CN111339034B - 一种密文存储明文访问的系统、密文存储和明文访问方法 - Google Patents

Abstract

本发明公开了一种密文存储明文访问的系统、密文存储和明文访问方法，该系统部署于Linux虚拟文件系统和用户应用层之间，包括pbox内核模块、pbox挂载模块和pbox文件服务模块；pbox内核模块，用于在Linux操作系统上注册及生成设备目录；将Linux虚拟文件系统传送的文件内容数据及操作命令发送至pbox文件服务模块；接收pbox文件服务模块处理后的数据，格式转换后发送至Linux虚拟文件系统；pbox文件服务模块，用于接收pbox内核模块发送的操作命令，并将加解密处理后的数据回传至pbox内核模块；pbox挂载模块，用于完成用户应用层指定用户空间到设备空间的映射。

Description

一种密文存储明文访问的系统、密文存储和明文访问方法

技术领域

本发明涉及数据安全存储领域，具体涉及一种密文存储明文访问的系统、密文存储和明文访问方法。

背景技术

传统密文存储的主要技术原理是加密软件通过对称加密算法对敏感数据进行加密，将加密数据存储到文件系统中;在进行数据检索时，将密文数据取回到软件，再进行解密。传统密文存储技术只有软件自身才可以正常读取密文，第三方应用软件无法使用安全的手段读取此密文内容。

一般传统密文存储加密使用对称加密算法计算。

在对称加密算法中，数据发信方将明文（原始数据）和加密密钥一起经过特殊加密算法处理后，使其变成复杂的加密密文发送出去。收信方收到密文后，若想解读原文，则需要使用加密用过的密钥及相同算法的逆算法对密文进行解密，才能使其恢复成可读明文。在对称加密算法中，使用的密钥只有一个，发收信双方都使用这个密钥对数据进行加密和解密，这就要求解密方事先必须知道加密密钥。

因为传统密文存储技术使用“对称加密算法”写入存储设备，在读取的时候同样也使用此算法解密出来， 而其他软件无法安全的知道算法的计算公式，所以其他软件无法获取此密文内容。

以下对涉及的名词加以解释。

对称加密：

所谓对称，就是采用这种加密方法的双方使用方式用同样的密钥进行加密和解密。密钥是控制加密及解密过程的指令。算法是一组规则，规定如何进行加密和解密。

因此加密的安全性不仅取决于加密算法本身，密钥管理的安全性更是重要。因为加密和解密都使用同一个密钥，如何把密钥安全地传递到解密者手上就成了必须要解决的问题。

Linux虚拟文件系统（VFS）：

为支持各种文件系统，Linux内核在用户进程（或C标准库）和具体的文件系统之间引入了一个抽象层，该抽象层称之为“虚拟文件系统（VFS）”。 VFS一方面提供一种操作文件、目录及其他对象的统一方法，使用户进程不必知道文件系统的细节。另一方面，VFS提供的各种方法必须和具体文件系统的实现达成一种妥协，毕竟对几十种文件系统类型进行统一管理并不是件容易的事。

内核层

内核层是硬件与软件之间的一个中间层。作用是将应用层序的请求传递给硬件，并充当底层驱动程序，对系统中的各种设备和组件进行寻址。

Linux挂载

Linux 系统中“一切皆文件”，所有文件都放置在以根目录为树根的树形目录结构中。在 Linux 看来，任何硬件设备也都是文件，它们各有自己的一套文件系统（文件目录结构）。

因此产生的问题是，当在 Linux 系统中使用这些硬件设备时，只有将Linux本身的文件目录与硬件设备的文件目录合二为一，硬件设备才能被用户所用。合二为一的过程称为“挂载”。

发明内容

现有技术传统的密文存储方法是应用软件层加解密，每次都执行加密或者解密方法，密文只能以密文方式存储于存储设备中，第三方软件无法查看加密的数据。

本发明的目的在于克服现有技术缺陷，提出了一种密文存储明文访问的系统、密文存储和明文访问方法，使得加密的文件在本设备可以让任意第三方软件安全的访问到，但是在其他设备上无法访问。

为了实现上述目的，本发明提出了一种密文存储明文访问的系统，部署于Linux虚拟文件系统和用户应用层之间，所述系统包括pbox内核模块、pbox挂载模块和pbox文件服务模块；其中，

