CN103294969A - 文件系统挂载方法和装置 - Google Patents

Abstract

本申请公开了一种文件系统挂载方法和装置，其中，该方法包括：在系统启动时，加载引导分区中的系统内核和加密的初始化镜像；根据系统内核中的第一加密信息，解密初始化镜像；获取解密的初始化镜像中的第二加密信息；根据第二加密信息将系统分区映射为解密的虚拟分区，并将虚拟分区挂载为文件系统的方式。通过本申请，解决了对电子盘的操作系统保护的安全性能低的问题，提高了操作系统的安全性能。

Description

文件系统挂载方法和装置

技术领域

本申请涉及系统安全领域，具体而言，涉及文件系统挂载方法和装置。

背景技术

电子盘具有性能稳定、工作环境强、耗电低、寿命高、体积小等特点，它克服了机械硬盘的弊病，被广泛用于工业控制、公共安全、电信、军工、航空等高可靠性需求的数据领域，常作为专用机和工业控制机的操作系统存储介质。

但普通的电子盘没有加密保护措施，内部的操作系统可能被外部读取，导致商业机密的泄露；如果用在政府、军工、银行等重要领域，一旦敏感信息被不非分子窃取，将会带来不可预估的灾难。

相关技术中采用了下列方法对电子盘的操作系统进行保护：

1、采用带硬件加密功能的电子盘。这种带硬件加密功能的电子盘价格昂贵，不利于企业压缩成本，提高利润；并且，还需要为操作系统安装厂商专用驱动与管理软件才能使用。

2、使用分区加密软件。采用该方法需要在非加密分区中安装加密软件，存放加密密钥，从而给黑客创造了破解的机会。

3、修改硬盘分区表信息，让分区无法被正常识别到，只有对应的引导程序、驱动可以识别到。这种保护措施在有经验的黑客面前形同虚设，对操作系统的保护效果十分有限。

4、不加密分区，而对整个文件系统的镜像文件进行加密。这种系统多数只能用于只读的环境中，而且操作系统的性能会有较大幅度的降低，并且采用该方法的升级维护比较复杂。

因此，提供一种通用的、安全的、不影响系统应用服务的电子盘系统保密方法具有重大而紧迫的现实意义。

针对相关技术中对电子盘的操作系统保护的安全性能低的问题，目前尚未提出有效的解决方案。

发明内容

本申请提供了一种文件系统挂载方法和装置，以至少解决相关技术中存在的上述问题。

根据本申请的一个方面，提供了一种文件系统挂载方法，包括：在系统启动时，加载引导分区中的系统内核和加密的初始化镜像；根据所述系统内核中的第一加密信息，解密所述初始化镜像；获取解密的所述初始化镜像中的第二加密信息；根据所述第二加密信息将系统分区映射为解密的虚拟分区，并将所述虚拟分区挂载为文件系统。

优选地，在加载所述系统内核和所述初始化镜像之前，所述方法还包括：加载主引导记录中的引导程序，其中，所述主引导记录包括所述引导分区的信息和所述系统分区的信息；其中，加载所述系统内核和所述初始化镜像包括：所述引导程序根据所述系统分区的信息加载所述系统内核和所述初始化镜像。

优选地，在解密所述初始化镜像之后，所述方法还包括：根据解密的所述初始化镜像加载驱动；其中，将所述系统分区映射为解密的虚拟分区，并将所述虚拟分区挂载为文件系统包括：通过所述驱动将所述系统分区映射为解密的虚拟分区，并将所述虚拟分区挂载为文件系统。

优选地，在加载所述系统内核和所述初始化镜像之前，所述方法还包括：加载所述驱动；打包并压缩所述驱动和所述第二加密信息，得到未加密的初始化镜像；根据所述第一加密信息加密未加密的初始化镜像，得到所述初始化镜像。

优选地，加密所述未加密的初始化镜像包括：使用密码分组链接模式的对称加密算法加密所述未加密的初始化镜像。

优选地，在加载所述系统内核和所述初始化镜像之前，所述方法还包括：将所述第一加密信息编译到所述系统内核中，其中，所述第一加密信息包括：解密算法和解密密钥。

根据本申请的另一个方面，还提供了一种文件系统挂载装置，包括：第一加载模块，用于在系统启动的情况下，加载引导分区中的系统内核和加密的初始化镜像；解密模块，用于根据所述系统内核中的第一加密信息，解密所述初始化镜像；获取模块，用于获取解密的所述初始化镜像中的第二加密信息；处理模块，用于根据所述第二加密信息将系统分区映射为解密的虚拟分区，并将所述虚拟分区挂载为文件系统。

