CN109726575B - 一种数据加密方法及装置 - Google Patents

Abstract

本申请提供一种数据加密方法及装置，该方法包括：启用第一LUN的加密功能，获取所述第一LUN的第一存储密钥；针对本地的逻辑地址映射表中记录所述第一LUN中的目标数据的每一逻辑地址映射表项，从该逻辑地址映射表项的逻辑地址中读取目标数据；根据所述第一存储密钥将读取到的该目标数据加密为第一密文数据；将该第一密文数据写入到该逻辑地址映射表项的逻辑地址中。通过本申请技术方案，可方便灵活地对需要加密的存储空间进行管理，从而可与涉及加密的业务进行适配，也避免了存储空间的浪费，提高了存储空间的利用率。

Description

一种数据加密方法及装置

技术领域

本申请涉及存储领域，特别涉及一种数据加密方法及装置。

背景技术

数据是信息系统的基石，为实现数据的安全存储和传输，存储系统对写入磁盘的数据进行加密，使得数据以密文的形式保存在磁盘中。在这种情况下，即便数据被盗，也不会被解析。

在相关技术中，可在磁盘接口处或磁盘内部添加物理加密模块，该物理加密模块实际可以是加密芯片，数据通过该物理加密模块加密后，写入磁盘的即为密文数据。其中，每个磁盘被设置独有的存储密钥，物理加密模块与存储密钥管理服务器交互以获取该物理加密模块对应磁盘的存储密钥，进而可根据该存储密钥对写入磁盘的数据进行加密，对读出磁盘的数据进行解密。

