CN105939349A - 一种实现用户数据随动安全存取的方法 - Google Patents

Abstract

本发明公开了一种实现用户数据随动安全存取的方法，通过实现用户触发的安全隧道来实现用户无感的数据安全传输，进而，通过与存储服务提供商无关的加密技术完成对各用户数据的隔离和安全存取，这是一种既具有私有云的速度和安全性，同时又能提供公有云的便利性的安全存储架构方法，可以让用户真正体验到将数据存储在云端与存储在本地一样安全、便捷。

Description

一种实现用户数据随动安全存取的方法

技术领域

本发明属于数据存储技术领域，更为具体地讲，涉及一种实现用户数据随动安全存取的方法。

背景技术

近些年来，随着云计算、大数据等新技术的发展和成熟、“云”已经深入到各个领域的方方面面，也越来越成为人们日常生活中的必需品。而究其原因，则是因为在如今信息爆炸的时代，人们生产出越来越多的数据需要存储和分享，云存储技术就是在这样的时代背景下应运而生——用户可以将数据存储于云端而非存储能力有限的本地。

一般可以将云分为私有云和公有云两种。基于NAS(如小米路由器、多种网络硬盘等)搭建的私有云主要应用在家用、SOHO或者公司内部使用等场合中。而诸如Dropbox、百度云、微盘等的公有云存储，由于其具有不像私有云需要购买设备并搭建的便捷性，则更是早已深入人们的日常生活中，很多人已经习惯将自己大量的照片、音视频文件存储在公有云上。

而两种云存储架构各有优缺点。较之公有云，私有云最大的优点是更加的安全，因为私有云的用户数据安全性由用户自己控制，比如公司一般会将自己的私有云构建在防火墙之后。私有云另外一个优点是当用户在云内访问文件服务器(比如NAS)时速度非常之快、不受网速限制，但是与此相对地，带来的问题是私有云作用范围受限，一旦用户需要从私有云外部对NAS中内容进行访问，访问速度将取决于网速。除此之外，私有云的问题还有——需要用户自己购买存储设备并自行搭建，这对于普通民众来说并不便捷。相反地，公有云的优点是无需购买设备自己搭建，对于普通民众来说使用简单方便。但公有云最突出的问题是数据的安全性问题，用户数据的安全性完全受云存储服务提供商的控制，攻击者一旦攻破该服务提供商将造成不可挽回的损失，如iCloud的隐私泄露事件。除此之外，公有云的访问速度也是一个需要考虑的潜在问题，用户访问云端文件服务器的速度受限于网络的传输速度，一旦网速有所闪失将影响公有云的服务质量和用户体验。

鉴于私有云和公有云各有优缺点，本发明的目标是融合两种云的优点提出一种新的云存储架构，即一种既具有私有云的速度和安全性，同时又能提供公有云的便利性的安全存储架构方法，让用户真正体验到将数据存储在云端与存储在本地一样安全、便捷。

发明内容

本发明的目的在于克服现有技术的不足，提供一种实现用户数据随动安全存取的方法，使用户在不同的物理位置能够随动、快速、安全的存取数据。

为实现上述发明目的，本发明为一种实现用户数据随动安全存取的方法，其特征在于，包括以下步骤：

(1)、将用于云存储的文件服务器部署在用户接入网的BRAS设备上；

(2)、利用Openflow技术建立触发式安全隧道

(2.1)、接入网的接入点AP收到用户的读写请求后，该读写请求被接入点AP通过OpenFlow协议的Packet in消息递交给SDN控制器；

(2.2)、SDN控制器与密钥服务器通信，获取建立安全隧道的传输密钥和文件安全存储的存储密钥

SDN控制器解析接入点AP传送过来的Packet in消息，并选择加密算法；SDN控制器将使用的加密算法发送至密钥服务器，密钥服务器根据该加密算法生成用于建立安全隧道传输的传输密钥和用于文件安全存储的存储密钥，再返回给SDN控制器；

(2.3)、SDN控制器向源端和目的端交换机下发加解密信息和传输密钥

SDN控制器在接入网拓扑上选择用于此次传输的通路，并通过Openflow协议的Packet-out消息向源端交换机和目的端交换机下发用于隧道传输所需的相关信息和传输密钥；