优选地，所述装置还包括：第二加载模块，用于根据解密的所述初始化镜像加载驱动；其中，所述处理模块，用于通过所述驱动将所述系统分区映射为解密的虚拟分区，并将所述虚拟分区挂载为文件系统。

优选地，所述装置还包括：第三加载模块，用于加载所述驱动；打包模块，用于打包并压缩所述驱动和所述第二加密信息，得到未加密的初始化镜像；加密模块，用于根据所述第一加密信息加密未加密的初始化镜像，得到所述初始化镜像。

优选地，所述装置还包括：编译模块，用于将所述第一加密信息编译到所述系统内核中，其中，所述第一加密信息包括：解密算法和解密密钥。

通过本申请，采用在系统启动时，加载引导分区中的系统内核和加密的初始化镜像；根据系统内核中的第一加密信息，解密初始化镜像；获取解密的初始化镜像中的第二加密信息；根据第二加密信息将系统分区映射为解密的虚拟分区，并将虚拟分区挂载为文件系统的方式，解决了对电子盘的操作系统保护的安全性能低的问题，提高了操作系统的安全性能。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1是根据本申请实施例的文件系统挂载方法的流程示意图；

图2是根据本申请实施例的文件系统挂载装置的结构框图；

图3是根据本申请实施例的文件系统挂载装置的优选结构框图一；

图4是根据本申请实施例的文件系统挂载装置的优选结构框图二；

图5是根据本申请实施例的文件系统挂载装置的优选结构框图三；

图6是根据本申请实施例的文件系统挂载装置的优选结构框图四；

图7是根据本申请优选实施例的电子盘的结构示意图；

图8是根据本申请优选实施例的系统分区保护原理示意图；

图9是根据本申请优选实施例的电子盘系统启动的数据流示意图。

具体实施方式

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本发明。

需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

本实施例提供了一种文件系统挂载方法，图1是根据本申请实施例的文件系统挂载方法的流程示意图，如图1所示，包括如下步骤：

步骤S102，在系统启动时，加载引导分区中的系统内核和加密的初始化镜像；

步骤S104，根据系统内核中的第一加密信息，解密初始化镜像；

步骤S106，获取解密的初始化镜像中的第二加密信息；

步骤S108，根据第二加密信息将系统分区映射为解密的虚拟分区，并将虚拟分区挂载为文件系统。

通过上述步骤，对初始化镜像进行加密，通过系统内核中的第一加密信息对加密后的初始化镜像进行解密，得到用于加密系统分区的第二加密信息，并通过第二加密信息将系统分区映射为虚拟分区，在该虚拟分区上挂载文件系统。该方式仍然是采用软件的方式对整个操作系统的系统分区进行保护，对于系统硬件并无特殊要求，因此其实现成本低；第二加密信息保存在使用系统内核中的第一加密信息加密的系统内核中，而系统内核被反编译得到第一加密信息的难度相当大，从而使得第二加密信息得到了很好的保护，无法轻易被非法获取，从而提高了系统分区中操作系统的安全性能。

优选地，在操作系统在启动之初，先加载主引导记录中的引导程序，其中，主引导记录包括引导分区的信息和系统分区的信息；其中的引导分区的信息用于引导程序根据系统分区的信息加载系统内核和初始化镜像；系统分区的信息用于系统内核读取，并在加载文件系统时使用。

初始化镜像用于加载系统驱动，在一个优选实施例中，初始化镜像中的系统驱动包括用于将系统分区映射为解密的虚拟分区的驱动，以及用于将虚拟分区挂载为文件系统的驱动。这些驱动可以在解密初始化镜像之后，从该解密的初始化镜像中加载得到。由于采用了驱动级加解密方式对系统分区进行映射，对整的操作系统的性能影响较小，不会影响文件系统与应用程序的各种操作，相对于相关技术中对整个操作系统的镜像文件加密的方式，不仅操作系统的性能提高了，而且其升级与维护与在未加密的系统分区上的操作是一样的。

优选地，在加载系统内核和初始化镜像之前，该方法还包括制作加密的初始化镜像，例如：加载驱动；打包并压缩驱动和第二加密信息，得到未加密的初始化镜像；根据第一加密信息加密未加密的初始化镜像，得到初始化镜像。该方式提供了一种制作加密的初始化镜像的方法。

优选地，使用密码分组链接模式的对称加密算法加密未加密的初始化镜像。由于密码分组链接模式的对称加密算法的安全强度高，能够有效抵御分组重放攻击，从而提高了初始化镜像的安全强度。

