CN103268455A - 数据的访问方法及装置 - Google Patents
数据的访问方法及装置 Download PDFInfo
- Publication number
- CN103268455A CN103268455A CN201310169603XA CN201310169603A CN103268455A CN 103268455 A CN103268455 A CN 103268455A CN 201310169603X A CN201310169603X A CN 201310169603XA CN 201310169603 A CN201310169603 A CN 201310169603A CN 103268455 A CN103268455 A CN 103268455A
- Authority
- CN
- China
- Prior art keywords
- file
- access
- request
- user
- data
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Abstract
本发明公开了一种数据的访问方法及装置，方法包括：设备中的第一文件系统在内核空间接收来自用户空间的访问请求，访问请求中携带用户标识和操作类型；第一文件系统根据待访问数据所在文件的元数据以及访问请求中携带的用户标识和操作类型，判断是否允许访问请求访问文件，元数据中包含具备文件操作权限的用户标识和具备文件操作权限的用户标识对应的权限信息；若允许访问请求访问文件，则第一文件系统向第二文件系统发送访问请求，第二文件系统为设备中的真实文件系统；若不允许访问请求访问文件，则第一文件系统拒绝访问请求。通过上述方式，本发明能够简化数据防护的复杂性，降低企业运营和投资成本。
Description
技术领域
本发明涉及文件系统技术领域，特别是涉及一种数据的访问方法及装置。
背景技术
随着企业信息化的深入，数据已经成为企业最有价值的核心资产。随着移动时代和云时代的到来，随时随地的数据访问成为可能，这使得企业的敏感数据保护面临前所未有的挑战。越来越多的数据泄密事件给企业的数据安全敲响了警钟。
数据泄露防护（DLP，Data Leakage Prevention）是防止敏感数据泄露的综合解决方案。以业界著名的Symantec Vontu DLP为例来简要介绍一下现在通行的DLP解决方案。Vontu分成四个部分：部署在终端设备的端点DLP（Endpoint DLP）、部署在数据中心的存储DLP（StorageDLP）、部署在网络设备上的网络DLP（Network DLP）和对这三部分进行管理配置的策略管理和配置平台（Enforce Platform）。这几部分相互配合，对处于不同位置和不同状态的数据进行检测防护。
发明人在实现本发明的过程中发现，现有通行的DLP解决方案至少存在以下缺陷：
需要在各类设备上分别部署不同的组件，部署复杂，需要专业人员进行管理和维护；并且由于各类设备中相关组件之间需要进行频繁消息交互，会降低系统性能，对正常业务造成较大影响。
发明内容
本发明主要解决的技术问题是提供一种数据的访问方法及装置，能够简化数据防护的复杂性，降低企业运营和投资成本。
第一方面，本发明提供一种数据的访问方法，包括：设备中的第一文件系统在内核空间接收来自用户空间的访问请求，所述访问请求中携带用户标识和操作类型，所述用户标识是发起所述访问请求的用户的标识；所述第一文件系统根据待访问数据所在文件的元数据以及所述访问请求中携带的用户标识和操作类型，判断是否允许所述访问请求访问所述文件，所述元数据中包含具备所述文件操作权限的用户标识和所述具备所述文件操作权限的用户标识对应的权限信息；若允许所述访问请求访问所述文件，则所述第一文件系统向第二文件系统发送所述访问请求，所述第二文件系统为所述设备中的真实文件系统；若不允许所述访问请求访问所述文件，则所述第一文件系统拒绝所述访问请求。
在第一方面的第一种可能的实现方式中，所述操作权限包括读权限、写权限和扩展权限，所述扩展权限至少包括复制权限、移动权限、删除权限以及打印权限。
结合第一方面的第一种可能的实现方式，在第一方面的第二种可能的实现方式中，所述第一文件系统根据待访问数据所在文件的元数据以及所述访问请求中携带的用户标识和操作类型，判断是否允许所述访问请求访问所述文件的步骤，包括：若所述访问请求中携带的用户标识与所述待访问数据所在文件的元数据中具备所述文件操作权限的用户标识一致，且所述访问请求中携带的操作类型对应扩展权限，则查找所述元数据中存储的与所述用户标识对应的扩展权限信息，所述扩展权限信息包含扩展权限名与表示是否具备权限的标志位之间的映射关系；根据已找到的扩展权限信息，所述第一文件系统判断与待查扩展权限名存在映射关系的标志位是否被设置为具备权限的标志位，所述待查扩展权限名是指所述访问请求中携带的操作类型对应的扩展权限的权限名；若与待查扩展权限名存在映射关系的标志位被设置为具备权限的标志位，则允许所述访问请求访问所述文件；若与待查扩展权限名存在映射关系的标志位被设置为不具备权限的标志位，则不允许所述访问请求访问所述文件。
结合第一方面的第一种可能的实现方式，在第一方面的第三种可能的实现方式中，所述第一文件系统根据待访问数据所在文件的元数据以及所述访问请求中携带的用户标识和操作类型，判断是否允许所述访问请求访问所述文件的步骤之后，还包括：若允许所述访问请求读取所述文件，则所述第一文件系统将需要读取的来自第二文件系统的所述待访问数据所在文件进行解密；所述第一文件系统将已经解密的所述待访问数据所在文件向用户空间发送；所述第一文件系统根据待访问数据所在文件的元数据以及所述访问请求中携带的用户标识和操作类型，判断是否允许所述访问请求访问所述文件的步骤之后，还包括：若允许所述访问请求写入所述文件，则所述第一文件系统将所述需要写入的所述数据所在文件进行加密；将所述已经加密的所述数据所在文件向第二文件系统发送。
结合第一方面的第三种可能的实现方式，在第一方面的第四种可能的实现方式中，所述第一文件系统根据待访问数据所在文件的元数据以及所述访问请求中携带的用户标识和操作类型，判断是否允许所述访问请求访问所述文件的步骤之前，还包括：所述第一文件系统根据所述元数据中的文件实体指针，判断所述待访问数据所在文件是否在敏感数据保险箱中，其中所述文件实体指针指向所述文件的存储位置；若在敏感数据保险箱中，则所述第一文件系统执行判断是否允许所述访问请求访问所述文件的步骤。
结合第一方面的第四种可能的实现方式，在第一方面的第五种可能的实现方式中，所述敏感数据保险箱中还存储有日志数据，所述日志数据用于所述第一文件系统对所述待访问数据所在文件的操作记录进行监控。
结合第一方面的第四种可能的实现方式，在第一方面的第六种可能的实现方式中，所述方法还包括：所述第一文件系统将所述敏感数据保险箱中的数据同步备份于服务器中。
结合第一方面的第一、第二、第三、第四、第五、或第六任一种可能的实现方式，在第一方面的第七种可能的实现方式中，所述访问请求来自用户空间的第三文件系统，所述第三文件系统为虚拟文件系统。
第二方面，本发明提供一种数据的访问装置，所述装置设置于设备中的第一文件系统中，所述装置包括：接收模块、第一判断模块、第一发送模块以及拒绝模块；所述接收模块用于在内核空间接收来自用户空间的访问请求，所述访问请求中携带用户标识和操作类型，并将所述接收的访问请求向所述第一判断模块发送，所述用户标识是发起访问请求的用户的标识；所述第一判断模块用于根据待访问数据所在文件的元数据以及所述接收模块发送的所述访问请求中携带的用户标识和操作类型，判断是否允许所述访问请求访问所述文件，并将所述判断结果向所述第一发送模块或拒绝模块发送，所述元数据中包含具备所述文件操作权限的用户标识和所述具备所述文件操作权限的用户标识对应的权限信息；所述第一发送模块用于接收所述第一判断模块发送的判断结果，在判断结果为允许所述访问请求访问所述文件时，向第二文件系统发送所述访问请求，所述第二文件系统为所述设备中的真实文件系统；所述拒绝模块用于接收所述第一判断模块发送的判断结果，在判断结果为不允许所述访问请求访问所述文件时，拒绝所述访问请求。
在第二方面的第一种可能的实现方式中，所述操作权限包括读权限、写权限和扩展权限，所述扩展权限至少包括复制权限、移动权限、删除权限以及打印权限。
结合第二方面的第一种可能的实现方式，在第二方面的第二种可能的实现方式中，所述第一判断模块包括：查找单元、判断单元以及结果获得单元；所述查找单元用于在所述访问请求中携带的用户标识与所述待访问数据所在文件的元数据中具备所述文件操作权限的用户标识一致，且所述访问请求中携带的操作类型对应扩展权限时，查找所述元数据中存储的与所述用户标识对应的扩展权限信息，并将所述找到的扩展权限信息向所述判断单元发送，所述扩展权限信息包含扩展权限名与表示是否具备权限的标志位之间的映射关系；所述判断单元用于接收所述查找单元发送的已找到的扩展权限信息，根据已找到的扩展权限信息，判断与待查扩展权限名存在映射关系的标志位是否被设置为具备权限的标志位，所述待查扩展名是指所述访问请求中携带的操作类型对应的扩展权限的权限名，并将所述判断结果向所述结果获得单元发送；所述结果获得单元用于接收所述判断单元发送的判断结果，在与待查扩展权限名存在映射关系的标志位被设置为具备权限的标志位时，允许所述访问请求访问所述文件；在与待查扩展权限名存在映射关系的标志位被设置为不具备权限的标志位时，不允许所述访问请求访问所述文件。