(2.4)、SDN控制器向源端和目的端交换机下发两条流表项

SDN控制器向源端和目的端交换机下发两条Openflow的Flow add消息，即是向源和目的端交换机添加两条流表项；

其中，在源端交换机，一条流表项用于将明文数据转发到加解密模块加密；另一条流表项用于将加解密模块加密后的密文数据转发到连入接入网下一跳的接口；

在目的端交换机，一条流表项用于将从接入网传过来的密文数据转发至加解密模块解密，另一条流表项用于将解密后的数据从加解密模块转发到连入接入网下一跳的接口；

(2.5)、SDN控制器向触发式安全隧道的中间交换机下发一条流表项

SDN控制器向触发式安全隧道中除源和目的端外的中间交换机下发一条Openflow的Flow add消息，即向中间交换机添加一条用于转发数据包的流表项；

(2.6)、交换机添加流表项并转发加解密信息至加解密模块

交换机收到Flow add消息后，向自己的流表中添加流表项；交换机收到包含安全传输的加解密消息后将该消息发给加解密模块；

(2.7)、加解密模块处理收到的加解密数据包和用户数据包

加解密模块收到数据包后先对其进行解析，判断属于何种数据包；

如果是加解密信息数据包，加解密模块便会从中提取出其中的信息和传输密钥并将其存入相关数据库；

如果是用户数据包，加解密模块便会在数据库中寻找是否有与该用户相对应的加解密信息，如果找到了与该用户相匹配的加解密信息，则根据该加解密信息选择加密算法，提取出加解密所需的密钥，再对该数据包进行加解密操作，最后把加解密后的数据包重新发送给交换机；如果加解密模块在数据库未找到与该用户相匹配的加解密信息，则直接将该数据包丢弃；

经过上述处理完成后，建立起触发式安全隧道；

(3)、将用户数据通过触发式安全隧道在BRAS文件服务器上进行安全存取

(3.1)、SDN控制器将安全存储密钥下发至BRAS文件服务器；

(3.2)、BRAS文件服务器完成对用户数据的安全存取

BRAS文件服务器根据用户执行的操作类型，分别对用户文件进行处理，具体处理为：

a)、当用户执行写文件操作时，文件服务器将接收到的用户文件连同用于该用户的密钥一起传送给加解密模块；加解密模块依据选择的加密算法对用户文件进行处理，并用密钥加密形成密文，最后由加解密模块将加密后的密文写入物理存储介质，当本次用户写操作的完成后，文件服务器便将该密钥丢弃；

b)、当用户执行读文件操作时，文件服务器则会将该请求连同用于该用户的密钥一起递交给加解密模块；加解密模块收到该用户的读请求后，从物理存储介质上将密文读出，通过文件服务器递交的密钥将其解密，最后将解密后的用户文件递交给文件服务器，当本次用户读操作的完成后，文件服务器便将该密钥丢弃；

(3.3)、BRAS文件服务器更新本次读写文件的被访问次数并检查该文件是否为“活跃文件”

步骤(3.2)中该次用户读写操作完成后，BRAS文件服务器对该用户访问该文件的次数加一，并判断访问次数是否超出预设阈值，如果未超过预设阈值，则不再做任何处理；如果超过了预设阈值，则将文件标记为该用户经常访问的“活跃文件”；

(3.4)、对用户使用的不同接入网中不同BRAS文件服务器间“活跃文件”进行备份及同步

a)、如果用户此次操作是写文件操作，则本接入网的BRAS文件服务器将该用户此次访问的“活跃文件”直接从物理存储介质中读出，再传送给该用户常使用的其他接入网的BRAS文件服务器，并直接存储到对应BRAS文件服务器的物理存储介质，接收到此“活跃文件”的BRAS文件服务器直接将其标记为“活跃文件”；

b)、如果用户此次操作只是读文件操作，则分为两种情况：

b.1)、如果该文件此前不是“活跃文件”，在此次读文件后访问次数首次达到阈值变为“活跃文件”，则需要将其传送给该用户常用的其他接入网的BRAS服务器备份；

b.2)、如果此次读文件操作之前文件已经是活跃文件，则不再做任何处理。

本发明的发明目的是这样实现的：

本发明一种实现用户数据随动安全存取的方法，通过实现用户触发的安全隧道来实现用户无感的数据安全传输，进而，通过与存储服务提供商无关的加密技术完成对各用户数据的隔离和安全存取，这是一种既具有私有云的速度和安全性，同时又能提供公有云的便利性的安全存储架构方法，可以让用户真正体验到将数据存储在云端与存储在本地一样安全、便捷。