优选地，在加载系统内核和初始化镜像之前，该方法还包括：将第一加密信息编译到系统内核中，其中，第一加密信息包括：解密算法和解密密钥。需要说明的是，在采用对称加密算法的情况下，第一加密信息也可以包括：加密算法和加密密钥；并且，将第一加密信息编译到系统内核中可以是在初始化镜像加密之前，也可以是在初始化镜像加密之后，在此并不做限定。由于第一加密信息是编译在系统内核中的，而对系统内核进行反编译得到第一加密信息的难度相当大，因此，采用该方式使得第一加密信息得到了很好的保护，从而提高了加密的初始化镜像的安全强度。

本实施例还可以提供一个用于执行上述实施例的计算机程序以及保存上述计算机程序的载体，即本申请上述实施例可以通过一个合适的计算体系结构来进行符合自然规律的运行过程。另外，尽管在上述上下文中描述本申请，但上述用于实现执行步骤的计算机程序并不意味着是限制性的，所描述的动作和操作的各方面也可用硬件来实现。

本实施例还提供了一种文件系统挂载装置，该装置用于实现上述文件系统挂载方法。

图2是根据本申请实施例的文件系统挂载装置的结构框图，如图2所示，该装置包括：第一加载模块22、解密模块24、获取模块26和处理模块28，其中，第一加载模块22，用于在系统启动的情况下，加载引导分区中的系统内核和加密的初始化镜像；解密模块24耦合至上述第一加载模块22，用于根据系统内核中的第一加密信息，解密初始化镜像；获取模块26耦合至上述解密模块24，用于获取解密的初始化镜像中的第二加密信息；处理模块28耦合至上述获取模块26，用于根据第二加密信息将系统分区映射为解密的虚拟分区，并将虚拟分区挂载为文件系统。

通过上述装置，采用了第一加载模块22在系统启动的情况下，加载引导分区中的系统内核和加密的初始化镜像；解密模块24根据系统内核中的第一加密信息，解密初始化镜像；获取模块26获取解密的初始化镜像中的第二加密信息；处理模块28根据第二加密信息将系统分区映射为解密的虚拟分区，并将虚拟分区挂载为文件系统的方式。该方式仍然是采用软件的方式对整个操作系统的系统分区进行保护，对于系统硬件并无特殊要求，因此其实现成本低；第二加密信息保存在使用系统内核中的第一加密信息加密的系统内核中，而系统内核被反编译得到第一加密信息的难度相当大，从而使得第二加密信息得到了很好的保护，无法轻易被非法获取，从而提高了系统分区中操作系统的安全性能。

本实施例中所涉及到的模块、单元可以通过软件的方式实现，也可以通过硬件的方式来实现。本实施例中所描述的模块、单元也可以设置在处理器中，例如，可以描述为：一种处理器包括第一加载模块22、解密模块24、获取模块26和处理模块28。其中，这些模块的名称在某些情况下并不构成对该模块本身的限定，例如，第一加载模块还可以被描述为“用于在系统启动的情况下加载引导分区中的系统内核和加密的初始化镜像的模块”。

并且，装置实施例中描述的文件系统挂载装置对应于上述的方法实施例，其具体的实现过程在方法实施例中已经进行过详细说明，在此不再赘述。

图3是根据本申请实施例的文件系统挂载装置的优选结构框图一，如图3所示，优选地，该装置还包括：第四加载模块32耦合至上述第一加载模块22，用于加载主引导记录中的引导程序，其中，所述主引导记录包括所述引导分区的信息和所述系统分区的信息；其中，该第一加载模块22还用于通过引导程序，根据系统分区的信息加载系统内核和初始化镜像。

图4是根据本申请实施例的文件系统挂载装置的优选结构框图二，如图4所示，优选地，该装置还包括：第二加载模块42耦合至解密模块24，用于根据解密的初始化镜像加载驱动；其中，处理模块28，用于通过驱动将系统分区映射为解密的虚拟分区，并将虚拟分区挂载为文件系统。

图5是根据本申请实施例的文件系统挂载装置的优选结构框图三，如图5所示，该装置还包括：第三加载模块52，用于加载驱动；打包模块54耦合至第三加载模块52，用于打包并压缩驱动和第二加密信息，得到未加密的初始化镜像；加密模块56耦合至打包模块54和第一加载模块22，用于根据第一加密信息加密未加密的初始化镜像，得到初始化镜像。

图6是根据本申请实施例的文件系统挂载装置的优选结构框图四，如图6所示，该装置还包括：编译模块62耦合至第一加载模块22，用于将第一加密信息编译到系统内核中，其中，第一加密信息包括：解密算法和解密密钥。

