CN112632624B

CN112632624B - 一种存储块加解密方法、系统、终端及存储介质

Info

Publication number: CN112632624B
Application number: CN202011634803.4A
Authority: CN
Inventors: 王金国; 苗功勋; 崔新安; 谷涛; 张雷
Original assignee: BEIJING ZHONGFU TAIHE TECHNOLOGY DEVELOPMENT CO LTD; Nanjing Zhongfu Information Technology Co Ltd; Zhongfu Information Co Ltd; Zhongfu Safety Technology Co Ltd
Current assignee: BEIJING ZHONGFU TAIHE TECHNOLOGY DEVELOPMENT CO LTD; Nanjing Zhongfu Information Technology Co Ltd; Zhongfu Information Co Ltd; Zhongfu Safety Technology Co Ltd
Priority date: 2020-12-31
Filing date: 2020-12-31
Publication date: 2022-10-18
Anticipated expiration: 2040-12-31
Also published as: CN112632624A

Abstract

本发明提供一种存储块加解密方法、系统、终端及存储介质，包括：在用户空间部署文件系统并将所述文件系统划分为多个加密块组；根据输入的密码串生成密钥；在所述文件系统格式化程序上设置加密程序，所述加密程序根据所述密钥对保存至加密块组的数据进行加密。本发明利用Linux系统提供的fuse(用户空间文件系统)功能，实现了一种在用户空间对磁盘进行自定义加密的方式，该方式相对DmCrypt内核层方案，对系统版本依赖较小，且开发难度相对较低。

Description

一种存储块加解密方法、系统、终端及存储介质

技术领域

本发明涉及存储技术领域，具体涉及一种存储块加解密方法、系统、终端及存储介质。

背景技术

Linux系统下一般有两种加密文件的方法，一种是目录级别的加密，例如使用Linux下的EncFS工具对特定文件夹的文件加密；另外一种是整盘加密，最常见的是用DmCrypt磁盘加密方案对整个磁盘进行加密。目录级别的加密方式较为简单，但因为仅仅对特定文件夹加密，不适用于对块设备(硬盘、U盘等)进行整体加密。

现有的DmCrypt方案的加密是在Linux内核中实现的，仅支持国际通用的算法(DES、AES等)，如果要实现自定义的整盘加密方式(如使用国密SM4算法)，则需要在内核DmCrypt上做修改，此种方案对Linux内核有比较强的依赖性，需要跟随Linux内核版本进行升级适配，适应性较差。

发明内容

针对现有技术的上述不足，本发明提供一种存储块加解密方法、系统、终端及存储介质，以解决上述技术问题。

第一方面，本发明提供一种存储块加解密方法，包括：

在用户空间部署文件系统并将所述文件系统划分为多个加密块组；

根据输入的密码串生成密钥；

在所述文件系统格式化程序上设置加密程序，所述加密程序根据所述密钥对保存至加密块组的数据进行加密。

进一步的，所述在用户空间部署文件系统并将所述文件系统划分为多个加密块组，包括：

利用用户空间文件系统在用户空间部署文件系统；

将所述文件系统划分为多个加密块组，所述加密块组包括超级块、组描述符存储块、数据位图存储块、索引节点位图存储块、索引节点表存储块和数据块。

进一步的，所述根据输入的密码串生成密钥，包括：

计算所述密码串的MD5值，将所述MD5值作为密钥。

进一步的，所述在所述文件系统格式化程序上设置加密程序，所述加密程序根据所述密钥对保存至加密块组的数据进行加密，包括：

构建加密结构体，并在所述加密结构体保存解密算法和所述密钥。

第二方面，本发明提供一种存储块加解密系统，包括：

系统划分单元，配置用于在用户空间部署文件系统并将所述文件系统划分为多个加密块组；

密钥生成单元，配置用于根据输入的密码串生成密钥；

加密设置单元，配置用于在所述文件系统格式化程序上设置加密程序，所述加密程序根据所述密钥对保存至加密块组的数据进行加密。

进一步的，所述系统划分单元包括：

系统部署模块，配置用于利用用户空间文件系统在用户空间部署文件系统；

块组划分模块，配置用于将所述文件系统划分为多个加密块组，所述加密块组包括超级块、组描述符存储块、数据位图存储块、索引节点位图存储块、索引节点表存储块和数据块。

进一步的，所述密钥生成单元包括：

密码计算模块，配置用于计算所述密码串的MD5值，将所述MD5值作为密钥。

进一步的，所述加密设置单元包括：

加密构建模块，配置用于构建加密结构体，并在所述加密结构体保存解密算法和所述密钥。

第三方面，提供一种终端，包括：

处理器、存储器，其中，

该存储器用于存储计算机程序，

该处理器用于从存储器中调用并运行该计算机程序，使得终端执行上述的终端的方法。

第四方面，提供了一种计算机存储介质，所述计算机可读存储介质中存储有指令，当其在计算机上运行时，使得计算机执行上述各方面所述的方法。

本发明的有益效果在于，

本发明提供的存储块加解密方法、系统、终端及存储介质，利用Linux系统提供的fuse(用户空间文件系统)功能，实现了一种在用户空间对磁盘进行自定义加密的方式，该方式相对DmCrypt内核层方案，对系统版本依赖较小，且开发难度相对较低。