所述pbox内核模块，用于在Linux操作系统上注册所述密文存储明文访问的系统，以及生成设备目录，该设备目录存储加密处理后的密文；用于将Linux虚拟文件系统传送的文件内容数据及操作命令发送至pbox文件服务模块；还用于接收pbox文件服务模块处理后的数据，转换为Linux 内核需要的格式发送至Linux虚拟文件系统；

所述pbox文件服务模块，用于接收所述pbox内核模块发送的操作命令，当操作命令为写命令时，对pbox内核模块发送的数据进行加密处理；当操作命令为读命令时，对pbox内核模块发送的数据进行解密处理；并将处理后的数据回传至pbox内核模块；

所述pbox挂载模块，用于完成用户应用层指定用户空间到设备空间的映射。

作为上述系统的一种改进，所述pbox内核模块包括注册生成单元、接收读取单元和转换发送单元；其中，

所述注册生成单元，用于将所述密文存储明文访问的系统注册到本地Linux操作系统；并在本地划分出一个磁盘分区作为设备目录；

所述接收读取单元，用于将Linux虚拟文件系统传送的文件内容数据及操作命令传送至所述pbox文件服务模块；

所述转换发送单元，用于接收所述pbox文件服务模块处理的数据，转换为Linux内核需要的格式，并发送至Linux虚拟文件系统。

作为上述系统的一种改进，所述pbox挂载模块在所述密文存储明文访问的系统首次使用时将设备目录挂载到指定用户目录，在系统卸载时，将设备目录从指定用户目录卸载下来。

作为上述系统的一种改进，所述pbox文件服务模块包括接收单元、加解密单元和发送单元；其中，

所述接收单元，用于接收所述pbox内核模块发送的数据和操作命令，发送至加解密单元；

所述加解密单元，用于读取操作命令；当操作命令为写命令时，基于预存密钥使用加密算法对收到的数据进行加密处理，得到密文数据，并发送至所述发送单元；

当操作命令为读命令时，基于预存密钥使用解密算法对收到的数据进行解密处理，得到明文数据，并发送至所述发送单元；

所述发送单元，用于将密文数据或明文数据发送至所述pbox内核模块。

本发明还提出了一种密文存储的方法，所述方法包括以下步骤：

所述pbox挂载模块将指定用户目录下的文件挂载到对应的设备目录供Linux虚拟文件系统发送；

所述pbox内核模块的接收读取单元将Linux虚拟文件系统传送的文件内容数据及操作命令发送至pbox文件服务模块；

所述pbox文件服务模块的接收单元将接收到的数据和写操作命令发送至pbox文件服务模块的加解密单元；

所述pbox文件服务模块的加解密单元基于预存密钥，使用加密算法对收到的数据进行加密处理，得到密文数据，通过pbox文件服务模块的发送单元发送至所述pbox内核模块；

所述pbox内核模块的转换发送单元，将收到的密文数据，转换为Linux 内核需要的格式，并发送至Linux虚拟文件系统；

所述Linux虚拟文件系统通过调用Linux内核的写文件操作写入设备目录；至此完成密文存储。

作为上述方法的一种改进，所述方法之前还包括：

在本系统首次使用时，所述pbox内核模块的注册生成单元将所述系统注册到本地Linux操作系统；并在本地划分出一个磁盘分区作为设备目录；

所述pbox挂载模块将设备目录挂载到指定用户目录。

本发明还提出了一种明文访问的方法，所述方法包括以下步骤：

所述pbox挂载模块将指定用户目录下的文件挂载到对应的设备目录供Linux虚拟文件系统发送；

所述pbox内核模块的接收读取单元将Linux虚拟文件系统传送的文件内容数据及操作命令发送至pbox文件服务模块；

所述pbox文件服务模块的接收单元将接收到的数据和写操作命令发送至pbox文件服务模块的加解密单元；

所述pbox文件服务模块的加解密单元基于预存密钥，使用解密算法对收到的数据进行解密处理，得到明文数据，通过pbox文件服务模块的发送单元发送至所述pbox内核模块；