结合第二方面的第一种可能的实现方式，在第二方面的第三种可能的实现方式中，所述装置还包括：解密模块和第二发送模块；所述解密模块用于在允许所述访问请求读取所述文件时，将需要读取的来自第二文件系统的所述待访问数据所在文件进行解密，并将所述已解密的所述待访问数据所在文件向所述第二发送模块发送；所述第二发送模块用于接收所述解密模块发送的已解密的所述待访问数据所在文件，将所述已经解密的所述待访问数据所在文件向用户空间发送；所述装置还包括：加密模块和第三发送模块；所述加密模块用于在允许所述访问请求写入所述文件时，将所述需要写入的所述数据所在文件进行加密，并将所述已加密的所述数据所在文件向所述第三发送模块发送；所述第三发送模块用于接收所述加密模块发送的已加密的所述数据所在文件，将所述已经加密的所述数据所在的文件向第二文件系统发送。
结合第二方面的第三种可能的实现方式，在第二方面的第四种可能的实现方式中，所述装置还包括：第二判断模块；所述第二判断模块用于根据所述元数据中的文件实体指针，判断所述待访问数据所在文件是否在敏感数据保险箱中，其中所述文件实体指针指向所述文件的存储位置，并将判断结果向所述第一判断模块发送；所述第一判断模块用于接收所述第二判断模块发送的判断结果，在判断结果为在敏感数据保险箱中时，判断是否允许所述访问请求访问所述文件。
结合第二方面的第四种可能的实现方式，在第二方面的第五种可能的实现方式中，所述敏感数据保险箱中还存储有日志数据，所述日志数据用于所述第一文件系统对所述待访问数据所在文件的操作记录进行监控。
结合第二方面的第四种可能的实现方式，在第二方面的第六种可能的实现方式中，所述装置还包括：同步备份模块，所述同步备份模块用于将所述敏感数据保险箱中的数据同步备份于服务器中。
结合第二方面的第一、第二、第三、第四、第五或第六任一种可能的实现方式，在第二方面的第七种可能的实现方式中，所述访问请求来自用户空间的第三文件系统，所述第三文件系统为虚拟文件系统。
本发明的有益效果是：设备中的第一文件系统在内核空间接收来自用户空间的访问请求，访问请求中携带用户标识和操作类型；根据待访问数据所在文件的元数据以及访问请求中携带的用户标识和操作类型，判断是否允许访问请求访问文件，元数据中包含具备文件操作权限的用户标识和具备文件操作权限的用户标识对应的权限信息；若允许访问请求访问文件，则第一文件系统向所述设备中的第二文件系统（真实文件系统）发送访问请求；若不允许访问请求访问文件，则第一文件系统拒绝访问请求。通过设备中介于用户空间和真实文件系统之间的第一文件系统判断是否允许访问请求访问文件，能够简化数据防护的复杂性，降低企业运营和投资成本。
附图说明
图1是本发明数据的访问方法一实施方式的流程图；
图2是本发明数据的访问方法中文件系统的结构示意图；
图3是本发明数据的访问方法另一实施方式的流程图；
图4是本发明数据的访问方法中扩展权限在文件系统中的结构示意图；
图5是本发明数据的访问方法又一实施方式的流程图；
图6是本发明数据的访问方法又一实施方式的流程图；
图7是本发明数据的访问方法又一实施方式的流程图；
图8是本发明数据的访问方法又一实施方式的流程图；
图9是本发明数据的访问装置一实施方式的结构示意图；
图10是本发明数据的访问装置另一实施方式的结构示意图；
图11是本发明数据的访问装置又一实施方式的结构示意图；
图12是本发明数据的访问装置又一实施方式的结构示意图；
图13是本发明数据的访问装置又一实施方式的结构示意图；
图14是本发明数据的访问装置又一实施方式的结构示意图；
图15是本发明数据的访问装置又一实施方式的物理结构示意图。
具体实施方式
下面结合附图和实施方式对本发明进行详细说明。
参阅图1，图1是本发明数据的访问方法一实施方式的流程图，包括：
步骤S101：设备中的第一文件系统在内核空间接收来自用户空间的访问请求，访问请求中携带用户标识和操作类型，用户标识是发起访问请求的用户的标识。
文件系统是操作系统用于明确磁盘或分区上的文件的方法和数据结构，即在磁盘上数据的组织方法。具体地说，它负责为用户建立文件，存入、读出、修改、转储文件，当用户不再使用时撤销文件等。
本实施方式中的第一文件系统用于进行DLP，DLP是通过一定的技术手段，防止企业的指定数据或信息资产以违反安全策略规定的形式流出企业的一种策略。DLP是目前国际上最主流的信息安全和数据防护手段。本实施方式中的第一文件系统至少可以通过两种方式来实现数据泄露防护的功能，第一种是改造现有的文件系统，例如虚拟文件系统（VFS，Virtual File Systems），虚拟文件系统是一种用于网络环境的分布式文件系统，是真实文件系统与服务系统之间的一个接口层，存在于操作系统的内核空间；如图2所示，图2是第二种实现方式，这种方式是直接建立具有数据泄露防护功能的一个新的文件系统，即第一文件系统12，使该第一文件系统12位于虚拟文件系统11和真实文件系统13之间。
操作系统划分为内核空间和用户空间，一部分核心软件独立于普通的应用程序，运行在较高的特权级别上，它们驻留在被保护的内存空间上，拥有访问硬件设备的所有权限，称为内核空间。相对地，普通的应用程序则是在用户空间中运行，运行在用户空间的普通应用程序只能看到允许它们使用的部分系统资源，并且不能使用某些特定的系统功能，也不能直接访问内核空间和硬件设备。
访问请求是来自用户空间的要求访问数据的请求，该访问请求携带有用户标识和操作类型，用户标识是发起访问请求的用户的标识。用户标识用于查找该用户所拥有的操作权限，不同的用户拥有不同的操作权限。例如，有的用户只能读取数据，有的用户既能读取数据，还能写入数据。操作类型是指对待访问数据所执行的具体操作，例如读取、写入、复制、打印等等。
当从用户空间传来访问请求时，第一文件系统从内核空间接收该访问请求。
步骤S102：第一文件系统根据待访问数据所在文件的元数据以及访问请求中携带的用户标识和操作类型，判断是否允许访问请求访问文件，元数据中包含具备文件操作权限的用户标识和具备文件操作权限的用户标识对应的权限信息。
元数据（Metadata）是描述其它数据的数据（data about other data），或者说是用于提供某种资源的有关信息的结构数据（structured data）。元数据中存放着具备文件操作权限的用户标识、具备文件操作权限的用户标识对应的权限信息，权限信息指明了使用该用户标识的用户能够对该文件所进行的操作的操作类型，例如，具备文件操作权限的用户标识是：lyw、yhwo、hrop以及lqp，那么除此之外，用户标识是lmw的用户不具备该文件操作权限。具备文件操作权限的用户标识对应的权限信息是指使用该用户标识登录操作系统的用户能够对该文件进行哪些类型的操作，例如：使用用户标识lyw的用户具备对文件进行读取操作的权限，用户标识yhwo的用户具备对文件进行写入操作的权限，用户标识hrop的用户具备对文件进行读取操作和写入操作的权限，用户标识lqp的用户具备对文件进行复制、删除和打印操作的权限。
操作权限用于控制对数据所在文件进行的各种操作。元数据中包含具备文件操作权限的用户标识和具备所述文件操作权限的用户标识对应的权限信息，访问请求中携带有用户标识和操作类型，因此，第一文件系统据此可以判断是否允许访问请求访问文件。
步骤S103：若允许访问请求访问文件，则第一文件系统向第二文件系统发送访问请求，第二文件系统为设备中的真实文件系统。
真实文件系统是相对于虚拟文件系统来说的，是指真正直接管理设备的文件系统。如果允许访问请求访问文件，第一文件系统将该访问请求向第二文件系统发送，以便于用户执行该访问请求。
步骤S104：若不允许访问请求访问文件，则第一文件系统拒绝访问请求。
如果不允许访问请求访问文件，第一文件系统即可拒绝该访问请求。
例如，如果某个用户标识发起的访问请求中携带的操作类型是复制，即对数据所在的文件进行复制，而该文件的元数据中，该用户标识的权限信息指示该用户不具备进行复制操作的权限，则第一文件系统即可拒绝该访问请求，如果该用户标识的权限信息指示该用户具备进行复制操作的权限，则第一文件系统将该访问请求向第二文件系统发送，以便于用户执行该访问请求。
本实施例中设备的第一文件系统在内核空间接收来自用户空间的访问请求，访问请求中携带用户标识和操作类型；根据待访问数据所在文件的元数据以及访问请求中携带的用户标识和操作类型，判断是否允许访问请求访问文件，元数据中包含具备文件操作权限的用户标识和具备文件操作权限的用户标识对应的权限信息；若允许访问请求访问文件，则第一文件系统向该设备中的第二文件系统发送访问请求；若不允许访问请求访问文件，则第一文件系统拒绝访问请求。通过设备中的第一文件系统判断是否允许访问请求访问文件，能够简化数据防护的复杂性，降低企业运营和投资成本。
参阅图3，图3是本发明数据的访问方法另一实施方式的流程图，在本实施方式中，第一文件系统位于虚拟文件系统（第三文件系统）和真实文件系统（第二文件系统）之间，该流程包括：
步骤S201：设备中的第一文件系统在内核空间接收来自用户空间的访问请求，访问请求中携带用户标识和操作类型，用户标识是发起访问请求的用户的标识。
文件系统是操作系统用于明确磁盘或分区上的文件的方法和数据结构，即在磁盘上数据的组织方法。
本发明实施例中的第一文件系统具备数据泄露防护（DLP，DataLeakage Prevention）的功能，数据泄露防护（DLP）是通过一定的技术手段，防止企业的指定数据或信息资产以违反安全策略规定的形式流出企业的一种策略。
