[發明專利]CephFS分布式文件系統元數據訪問保護機制的實現方法及系統

在審

• 申請號: 201710572403.7
• 申請日: 2017-07-13
• 公開（公告）號: CN107506652A
• 公開（公告）日: 2017-12-22
• 發明（設計）人: 陳建海;侯文龍;呂穎;黃步添;何欽銘;王津航;王備;張淼
• 申請（專利權）人: 浙江大學
• 主分類號: G06F21/60
• 分類號: G06F21/60;G06F21/62;G06F17/30
• 代理公司: 杭州天勤知識產權代理有限公司33224
• 代理人: 胡紅娟

1.一種CephFS分布式文件系統元數據訪問保護機制的實現方法，其特征在于，包括：

(1)在MDS守護進程模塊啟動MDS守護進程時，通過軟件防護擴展指令為MDS守護進程上的文件元數據分配可信空間，并生成用以驗證可信空間訪問權限的密鑰；

(2)每次讀取文件元數據時，MDS守護進程通過SGX加密模塊提供的密鑰來訪問讀取可信空間內的文件元數據；

每次更新文件元數據時，MDS守護進程向SGX加密模塊發起數據更新請求，通過密鑰的驗證后，SGX加密模塊將更新的文件元數據備份到所述的可信空間中。

2.根據權利要求1所述的CephFS分布式文件系統元數據訪問保護機制的實現方法，其特征在于，步驟(1)中，在MDS守護進程模塊啟動MDS守護進程時，通過軟件防護擴展指令為MDS守護進程上的文件元數據分配可信空間，并生成用以驗證可信空間訪問權限的密鑰，具體包括：

(1-1)數據上載：MDS守護進程模塊啟動MDS守護進程，生成MDS守護進程證書，并將MDS守護進程信息和MDS守護進程證書上載到處理空間中；

(1-2)SGX驅動器準備：通過SGX驅動器對上載到處理空間中的數據信息進行參數測量，為可信空間分配地址空間和內存頁，同時獲取MDS守護進程證書的信息并傳遞給SGX硬件處理器；

(1-3)可信空間的建立：SGX驅動器根據測量的參數創建可信空間，并將MDS守護進程上的文件元數據信息復制到可信空間中，之后刪除處理空間中的數據；

(1-4)密鑰的生成：SGX硬件處理器根據MDS守護進程證書的信息和SGX硬件處理器自身的特征數據生成可信空間的訪問密鑰，并通過密鑰對可信空間進行加密。

3.根據權利要求2所述的CephFS分布式文件系統元數據訪問保護機制的實現方法，其特征在于，所述的MDS守護進程信息是指MDS守護進程上的文件元數據操作代碼；MDS守護進程證書的信息包括MDS守護進程證書的哈希值和私鑰。

4.一種CephFS分布式文件系統元數據訪問保護機制的實現系統，其特征在于，包括：

MDS守護進程模塊，提供智能緩存空間，運行MDS守護進程對文件系統中的文件和目錄進行管理，生成分布式存儲的文件元數據；

SGX加密模塊，基于軟件防護擴展指令生成用于存儲所述的文件元數據的可信空間，并生成用于驗證所述可信空間的訪問權限的密鑰。

5.根據權利要求4所述的CephFS分布式文件系統元數據訪問保護機制的實現系統，其特征在于，所述的SGX加密模塊包括：

用戶空間，包括處理空間和可信空間；所述處理空間用于加載MDS守護進程信息和MDS守護進程證書，所述的可信空間用于存儲所述的文件元數據；

SGX驅動器，為所述的文件元數據分配可信空間，獲取用戶空間中的MDS守護進程證書并傳遞給SGX硬件處理器；

SGX硬件處理器，對MDS守護進程證書和可信空間的完整性進行驗證，根據MDS守護進程證書的哈希值和SGX硬件處理器特征數據的哈希值生成可信空間的訪問密鑰，通過訪問密鑰對可信空間進行加密。