所述pbox内核模块的转换发送单元，将收到的明文数据，转换为Linux 内核需要的格式，并发送至Linux虚拟文件系统；

所述Linux虚拟文件系统通过调用Linux内核的写文件操作写入设备目录；至此完成明文访问。

作为上述方法的一种改进，所述方法之前还包括：

在本系统首次使用时，所述pbox内核模块的注册生成单元将所述密文存储明文访问的系统注册到本地Linux操作系统；并在本地划分出一个磁盘分区作为设备目录；

所述pbox挂载模块将设备目录挂载到指定用户目录。

与现有技术相比，本发明的优势在于：

本发明在系统内核层处理加密解密的方法，在不损失访问速度与安全性能情况下允许本设备的第三方软件读取该密文文件。

附图说明

图1是现有技术的加解密原理示意图；

图2是本发明密文存储明文访问的系统初始化示意图；

图3是本发明实施例2的流程示意图。

具体实施方式

本发明提供了一套新的pbox文件系统，用于Linux操作系统，实现了密文存储、明文访问具体来说，在写入文件时，会先执行相关的加密算法，然后写入硬盘，从而让数据在硬盘内写入的是密文。而在读取文件时，通过pbox文件系统，会先将数据进行解密，再返回给设备内应用。这样一来设备内的安装好的软件就可以直接读取到明文内容了。

但是将设备内硬盘换到其他硬盘读取设备（如安装到其他电脑内），由于缺乏本发明的解密操作，所以无法得到密文，确保了文件的安全。

本发明的密文存储可明文访问的方法会在底层加载本发明的pbox文件系统，让本设备的第三方软件透过此文件系统明文访问到。

此外如果将传统加密存储技术的硬盘放入另外一台电脑内，安装上同样的应用软件，用同样的密钥就可以获取到当初的明文内容。

对于拆卸本专利的存储设备，切换到其他电脑，由于没有本发明的pbox文件系统，则存储设备内的密文不会泄露。

本发明的原理是提供pbox文件系统。该系统将需要加密的存储空间挂载成一个新的磁盘分区，本设备的第三方软件通过此分区就可以直接得到明文的内容，而未运行在本机上的第三方软件将无法访问分区内容。

下面结合附图和实施例对本发明的技术方案进行详细的说明。

实施例1

本发明适用的硬件设备为一套计算机设备：包括支持Linux系统的CPU、内存、一个小容量存储单元（用于存储密钥信息）、一个可读写的数据存储设备（硬盘或者手机存储卡都可以）、对应电脑主板以及用户输入的鼠标键盘显示器等设备。

需要说明的是此硬件设备不限于电脑主机，还可以是支持Linux系统的嵌入式主板。

将密钥保存在Linux系统所在的芯片的存储单元内。预存的密钥以硬件加密的方式保存接入计算机设备内，实现方式可以使用U盾一样的设备使用USB协议接在设备上，通过编写相应的硬件加密驱动实现数据存储，每个机器上面的密钥均不一样。更换频率一般是周期更换，更换频率与触发条件可以在pbox文件服务模块中调整。

在Linux系统，所有非文件的设备都被抽象为文件，可以使用访问文件的方法访问以获得信息。

本发明的pbox文件系统由pbox内核模块、pbox挂载模块和pbox文件服务模块三部分组成，各个模块功能如下：

pbox内核模块：实现了和VFS的对接，实现了一个能被用户空间进程打开的Linux虚拟设备文件，当VFS发来文件操作请求之后，将该请求通过设备传递给pbox文件服务模块，pbox文件服务在处理完请求后，将结果返回给pbox内核模块，内核模块再将其还原为Linux 内核需要的格式，并返回给VFS；具体来说：pbox内核模块包括注册生成单元、接收读取单元和转换发送单元；其中，

注册生成单元，将pbox文件系统注册到本地Linux操作系统；并在本地划分出一个磁盘分区作为设备目录；

接收读取单元，将VFS传送的文件内容数据及操作命令传送至pbox文件服务模块；

转换发送单元，接收pbox文件服务模块处理的数据，转换为Linux 内核需要的格式，并发送至VFS。

pbox挂载模块：初始化时将/dev/pbox挂载到指定目录(通常为/mnt/pbox），当系统关闭时，将/dev/pbox从指定目录卸载下来。

pbox文件服务模块：负责和pbox内核模块通信，接收来自/dev/pbox的请求，数据进行读写时加密解密操作。具体来说：包括接收单元、加解密单元和发送单元；其中，