访问请求是来自用户空间的要求访问数据的请求，该访问请求携带有用户标识和操作类型，用户标识是发起访问请求的用户的标识。用户标识用于从元数据中查找该用户所拥有的操作权限，不同的用户拥有不同的操作权限。操作类型是指对待访问数据所执行的具体操作。
当从用户空间传来访问请求时，第一文件系统从内核空间接收该访问请求。
其中，访问请求来自用户空间的第三文件系统，第三文件系统为虚拟文件系统。虚拟文件系统是一种用于网络环境的分布式文件系统，是真实文件系统与服务系统之间的一个接口层，存在于操作系统的内核空间。通过将第一文件系统作为堆栈式文件系统的第二层的方式，可以使得各个文件系统的功能模块化，简单化。
步骤S202：第一文件系统根据待访问数据所在文件的元数据以及访问请求中携带的用户标识和操作类型，判断是否允许访问请求访问文件，元数据中包含具备文件操作权限的用户标识和具备文件操作权限的用户标识对应的权限信息。
元数据中存放着具备文件操作权限的用户标识、具备文件操作权限的用户标识对应的权限信息，权限信息指明了使用该用户标识的用户能够对该文件所进行的操作的操作类型。
操作权限用于控制对数据所在文件进行的各种操作。元数据中包含具备文件操作权限的用户标识和具备所述文件操作权限的用户标识对应的权限信息，访问请求中携带有用户标识和操作类型，因此，第一文件系统据此可以判断是否允许访问请求访问文件。
其中，操作权限包括扩展权限，扩展权限至少包括但不限于复制权限、移动权限、删除权限以及打印权限。此时，步骤S202包括如下子步骤：
子步骤S202a：若访问请求中携带的用户标识与待访问数据所在文件的元数据中具备文件操作权限的用户标识一致，且访问请求中携带的操作类型对应扩展权限，则查找元数据中存储的与用户标识对应的扩展权限信息，扩展权限信息包含扩展权限名与表示是否具备权限的标志位之间的映射关系。
子步骤S202a的执行过程具体可以是：首先判断访问请求中携带的用户标识与待访问数据所在文件的元数据中具备文件操作权限的用户标识是否一致，如果一致，再判断访问请求中携带的操作类型是否对应扩展权限，如果对应扩展权限，则查找元数据中存储的与用户标识对应的扩展权限信息，其中，扩展权限信息包含扩展权限名与表示是否具备权限的标志位之间的映射关系。
子步骤S202b：根据已找到的扩展权限信息，第一文件系统判断与待查扩展权限名存在映射关系的标志位是否被设置为具备权限的标志位，所述待查扩展权限名是指所述访问请求中携带的操作类型对应的扩展权限的权限名。
子步骤S202c：若与待查扩展权限名存在映射关系的标志位被设置为具备权限的标志位，则允许所述访问请求访问所述文件。
子步骤S202d：若与待查扩展权限名存在映射关系的标志位被设置为不具备权限的标志位，则不允许所述访问请求访问所述文件。
在实际应用中上述步骤中扩展权限名与标识位之间的映射关系可以通过扩展权限名和数值（或其它方式）成对的形式保存在元数据中，例如，如图4所示，以Linux操作系统为例。数据所在文件的元数据保存在节点中，扩展权限有：复制权限（用C表示）、删除权限（用D表示）、移动权限（用M表示）以及打印权限（用P表示），在对数据所在的文件进行扩展权限所对应的操作时，首先检查该文件的扩展权限是否允许如此操作，例如相应的权限的数值设置为1，对应的操作才允许执行，否则给出没有对应权限的提示。
通过数据所在文件的扩展权限，根据实际应用需求，可以扩展对文件进行操作的各种权限，从而灵活实现对相应操作权限的控制。
步骤S203：若允许访问请求访问文件，则第一文件系统向第二文件系统发送访问请求，第二文件系统为设备中的真实文件系统。
真实文件系统是相对于虚拟文件系统来说的，是指真正直接管理设备的文件系统。如果允许访问请求访问文件，第一文件系统将该访问请求向作为真实文件系统的第二文件系统发送，以便于用户执行该访问请求。
步骤S204：若不允许访问请求访问文件，则第一文件系统拒绝访问请求。
如果不允许访问请求访问文件，第一文件系统即可拒绝该访问请求。
设备中的第一文件系统在内核空间接收来自用户空间的访问请求，访问请求中携带用户标识和操作类型；根据待访问数据所在文件的元数据以及访问请求中携带的用户标识和操作类型，判断是否允许访问请求访问文件，元数据中包含具备文件操作权限的用户标识和具备文件操作权限的用户标识对应的操作类型；若允许访问请求访问文件，则第一文件系统向设备中的第二文件系统发送访问请求；若不允许访问请求访问文件，则第一文件系统拒绝访问请求。通过设备中的第一文件系统判断是否允许访问请求访问文件，能够简化数据防护的复杂性，降低企业运营和投资成本。另外，通过将第一文件系统作为堆栈式文件系统的第二层的方式，可以使得各个文件系统的功能模块化，简单化；通过数据所在文件的扩展权限，可以实现相应操作权限的控制。
参阅图5至图8，图5至图8是本发明数据的访问方法四个实施方式的流程图，在本实施方式中，第一文件系统位于虚拟文件系统（第三文件系统）和真实文件系统(第二文件系统)之间，该流程包括：
步骤S301：设备中的第一文件系统在内核空间接收来自用户空间的访问请求，访问请求中携带用户标识和操作类型。
文件系统是操作系统用于明确磁盘或分区上的文件的方法和数据结构，即在磁盘上数据的组织方法。
访问请求是来自用户空间的要求访问数据的请求，该访问请求携带有用户标识和操作类型，用户标识是发起访问请求的用户的标识。用户标识用于查找该用户所拥有的操作权限，不同的用户拥有不同的操作权限。操作类型是指对待访问数据所执行的具体操作。
当从用户空间传来访问请求时，第一文件系统从内核空间接收该访问请求。
其中，访问请求来自用户空间的第三文件系统，第三文件系统为虚拟文件系统。
如果设置有敏感数据保险箱，则进入步骤S302（如图5和图6所示），如果没有设置敏感数据保险箱，则进入步骤S303（如图7和图8所示）。敏感数据保险箱是指专门用于放置非常重要的、敏感的数据的存储空间，该存储空间可以是设备上的磁盘空间，也可以是专用存储设备上的存储空间。图7和图8所示的没有设置敏感数据保险箱的两个实施方式，在进行读写操作时，是将所有的数据所在文件进行加解密操作，这种不做区分地对所有的数据所在的文件进行加解密，容易消耗大量的资源，降低用户体验；图5和图6所示的设置有敏感数据保险箱的两个实施方式，在进行读写操作时，只是对保存在敏感数据保险箱中的数据所在的文件进行加解密操作，通过这种方式，可以更好地节约加解密资源，并提升用户体验。
步骤S302：第一文件系统根据元数据中的文件实体指针，判断待访问数据所在文件是否在敏感数据保险箱中，其中文件实体指针指向文件的存储位置。若在敏感数据保险箱中，进入步骤S303。否则，可以按照现有的访问请求的处理流程进行处理，无需执行为实现DLP功能而附加的步骤。
将一些特殊的敏感数据所在文件集中存放在敏感数据保险箱中进行隔离，可以增强安全系数。敏感数据保险箱在实现上可以是特殊的文件系统分区，或者是具有更高可靠性的存储设备。
步骤S303：第一文件系统根据待访问数据所在文件的元数据以及访问请求中携带的用户标识和操作类型，判断是否允许访问请求访问文件，元数据中包含具备文件操作权限的用户标识和具备文件操作权限的用户标识对应的权限信息。如果允许访问请求访问文件，进入步骤S304或S308，如果不允许访问请求访问文件，进入步骤S310。
元数据中存放着具备文件操作权限的用户标识、具备文件操作权限的用户标识对应的权限信息，权限信息指明了使用该用户标识的用户能够对该文件所进行的操作的操作类型。具备文件操作权限的用户标识对应的权限信息是指使用该用户标识登录操作系统的用户能够对该文件进行哪些类型的操作。
操作权限用于控制对数据所在文件进行的各种操作。元数据中包含具备文件操作权限的用户标识和具备所述文件操作权限的用户标识对应的权限信息，访问请求中携带有用户标识和操作类型，因此，第一文件系统据此可以判断是否允许访问请求访问文件。
其中，操作权限包括读权限和写权限。如果操作权限是读权限，进入步骤S304，如图5和图7所示，如果操作权限是写权限，进入步骤S308，如图6和图8所示。
步骤S304：若允许访问请求访问文件，且访问请求中携带的操作类型是读取文件，则第一文件系统向第二文件系统发送访问请求，第二文件系统为设备中的真实文件系统。
步骤S305：第一文件系统接收第二文件系统发送的需要读取的待访问数据所在文件。
此时，如果待访问数据所在文件存放在敏感数据保险箱中，则该待访问数据所在文件从敏感数据保险箱中获取。
步骤S306：第一文件系统将需要读取的来自第二文件系统的待访问数据所在文件进行解密。
步骤S307：第一文件系统将已经解密的待访问数据所在文件向用户空间发送。若第一文件系统在第三文件系统和第二文件系统之间，此步骤经过第三文件系统将已经解密的待访问数据所在文件向用户空间发送。
步骤S308：若允许访问请求访问文件，且访问请求中携带的操作类型是写入文件，则第一文件系统将需要写入的数据所在的文件进行加密。
步骤S309：第一文件系统将已经加密的数据所在的文件向第二文件系统发送。
如果数据所在的文件需要存储在敏感数据保险箱中，则此时已经加密的数据所在的文件保存在敏感数据保险箱中，如果敏感数据保险箱是存储设备，那么即使该存储设备丢失，由于数据所在的文件是加密的密文，因此也能有效的防止数据的泄露。
通过上述将需要读出的待访问数据所在文件进行解密和将需要写入的数据所在文件进行加密，从而实现对数据进行加解密的控制，防止数据的泄露。