同时，本发明一种实现用户数据随动安全存取的方法还具有以下有益效果：

(1)、本发明的技术创新点之一是将文件服务器部署在用户接入网的BRAS设备上，由于在接入网中用户可以以近乎物理带宽上限的速度与BRAS进行通信，这将大大提升整个架构的数据存取速度；

(2)、本发明的又一个技术创新点是提出了一种基于用户读写请求触发的安全隧道的数据传输架构，该架构不仅可以实现用户无感的数据安全传输，对于存储服务的提供商，也只需要消耗极小的管理开销；

(3)、本发明的另一个创新点在对于文件服务器端的安全存储中，本发明提出与存储服务商无关的加密技术，可以避免用户数据的安全性被存储服务提供商绑架；其次，本发明提出的“活跃文件”检测、同步方案将大大提升用户随动访问文件的速度。

附图说明

图1是本发明一种实现用户数据随动安全存取的方法流程图；

图2是某用户常用接入网“活跃文件”备份方案流程图。

具体实施方式

下面结合附图对本发明的具体实施方式进行描述，以便本领域的技术人员更好地理解本发明。需要特别提醒注意的是，在以下的描述中，当已知功能和设计的详细描述也许会淡化本发明的主要内容时，这些描述在这里将被忽略。

实施例

为了方便描述，先对具体实施方式中出现的相关专业术语进行说明：

BRAS(Broadband Remote Access Server)：宽带远程接入服务器；

NAS(Network Attached Storage)：网络附属存储；

AP(AccessPoint)：访问接入点；

SDN(Software Defined Networking)：软件定义网络；

OpenFlow：标准化组织ONF确定的SDN架构中控制器南向接口标准；

Packet in：OpenFlow协议消息，实现交换机将数据包发送给控制器；

Packet-out：OpenFlow协议消息，实现控制器通过交换机发包；

Flow add：OpenFlow协议消息，实现控制器向交换机添加一条流表项；

Intel DPDK(Intel Dataplane Packet Development Kit)：Intel公司推出的开源的与英特尔架构(IA)产品家族中的所有处理器兼容的数据包处理软件开发套件；

OVS(OpenvSwitch)：一款开源的虚拟交换机；

DPDK-OVS：基于Intel DPDK平台的软件实现的OVS；

Floodlight：一款开源的控制器；

AES-128(Advanced Encryption Standard-128)：高级加密标准(密钥长度128比特)；

IP(Internet Protocol)：网络之间互连的协议；

SAMBA：一款开源的文件服务器；

图1是本发明一种实现用户数据随动安全存取的方法流程图。

在本实施例中，如前所述，为了达到既具有私有云的速度和安全性又能提供公有云的便利性的安全存储架构的目标，不同于私有云将文件服务器部署在NAS设备上，也不同于公有云将文件服务器部署于云端，而是将文件服务器部署在用户接入网的BRAS设备上，这样在接入网中用户可以以近乎物理带宽上限的速度与BRAS进行通信，这将大大提升整个架构的数据存取速度。

在本实施例中，SDN控制器选择开源的控制器软件——Floodlight。Floodlight是由Big Switch Networks公司主导的开源项目，具有较高的性能和可靠性。

接入点AP部署OVS，一款开源的虚拟交换机。

交换机选择DPDK-OVS，是一款基于Intel DPDK平台的软件实现的开源虚拟交换机。本实施例选择DPDK-OVS的原因是基于对降低网络时延、提高用户体验的考量，借助DPDK强大的能力实现数据包转发的加速。