接收单元，接收所述pbox内核模块发送的数据和操作命令，发送至加解密单元；

加解密单元，读取操作命令；当操作命令为写命令时，基于预存密钥使用加密算法对收到的数据进行加密处理，得到密文数据，并发送至所述发送单元；

当操作命令为读命令时，基于预存密钥使用解密算法对收到的数据进行解密处理，得到明文数据，并发送至所述发送单元；

其中加解密程序是一个加解密的软件程序，该程序启动的时候会将自己开发的接口注册到加密文件系统中，比如读写文件的接口，遍历目录的接口等等。同时，通过该程序在系统某个路径挂载该加密的文件系统，比如/mnt/pbox。此时如果在该目录中有相关操作时，请求会经过VFS到加文件的系统的内核模块，加密的文件系统内核模块根据请求类型（读取、写入、删除等），调用用户态应用注册的加解密程序，然后将处理结果通过VFS返回给系统调用；

发送单元，将密文数据或明文数据发送至所述pbox内核模块。

在Linux系统启动后，会进行pbox初始化，如图2所示。初始化包括以下步骤：

1.pbox内核模块实现了VFS的标准接口，pbox内核模块使用这些接口在Linux内核中注册pbox文件系统，将上述硬件设备中可读写数据存储设备的存储空间划分成一个磁盘分区，此分区对应一个设备文件/dev/pbox。设备文件/dev/pbox是内核里的pbox文件系统和用户态文件系统的通信媒介。用户态文件系统通过读取/dev/pbox的内容，获取内核中pbox文件系统发来的请求；而内核中的pbox文件系统，则把请求写入/dev/pbox，等待用户态文件系统处理。

2.pbox挂载模块挂载/dev/pbox设备文件到用户空间的/mnt/pbox文件夹。

3.pbox文件服务模块注册文件处理函数，加解密方法，并创建后台服务进程，等待用户执行文件操作。

当本设备内的软件在/mnt/pbox写入文件时，数据会通过VFS传递给pbox-内核模块，pbox-内核模块将数据转交给pbox文件服务模块。然后pbox文件服务模块使用加密算法，将明文与密钥加密成密文，传递给pbox内核模块，让pbox内核模块传递数据给VFS，调用Linux内核的写文件操作写入设备/dev/pbox内；当用户需要读取/mnt/pbox的文件时，使用加密算法与密钥解密成返回给pbox内核模块。

当用户读取文件时，Linux内核会将设备/dev/pbox内密文内容传递消息给VFS，经pbox内核模块传递给pbox文件服务，使用密钥将数据解密出来，再传回给pbox内核模块，再返回给Linux内核，最后返回到设备内的软件。

通过以上操作，设备上的任何软件就可以在用户空间的/mnt/pbox文件夹内进行文件读写，在此设备中的所有软件看来，所有文件都是明文可访问状态。但是在存储设备中，所有数据都是已加密状态了。将此可读写存储设备放入其他电脑，由于数据保存时，做了加密处理，其他电脑任何软件均无法读取此密文内容。另外将此可读写设备放入本发明的另外一个设备，由于主板上只读设备的密钥不一致，加密的文件也无法正常读取。

此外在本发明中，固化了一个pbox加解密库用的密钥，如果将设备A的硬盘接到硬盘B内，由于密钥不一致，A用户的pbox解密方法也不能解密B用户的加密数据。

这样就可以实现让加密的文件可以让第三方软件安全的访问到，并且本发明之外的设备都无法访问。

实施例2

本实施例提供了一种密文存储的方法包括以下步骤：

pbox挂载模块将指定用户目录下的文件挂载到对应的设备目录供VFS发送；

pbox内核模块的接收读取单元将VFS传送的文件内容数据及操作命令传送至pbox文件服务模块；

pbox文件服务模块的接收单元将接收到的数据和写操作命令发送至pbox文件服务模块的加解密单元；

pbox文件服务模块的加解密单元基于预存密钥，使用加密算法对收到的数据进行加密处理，得到密文数据，通过pbox文件服务模块的发送单元发送至所述pbox内核模块；

pbox内核模块的转换发送单元，将收到的密文数据，转换为Linux 内核需要的格式，并发送至VFS；

VFS通过调用Linux内核的写文件操作写入设备目录；至此完成密文存储。

需要说明：在本系统首次使用时， pbox内核模块的注册生成单元将所述系统注册到本地Linux操作系统；并在本地划分出一个磁盘分区作为设备目录；pbox挂载模块将设备目录挂载到指定用户目录。