步骤S310：若不允许访问请求访问文件，则第一文件系统拒绝访问请求。
其中，敏感数据保险箱中还存储有日志数据，日志数据用于第一文件系统对待访问数据所在文件的操作记录进行监控。
本发明方法还包括：第一文件系统将敏感数据保险箱中的数据同步备份于服务器中。
通过同步备份敏感数据保险箱中的数据，进一步增强敏感数据保险箱中的数据的安全性。
而且，在实际应用中，可以根据具体情况对上述各个实施方式中的步骤进行增减，在此不再进行赘叙。
本实施方式第一文件系统在内核空间接收来自用户空间的访问请求，访问请求中携带用户标识和操作类型；根据待访问数据所在文件的元数据以及访问请求中携带的用户标识和操作类型，判断是否允许访问请求访问文件，元数据中包含具备文件操作权限的用户标识和具备文件操作权限的用户标识对应的操作类型；若允许访问请求访问文件，则第一文件系统向第二文件系统发送访问请求；若不允许访问请求访问文件，则第一文件系统拒绝访问请求。通过设备的第一文件系统判断是否允许访问请求访问文件，能够简化数据防护的复杂性，降低企业运营和投资成本。另外，将第一文件系统作为堆栈式文件系统的第二层，可以使得各个文件系统的功能模块化，简单化；通过加解密过程，可以实现数据所在文件的加解密；通过敏感数据保险箱可以实现数据所在文件的隔离；通过同步备份可以进一步增强数据的安全性。
参阅图9，图9是本发明数据的访问装置一实施方式的结构示意图，该装置设置于设备中的第一文件系统中，该装置包括：接收模块101、第一判断模块102、第一发送模块103以及拒绝模块104。
可选地，图9的装置可以执行图1、图3、图5至图8中的步骤。
接收模块101用于在内核空间接收来自用户空间的访问请求，访问请求中携带用户标识和操作类型，并将接收的访问请求向第一判断模块102发送，用户标识是发起访问请求的用户的标识。
文件系统是操作系统用于明确磁盘或分区上的文件的方法和数据结构，即在磁盘上数据的组织方法。
本实施方式中的第一文件系统具有数据泄露防护（DLP，DataLeakage Prevention）功能，数据泄露防护（DLP）是通过一定的技术手段，防止企业的指定数据或信息资产以违反安全策略规定的形式流出企业的一种策略。
操作系统划分为内核空间和用户空间，一部分核心软件独立于普通的应用程序，运行在较高的特权级别上，称为内核空间。相对地，普通的应用程序则是在用户空间中运行，运行在用户空间的普通应用程序只能看到允许它们使用的部分系统资源。
访问请求是来自用户空间的要求访问数据的请求，该访问请求携带有用户标识和操作类型，用户标识是发起访问请求的用户的标识。用户标识用于查找该用户所拥有的操作权限，不同的用户拥有不同的操作权限。操作类型是指对待访问数据所执行的具体操作。
当从用户空间传来访问请求时，第一文件系统从内核空间接收该访问请求。
第一判断模块102用于接收来自接收模块101发送的访问请求，根据待访问数据所在文件的元数据以及接收模块101发送的访问请求中携带的用户标识和操作类型，判断是否允许访问请求访问文件，并将判断结果向第一发送模块103或拒绝模块104发送，元数据中包含具备文件操作权限的用户标识和具备文件操作权限的用户标识对应的权限信息。
元数据中存放着具备文件操作权限的用户标识、具备文件操作权限的用户标识对应的权限信息，权限信息指明了使用该用户标识的用户能够对该文件所进行的操作的操作类型。
操作权限用于控制对数据所在文件进行的各种操作。元数据中包含具备文件操作权限的用户标识和具备所述文件操作权限的用户标识对应的权限信息，访问请求中携带有用户标识和操作类型，因此，第一文件系统据此可以判断是否允许访问请求访问文件。
第一发送模块103用于接收第一判断模块102发送的判断结果，在判断结果为允许访问请求访问文件时，向第二文件系统发送访问请求，第二文件系统为设备中的真实文件系统。
真实文件系统是相对于虚拟文件系统来说的，是指真正直接管理设备的文件系统。如果允许访问请求访问文件，第一文件系统将该访问请求向作为真实文件系统的第二文件系统发送，以便于用户执行该访问请求。
拒绝模块104用于接收第一判断模块103发送的判断结果，在判断结果为不允许访问请求访问文件时，拒绝访问请求。
如果不允许访问请求访问文件，第一文件系统即可拒绝该访问请求。
本实施方式中设备的第一文件系统在内核空间接收来自用户空间的访问请求，访问请求中携带用户标识和操作类型；根据待访问数据所在文件的元数据以及访问请求中携带的用户标识和操作类型，判断是否允许访问请求访问文件，元数据中包含具备文件操作权限的用户标识和具备文件操作权限的用户标识对应的权限信息；若允许访问请求访问文件，则第一文件系统向该设备中的第二文件系统发送访问请求；若不允许访问请求访问文件，则第一文件系统拒绝访问请求。通过设备中的第一文件系统判断是否允许访问请求访问文件，能够简化数据防护的复杂性，降低企业运营和投资成本。
参阅图10，图10是本发明数据的访问装置另一实施方式的结构示意图，该装置包括：接收模块201、第一判断模块202、第一发送模块203以及拒绝模块204。
可选地，图10的装置可以执行图3中的步骤。
接收模块201用于在内核空间接收来自用户空间的访问请求，访问请求中携带用户标识和操作类型，并将接收的访问请求向第一判断模块202发送，用户标识是发起访问请求的用户的标识。
文件系统是操作系统用于明确磁盘或分区上的文件的方法和数据结构，即在磁盘上数据的组织方法。本发明实施方式中的第一文件系统具备数据泄露防护（DLP，Data Leakage Prevention）的功能，数据泄露防护（DLP）是通过一定的技术手段，防止企业的指定数据或信息资产以违反安全策略规定的形式流出企业的一种策略。操作系统划分为内核空间和用户空间，一部分核心软件独立于普通的应用程序，运行在较高的特权级别上，称为内核空间。相对地，普通的应用程序则是在用户空间中运行，运行在用户空间的普通应用程序只能看到允许它们使用的部分系统资源。
访问请求是来自用户空间的要求访问数据的请求，该访问请求携带有用户标识和操作类型，用户标识是发起访问请求的用户的标识。用户标识用于查找该用户所拥有的操作权限，不同的用户拥有不同的操作权限。操作类型是指对待访问数据所执行的具体操作。
当从用户空间传来访问请求时，第一文件系统从内核空间接收该访问请求。
其中，访问请求来自用户空间的第三文件系统，第三文件系统为虚拟文件系统。虚拟文件系统是一种用于网络环境的分布式文件系统，是真实文件系统与服务系统之间的一个接口层，存在于操作系统的内核空间。通过将第一文件系统作为堆栈式文件系统的第二层的方式，可以使得各个文件系统的功能模块化，简单化。
第一判断模块202用于接收来自接收模块201发送的访问请求，根据待访问数据所在文件的元数据以及所述接收模块发送的访问请求中携带的用户标识和操作类型，判断是否允许访问请求访问文件，并将判断结果向第一发送模块203或拒绝模块204发送，元数据中包含具备文件操作权限的用户标识和具备文件操作权限的用户标识对应的权限信息。
元数据中存放着具备文件操作权限的用户标识、具备文件操作权限的用户标识对应的权限信息，权限信息指明了使用该用户标识的用户能够对该文件所进行的操作的操作类型。
操作权限用于控制对数据所在文件进行的各种操作。元数据中包含具备文件操作权限的用户标识和具备所述文件操作权限的用户标识对应的权限信息，访问请求中携带有用户标识和操作类型，因此，第一文件系统据此可以判断是否允许访问请求访问文件。
其中，操作权限包括扩展权限，扩展权限至少包括但不限于复制权限、移动权限、删除权限以及打印权限。此时，第一判断模块202包括：查找单元2021、判断单元2022以及结果获得单元2023。
查找单元2021用于在访问请求中携带的用户标识与待访问数据所在文件的元数据中具备文件操作权限的用户标识一致，且访问请求中携带的操作类型对应扩展权限时，查找元数据中存储的与用户标识对应的扩展权限信息，并将找到的扩展权限信息向判断单元2022发送，扩展权限信息包含扩展权限名与表示是否具备权限的标志位之间的映射关系。
判断单元2022用于接收查找单元2021发送的已找到的扩展权限信息，根据已找到的扩展权限信息，判断与待查扩展权限名存在映射关系的标志位是否被设置为具备权限的标志位，所述待查扩展名是指访问请求中携带的操作类型对应的扩展权限名的权限名，并将判断结果向结果获得单元2023发送。
结果获得单元2023用于接收判断单元2022发送的判断结果，在与待查扩展权限名存在映射关系的标志位被设置为具备权限的标志位时，允许访问请求访问文件；在与待查扩展权限名存在映射关系的标志位被设置为不具备权限的标志位时，不允许访问请求访问文件。
第一发送模块203用于接收第一判断模块202发送的判断结果，在判断结果为允许访问请求访问文件时，向第二文件系统发送访问请求，第二文件系统为设备中的真实文件系统。
真实文件系统是相对于虚拟文件系统来说的，是指真正直接管理设备的文件系统。如果允许访问请求访问文件，第一文件系统将该访问请求向作为真实文件系统的第二文件系统发送，以便于用户执行该访问请求。
拒绝模块204用于接收第一判断模块203发送的判断结果，在判断结果为不允许访问请求访问文件时，拒绝访问请求。
如果不允许访问请求访问文件，第一文件系统即可拒绝该访问请求。