文件服务器选择配置了实现Intel DPDK平台下用户态IP协议栈的SAMBA服务器。

加密算法均选择AES-128。

下面对本发明一种实现用户数据随动安全存取的方法的具体流程进行详细说明，具体包括以下步骤：

S1、将用于云存储的文件服务器部署在用户接入网的BRAS设备上。

S2、利用Openflow技术建立触发式安全隧道

为了保障用户数据的安全性，只在BRAS文件服务器部署安全存储方案显然是不够的，因为，如果不能保证用户数据从用户到BRAS传输的安全性，在传输过程中数据就可以被攻击者截获，那么，即使在BRAS文件服务器上部署再安全的存储策略也是没有意义的。在接入网的架构中，数据从用户到BRAS设备要历经数跳交换机的转发，为保证该段数据传输的安全性，本发明采用基于用户读写请求的触发式安全隧道的数据传输架构，具体构建过程为：

S2.1、在本实施例中，如图1所示，当接入网的接入点AP收到用户的读写请求后，该读写请求被接入点AP通过OpenFlow协议的Packet in消息递交给控制器Floodlight；

S2.2、Floodlight与密钥服务器通信，获取建立安全隧道的传输密钥和文件安全存储的存储密钥

Floodlight解析接入点AP传送过来的Packet in消息，再根据该Packet in消息选定对应的加密算法；Floodlight将使用的加密算法发送至密钥服务器，密钥服务器根据该加密算法生成用于建立安全隧道传输的传输密钥和用于文件安全存储的存储密钥；

在本实施例中，这两个密钥的下发是基于非对称加密的密钥分配方案，即Floodlight的公钥证书会先布置在密钥服务器上，密钥服务器会依据该证书使用Floodlight的公钥对派发的传输密钥和存储密钥进行加密，Floodlight收到密文后用自己的私钥将其解密还原便得到传输密钥和存储密钥。

S2.3、Floodlight向源端和目的端交换机下发加解密信息和传输密钥

Floodlight在接入网拓扑上选择用于此次传输的通路，并通过Openflow协议的Packet-out消息向源端交换机和目的端交换机下发用于隧道传输所需的加解密信息和传输密钥；

为了保证信息和密钥不被攻击者窃取，密钥从控制器到源端和目的端交换机的下发也是使用基于非对称加密的密钥分配方案，首先在Floodlight上布置加解密模块的证书，控制器会先使用加解密模块的公钥对要下发的密钥及相关信息进行加密，再以密文形式下发至源和目的端交换机。交换机收到控制器下发的该数据包后，会将该包转发给加解密模块，加解密模块使用自己的私钥将密文解密获得加解密信息和传输密钥；

S2.4、Floodlight向源端和目的端交换机下发两条流表项

Floodlight向源端和目的端交换机下发两条Openflow的Flow add消息，即是向源和目的端交换机添加两条流表项；

其中，在源端交换机，一条流表项用于将明文数据转发到加解密模块加密；另一条流表项用于将加解密模块加密后的密文数据转发到连入接入网下一跳的接口；

在目的端交换机，将从接入网传过来的密文数据转发至加解密模块解密，另一条流表项用于将解密后的数据从加解密模块转发到连入接入网下一跳的接口；

S2.5、Floodlight向触发式安全隧道的中间交换机下发一条流表项

Floodlight向触发式安全隧道中除源和目的端外的中间交换机下发一条Openflow的Flow add消息，即向中间交换机添加一条用于转发数据包的流表项；

S2.6、交换机添加流表项并转发加解密信息至加解密模块

交换机收到Flow add消息后，依据Openflow协议添加流表项；交换机收到包含安全传输的加解密消息后将该消息发给加解密模块；

S2.7、加解密模块处理收到的加解密数据包和用户数据包

触发式安全隧道搭建好后的通信过程中，加解密模块会收到两种类型的数据包——需要加解密的用户数据或Floodlight下发的包含加解密信息的数据包，因此加解密模块收到数据包后会先对其进行解析，判断属于何种数据包；

如果是加解密数据包，加解密模块便会通过自己的私钥解密出其中的信息和传输密钥并将其存入相关数据库；

如果是用户数据包，加解密模块便会在数据库中寻找是否有与该用户相对应的加解密信息，如果找到了与该用户匹配相关的加解密信息，则根据该加解密信息选择加密算法，提取出加解密所需的密钥，再对该数据包进行加解密操作，最后把加解密后的数据包重新发送给交换机；如果加解密模块在数据库未找到与该用户匹配相关的加解密信息，则直接将该数据包丢弃。