发明内容

有鉴于此，本申请提供一种数据加密方法及装置，用以更方便灵活地对需要加密的存储空间进行管理，避免存储空间的浪费，提高存储空间的利用率和业务灵活性。

具体地，本申请是通过如下技术方案实现的：

一种数据加密方法，应用于存储系统中的存储设备，所述存储系统的各个LUN分别对应不同的存储密钥，包括：

启用第一LUN的加密功能，获取所述第一LUN的第一存储密钥；

针对本地的逻辑地址映射表中记录所述第一LUN中的目标数据的每一逻辑地址映射表项，从该逻辑地址映射表项的逻辑地址中读取目标数据；

根据所述第一存储密钥将读取到的该目标数据加密为第一密文数据；

将该第一密文数据写入到该逻辑地址映射表项的逻辑地址中。

在所述数据加密方法中，所述存储系统包括密钥管理服务器；所述获取所述第一LUN的第一存储密钥，包括：

向所述密钥管理服务器发送密钥获取请求，已由所述密钥管理服务器依据该密钥获取请求中的LUN标识返回所述第一存储密钥。

在所述数据加密方法中，在启用所述第一LUN的加密功能后，所述方法还包括：

接收针对所述第一LUN的写请求，解析得到所述写请求中的待写入数据；

基于所述第一存储密钥对所述待写入数据进行加密，获得第一密文数据；

将该第一密文数据写入至所述写请求指示的逻辑地址中，并在所述逻辑地址映射表中添加与该第一密文数据对应的逻辑地址映射表项。

在所述数据加密方法中，所述方法还包括：

为所述第一密文数据对应的逻辑地址映射表项添加加密标识。

在所述数据加密方法中，所述方法还包括：

接收到针对所述第一LUN的读请求，基于所述读请求中的逻辑地址查找所述逻辑地址映射表，确定对应的逻辑地址映射表项；

检查该逻辑地址映射表项是否包括所述加密标识；

若是，读取所述逻辑地址映射表项记录的第一密文数据，基于所述第一存储密钥对所述第一密文数据进行解密，并返回解密后的目标数据；

若否，直接读取所述逻辑地址映射表项记录的目标数据，并返回所述目标数据。

一种数据加密装置，应用于存储系统中的存储设备，所述存储系统的各个LUN分别对应不同的存储密钥，包括：

获取单元，用于接收针对第一LUN的加密启用指令，获取所述第一LUN的第一存储密钥；

读取单元，用于针对本地的逻辑地址映射表中记录所述第一LUN中的目标数据的每一逻辑地址映射表项，从该逻辑地址映射表项的逻辑地址中读取目标数据；

加密单元，用于根据所述第一存储密钥将读取到的该目标数据加密为第一密文数据；

写入单元，用于将该第一密文数据写入到该逻辑地址映射表项的逻辑地址中。

在所述数据加密装置中，所述存储系统包括密钥管理服务器；所述获取单元，进一步用于：

向所述密钥管理服务器发送密钥获取请求，已由所述密钥管理服务器依据该密钥获取请求中的LUN标识返回所述第一存储密钥。

在所述数据加密装置中，所述装置还包括：

接收单元，用于接收针对所述第一LUN的写请求，解析得到所述写请求中的待写入数据；

所述加密单元，进一步用于基于所述第一存储密钥对所述待写入数据进行加密，获得第一密文数据；

所述写入单元，进一步用于将该第一密文数据写入至所述写请求指示的逻辑地址中，并在所述逻辑地址映射表中添加与该第一密文数据对应的逻辑地址映射表项。

在所述数据加密装置中，所述装置还包括：

标记单元，用于为所述第一密文数据对应的逻辑地址映射表项添加加密标识。

在所述数据加密装置中，所述装置还包括：

接收单元，用于接收到针对所述第一LUN的读请求，基于所述读请求中的逻辑地址查找所述逻辑地址映射表，确定对应的逻辑地址映射表项；

检查单元，用于检查该逻辑地址映射表项是否包括所述加密标识；

所述读取单元，用于若是，读取所述逻辑地址映射表项记录的第一密文数据，基于所述第一存储密钥对所述第一密文数据进行解密，并返回解密后的目标数据；若否，直接读取所述逻辑地址映射表项记录的目标数据，并返回所述目标数据。

在本申请技术方案中，存储系统以LUN为加密基本单元，相比现有技术，可方便灵活地对需要加密的存储空间进行管理，从而可与涉及加密的业务进行适配，也避免了存储空间的浪费，提高了存储空间的利用率；

此外，存储设备可通过本申请方案在线将非加密数据转换为密文数据，避免启用加密功能前已写入的目标数据失效，极大地提高了业务灵活性。

附图说明

图1是本申请示出的一种存储系统的架构示意图；

图2是本申请示出的一种数据加密方法的流程图；

图3是本申请示出的另一种存储系统的架构示意图；

图4是本申请示出的一种数据加密装置的实施例框图；

图5是本申请示出的一种数据加密装置的硬件结构图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本申请可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

参见图1，为本申请示出的一种存储系统的架构示意图，如图1所示，存储系统中存储设备的各个硬盘分别存在对应的物理加密模块(图1中的“Encrypte”)，该物理加密模块可以位于磁盘接口处或磁盘内部。每个磁盘被设置独有的存储密钥，存储设备在向任一磁盘写入数据时，需通过该磁盘的物理加密模块和存储密钥对数据进行加密，然后将密文数据写入至磁盘。

对于存储系统而言，需预先规划好要加密的磁盘以及磁盘的容量。这对于涉及加密的业务而言，限制了业务的数据量。而如果涉及加密的业务的数据量少于需加密的磁盘的容量，则会造成磁盘容量的浪费。

此外，基于磁盘作为加密基本单元的方案，在对任一磁盘开启加密功能以后，磁盘在加密之前保存的数据均会失效，无法在线将非加密数据转换为加密数据。

为解决上述问题，本申请提供一种数据加密方法，以LUN(Logical Unit Number，逻辑地址单元号)为加密基本单元，可更方便地对存储空间的加密功能进行管理；并可对非加密数据实现在线转换为加密数据。

参见图2，为本申请示出的一种数据加密方法的流程图，如图2所示，该数据加密方法应用于存储系统的存储设备，包括以下步骤：

步骤201：启用第一LUN的加密功能，获取所述第一LUN的第一存储密钥。

其中，上述存储系统以每个LUN作为加密基本单元，为各个LUN配置不同的存储密钥。

参见图3，为本申请示出的另一种存储系统的架构示意图，如图3所示，存储设备基于唯一的物理加密模块(图3中的“Encrypte”)对数据进行加密。各个LUN分别被配置密钥节点，该密钥节点可用于管理对应的LUN的存储密钥。此外，存储系统中还包括密钥管理服务器，用于为各个LUN分配存储密钥。