设备中的第一文件系统在内核空间接收来自用户空间的访问请求，访问请求中携带用户标识和操作类型；根据待访问数据所在文件的元数据以及访问请求中携带的用户标识和操作类型，判断是否允许访问请求访问文件，元数据中包含具备文件操作权限的用户标识和具备文件操作权限的用户标识对应的操作类型；若允许访问请求访问文件，则第一文件系统向设备中的第二文件系统发送访问请求；若不允许访问请求访问文件，则第一文件系统拒绝访问请求。通过设备中的第一文件系统判断是否允许访问请求访问文件，能够简化数据防护的复杂性，降低企业运营和投资成本。另外，通过将第一文件系统作为堆栈式文件系统的第二层的方式，可以使得各个文件系统的功能模块化，简单化；通过数据所在文件的扩展权限，可以实现相应操作权限的控制。
参阅图11至图14，图11至图14是本发明数据的访问装置两个实施方式的结构示意图，该装置包括：接收模块301、第二判断模块302以及第一判断模块303。
可选地，图11至图14的装置可以执行图3、图5至图8中的步骤。
接收模块301用于在内核空间接收来自用户空间的访问请求，访问请求中携带用户标识和操作类型，并将接收的访问请求向第一判断模块304和第二判断模块302发送，用户标识是发起访问请求的用户的标识。
文件系统是操作系统用于明确磁盘或分区上的文件的方法和数据结构，即在磁盘上数据的组织方法。
本实施方式中的第一文件系统具备数据泄露防护（DLP，DataLeakage Prevention）的功能，数据泄露防护（DLP）是通过一定的技术手段，防止企业的指定数据或信息资产以违反安全策略规定的形式流出企业的一种策略。
访问请求是来自用户空间的要求访问数据的请求，该访问请求携带有用户标识和操作类型，用户标识是发起访问请求的用户的标识。用户标识用于查找该用户所拥有的操作权限，不同的用户拥有不同的操作权限。操作类型是指对待访问数据所执行的具体操作。
当从用户空间传来访问请求时，第一文件系统从内核空间接收该访问请求。
其中，访问请求来自用户空间的第三文件系统，第三文件系统为虚拟文件系统。
如果设置有敏感数据保险箱，则该装置还包括第二判断模块302（如图11和12所示），如果没有设置敏感数据保险箱，则该装置不包括第二判断模块302（如图13和14所示）。
第二判断模块302用于接收来自接收模块301发送的操作请求，根据元数据中的文件实体指针，判断待访问数据所在文件是否在敏感数据保险箱中，其中文件实体指针指向文件的存储位置，并将判断结果向第一判断模块303发送。
第一判断模块303用于接收来自接收模块301发送的访问请求，根据待访问数据所在文件的元数据以及访问请求中携带的用户标识和操作类型，判断是否允许访问请求访问文件，元数据中包含具备文件操作权限的用户标识和具备文件操作权限的用户标识对应的权限信息。
元数据中存放着具备文件操作权限的用户标识、具备文件操作权限的用户标识对应的权限信息，权限信息指明了使用该用户标识的用户能够对该文件所进行的操作的操作类型。具备文件操作权限的用户标识对应的权限信息是指使用该用户标识登录操作系统的用户能够对该文件进行哪些类型的操作。
操作权限用于控制对数据所在文件进行的各种操作。元数据中包含具备文件操作权限的用户标识和具备所述文件操作权限的用户标识对应的权限信息，访问请求中携带有用户标识和操作类型，因此，第一文件系统据此可以判断是否允许访问请求访问文件。
其中，操作权限包括读权限和写权限。装置还包括：解密模块304和第二发送模块305，如图11和图13所示所示。
解密模块304用于在第一判断模块303判断出允许访问请求读取文件时，将需要读取的来自第二文件系统的待访问数据所在文件进行解密，并将已解密的待访问数据所在文件向第二发送模块305发送。
第二发送模块305用于接收解密模块发送的已解密的待访问数据所在文件，将已经解密的待访问数据所在文件向用户空间发送。
其中，操作权限是写权限时，装置还包括：加密模块306和第三发送模块307，如图12和图14所示所示。
加密模块306用于在第一判断模块303判断出允许访问请求写入文件时，将需要写入的数据所在的文件进行加密，并将已加密的数据所在的文件向第三发送模块发送。
第三发送模块307用于接收加密模块发送的已加密的数据所在的文件，将已经加密的数据所在的文件向第二文件系统发送。
如果数据所在的文件需要存储在敏感数据保险箱中，则此时已经加密的数据所在的文件保存在敏感数据保险箱中，如果敏感数据保险箱是存储设备，那么即使该存储设备丢失，由于数据所在的文件是加密的密文，因此也能有效的防止数据的泄露。
通过上述将需要读出的待访问数据所在文件进行解密和将需要写入的数据所在文件进行加密，从而实现对数据进行加解密的控制，防止数据的泄露。
其中，敏感数据保险箱中还存储有日志数据，日志数据用于第一文件系统对待访问数据所在文件的操作记录进行监控。
装置还包括同步备份模块，同步备份模块用于将敏感数据保险箱中的数据同步备份于服务器中。
通过同步备份敏感数据保险箱中的数据，进一步增强敏感数据保险箱中的数据的安全性。
需要说明的是，在实际应用中，可以根据具体情况对上述各个实施方式中的模块或单元进行增减，在此不再进行赘叙。
本实施方式第一文件系统在内核空间接收来自用户空间的访问请求，访问请求中携带用户标识和操作类型；根据待访问数据所在文件的元数据以及访问请求中携带的用户标识和操作类型，判断是否允许访问请求访问文件，元数据中包含具备文件操作权限的用户标识和具备文件操作权限的用户标识对应的操作类型；若允许访问请求访问文件，则第一文件系统向第二文件系统发送访问请求；若不允许访问请求访问文件，则第一文件系统拒绝访问请求。通过设备的第一文件系统判断是否允许访问请求访问文件，能够简化数据防护的复杂性，降低企业运营和投资成本。另外，通过将第一文件系统作为堆栈式文件系统的第二层的方式，可以使得各个文件系统的功能模块化，简单化；通过加解密过程，可以实现数据所在文件的加解密；通过敏感数据保险箱可以实现数据所在文件的隔离；通过同步备份可以进一步增强数据的安全性。
参阅图15，图15是本发明通过文件系统对敏感数据文件进行数据访问的装置的物理结构示意图，该装置可以是一台服务器、计算机或具有计算处理能力的计算节点，在此并不做特别限定。如图15所示，装置40包括：
处理器(processor)410，通信接口(Communications Interface)420，存储器(memory)430，通信总线440。
处理器410、通信接口420以及存储器430通过通信总线440完成相互间的通信。
处理器410，用于执行程序432，具体可以执行上述图1、图3、图5至图8所示的方法实施方式中的相关步骤。
具体地，程序432可以包括程序代码，程序代码包括计算机操作指令。
处理器410可能是一个中央处理器CPU，或者是特定集成电路ASIC（Application Specific Integrated Circuit），或者是被配置成实施本发明实施例的一个或多个集成电路。
存储器430，用于存放程序432。存储器430可能包含高速RAM存储器，也可能还包括非易失性存储器（non-volatile memory），例如至少一个磁盘存储器。
程序432中各功能模块的具体实现可以参见上述图9至图14所示实施方式中的相应模块，在此不再赘述。
本实施方式第一文件系统在内核空间接收来自用户空间的访问请求，访问请求中携带用户标识和操作类型；根据待访问数据所在文件的元数据以及访问请求中携带的用户标识和操作类型，判断是否允许访问请求访问文件，元数据中包含具备文件操作权限的用户标识和具备文件操作权限的用户标识对应的操作类型；若允许访问请求访问文件，则第一文件系统向第二文件系统发送访问请求；若不允许访问请求访问文件，则第一文件系统拒绝访问请求。通过设备的第一文件系统判断是否允许访问请求访问文件，能够简化数据防护的复杂性，降低企业运营和投资成本。
在本发明所提供的几个实施方式中，应该理解到，所揭露的系统，装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施方式仅仅是示意性的，例如，模块或单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。
作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施方式方案的目的。
另外，在本发明各个实施方式中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。
集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备（可以是个人计算机，服务器，或者网络设备等）或处理器（processor）执行本发明各个实施方式方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器（ROM，Read-Only Memory）、随机存取存储器（RAM，Random Access Memory）、磁碟或者光盘等各种可以存储程序代码的介质。
以上仅为本发明的实施方式，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。
Claims (14)
1.一种数据的访问方法，其特征在于，包括：
设备中的第一文件系统在内核空间接收来自用户空间的访问请求，所述访问请求中携带用户标识和操作类型，所述用户标识是发起所述访问请求的用户的标识；
所述第一文件系统根据待访问数据所在文件的元数据以及所述访问请求中携带的用户标识和操作类型，判断是否允许所述访问请求访问所述文件，所述元数据中包含具备所述文件操作权限的用户标识和所述具备所述文件操作权限的用户标识对应的权限信息；