举例说明：以某文本编辑器软件保存文件内容“123”到/mnt/pbox/abc.txt文件为例，如图3所示。

1.此文件写入操作将“123”以及写入命令传递给Linux内核，转换成功内核系统调用。

2.Linux内核层通过VFS将数据传递给pbox内核模块，内核模块传递数据“123”，写入命令给pbox文件服务模块。

3.pbox文件服务模块使用内置密钥AAA，将数据123加密成“QWE”，并将“QWE”传递回pbox内核模块。（这里“QWE”只是做一个示例，加密结果要复杂很多）。

4.pbox内核模块将数据“QWE”写入/mnt/pbox/abc.txt文件内。

5.保存后将结果经过pbox内核模块， VFS传递回Linux内核。

6.文本编辑器软件收到保存结果继续剩余的操作。

实施例3：

本发明提供了一种明文访问的方法，包括以下步骤：

pbox挂载模块将指定用户目录下的文件挂载到对应的设备目录供VFS发送；

pbox内核模块的接收读取单元将VFS传送的文件内容数据及操作命令传送至pbox文件服务模块；

pbox文件服务模块的接收单元将接收到的数据和写操作命令发送至pbox文件服务模块的加解密单元；

pbox文件服务模块的加解密单元基于预存密钥，使用解密算法对收到的数据进行解密处理，得到明文数据，通过pbox文件服务模块的发送单元发送至所述pbox内核模块；

pbox内核模块的转换发送单元，将收到的明文数据，转换为Linux 内核需要的格式，并发送至VFS；

VFS通过调用Linux内核的写文件操作写入设备目录；至此完成明文访问。

需要说明：在本系统首次使用时， pbox内核模块的注册生成单元将所述系统注册到本地Linux操作系统；并在本地划分出一个磁盘分区作为设备目录；pbox挂载模块将设备目录挂载到指定用户目录。

举例说明：以某文本编辑器软件保存文件内容“123”到/mnt/pbox/abc.txt文件为例，如图3，当文本编辑需要这个文件时会进行如下操作：

1.文本编辑器将读取命令与文件名转换成内核命令传递给Linux内核；

2.Linux读取到文件内容“QWE”，将“QWE”经过VFS，pbox内核模块传递给pbox文件服务模块；

pbox文件服务模块使用密钥AAA还原成功“123”；

3.pbox文件服务模块将数据传递回pbox内核模块，通过pbox内核模块经VFS传递回Linux内核，Linux内核将数据返回给文件编辑器。

将此存储设备放入其他电脑，使用其他的Linux挂载工具能读取到数据“QWE”。

将此存储设备放入本发明的其他设备，由于密钥不一致，解密出来也将不是123。

最后所应说明的是，以上实施例仅用以说明本发明的技术方案而非限制。尽管参照实施例对本发明进行了详细说明，本领域的普通技术人员应当理解，对本发明的技术方案进行修改或者等同替换，都不脱离本发明技术方案的精神和范围，其均应涵盖在本发明的权利要求范围当中。

Claims (6)

1.一种密文存储明文访问的系统，部署于Linux虚拟文件系统和用户应用层之间，其特征在于，所述系统包括pbox内核模块、pbox挂载模块和pbox文件服务模块；所述pbox内核模块、pbox挂载模块和pbox文件服务模块均部署于一个安装有Linux系统的设备上，其中，

所述pbox内核模块，用于在Linux操作系统上注册所述密文存储明文访问的系统，以及生成设备目录，该设备目录存储加密处理后的密文；用于将Linux虚拟文件系统传送的文件内容数据及操作命令发送至pbox文件服务模块；还用于接收pbox文件服务模块处理后的数据，转换为Linux 内核需要的格式发送至Linux虚拟文件系统；