存储系统中的LUN可以启用加密功能，也可以不启用加密功能，是具体的业务需求而定。存储系统中启用加密功能的LUN和未启用加密功能的LUN可以共存。

作为一种实施例，当需要启用存储系统中第一LUN的加密功能时，管理员可下发加密启用指令，该加密启用指令携带上述第一LUN的LUN标识。

存储设备接收到该加密启用指令后，可检查该加密启用指令携带的LUN标识，然后启用该LUN标识指示的第一LUN的加密功能。

进一步地，存储设备需获取该第一LUN的第一存储密钥。

由于上述第一LUN的加密功能刚启用，因此，存储设备内部尚未保存该第一LUN的第一存储密钥。在这种情况下，存储设备可向存储系统的密钥管理服务器发送密钥获取请求。其中，上述密钥获取请求携带该第一LUN的LUN标识。

上述密钥管理服务器接收到上述密钥获取请求后，检查该密钥获取请求中的LUN标识，然后可为该LUN标识指示的上述第一LUN分配第一存储密钥，并向存储设备返回该第一存储密钥。

存储设备可将接收到的第一存储密钥保存在上述第一LUN的密钥节点中，后续从该密钥节点获取该第一存储密钥。

步骤202：针对本地的逻辑地址映射表中记录所述第一LUN中的目标数据的每一逻辑地址映射表项，从该逻辑地址映射表项的逻辑地址中读取目标数据。

其中，上述逻辑地址映射表可以包括LUN标识、逻辑地址(Logical BlockAddress，LBA)、数据长度和物理地址(Physics Block Address，PBA)的映射关系。逻辑地址为数据写入到LUN当中的存储地址，物理地址为数据写入到磁盘空间中的存储地址。

存储设备可在上述逻辑地址映射表中找到所有对应于上述第一LUN的LUN标识的逻辑地址映射表项。

对于查找到的每一逻辑地址映射表项，可基于该逻辑地址映射表项中的逻辑地址和数据长度从上述第一LUN中读取到目标数据。当然，实际上会基于物理地址和数据长度从磁盘空间中读取到该目标数据。

步骤203：根据所述第一存储密钥将读取到的该目标数据加密为第一密文数据。

步骤204：将该第一密文数据写入到该逻辑地址映射表项的逻辑地址中。

在读取到上述目标数据后，存储设备可根据上述第一LUN的第一存储密钥，将上述目标数据加密为第一密文数据，进而将该第一密文数据写入到该逻辑地址映射表项的逻辑地址中，以覆盖未加密的目标数据。当然，从物理层面上而已，实际上会写入到该逻辑地址映射表项的物理地址中。

这里，第一密文数据表示以第一存储密钥进行加密的密文数据，是一个泛指的概念。

由于存储设备以LUN为存储基本单元来管理写入存储系统的数据，当以LUN为加密基本单元后，存储设备可快速地在线将非加密数据转换为加密数据(密文数据)。

在本申请实施例中，为区别非加密数据和密文数据，可引入加密标识。存储设备将上述第一密文数据写入逻辑地址映射表项中的逻辑地址后，可为该逻辑地址映射表项添加加密标识。因此，该加密标识可表征逻辑地址映射表项记录的数据为密文数据。

存储设备在遍历上述逻辑地址映射表执行在线加密过程中，也可依据该加密标识确定加密进度，避免对已加密的目标数据进行重复加密，提高了加密效率。

在本申请实施例中，启用上述第一LUN的加密功能后，存储设备接收到针对上述第一LUN的写请求时，可解析得到该写请求中的待写入数据。

接着，存储设备可基于上述第一存储密钥对该待写入数据进行加密，获得第一密文数据。

存储设备可将该第一密文数据写入至上述写请求指示的逻辑地址中，并在上述逻辑地址映射表中添加与该第一密文数据对应的逻辑地址映射表项。

具体地，存储设备可解析上述写请求，获得该写请求中的待写入数据，以及，该写请求携带的LUN标识、逻辑地址和数据长度。

存储设备为该待写入数据分配物理地址后，依据上述第一存储密钥对该待写入数据进行加密，然后将加密得到的第一密文数据写入该物理地址中。进一步地，以上述LUN标识、逻辑地址、数据长度和物理地址生成逻辑地址映射表项，并添加到上述逻辑地址映射表中。

当然，存储设备还可以为该逻辑地址映射表项添加加密标识。

在本申请实施例中，启用上述第一LUN的加密功能后，存储设备仍可处理针对上述第一LUN的读请求。

存储设备接收到针对该第一LUN的读请求后，首先可基于该读请求中的逻辑地址查找上述逻辑地址映射表，确定对应的逻辑地址映射表项。

在实际应用中，存储设备接收到读请求后，可基于读请求中的LUN标识和逻辑地址查找上述逻辑地址映射表，从而查找到对应的逻辑地址映射表项。

接着，存储设备可检查该逻辑地址映射表项是否包括上述加密标识。

一种情况下，该逻辑地址映射表项包括该加密标识，则可读取该逻辑地址映射表项记录的第一密文数据，然后基于上述第一存储密钥对该第一密文数据进行解密，并返回解密后的目标数据。