若允许所述访问请求访问所述文件，则所述第一文件系统向第二文件系统发送所述访问请求，所述第二文件系统为所述设备中的真实文件系统；
若不允许所述访问请求访问所述文件，则所述第一文件系统拒绝所述访问请求。
2.根据权利要求1所述的方法，其特征在于，所述操作权限包括读权限、写权限和扩展权限，所述扩展权限至少包括复制权限、移动权限、删除权限以及打印权限。
3.根据权利要求2所述的方法，其特征在于，所述第一文件系统根据待访问数据所在文件的元数据以及所述访问请求中携带的用户标识和操作类型，判断是否允许所述访问请求访问所述文件的步骤，包括：
若所述访问请求中携带的用户标识与所述待访问数据所在文件的元数据中具备所述文件操作权限的用户标识一致、且所述访问请求中携带的操作类型对应扩展权限，则查找所述元数据中存储的与所述用户标识对应的扩展权限信息，所述扩展权限信息包含扩展权限名与表示是否具备权限的标志位之间的映射关系；
根据已找到的扩展权限信息，所述第一文件系统判断与待查扩展权限名存在映射关系的标志位是否被设置为具备权限的标志位，所述待查扩展权限名是指所述访问请求中携带的操作类型对应的扩展权限的权限名；
若与待查扩展权限名存在映射关系的标志位被设置为具备权限的标志位，则允许所述访问请求访问所述文件；
若与待查扩展权限名存在映射关系的标志位被设置为不具备权限的标志位，则不允许所述访问请求访问所述文件。
4.根据权利要求2所述的方法，其特征在于，
所述第一文件系统根据待访问数据所在文件的元数据以及所述访问请求中携带的用户标识和操作类型，判断是否允许所述访问请求访问所述文件的步骤之后，还包括：
若允许所述访问请求读取所述文件，则所述第一文件系统将需要读取的来自第二文件系统的所述待访问数据所在文件进行解密；
所述第一文件系统将已经解密的所述待访问数据所在文件向用户空间发送；
所述第一文件系统根据待访问数据所在文件的元数据以及所述访问请求中携带的用户标识和操作类型，判断是否允许所述访问请求访问所述文件的步骤之后，还包括：
若允许所述访问请求写入所述文件，则所述第一文件系统将所述需要写入的所述数据所在文件进行加密；
将所述已经加密的所述数据所在文件向第二文件系统发送。
5.根据权利要求4所述的方法，其特征在于，所述第一文件系统根据待访问数据所在文件的元数据以及所述访问请求中携带的用户标识和操作类型，判断是否允许所述访问请求访问所述文件的步骤之前，还包括：
所述第一文件系统根据所述元数据中的文件实体指针，判断所述待访问数据所在文件是否在敏感数据保险箱中，其中所述文件实体指针指向所述文件的存储位置；
若在敏感数据保险箱中，则所述第一文件系统执行判断是否允许所述访问请求访问所述文件的步骤。
6.根据权利要求5所述的方法，其特征在于，所述敏感数据保险箱中还存储有日志数据，所述日志数据用于所述第一文件系统对所述待访问数据所在文件的操作记录进行监控。
7.根据权利要求5所述的方法，其特征在于，所述方法还包括：所述第一文件系统将所述敏感数据保险箱中的数据同步备份于服务器中。
8.根据权利要求1-7任一项所述的方法，其特征在于，所述访问请求来自用户空间的第三文件系统，所述第三文件系统为虚拟文件系统。
9.一种数据的访问装置，其特征在于，所述装置设置于设备中的第一文件系统中，该装置包括：接收模块、第一判断模块、第一发送模块以及拒绝模块；
所述接收模块用于在内核空间接收来自用户空间的访问请求，所述访问请求中携带用户标识和操作类型，并将所述接收的访问请求向所述第一判断模块发送，所述用户标识是发起访问请求的用户的标识。
所述第一判断模块用于根据待访问数据所在文件的元数据以及所述接收模块发送的所述访问请求中携带的用户标识和操作类型，判断是否允许所述访问请求访问所述文件，并将所述判断结果向所述第一发送模块或拒绝模块发送，所述元数据中包含具备所述文件操作权限的用户标识和所述具备所述文件操作权限的用户标识对应的权限信息；
所述第一发送模块用于接收所述第一判断模块发送的判断结果，在判断结果为允许所述访问请求访问所述文件时，向第二文件系统发送所述访问请求，所述第二文件系统为所述设备中的真实文件系统；
所述拒绝模块用于接收所述第一判断模块发送的判断结果，在判断结果为不允许所述访问请求访问所述文件时，拒绝所述访问请求。
10.根据权利要求9所述的装置，其特征在于，所述操作权限包括读权限、写权限和扩展权限，所述扩展权限至少包括复制权限、移动权限、删除权限以及打印权限。
11.根据权利要求10所述的装置，其特征在于，所述第一判断模块包括：查找单元、判断单元以及结果获得单元；
所述查找单元用于在所述访问请求中携带的用户标识与所述待访问数据所在文件的元数据中具备所述文件操作权限的用户标识一致、且所述访问请求中携带的操作类型对应扩展权限时，查找所述元数据中存储的与所述用户标识对应的扩展权限信息，并将所述找到的扩展权限信息向所述判断单元发送，所述扩展权限信息包含扩展权限名与表示是否具备权限的标志位之间的映射关系；
所述判断单元用于接收所述查找单元发送的已找到的扩展权限信息，根据已找到的扩展权限信息，判断与待查扩展权限名存在映射关系的标志位是否被设置为具备权限的标志位，所述待查扩展名是指所述访问请求中携带的操作类型对应的扩展权限的权限名，并将所述判断结果向所述结果获得单元发送；
所述结果获得单元用于接收所述判断单元发送的判断结果，在与待查扩展权限名存在映射关系的标志位被设置为具备权限的标志位时，允许所述访问请求访问所述文件；在与待查扩展权限名存在映射关系的标志位被设置为不具备权限的标志位时，不允许所述访问请求访问所述文件。
12.根据权利要求10所述的装置，其特征在于，所述装置还包括：解密模块和第二发送模块；
所述解密模块用于在第一判断模块判断出允许所述访问请求读取所述文件时，将需要读取的来自第二文件系统的所述待访问数据所在文件进行解密，并将所述已解密的所述待访问数据所在文件向所述第二发送模块发送；
所述第二发送模块用于接收所述解密模块发送的已解密的所述待访问数据所在文件，将所述已经解密的所述待访问数据所在文件向用户空间发送；
所述装置还包括：加密模块和第三发送模块；
所述加密模块用于在第一判断模块判断出允许所述访问请求写入所述文件时，将所述需要写入的所述数据所在文件进行加密，并将所述已加密的所述数据所在文件向所述第三发送模块发送；
所述第三发送模块用于接收所述加密模块发送的已加密的所述数据所在文件，将所述已经加密的所述数据所在文件向第二文件系统发送。
13.根据权利要求12所述的装置，其特征在于，所述装置还包括：第二判断模块；
所述第二判断模块用于根据所述元数据中的文件实体指针，判断所述待访问数据所在文件是否在敏感数据保险箱中，其中所述文件实体指针指向所述文件的存储位置，并将判断结果向所述第一判断模块发送；
所述第一判断模块用于接收所述第二判断模块发送的判断结果，在判断结果为在敏感数据保险箱中时，判断是否允许所述访问请求访问所述文件。
14.根据权利要求13所述的装置，其特征在于，所述敏感数据保险箱中还存储有日志数据，所述日志数据用于所述第一文件系统对所述待访问数据所在文件的操作记录进行监控；
所述装置还包括：同步备份模块，所述同步备份模块用于将所述敏感数据保险箱中的数据同步备份于服务器中。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201310169603.XA CN103268455B (zh) | 2013-05-09 | 2013-05-09 | 数据的访问方法及装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201310169603.XA CN103268455B (zh) | 2013-05-09 | 2013-05-09 | 数据的访问方法及装置 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN103268455A true CN103268455A (zh) | 2013-08-28 |
| CN103268455B CN103268455B (zh) | 2015-12-02 |
Family
ID=49012083
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201310169603.XA Active CN103268455B (zh) | 2013-05-09 | 2013-05-09 | 数据的访问方法及装置 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN103268455B (zh) |
Cited By (23)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN103488755A (zh) * | 2013-09-24 | 2014-01-01 | 华为技术有限公司 | 一种文件系统访问方法及设备 |
| CN103810565A (zh) * | 2014-01-26 | 2014-05-21 | 中南大学 | 一种基于工作流服务的数据处理方法 |
| WO2015043329A1 (zh) * | 2013-09-30 | 2015-04-02 | 华为技术有限公司 | 数据访问方法、系统及数据仓库 |