此外，本发明设计原理可靠，结构简单，具有非常广泛的应用前景。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，对于本领域普通技术人员而言，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明一个实施例的方法的示意性流程图。

图2是本发明一个实施例的方法的加密块组的示意性架构图。

图3是本发明一个实施例的系统的示意性框图。

图4为本发明实施例提供的一种终端的结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明中的技术方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

图1是本发明一个实施例的方法的示意性流程图。其中，图1执行主体可以为一种存储块加解密系统。

如图1所示，该方法包括：

步骤110，在用户空间部署文件系统并将所述文件系统划分为多个加密块组；

步骤120，根据输入的密码串生成密钥；

步骤130，在所述文件系统格式化程序上设置加密程序，所述加密程序根据所述密钥对保存至加密块组的数据进行加密。

本方案是用户空间实现了块设备(硬盘、U盘等)的加解密，需要Linux系统支持fuse功能，Linux内核编译需要开启FUSE_FS选项，目前主流的Linux桌面发行版本及国产操作系统发行版本都支持该功能。具体的，所述存储块加解密方法包括：

S1、在用户空间部署文件系统并将所述文件系统划分为多个加密块组。

使用FUSE(用户空间文件系统)在用户空间实现了ext2文件系统(也可以是其他文件系统)，并且在文件系统之上实现了一层加密，文件系统结构如图2所示。将文件系统划分为多个加密块组，加密块组包括超级块(1个块)、组描述符存储块(k个块)、数据位图存储块(1个块)、索引节点位图存储块(1个块)、索引节点表存储块(m个块)和数据块(n个块)。

S2、根据输入的密码串生成密钥。

在Linux的ext2格式化程序mkfs.ext2程序基础上进行修改，增加加密实现：

增加程序的参数，接收外部输入的密码字符串，将密码串进行md5运算，得到的128bit串作为格式化文件系统的密钥；

将mkfs.ext2写入实际的数据块函数进行修改，将每个4k的数据块使用前面的128bit密钥进行SM4加密后，写入设备。

执行该程序可完成对设备的初始化(格式化)过程：

mkfs.zfencfs/dev/sdb1[password]

S3、在所述文件系统格式化程序上设置加密程序，所述加密程序根据所述密钥对保存至加密块组的数据进行加密。

(1)程序初始化时需要从外部获取密码字符串，该字符串需要与前述步骤格式化时输入的相同，接下来采取相同的方式，将密码字符串转换为128bit密钥，将该密钥作为上下文参数user_data传递给fuse_main主函数：

fuse_main(int argc,char*argv[],struct fuse_operations*op,

void*user_data)

后续的文件系统各个具体实现的函数都可以调用fuse_get_context获取到该密钥，从而对数据进行加解密；

(2)实现FUSE定义的fuse_operations结构体：

struct fuse_operations{

int(*getattr)(const char*,struct stat*)；

int(*mknod)(const char*,mode_t,dev_t)；

int(*mkdir)(const char*,mode_t)；

int(*unlink)(const char*)；

void*(*init)(struct fuse_conn_info*conn)；

int(*rename)(const char*,const char*)；

int(*open)(const char*,struct fuse_file_info*)；

int(*read)(const char*,char*,size_t,off_t,struct fuse_file_info*)；

int(*write)(const char*,const char*,size_t,off_t,struct fuse_file_info*)；

int(*opendir)(const char*,struct fuse_file_info*)；

int(*readdir)(const char*,void*,fuse_fill_dir_t,off_t,struct fuse_file_info*)；

......

}；

这里的实现参考Linux ext2内核层的代码实现以及e2fslibs-dev库实现用户层的ext2文件系统，利用fuse提供的特性，在用户空间实现对ext2文件系统的支持，并在此基础上，在每个函数调用的实际数据写入或读取出之前，增加一层加解密实现：利用从fuse_get_context获取来的密钥，并且使用SM4算法对数据进行加密/解密。

执行主程序可对已经加密的设备进行解密、挂载使用：

./zfencfstool/dev/sdb1[password]/mnt/disk

如图3所示，该系统300包括：

系统划分单元310，配置用于在用户空间部署文件系统并将所述文件系统划分为多个加密块组；

密钥生成单元320，配置用于根据输入的密码串生成密钥；

加密设置单元330，配置用于在所述文件系统格式化程序上设置加密程序，所述加密程序根据所述密钥对保存至加密块组的数据进行加密。

可选地，作为本发明一个实施例，所述系统划分单元包括：

可选地，作为本发明一个实施例，所述密钥生成单元包括：

可选地，作为本发明一个实施例，所述加密设置单元包括：

图4为本发明实施例提供的一种终端400的结构示意图，该终端400可以用于执行本发明实施例提供的存储块加解密方法。

其中，该终端400可以包括：处理器410、存储器420及通信单元430。这些组件通过一条或多条总线进行通信，本领域技术人员可以理解，图中示出的服务器的结构并不构成对本发明的限定，它既可以是总线形结构，也可以是星型结构，还可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。