具体地，存储设备可基于上述读请求中的数据长度和该逻辑地址映射表项中的物理地址，从磁盘空间中获取第一密文数据。对该第一密文数据解密得到目标数据，然后将该目标数据返回发送上述读请求的网络设备。

另一种情况下，该逻辑地址映射表项不包括该加密标识，则可直接读取该逻辑地址映射表项记录的目标数据，并返回上述目标数据。

在逻辑地址映射表项不包括加密标识的情况下，无需解密处理，存储设备可基于上述读请求中的数据长度和该逻辑地址映射表项中的物理地址，从磁盘空间中获取目标数据，然后将该目标数据返回发送上述读请求的网络设备。

通过该措施，存储设备在对非加密数据进行转换的过程中，可照常处理读请求，保证了业务访问的连续性。

综上所述，在本申请技术方案中，存储系统以LUN为加密基本单元，相比现有技术，可方便灵活地对需要加密的存储空间进行管理，从而可与涉及加密的业务进行适配，也避免了存储空间的浪费，提高了存储空间的利用率；

此外，存储设备可通过本申请方案在线将非加密数据转换为密文数据，避免启用加密功能前已写入的目标数据失效，极大地提高了业务灵活性。

与前述数据加密方法的实施例相对应，本申请还提供了数据加密装置的实施例。

参见图4，为本申请示出的一种数据加密装置的实施例框图：

如图4所示，该数据加密装置40，包括：

获取单元410，用于接收针对第一LUN的加密启用指令，获取所述第一LUN的第一存储密钥；

读取单元420，用于针对本地的逻辑地址映射表中记录所述第一LUN中的目标数据的每一逻辑地址映射表项，从该逻辑地址映射表项的逻辑地址中读取目标数据；

加密单元430，用于根据所述第一存储密钥将读取到的该目标数据加密为第一密文数据；

写入单元440，用于将该第一密文数据写入到该逻辑地址映射表项的逻辑地址中。

在本例中，所述存储系统包括密钥管理服务器；所述获取单元410，进一步用于：

向所述密钥管理服务器发送密钥获取请求，已由所述密钥管理服务器依据该密钥获取请求中的LUN标识返回所述第一存储密钥。

在本例中，所述装置还包括：

接收单元，用于接收针对所述第一LUN的写请求，解析得到所述写请求中的待写入数据；

所述加密单元430，进一步用于基于所述第一存储密钥对所述待写入数据进行加密，获得第一密文数据；

所述写入单元440，进一步用于将该第一密文数据写入至所述写请求指示的逻辑地址中，并在所述逻辑地址映射表中添加与该第一密文数据对应的逻辑地址映射表项。

在本例中，所述装置还包括：

标记单元，用于为所述第一密文数据对应的逻辑地址映射表项添加加密标识。

在本例中，所述装置还包括：

接收单元，用于接收到针对所述第一LUN的读请求，基于所述读请求中的逻辑地址查找所述逻辑地址映射表，确定对应的逻辑地址映射表项；

检查单元，用于检查该逻辑地址映射表项是否包括所述加密标识；

所述读取单元420，用于若是，读取所述逻辑地址映射表项记录的第一密文数据，基于所述第一存储密钥对所述第一密文数据进行解密，并返回解密后的目标数据；若否，直接读取所述逻辑地址映射表项记录的目标数据，并返回所述目标数据。

本申请数据加密装置的实施例可以应用在存储设备上。装置实施例可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，作为一个逻辑意义上的装置，是通过其所在存储设备的处理器将非易失性存储器中对应的计算机程序指令读取到内存中运行形成的。从硬件层面而言，如图5所示，为本申请数据加密装置所在存储设备的一种硬件结构图，除了图5所示的处理器、内存、网络接口、以及非易失性存储器之外，实施例中装置所在的存储设备通常根据该数据加密装置的实际功能，还可以包括其他硬件，对此不再赘述。

上述装置中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本申请方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims (8)