经过上述处理完成后，便建立起了用户无感的触发式安全隧道，用户数据就在触发式安全隧道中传输。

综上可以看到，该触发式安全隧道并不是一开始就存在的，而是由于用户的读写请求而触发的，因此是用户无感的；

其次，触发式安全隧道链路的维护实质上就是对流表的维护，由于SDN控制器会对其下发的流表设置一定的生存期，因此，只要相应的流表还在，数据包就会仍旧沿着这条触发式安全隧道转发，这条触发式安全隧道就可以继续工作，而触发式安全隧道的拆除实质上就是撤销触发式安全隧道上所有交换机相应的流表或者对流表进行更新，这样对于存储服务的提供商，也只需要消耗极小的管理开销。

S3、将用户数据通过触发式安全隧道在BRAS文件服务器上进行安全存取

S3.1、Floodlight将安全存储密钥下发至BRAS文件服务器

在本实施例中，安全存储密钥下发依旧是基于非对称加密的密钥分配方案，即Floodlight先布置BRAS文件服务器的证书，待Floodlight收到密钥服务器发送的存储密钥后，依据该证书使用BRAS文件服务器的公钥对存储密钥进行加密，再将加密后的密文传输至BRAS文件服务器，BRAS文件服务器凭借自己的私钥解密出安全存储密钥；

S3.2、BRAS文件服务器完成对用户数据的安全存取

本实施例选择配置了实现Intel DPDK平台下用户态IP协议栈的SAMBA服务器是基于降低网络时延、提高用户体验的考量，因此本实施例中对数据包的接收与传统的数据包接收流程完全不同。

因为随着网络技术日新月异、突飞猛进的发展，网络技术日趋完善，人们对网络延时的容忍度急剧地下降。不良的用户体验会丧失大量的网络用户。目前关于降低网络时延的做法多是基于排队论和提高对带宽的利用率等网络传输方面。而事实上，在每个网络节点的设备上对数据包的处理也是非常耗时的一个瓶颈。现在接收和发送数据包的通用做法还是基于操作系统的内核协议栈，这涉及到数据报文从网卡中接收，再传送到用户态应用程序处理，整个过程要经历CPU中断处理、虚拟化I/O与地址映射转换、虚拟交换层、网络协议栈、内核上下文切换、内存拷贝等多个费时的CPU操作和I/O处理环节。

因此在本实施例中用户数据包经过隧道传输到达文件服务器的网卡后，不是像传统的那样依靠操作系统的内核协议栈完成收发，而是由DPDK-IP协议栈完成收发。DPDK架构下的IP协议栈借助DPDK提供的用户空间下的高效数据包处理库函数，以及DPDK提供强大功能，诸如轮询模式的报文无中断收发(本实施例使用ring无锁队列作为进程间的通信方式)、优化内存/缓冲区/队列管理(本实施例使用mempool内存池分配数据包内存)、基于网卡多队列和流识别的负载均衡等多项技术，在用户态下实现在x86处理器架构下的高性能报文转发，从而使文件服务器上数据包收发工作的速度获得大幅度的提升。

BRAS文件服务器依据上述步骤接收用户数据包后，根据用户执行的操作类型，分别对用户文件进行处理，具体处理为：

a)、当用户执行写文件操作时，文件服务器将接收到的用户文件连同用于该用户的密钥一起传送给加解密模块；加解密模块依据AES-128加密算法对用户文件进行处理，并用密钥加密形成密文，最后由加解密模块将加密后的密文写入物理存储介质，当本次用户写操作的完成后，文件服务器便将该密钥丢弃；

b)、当用户执行读文件操作时，文件服务器则会将该请求连同用于该用户的密钥一起递交给加解密模块；加解密模块收到该用户的读请求后，从物理存储介质上将密文读出，通过文件服务器递交的密钥将其解密，最后将解密后的用户文件递交给文件服务器，当本次用户读操作的完成后，文件服务器便将该密钥丢弃；