上述实施例中描述的文件系统挂载方法和装置可以应用于各种介质的系统中的文件系统挂载，例如：硬盘系统中的文件系统挂载、电子盘系统中的文件系统挂载。

下面将结合优选的实施例对其实现过程进行详细描述。

由于工控机、嵌入式等应用由于成本、功耗、占用空间等因素多采用小巧的电子盘来安装操作系统，在本优选实施例中结合上述实施例对电子盘系统的启动过程进行描述。

本优选实施例提供了一种电子盘系统启动方法。

图7是根据本申请优选实施例的电子盘的结构示意图，如图7所示，整个电子盘被分为三个部分，系统启动时，按照图中从左至右的顺序依次加载主引导记录（Master Boot Record，简称为MBR）、引导分区和系统分区。

下面对MBR、引导分区和系统分区分别进行介绍：

（1）MBR，包括引导程序与主分区表，其中，主分区表包含引导分区与系统分区两条分区记录。

（2）引导分区，相关技术中的引导分区使用明文存储，存放启动操作系统的相关文件，在优选实施例中的引导分区中包括：

引导程序外部文件，包括引导菜单配置文件、菜单字体等文件；

系统内核，操作系统的内核是经过编译压缩的二进制文件；

初始化镜像，是一个加密的、压缩的打包文件，包含有挂载系统分区所需要的驱动程序以及系统分区的加密算法与密钥，其中，初始化镜像的加密信息被编译在系统内核中。

（3）系统分区，是一个加密的文件系统，操作系统的所有文件都存放在其中。

下面介绍本优选实施例的电子盘系统启动的过程。

步骤1，电子盘系统电源开启，基本输入输出系统（Basic Input Output System，简称为BIOS）自检；

步骤2，BIOS确认电子盘为第一可启动设备；

步骤3，BIOS加载电子盘MBR中的引导程序至内存运行；

步骤4，引导程序加载系统内核与初始化镜像至内存；

步骤5，系统内核启动，解密初始化镜像；

步骤6，系统内核加载分区映射驱动（其中包括分区加密驱动），该分区映射驱动根据初始化镜像中的算法与密钥，映射系统分区为虚拟分区；

步骤7，挂载虚拟分区文件系统；

步骤8，执行系统启动的各项操作。

下面对本优选实施例的实现原理进行说明。

图8是根据本申请优选实施例的系统分区保护原理示意图，如图8所示，系统分区存储的物理分区使用密文存储，该物理分区通过加载一种块加密算法（例如，密码分组链接模式的对称加密算法，简称为CBC模式的对称加密算法）的驱动程序，解密并映射成为一个明文存储的虚拟分区，在此虚拟分区上创建的文件系统的内容，对于操作系统或用户是透明的，不需要修改任何应用程序也能正常工作。

对虚拟分区的写入操作，相当于对写入的数据块进行加密后存入物理分区；对虚拟分区的读取操作相当于从物理分区中解密出读取的数据块。这些过程是由驱动程序（例如，分区加密驱动）自动完成的。

若直接对物理分区进行读取操作，读取到的只是密文，没有任何价值，而直接对物理分区进行写入操作，则会破坏虚拟分区的文件系统以及数据，下次系统启动时可能无法挂载系统分区，将导致系统启动失败。

由图8可知，系统分区的加密算法与密钥保存在加密的初始化镜像文件中，若要破解电子盘系统，则必须先破解初始化镜像文件，得到其中的系统分区加密算法和密钥。

在本优选实施例中，采用下列的方法实现初始化镜像的安全性：

初始化镜像的制作步骤如下：

步骤1，根据模板创建初始化镜像制作目录；

步骤2，加入挂载系统分区所需的驱动程序（包括分区加密驱动）；

步骤3，加入系统分区加密密钥，设定所采用的加密算法；

步骤4，打包、压缩初始化镜像制作目录；

步骤5，执行加密程序加密压缩包，生成加密的初始化镜像文件，其中，加密算法和加密密钥被编译在系统内核中。

在加密初始化镜像时是使用一种CBC分组模式的对称加密算法，这种算法安全性较高，能够有效防止分组重放攻击。

为了让内核能够读取初始化镜像中的内容，必须将加密算法的解密模块与密钥一起编译到内核中。要反编译内核并且正确破解出这两部分，几乎是不可能成功。这样，初始化镜像得到保护，分区加密算法与密钥就能得到保护，系统分区也得到了保护，进而达到了保护整个电子盘系统的目的。