1.一种数据加密方法，应用于存储系统中的存储设备，所述存储系统的各个LUN分别对应不同的存储密钥，所述各个LUN中任一LUN的加密功能可以启用或不启用，所述存储系统中启用加密功能的LUN和未启用加密功能的LUN可以共存，其特征在于，包括：

当确定需要启用存储系统中第一LUN的加密功能时，启用第一LUN的加密功能，获取所述第一LUN的第一存储密钥；

针对本地的逻辑地址映射表中记录所述第一LUN中的目标数据的每一逻辑地址映射表项，从该逻辑地址映射表项的逻辑地址中读取目标数据；

根据所述第一存储密钥将读取到的该目标数据加密为第一密文数据；

将该第一密文数据写入到该逻辑地址映射表项的逻辑地址中，并为所述第一密文数据对应的逻辑地址映射表项添加加密标识。

2.根据权利要求1所述的方法，其特征在于，所述存储系统包括密钥管理服务器；所述获取所述第一LUN的第一存储密钥，包括：

向所述密钥管理服务器发送密钥获取请求，已由所述密钥管理服务器依据该密钥获取请求中的LUN标识返回所述第一存储密钥。

3.根据权利要求1所述的方法，其特征在于，在启用所述第一LUN的加密功能后，所述方法还包括：

接收针对所述第一LUN的写请求，解析得到所述写请求中的待写入数据；

基于所述第一存储密钥对所述待写入数据进行加密，获得第一密文数据；

将该第一密文数据写入至所述写请求指示的逻辑地址中，并在所述逻辑地址映射表中添加与该第一密文数据对应的逻辑地址映射表项。

4.根据权利要求1～3中任一项所述的方法，其特征在于，所述方法还包括：

接收到针对所述第一LUN的读请求，基于所述读请求中的逻辑地址查找所述逻辑地址映射表，确定对应的逻辑地址映射表项；

检查该逻辑地址映射表项是否包括所述加密标识；

若是，读取所述逻辑地址映射表项记录的第一密文数据，基于所述第一存储密钥对所述第一密文数据进行解密，并返回解密后的目标数据；

若否，直接读取所述逻辑地址映射表项记录的目标数据，并返回所述目标数据。

5.一种数据加密装置，应用于存储系统中的存储设备，所述存储系统的各个LUN分别对应不同的存储密钥，所述各个LUN中任一LUN的加密功能可以启用或不启用，所述存储系统中启用加密功能的LUN和未启用加密功能的LUN可以共存，其特征在于，包括：

获取单元，用于当确定需要启用存储系统中第一LUN的加密功能时，接收针对第一LUN的加密启用指令，获取所述第一LUN的第一存储密钥；

读取单元，用于针对本地的逻辑地址映射表中记录所述第一LUN中的目标数据的每一逻辑地址映射表项，从该逻辑地址映射表项的逻辑地址中读取目标数据；

加密单元，用于根据所述第一存储密钥将读取到的该目标数据加密为第一密文数据；

写入单元，用于将该第一密文数据写入到该逻辑地址映射表项的逻辑地址中，并为所述第一密文数据对应的逻辑地址映射表项添加加密标识。

6.根据权利要求5所述的装置，其特征在于，所述存储系统包括密钥管理服务器；所述获取单元，进一步用于：

向所述密钥管理服务器发送密钥获取请求，已由所述密钥管理服务器依据该密钥获取请求中的LUN标识返回所述第一存储密钥。

7.根据权利要求5所述的装置，其特征在于，所述装置还包括：

接收单元，用于接收针对所述第一LUN的写请求，解析得到所述写请求中的待写入数据；

所述加密单元，进一步用于基于所述第一存储密钥对所述待写入数据进行加密，获得第一密文数据；

所述写入单元，进一步用于将该第一密文数据写入至所述写请求指示的逻辑地址中，并在所述逻辑地址映射表中添加与该第一密文数据对应的逻辑地址映射表项。

8.根据权利要求5～7中任一项所述的装置，其特征在于，所述装置还包括：

接收单元，用于接收到针对所述第一LUN的读请求，基于所述读请求中的逻辑地址查找所述逻辑地址映射表，确定对应的逻辑地址映射表项；

检查单元，用于检查该逻辑地址映射表项是否包括所述加密标识；

所述读取单元，用于若是，读取所述逻辑地址映射表项记录的第一密文数据，基于所述第一存储密钥对所述第一密文数据进行解密，并返回解密后的目标数据；若否，直接读取所述逻辑地址映射表项记录的目标数据，并返回所述目标数据。

Images