综上可以看出，本发明中数据的安全存储方案与不同用户直接相关，在文件服务器端，一个用户的读写操作只能触发并获得与自己相关的密钥，这将导致一个用户不可能操作属于其他用户的文件，这实现了文件服务器上用户数据的隔离。同时，由于对文件的加解密操作只能由用户的读写请求触发，攻击者和存储服务提供商都无法自主获得用户的密钥，也就不能触发文件服务器加解密模块的工作，而如果攻击者强行从物理存储介质上读取数据，则他读取到的也只是被加密后的“乱码”而无法真正获得用户数据，这实现了用户数据在介质上的安全存储。

S3.3、BRAS文件服务器更新本次读写文件的被访问次数并检查该文件是否为“活跃文件”

步骤S3.2中该次用户读写操作完成后，BRAS文件服务器对该用户访问该文件的次数加一，并判断访问次数是否超出预设阈值，如果未超过预设阈值，则不再做任何处理；如果超过了预设阈值，则将文件标记为该用户经常访问的“活跃文件”；

S3.4、对用户使用的不同接入网中不同BRAS文件服务器间“活跃文件”进行备份及同步。

具体的实现步骤如下：

a)、如果用户此次操作是写文件操作，则本接入网的BRAS文件服务器将该用户此次访问的“活跃文件”直接从物理存储介质中读出，再传送给该用户常使用的其他接入网的BRAS文件服务器，并直接存储到对应BRAS文件服务器的物理存储介质，接收到此“活跃文件”的BRAS文件服务器直接将其标记为“活跃文件”；

b)、如果用户此次操作只是读文件操作，则分为两种情况：

b.1)、如果该文件此前不是“活跃文件”，则此次读文件后访问次数首次达到阈值变为“活跃文件”，则需要将其传送给该用户常用的其他接入网的BRAS服务器备份。

b.2)、如果此次读文件操作之前文件已经是活跃文件，这代表该文件已经备份过，则不再做任何处理。

如图2所示，当用户在家中上传了一份文件到家中接入网的文件服务器，而该文件之后又被用户频繁访问，被定为“活跃文件”，当用户来到办公室又访问次该“活跃文件”时，对“活跃文件”的备份和同步将使用户不用再通过传送网访问家中接入网的BRAS文件服务器，进而大大提升用户随动存取文件的速度。

值得提出的是，“活跃文件”的备份操作并不是用户触发的，而是用户不知情的，是由BRAS文件服务器执行的。因此不会触发获得密钥，即也不会触发文件服务器的加解密模块工作。因此，文件服务器“暴力”的从磁盘上读出的数据是密文形式，因此在“活跃文件”是以密文形式在传送网上传输的，借此也就保证了文件备份过程中在传送网上的安全性。

尽管上面对本发明说明性的具体实施方式进行了描述，以便于本技术领域的技术人员理解本发明，但应该清楚，本发明不限于具体实施方式的范围，对本技术领域的普通技术人员来讲，只要各种变化在所附的权利要求限定和确定的本发明的精神和范围内，这些变化是显而易见的，一切利用本发明构思的发明创造均在保护之列。

Claims (1)

1.一种实现用户数据随动安全存取的方法，其特征在于，包括以下步骤：

(1)、将用于云存储的文件服务器部署在用户接入网的BRAS设备上；

(2)、利用Openflow技术建立触发式安全隧道

(2.1)、接入网的接入点AP收到用户的读写请求后，该读写请求被接入点AP通过OpenFlow协议的Packet in消息递交给SDN控制器；

(2.2)、SDN控制器与密钥服务器通信，获取建立安全隧道的传输密钥和文件安全存储的存储密钥

SDN控制器解析接入点AP传送过来的Packet in消息，并选择加密算法；SDN控制器将使用的加密算法发送至密钥服务器，密钥服务器根据该加密算法生成用于建立安全隧道传输的传输密钥和用于文件安全存储的存储密钥，再返回给SDN控制器；

(2.3)、SDN控制器向源端和目的端交换机下发加解密信息和传输密钥

控制器在接入网拓扑上选择用于此次传输的通路，并通过Openflow协议的Packet-out消息向源端交换机和目的端交换机下发用于隧道传输所需的相关信息和传输密钥；

