CN112668056A

CN112668056A - 一种安全文件系统构建方法

Info

Publication number: CN112668056A
Application number: CN202110058928.5A
Authority: CN
Inventors: 张为华; 蒋金虎; 苏斌
Original assignee: Fudan University
Current assignee: Fudan University
Priority date: 2021-01-17
Filing date: 2021-01-17
Publication date: 2021-04-16
Anticipated expiration: 2041-01-17
Also published as: CN112668056B

Abstract

本发明属于计算机文件系统技术领域，具体为一种安全文件系统构建方法。本发明通过多维度的数据空间变换实现文件系统异构性，给授权使用文件系统的用户提供不同结构的文件系统，它们有着相同的业务处理逻辑，在逻辑上没有区别，但是由内部文件系统结构不同带来的数据结构、组织、处理、存储方式的不同，从而实现文件系统数据组织和访问的异构性，增强了文件系统安全；文件系统主要包括提供用户访问的文件接口、文件系统元数据、文件元数据和数据空间管理；针对四个部分设计随机异构变换方法，使得每次构建的文件系统具有随机性，不同于普通文件系统，格式固定，容易通过分析获知文件系统组织方式，从而确保文件系统安全性。

Description

一种安全文件系统构建方法

技术领域

本发明属于计算机文件系统技术领域，具体涉及到一种安全文件系统构建方法。

背景技术

自文件系统面世以来，一直作为管理组织数据，并为使用者提供友好接口支持的强有力的工具，在拥有如此庞大数据的今天，肩负着数据组织管理，安全存储责任的文件系统更加占据至关重要的地位。

安全性更是保证文件系统可用的首要因素。不断的发展过程中，以下一些因素导致文件系统的安全性至关重要，首先，当今社会，全世界的数据绝大部分通过文件系统来进行管理和组织，各种隐私数据，机要数据等给文件系统的安全带来巨大的挑战。

当今文件系统安全防御方法主要有两类。一类是访问控制：将用户能够在文件系统中进行的操作，访问的数据等权限明确定义，是业务逻辑层面的安全控制机制。二是数据加密：消除明文数据存储带来的安全隐患，通过必要的加密算法和密钥等实现密文存储，是一种有力的安全防御机制。其中包括赵明明提出了一种安全运行可执行文件的方法及系统（CN111259348A），是利用数字签名匹配，ACL权限校验等多级验证方式确保文件未被篡改，确保文件系统安全；陈灿阳提出了一种用于创建和解密企业安全加密文件的方法（CN111324901A），通过设置文件头结构体，包括加密文件标识等各类字段，以此对文件系统实现高级别加密保护；江昊提出了一种基于LINUX系统的文件安全应用管理方法及系统（CN111310231A），对密级文件单独采用独立定义的访问控制策略，在VFS截取验证访问权限实现安全性；郭强提出了一种文件系统的安全保护方法、装置及存储介质（CN111177784A），基于初始的文件系统生成初始的文件摘要列表，通过加密后摘要列表的匹配校验保证安全性。

在文件系统内部各种模块的加入与耦合，在保证组织与控制能力不断强大的同时，文件系统自身庞大的运转体系带来很多意向不到的安全隐患，外部原因则是数据资料带来的巨大的利益吸引黑客等团体铤而走险，不断冲击文件系统的安全防御体系。

本发明的安全文件系统是基于多维度变换实现异构隔离，在多异构体联合的情况下提供安全的文件系统服务。本发明通过用户空间文件系统实现，主要目标是弥补现有文件系统自身结构固定单一，防御技术疏漏等潜在的安全问题。是通过多维度的变换实现多个文件系统异构体，这些异构体具有相同的业务处理逻辑，但是具有不同的内部处理方式和组织结构。本发明通过异构实现更为彻底的数据空间隔离，联合多个异构节点提供数据服务，也增强了文件系统的容错性和健壮性。同时本发明通过构建一个独立的扩展访问控制引擎，负责完善原有访问控制的缺陷以及适配异构体的联合服务模型，不同于现有方法。

名词解释

FS（File System）：文件系统,是负责数据管理和组织的计算机程序；

SeFS（Secure File System）:安全文件系统，本发明中利用异构变换，扩展访问控制实现的安全文件系统；

元数据：管理数据的数据。

发明内容

本发明的目的在于提供一种安全文件系统构建方法，以克服现有文件系统自身结构固定\访问方式单一等潜在的安全问题。

本发明提供的安全文件系统构建方法，主要通过多维度的数据空间变换实现文件系统异构性，给授权使用文件系统的用户提供不同结构的文件系统，它们有着相同的业务处理逻辑，在逻辑上没有区别，但是由内部文件系统结构不同带来的数据结构、组织、处理、存储等方式的不同，从而实现文件系统数据组织和访问的异构性，增强了文件系统安全。文件系统的主要组成如图1，包括有提供用户访问的文件接口、文件系统元数据、文件元数据和数据空间管理。