所述pbox文件服务模块，用于接收所述pbox内核模块发送的操作命令，当操作命令为写命令时，对pbox内核模块发送的数据进行加密处理；当操作命令为读命令时，对pbox内核模块发送的数据进行解密处理；并将处理后的数据回传至pbox内核模块；

所述pbox挂载模块，用于完成用户应用层指定用户空间到设备空间的映射；

所述pbox内核模块包括注册生成单元、接收读取单元和转换发送单元；其中，

所述注册生成单元，用于将所述密文存储明文访问的系统注册到本地Linux操作系统；并在本地划分出一个磁盘分区作为设备目录；

所述接收读取单元，用于将Linux虚拟文件系统传送的文件内容数据及操作命令传送至所述pbox文件服务模块；

所述转换发送单元，用于接收所述pbox文件服务模块处理的数据，转换为Linux 内核需要的格式，并发送至Linux虚拟文件系统；

所述pbox文件服务模块包括接收单元、加解密单元和发送单元；其中，

所述接收单元，用于接收所述pbox内核模块发送的数据和操作命令，发送至加解密单元；

所述加解密单元，用于读取操作命令；当操作命令为写命令时，基于预存密钥使用加密算法对收到的数据进行加密处理，得到密文数据，并发送至所述发送单元；当操作命令为读命令时，基于预存密钥使用解密算法对收到的数据进行解密处理，得到明文数据，并发送至所述发送单元；

所述发送单元，用于将密文数据或明文数据发送至所述pbox内核模块。

2.根据权利要求1所述的密文存储明文访问的系统，其特征在于，所述pbox挂载模块在所述密文存储明文访问的系统首次使用时将设备目录挂载到指定用户目录，在系统卸载时，将设备目录从指定用户目录卸载下来。

3.一种密文存储的方法，基于权利要求2所述的系统实现，所述方法包括以下步骤：

所述pbox挂载模块将指定用户目录下的文件挂载到对应的设备目录供Linux虚拟文件系统发送；

所述pbox内核模块的接收读取单元将Linux虚拟文件系统传送的文件内容数据及操作命令发送至pbox文件服务模块；

所述pbox文件服务模块的接收单元将接收到的数据和写操作命令发送至pbox文件服务模块的加解密单元；

所述pbox文件服务模块的加解密单元基于预存密钥，使用加密算法对收到的数据进行加密处理，得到密文数据，通过pbox文件服务模块的发送单元发送至所述pbox内核模块；

所述pbox内核模块的转换发送单元，将收到的密文数据，转换为Linux 内核需要的格式，并发送至Linux虚拟文件系统；

所述Linux虚拟文件系统通过调用Linux内核的写文件操作写入设备目录；至此完成密文存储。

4.根据权利要求3所述的密文存储的方法，其特征在于，所述方法之前还包括：

在本系统首次使用时，所述pbox内核模块的注册生成单元将所述密文存储明文访问的系统注册到本地Linux操作系统；并在本地划分出一个磁盘分区作为设备目录；

所述pbox挂载模块将设备目录挂载到指定用户目录。

5.一种明文访问的方法，基于权利要求2所述的系统实现，所述方法包括以下步骤：

所述pbox挂载模块将指定用户目录下的文件挂载到对应的设备目录供Linux虚拟文件系统发送；

所述pbox内核模块的接收读取单元将Linux虚拟文件系统传送的文件内容数据及操作命令发送至pbox文件服务模块；

所述pbox文件服务模块的接收单元将接收到的数据和写操作命令发送至pbox文件服务模块的加解密单元；

所述pbox文件服务模块的加解密单元基于预存密钥，使用解密算法对收到的数据进行解密处理，得到明文数据，通过pbox文件服务模块的发送单元发送至所述pbox内核模块；

所述pbox内核模块的转换发送单元，将收到的明文数据，转换为Linux 内核需要的格式，并发送至Linux虚拟文件系统；

所述Linux虚拟文件系统通过调用Linux内核的写文件操作写入设备目录；至此完成明文访问。

6.根据权利要求5所述的明文访问的方法，其特征在于，所述方法之前还包括：

在本系统首次使用时，所述pbox内核模块的注册生成单元将所述密文存储明文访问的系统注册到本地Linux操作系统；并在本地划分出一个磁盘分区作为设备目录；

所述pbox挂载模块将设备目录挂载到指定用户目录。

Images