图9是根据本申请优选实施例的电子盘系统启动的数据流示意图，如图9所示，包括如下过程：

过程a，内核初始化模块从内存里的加密初始化镜像文件中读取出加密的初始化镜像数据；

过程b，内核加解密模块根据内核中的初始化镜像加密算法与密钥，解密出初始化镜像数据；

过程c，内核初始化模块将初始化镜像数据挂载成初，始化文件系统；

过程d，镜像初始化模块从初始化文件系统中获取系统分区的加密算法与密钥；

过程e，镜像初始化模块从初始化文件系统中加载分区加密驱动与文件系统驱动；

过程f，镜像初始化模块使用分区加密驱动、系统分区的加密算法与密钥，将加密的系统分区映射为解密的虚拟分区；

过程g，镜像初始化模块使用文件系统驱动，将虚拟分区挂载为操作系统的文件系统。

综上所述，通过上述实施例、优选实施例和优选实施方式，提供了一种适用于所有电子盘（即所用电子盘通用）的保护方法，不需要带加密功能的电子盘；由于采用驱动级透明加解密方式保护系统分区，性能损耗小，不会影响文件系统与应用程序的各种操作；加密算法与密钥存放在初始化镜像文件中，初始化镜像文件经过加密保护，加密算法与密钥被编译到系统内核中，受保护的操作系统分区数据不会被外部读取，保护系统分区的加密算法与密钥不会被外部获取，从而提高了系统分区的安全性能。

显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种文件系统挂载方法，其特征在于包括：

在系统启动时，加载引导分区中的系统内核和加密的初始化镜像；

根据所述系统内核中的第一加密信息，解密所述初始化镜像；

获取解密的所述初始化镜像中的第二加密信息；

根据所述第二加密信息将系统分区映射为解密的虚拟分区，并将所述虚拟分区挂载为文件系统。

2.根据权利要求1所述的方法，其特征在于，

在加载所述系统内核和所述初始化镜像之前，所述方法还包括：加载主引导记录中的引导程序，其中，所述主引导记录包括所述引导分区的信息和所述系统分区的信息；

其中，加载所述系统内核和所述初始化镜像包括：所述引导程序根据所述系统分区的信息加载所述系统内核和所述初始化镜像。

3.根据权利要求1所述的方法，其特征在于，

在解密所述初始化镜像之后，所述方法还包括：根据解密的所述初始化镜像加载驱动；

其中，将所述系统分区映射为解密的虚拟分区，并将所述虚拟分区挂载为文件系统包括：通过所述驱动将所述系统分区映射为解密的虚拟分区，并将所述虚拟分区挂载为文件系统。

4.根据权利要求3所述的方法，其特征在于，在加载所述系统内核和所述初始化镜像之前，所述方法还包括：

加载所述驱动；

打包并压缩所述驱动和所述第二加密信息，得到未加密的初始化镜像；

根据所述第一加密信息加密未加密的初始化镜像，得到所述初始化镜像。

5.根据权利要求4所述的方法，其特征在于，加密所述未加密的初始化镜像包括：

使用密码分组链接模式的对称加密算法加密所述未加密的初始化镜像。

6.根据权利要求1至5中任一项所述的方法，其特征在于，在加载所述系统内核和所述初始化镜像之前，所述方法还包括：

将所述第一加密信息编译到所述系统内核中，其中，所述第一加密信息包括：解密算法和解密密钥。

7.一种文件系统挂载装置，其特征在于包括：

第一加载模块，用于在系统启动的情况下，加载引导分区中的系统内核和加密的初始化镜像；

解密模块，用于根据所述系统内核中的第一加密信息，解密所述初始化镜像；

获取模块，用于获取解密的所述初始化镜像中的第二加密信息；

处理模块，用于根据所述第二加密信息将系统分区映射为解密的虚拟分区，并将所述虚拟分区挂载为文件系统。

8.根据权利要求7所述的装置，其特征在于，

所述装置还包括：第二加载模块，用于根据解密的所述初始化镜像加载驱动；

其中，所述处理模块，用于通过所述驱动将所述系统分区映射为解密的虚拟分区，并将所述虚拟分区挂载为文件系统。

9.根据权利要求8所述的装置，其特征在于，所述装置还包括：

第三加载模块，用于加载所述驱动；

打包模块，用于打包并压缩所述驱动和所述第二加密信息，得到未加密的初始化镜像；

加密模块，用于根据所述第一加密信息加密未加密的初始化镜像，得到所述初始化镜像。

10.根据权利要求7至9中任一项所述的装置，其特征在于，所述装置还包括：

编译模块，用于将所述第一加密信息编译到所述系统内核中，其中，所述第一加密信息包括：解密算法和解密密钥。

Images