[發(fā)明專利]一種實現(xiàn)文件存儲服務(wù)端加密的系統(tǒng)與方法

在審

• 申請?zhí)枺?/td>: 202110047345.2
• 申請日: 2021-01-14
• 公開（公告）號: CN112733189A
• 公開（公告）日: 2021-04-30
• 發(fā)明（設(shè)計）人: 孫思清;靳登科;李超
• 申請（專利權(quán)）人: 浪潮云信息技術(shù)股份公司
• 主分類號: G06F21/62
• 分類號: G06F21/62;G06F16/27
• 代理公司: 濟(jì)南信達(dá)專利事務(wù)所有限公司 37100
• 代理人: 姜明

1.一種實現(xiàn)文件存儲服務(wù)端加密的系統(tǒng)，其特征在于：該系統(tǒng)基于NFS-Ganesha，包括客戶端、NFS-Ganesha、KMS和CephFS，客戶端向NFS-Ganesha發(fā)起讀請求和寫請求，NFS-Ganesha判斷是否需要加密，若需加密，從KMS獲取密鑰，對數(shù)據(jù)加密，若需解密，從CephFS中讀取數(shù)據(jù)后，從KMS獲取密鑰，對數(shù)據(jù)解密后返回給客戶端。

2.一種實現(xiàn)文件存儲服務(wù)端加密的方法，其特征在于：使用NFS-Ganesha將分布式文件系統(tǒng)CephFS導(dǎo)出，通過修改NFS-Ganesha源碼，與密鑰管理服務(wù)KMS對接，第一次讀寫時將密鑰保存在緩存中，使用異或加密算法，通過定時任務(wù)檢查密鑰是否可用，實現(xiàn)對用戶服務(wù)端加密。

3.根據(jù)權(quán)利要求2所述的實現(xiàn)文件存儲服務(wù)端加密的方法，其特征在于：NFS-Ganesha通過監(jiān)聽端口，接收客戶端發(fā)來的讀請求和寫請求，根據(jù)請求類型調(diào)用對應(yīng)的libcephfs函數(shù)，使用異或加密算法將用戶數(shù)據(jù)與密鑰逐位進(jìn)行異或計算，解密時將密文再與密鑰進(jìn)行一次異或操作即可解密。

4.根據(jù)權(quán)利要求3所述的實現(xiàn)文件存儲服務(wù)端加密的方法，其特征在于：將密鑰緩存在內(nèi)存中，第一次讀寫時調(diào)用KMS接口獲取密鑰，再次讀寫時直接在緩存中讀取密鑰。

5.根據(jù)權(quán)利要求4所述的實現(xiàn)文件存儲服務(wù)端加密的方法，其特征在于：將結(jié)構(gòu)體數(shù)組作為緩存的數(shù)據(jù)結(jié)構(gòu)，保存在全局變量中，結(jié)構(gòu)體數(shù)組包括掛載點ID、密鑰ID和密鑰。

6.根據(jù)權(quán)利要求5所述的實現(xiàn)文件存儲服務(wù)端加密的方法，其特征在于：新增掛載點時，在配置文件中新增掛載點ID與密鑰ID的映射關(guān)系，修改NFS-Ganesha源碼，使其在新增掛載點時將配置文件中新增的內(nèi)容插入到結(jié)構(gòu)體數(shù)組中，實現(xiàn)密鑰ID的傳入，刪除掛載點時，將結(jié)構(gòu)體數(shù)組對應(yīng)元素所占內(nèi)存釋放。

7.根據(jù)權(quán)利要求6所述的實現(xiàn)文件存儲服務(wù)端加密的方法，其特征在于：所述寫操作包括以下過程：

1)監(jiān)聽到客戶端寫請求，查詢掛載點ID是否在緩存內(nèi)，若不在緩存內(nèi)，則不需要使用密鑰對數(shù)據(jù)加密，直接調(diào)用libcephfs的寫函數(shù)，將數(shù)據(jù)寫入CephFS；

2)若掛載點ID在緩存內(nèi)，則表明需要使用密鑰進(jìn)行加密，此時需要判斷掛載點ID對應(yīng)的密鑰是否為空，若密鑰為空，則調(diào)用KMS接口獲取密鑰，將密鑰保存到緩存中，使用密鑰加密；

3)若密鑰不為空，直接獲取緩存中的密鑰對數(shù)據(jù)進(jìn)行加密；

4)加密后的數(shù)據(jù)調(diào)用libcephfs寫入CephFS。

8.根據(jù)權(quán)利要求7所述的實現(xiàn)文件存儲服務(wù)端加密的方法，其特征在于：所述讀操作包括以下過程：

a)監(jiān)聽到客戶端讀請求，直接調(diào)用lincephfs從CephFS中讀取數(shù)據(jù)；

b)查詢掛載點ID是否在緩存內(nèi)，若不在緩存內(nèi)，則不需要解密，直接將數(shù)據(jù)返回給客戶端；

c)若掛載點ID在緩存內(nèi)，則判斷掛載點ID對應(yīng)的密鑰是否為空，若密鑰為空，調(diào)用KMS接口獲取密鑰，將密鑰保存到緩存中，使用密鑰對數(shù)據(jù)解密，將解密后的數(shù)據(jù)返回給客戶端；

d)若密鑰不為空，直接獲取緩存中的密鑰對數(shù)據(jù)進(jìn)行解密，將解密后的數(shù)據(jù)返回客戶端。