(2.4)、SDN控制器向源端和目的端交换机下发两条流表项

SDN控制器向源端和目的端交换机下发两条Openflow的Flow add消息，即是向源和目的端交换机添加两条流表项；

其中，在源端交换机，一条流表项用于将明文数据转发到加解密模块加密；另一条流表项用于将加解密模块加密后的密文数据转发到连入接入网下一跳的接口；

在目的端交换机，一条流表项用于将从接入网传过来的密文数据转发至加解密模块解密，另一一条流表项用于将解密后的数据从加解密模块转发到连入接入网下一跳的接口；

(2.5)、SDN控制器向触发式安全隧道的中间交换机下发一条流表项

SDN控制器向触发式安全隧道中除源和目的端外的中间交换机下发一条Openflow的Flow add消息，即向中间交换机添加一条用于转发数据包的流表项；

(2.6)、交换机添加流表项并转发加解密信息至加解密模块

交换机收到Flow add消息后，向自己的流表中添加流表项；交换机收到包含安全传输的加解密消息后将该消息发给加解密模块；

(2.7)、加解密模块处理收到的加解密数据包和用户数据包

加解密模块收到数据包后先对其进行解析，判断属于何种数据包；

如果是加解密信息数据包，加解密模块便会从中提取出其中的信息和传输密钥并将其存入相关数据库；

如果是用户数据包，加解密模块便会在数据库中寻找是否有与该用户相对应的加解密信息，如果找到了与该用户相匹配的加解密信息，则根据该加解密信息选择加密算法，提取出加解密所需的密钥，再对该数据包进行加解密操作，最后把加解密后的数据包重新发送给交换机；如果加解密模块在数据库未找到与该用户相匹配的加解密信息，则直接将该数据包丢弃；

经过上述处理完成后，建立起触发式安全隧道；

(3)、将用户数据通过发式安全隧道在BRAS文件服务器上进行安全存取

(3.1)、SDN控制器将安全存储密钥下发至BRAS文件服务器；

(3.2)、BRAS文件服务器完成对用户数据的安全存取

BRAS文件服务器根据用户执行的操作类型，分别对用户文件进行处理，具体处理为：

a)、当用户执行写文件操作时，文件服务器将接收到的用户文件连同用于该用户的密钥一起传送给加解密模块；加解密模块依据选择的加密算法对用户文件进行处理，并用密钥加密形成密文，最后由加解密模块将加密后的密文写入物理存储介质，当本次用户写操作的完成后，文件服务器便将该密钥丢弃；

b)、当用户执行读文件操作时，文件服务器则会将该请求连同用于该用户的密钥一起递交给加解密模块；加解密模块收到该用户的读请求后，从物理存储介质上将密文读出，通过文件服务器递交的密钥将其解密，最后将解密后的用户文件递交给文件服务器，当本次用户读操作的完成后，文件服务器便将该密钥丢弃；

(3.3)、BRAS文件服务器更新本次读写文件的被访问次数并检查该文件是否为“活跃文件”

步骤(3.2)中该次用户读写操作完成后，BRAS文件服务器对该用户访问该文件的次数加一，并判断访问次数是否超出预设阈值，如果未超过预设阈值，则不再做任何处理；如果超过了预设阈值，则将文件标记为该用户经常访问的“活跃文件”；

(3.4)、对用户使用的不同接入网中不同BRAS文件服务器间“活跃文件”进行备份及同步

a)、如果用户此次操作是写文件操作，则本接入网的BRAS文件服务器将该用户此次访问的“活跃文件”直接从物理存储介质中读出，再传送给该用户常使用的其他接入网的BRAS文件服务器，并直接存储到对应BRAS文件服务器的物理存储介质，接收到此“活跃文件”的BRAS文件服务器直接将其标记为“活跃文件”；

b)、如果用户此次操作只是读文件操作，则分为两种情况：

b.1)、如果该文件此前不是“活跃文件”，在此次读文件后访问次数首次达到阈值变为“活跃文件”，则需要将其传送给该用户常用的其他接入网的BRAS服务器备份；

b.2)、如果此次读文件操作之前文件已经是活跃文件，则不再做任何处理。