| CN104680083A (zh) * | 2015-03-19 | 2015-06-03 | 福州瑞芯微电子有限公司 | 一种图片管理方法及装置 |
| WO2015196525A1 (zh) * | 2014-06-23 | 2015-12-30 | 中兴通讯股份有限公司 | 加密方法及装置、内核加密数据的操作方法及装置 |
| CN105335663A (zh) * | 2015-10-22 | 2016-02-17 | 武汉理工大学 | 一种基于双像文件的加密文件系统 |
| CN105429972A (zh) * | 2015-11-10 | 2016-03-23 | 华为技术有限公司 | 资源访问控制方法及设备 |
| CN105574425A (zh) * | 2015-04-30 | 2016-05-11 | 宇龙计算机通信科技(深圳)有限公司 | 访问存储数据的方法及装置 |
| WO2017000369A1 (zh) * | 2015-06-30 | 2017-01-05 | 中兴通讯股份有限公司 | 一种信息安全管理方法和装置、存储介质 |
| CN106407834A (zh) * | 2016-08-26 | 2017-02-15 | 北京恒华伟业科技股份有限公司 | 一种资审文件管理方法及装置 |
| CN106534101A (zh) * | 2016-11-01 | 2017-03-22 | 广东浪潮大数据研究有限公司 | 一种文件防护方法、安全系统客户端及文件防护系统 |
| CN107644153A (zh) * | 2016-07-22 | 2018-01-30 | 平安科技（深圳）有限公司 | 文档管理方法及服务器 |
| CN108108633A (zh) * | 2017-12-20 | 2018-06-01 | 中国科学院深圳先进技术研究院 | 一种数据文件及其访问方法、装置及设备 |
| CN108427895A (zh) * | 2018-03-16 | 2018-08-21 | 何小林 | 磁盘阵列数据保护系统和方法 |
| CN109656884A (zh) * | 2018-12-14 | 2019-04-19 | 郑州云海信息技术有限公司 | 一种访问文件的方法及装置 |
| WO2019174646A1 (zh) * | 2018-03-16 | 2019-09-19 | 何小林 | 通过可信通道技术保护磁盘阵列数据安全的方法和系统 |
| CN110502904A (zh) * | 2018-05-18 | 2019-11-26 | 广州信天翁信息科技有限公司 | 一种溯源数据录入权限的授权方法及装置 |
| CN105183799B (zh) * | 2015-08-25 | 2019-12-24 | 苏州浪潮智能科技有限公司 | 一种权限管理的方法及客户端 |
| CN111368285A (zh) * | 2020-02-28 | 2020-07-03 | 湖南中观天下科技有限公司 | 基于数字特征的安全威胁分析方法和装置 |
| CN111563269A (zh) * | 2020-03-18 | 2020-08-21 | 宁波送变电建设有限公司永耀科技分公司 | 基于影子系统的敏感数据安全保护方法及系统 |
| CN112306413A (zh) * | 2020-10-30 | 2021-02-02 | 北京百度网讯科技有限公司 | 用于访问内存的方法、装置、设备以及存储介质 |
| US11086560B2 (en) | 2019-07-12 | 2021-08-10 | Tsinghua University | Data storage access method, device and apparatus for persistent memory |
| CN115033550A (zh) * | 2022-08-10 | 2022-09-09 | 宁波均联智行科技股份有限公司 | 一种车机系统文件访问方法及车机系统 |
Citations (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101964035A (zh) * | 2010-10-11 | 2011-02-02 | 深圳创维－Rgb电子有限公司 | 一种Linux操作系统文件安全系统及电子设备 |
-
2013
- 2013-05-09 CN CN201310169603.XA patent/CN103268455B/zh active Active
Patent Citations (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101964035A (zh) * | 2010-10-11 | 2011-02-02 | 深圳创维－Rgb电子有限公司 | 一种Linux操作系统文件安全系统及电子设备 |
Non-Patent Citations (1)
| Title |
|---|
| 贾彬: ""文件安全管理的研究与实现"", 《中国优秀硕士学位论文全文数据库（电子期刊）信息科技辑》 * |
Cited By (31)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN103488755A (zh) * | 2013-09-24 | 2014-01-01 | 华为技术有限公司 | 一种文件系统访问方法及设备 |
| WO2015043329A1 (zh) * | 2013-09-30 | 2015-04-02 | 华为技术有限公司 | 数据访问方法、系统及数据仓库 |
| CN103810565A (zh) * | 2014-01-26 | 2014-05-21 | 中南大学 | 一种基于工作流服务的数据处理方法 |
| WO2015196525A1 (zh) * | 2014-06-23 | 2015-12-30 | 中兴通讯股份有限公司 | 加密方法及装置、内核加密数据的操作方法及装置 |
| CN104680083A (zh) * | 2015-03-19 | 2015-06-03 | 福州瑞芯微电子有限公司 | 一种图片管理方法及装置 |
| CN105574425B (zh) * | 2015-04-30 | 2018-06-15 | 宇龙计算机通信科技(深圳)有限公司 | 访问存储数据的方法及装置 |
| CN105574425A (zh) * | 2015-04-30 | 2016-05-11 | 宇龙计算机通信科技(深圳)有限公司 | 访问存储数据的方法及装置 |
| WO2017000369A1 (zh) * | 2015-06-30 | 2017-01-05 | 中兴通讯股份有限公司 | 一种信息安全管理方法和装置、存储介质 |
| CN105183799B (zh) * | 2015-08-25 | 2019-12-24 | 苏州浪潮智能科技有限公司 | 一种权限管理的方法及客户端 |
| CN105335663B (zh) * | 2015-10-22 | 2018-08-03 | 武汉理工大学 | 一种基于双像文件的加密文件系统 |
| CN105335663A (zh) * | 2015-10-22 | 2016-02-17 | 武汉理工大学 | 一种基于双像文件的加密文件系统 |
| CN105429972A (zh) * | 2015-11-10 | 2016-03-23 | 华为技术有限公司 | 资源访问控制方法及设备 |
| CN105429972B (zh) * | 2015-11-10 | 2019-05-24 | 华为技术有限公司 | 资源访问控制方法及设备 |
| CN107644153A (zh) * | 2016-07-22 | 2018-01-30 | 平安科技（深圳）有限公司 | 文档管理方法及服务器 |
| CN106407834A (zh) * | 2016-08-26 | 2017-02-15 | 北京恒华伟业科技股份有限公司 | 一种资审文件管理方法及装置 |
| CN106534101A (zh) * | 2016-11-01 | 2017-03-22 | 广东浪潮大数据研究有限公司 | 一种文件防护方法、安全系统客户端及文件防护系统 |
| CN108108633A (zh) * | 2017-12-20 | 2018-06-01 | 中国科学院深圳先进技术研究院 | 一种数据文件及其访问方法、装置及设备 |
| CN108108633B (zh) * | 2017-12-20 | 2021-07-13 | 中国科学院深圳先进技术研究院 | 一种数据文件及其访问方法、装置及设备 |
| WO2019174647A1 (zh) * | 2018-03-16 | 2019-09-19 | 何小林 | 磁盘阵列数据保护系统和方法 |
| WO2019174646A1 (zh) * | 2018-03-16 | 2019-09-19 | 何小林 | 通过可信通道技术保护磁盘阵列数据安全的方法和系统 |
| CN108427895A (zh) * | 2018-03-16 | 2018-08-21 | 何小林 | 磁盘阵列数据保护系统和方法 |