其中，该存储器420可以用于存储处理器410的执行指令，存储器420可以由任何类型的易失性或非易失性存储终端或者它们的组合实现，如静态随机存取存储器(SRAM)，电可擦除可编程只读存储器(EEPROM)，可擦除可编程只读存储器(EPROM)，可编程只读存储器(PROM)，只读存储器(ROM)，磁存储器，快闪存储器，磁盘或光盘。当存储器420中的执行指令由处理器410执行时，使得终端400能够执行以下上述方法实施例中的部分或全部步骤。

处理器410为存储终端的控制中心，利用各种接口和线路连接整个电子终端的各个部分，通过运行或执行存储在存储器420内的软件程序和/或模块，以及调用存储在存储器内的数据，以执行电子终端的各种功能和/或处理数据。所述处理器可以由集成电路(Integrated Circuit，简称IC)组成，例如可以由单颗封装的IC所组成，也可以由连接多颗相同功能或不同功能的封装IC而组成。举例来说，处理器410可以仅包括中央处理器(Central Processing Unit，简称CPU)。在本发明实施方式中，CPU可以是单运算核心，也可以包括多运算核心。

通信单元430，用于建立通信信道，从而使所述存储终端可以与其它终端进行通信。接收其他终端发送的用户数据或者向其他终端发送用户数据。

本发明还提供一种计算机存储介质，其中，该计算机存储介质可存储有程序，该程序执行时可包括本发明提供的各实施例中的部分或全部步骤。所述的存储介质可为磁碟、光盘、只读存储记忆体(英文：read-only memory，简称：ROM)或随机存储记忆体(英文：random access memory，简称：RAM)等。

因此，本发明利用Linux系统提供的fuse(用户空间文件系统)功能，实现了一种在用户空间对磁盘进行自定义加密的方式，该方式相对DmCrypt内核层方案，对系统版本依赖较小，且开发难度相对较低，本实施例所能达到的技术效果可以参见上文中的描述，此处不再赘述。

本领域的技术人员可以清楚地了解到本发明实施例中的技术可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本发明实施例中的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中如U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质，包括若干指令用以使得一台计算机终端(可以是个人计算机，服务器，或者第二终端、网络终端等)执行本发明各个实施例所述方法的全部或部分步骤。

本说明书中各个实施例之间相同相似的部分互相参见即可。尤其，对于终端实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例中的说明即可。

在本发明所提供的几个实施例中，应该理解到，所揭露的系统和方法，可以通过其它的方式实现。例如，以上所描述的系统实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，系统或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

尽管通过参考附图并结合优选实施例的方式对本发明进行了详细描述，但本发明并不限于此。在不脱离本发明的精神和实质的前提下，本领域普通技术人员可以对本发明的实施例进行各种等效的修改或替换，而这些修改或替换都应在本发明的涵盖范围内/任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。

Claims

1.一种存储块加解密方法，其特征在于，包括：

根据输入的密码串生成密钥；

在所述文件系统格式化程序上设置加密程序，所述加密程序根据所述密钥对保存至加密块组的数据进行加密；

所述在所述文件系统格式化程序上设置加密程序，所述加密程序根据所述密钥对保存至加密块组的数据进行加密，包括：构建加密结构体，并在所述加密结构体保存解密算法和所述密钥；具体地，

将该密钥作为上下文参数传递给主函数；

各个具体实现的函数可以调用获取到该密钥，从而对数据进行加解密；

在每个函数调用的实际数据写入或读取出之前，增加一层加解密实现：

利用从上下文中获取来的密钥，并且使用SM4算法对数据进行加密/解密。

2.根据权利要求1所述的方法，其特征在于，所述在用户空间部署文件系统并将所述文件系统划分为多个加密块组，包括：

利用用户空间文件系统在用户空间部署文件系统；

3.根据权利要求1所述的方法，其特征在于，所述根据输入的密码串生成密钥，包括：

计算所述密码串的MD5值，将所述MD5值作为密钥。

4.一种存储块加解密系统，其特征在于，包括：

密钥生成单元，配置用于根据输入的密码串生成密钥；

加密设置单元，配置用于在所述文件系统格式化程序上设置加密程序，所述加密程序根据所述密钥对保存至加密块组的数据进行加密；

所述加密设置单元包括：

加密构建模块，配置用于构建加密结构体，并在所述加密结构体保存解密算法和所述密钥；

所述构建加密结构体，并在所述加密结构体保存解密算法和所述密钥，具体地，

将该密钥作为上下文参数传递给主函数；

5.根据权利要求4所述的系统，其特征在于，所述系统划分单元包括：

6.根据权利要求4所述的系统，其特征在于，所述密钥生成单元包括：

7.一种终端，其特征在于，包括：

处理器；

用于存储处理器的执行指令的存储器；

其中，所述处理器被配置为执行权利要求1-3任一项所述的方法。

8.一种存储有计算机程序的计算机可读存储介质，其特征在于，该程序被处理器执行时实现如权利要求1-3中任一项所述的方法。