS中通常可以包括多個文件系統(英文：FileSystem，簡稱：FS)，每個FS中的數據使用同一密鑰加密，且NAS系統通常采用對稱加密算法對數據進行加密，在對稱加密算法中，數據的加密和解密使用同一密鑰。

當在NAS系統上創建文件系統時，NAS系統自動為該文件系統分配文件系統密鑰標識(英文：FileSystem Key IDentity，簡稱：FS_Key_ID)，同時，NAS系統為該文件系統申請對應的文件系統加密密鑰(英文：FileSystem Key，簡稱：FS_Key)，當需要向文件系統中寫入數據時，NAS系統使用文件系統對應的FS_Key對寫入的數據加密，并將加密得到的密文存儲至存儲池(英文：StoragePool)；當需要從文件系統中讀取數據時，NAS系統先從StoragePool中讀取密文，然后使用FS_Key對讀取到的密文進行解密得到數據，再將解密得到的數據明文傳輸至請求讀取該數據的模塊；當需要對文件系統進行數據銷毀時，NAS系統直接將該文件系統對應的FS_Key刪除。

在實現本發明的過程中，發明人發現現有技術至少存在以下問題：

NAS系統中同一文件系統中的數據采用同一密鑰存儲，數據的安全性較低，且數據的管理粒度過大，無法實現文件系統中單獨文件的管理。

發明內容

為了解決現有技術中NAS系統中數據的安全性較低，且數據的管理粒度過大，無法實現文件系統中單獨文件的管理的問題，本發明提供了一種數據加密方法及系統。所述技術方案如下：

第一方面，提供一種數據加密方法，用于網絡附加存儲NAS系統，所述NAS系統包括多個文件系統，所述方法包括：

獲取第一文件系統的文件系統加密密鑰，所述第一文件系統為所述多個文件系統中的任意一個文件系統；

為所述第一文件系統中的第一文件生成與所述第一文件唯一對應的文件密鑰序列號；

根據所述第一文件系統的文件系統加密密鑰和所述第一文件的文件密鑰序列號為所述第一文件生成與所述第一文件唯一對應的文件加密密鑰；

當檢測到對所述第一文件的寫入指令時，根據所述第一文件的文件加密密鑰對所述寫入指令中的寫入數據加密得到所述寫入數據對應的密文。

結合第一方面，在第一方面的第一種可能的實施方式中，所述第一文件包括：文件結構、文件密鑰序列號和文件密文，

所述根據所述第一文件的文件加密密鑰對所述寫入指令中的寫入數據加密得到所述寫入數據對應的密文之后，所述方法還包括：

當檢測到對所述第一文件的刪除指令時，檢測預設的第一文件系統的屬性選項是否指示銷毀所述第一文件；

當所述預設的第一文件系統的屬性選項指示銷毀所述第一文件時，刪除所述第一文件的文件結構和所述第一文件的文件密鑰序列號；