| CN110502904A (zh) * | 2018-05-18 | 2019-11-26 | 广州信天翁信息科技有限公司 | 一种溯源数据录入权限的授权方法及装置 |
| CN110502904B (zh) * | 2018-05-18 | 2022-02-11 | 广州信天翁信息科技有限公司 | 一种溯源数据录入权限的授权方法及装置 |
| CN109656884A (zh) * | 2018-12-14 | 2019-04-19 | 郑州云海信息技术有限公司 | 一种访问文件的方法及装置 |
| US11086560B2 (en) | 2019-07-12 | 2021-08-10 | Tsinghua University | Data storage access method, device and apparatus for persistent memory |
| CN111368285A (zh) * | 2020-02-28 | 2020-07-03 | 湖南中观天下科技有限公司 | 基于数字特征的安全威胁分析方法和装置 |
| CN111563269A (zh) * | 2020-03-18 | 2020-08-21 | 宁波送变电建设有限公司永耀科技分公司 | 基于影子系统的敏感数据安全保护方法及系统 |
| CN111563269B (zh) * | 2020-03-18 | 2023-08-29 | 宁波送变电建设有限公司永耀科技分公司 | 基于影子系统的敏感数据安全保护方法及系统 |
| CN112306413A (zh) * | 2020-10-30 | 2021-02-02 | 北京百度网讯科技有限公司 | 用于访问内存的方法、装置、设备以及存储介质 |
| CN112306413B (zh) * | 2020-10-30 | 2024-05-07 | 北京百度网讯科技有限公司 | 用于访问内存的方法、装置、设备以及存储介质 |
| CN115033550A (zh) * | 2022-08-10 | 2022-09-09 | 宁波均联智行科技股份有限公司 | 一种车机系统文件访问方法及车机系统 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN103268455B (zh) | 2015-12-02 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN103268455A (zh) | 数据的访问方法及装置 | |
| CN101443756B (zh) | 通过使用随机数来创建和应用权限对象的安全文件标识符的方法和设备 | |
| US8782441B1 (en) | Methods and systems for storage of large data objects | |
| US20140380057A1 (en) | Method, Server, Host, and System for Protecting Data Security | |
| CN100524265C (zh) | 在便携式存储装置和数字装置之间运行多个应用的设备和方法 | |
| CN102945355A (zh) | 基于扇区映射的快速数据加密策略遵从 | |
| CN102622311A (zh) | Usb移动存储设备访问控制方法、装置及系统 | |
| CN101971186A (zh) | 信息泄露防止装置和方法及其程序 | |
| CN105528553A (zh) | 一种数据安全共享的方法、装置和终端 | |
| CN102281141B (zh) | 一种文档权限管理方法、装置及系统 | |
| CN101916342A (zh) | 一种安全移动存储设备及利用其实现数据安全交换的方法 | |
| CN107590395B (zh) | 适用于云环境的多层数据加密方法、装置、设备及系统 | |
| CN102855452A (zh) | 基于加密组块的快速数据加密策略遵从 | |
| CN113886862B (zh) | 一种可信计算系统及基于可信计算系统的资源处理方法 | |
| CN102667803A (zh) | 用于根据所分配的权限信息运行虚拟机的方法和设备 | |
| CN108491724A (zh) | 一种基于硬件的计算机接口加密装置及方法 | |
| CN103077345A (zh) | 基于虚拟机的软件授权方法及系统 | |
| WO2013008353A1 (ja) | データ分散保管システム | |
| CN104104650A (zh) | 数据文件访问方法及终端设备 | |
| CN114925031A (zh) | 数据差异化安全共享方法、装置、电子设备及介质 | |
| CN106992978A (zh) | 网络安全管理方法及服务器 | |
| US20140068256A1 (en) | Methods and apparatus for secure mobile data storage | |
| CN108256351B (zh) | 文件处理方法和装置、存储介质及终端 | |
| Kang et al. | A strengthening plan for enterprise information security based on cloud computing | |
| CN102184370B (zh) | 基于微过滤驱动模型的文档安全系统 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| C10 | Entry into substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| C14 | Grant of patent or utility model | ||
| GR01 | Patent grant | ||
| TR01 | Transfer of patent right |
Effective date of registration: 20211123 Address after: 215010 room 704, building 5, No. 556, Changjiang Road, high tech Zone, Suzhou, Jiangsu Patentee after: SUZHOU YUDESHUI ELECTRICAL TECHNOLOGY Co.,Ltd. Address before: 518129 Bantian HUAWEI headquarters office building, Longgang District, Guangdong, Shenzhen Patentee before: HUAWEI TECHNOLOGIES Co.,Ltd. |
|
| TR01 | Transfer of patent right | ||
| TR01 | Transfer of patent right |
Effective date of registration: 20211213 Address after: 256599 No. 166, Chemical Road, economic development zone, Boxing County, Binzhou City, Shandong Province Patentee after: Boxing Rongzhi Technology Innovation Development Co.,Ltd. Address before: 215010 room 704, building 5, No. 556, Changjiang Road, high tech Zone, Suzhou, Jiangsu Patentee before: SUZHOU YUDESHUI ELECTRICAL TECHNOLOGY Co.,Ltd. |
|
| TR01 | Transfer of patent right | ||
| TR01 | Transfer of patent right |
Effective date of registration: 20221019 Address after: 4 / F, building 2, Hunan scientific research achievements transformation center workshop, Longping high tech park, Furong district, Changsha City, Hunan Province 410000 Patentee after: HUNAN QINHAI DIGITAL Co.,Ltd. Address before: 256599 No. 166, Chemical Road, economic development zone, Boxing County, Binzhou City, Shandong Province Patentee before: Boxing Rongzhi Technology Innovation Development Co.,Ltd. |
|
| TR01 | Transfer of patent right |