本发明是针对文件系统的四个主要组成部分设计随机异构变换方法，使得主要组成部分支持动态变换，通过格式和管理的变换，使得很难猜测文件系统具体的数据和管理方式，增强文件系统的安全性。

第一是文件接口变换，首先在保证基本语义与功能的基础上进行校验域的添加与更改。校验域分为用户接口调用权限的校验，以及与匹配文件系统异构节点的校验。其次变换部分则是通过接口调用函数名的变换以及语义代码的随机构建过程来实现接口的异构变换。

接口的异构变换随机性主要由两种方式凸显：①针对每个异构体文件系统，使用标签后缀改变接口函数名，标签的选择可以选用不同的字符集，同时建立标签库，对新的异构体的函数调用接口做异构变换时检索相应的标签库。②使用特定的字符串映射表表示对应字符串的函数语义，授权用户使用相应的字符串序列与安全文件系统进行交互。

第二是文件系统元数据变换，文件系统对数据的组织管理最重要的是文件系统元数据；文件系统元数据是管理数据的数据，负责对文件系统在磁盘上的排布管理、磁盘数据块的分配等。主要包括超级块（superblock）和文件索引节点(inode)两种数据结构，本发明对其进行改造，增加变换标识、随机属性、可变数据布局等可变换属性域，同时对原本的关键数据结构校验改变为新的字节量。变换方式本质上就是在原有数据结构当中添加属性域，并且将新增的属性纳入到文件系统的校验域当中，以保证属性的完整性和不可篡改。

第三是文件元数据变换，文件元数据是文件系统中管理文件的数据。通过对文件元数据进行改造，增加动态变换属性，包括文件数据块寻址的算法，与其他算法不同，支持动态变换属性的文件数据块的寻址，需要结合变换属性进行运算，可变换的寻址算法有可变偏移寻址和映射表转换寻址等算法。

可变偏移算法是文件数据块的起始偏移不是固定，而是文件系统构建时会随机生成多个可变便宜值，不同的文件可以具有不同的偏移，偏移算法根据文件唯一号选择偏移。

映射表转换算法是在文件系统被构建时，随机生成一个满射的映射表，文件数据块寻址时，初始数据块号需要经过映射表转换获取真正的数据块号，否则输出的文件数据是杂乱无章内容。

普通用户即使突破了文件接口异构的安全防护，取得了未授权异构体的文件系统访问，也因为无法正确的解析读取文件数据块而保障文件系统安全。

第四是数据空间变换，通过自身动态选择或者是管理员预先定制的密钥对文件系统的数据空间进行加密变换，消除数据明文带来的安全隐患。系统提供一组多种不同类型的加密算法，且加密算法可以随机组合。在对磁盘分区或空间构建新的文件系统时，构建工具随机生成加密组合，利用加密组合算法对文件系统数据空间的数据进行加密。

数据空间异构变换的步骤：①为特定的文件系统异构体申请变换算法以及相应的密钥；②存入数据，对用户数据进行异构变换，存入磁盘镜像当中；③读取数据，验证用户密钥之后，对磁盘数据进行逆变换。不同的异构体文件系统采用不同的加密方式，同一异构体中不同的用户采用不同的加密密钥，最大程度的保障安全性的实现。

通过以上四个层次的异构变换机制，使得每次构建的文件系统具有随机性，不同于普通文件系统，格式固定，容易通过分析获知文件系统组织方式。在部署到批量设备上时，不同设备上的文件系统各自不同，不具备通用性，防止非授权设备使用。

附图说明

图1为文件系统功能组成图。

图2为SeFS安全文件系统实施图。

具体实施方式

在具体实现上，为了方便地生成不同异构文件系统，实现了SeFS文件系统和相应的变换工具,如图2所示。其中变换工具中包括编译工具和构建工具，编译工具用来结合SeFS动态生成特定的文件访问接口，构建工具用来在文件系统初始化构建时构建随机格式的SeFS文件系统实例。在针对多用户场景中，通过变换工具为每个用户生成一个私有的SeFS文件系统实例，并且具有专有格式和专用文件接口，保障了用户数据的安全性。

Claims

1.一种安全文件系统构建方法，其特征在于，通过多维度的数据空间变换实现文件系统异构性，给授权使用文件系统的用户提供不同结构的文件系统，它们有着相同的业务处理逻辑，在逻辑上没有区别，但是由内部文件系统结构不同带来的数据结构、组织、处理、存储方式的不同，从而实现文件系统数据组织和访问的异构性，增强了文件系统安全；文件系统主要包括提供用户访问的文件接口、文件系统元数据、文件元数据和数据空间管理；针对文件系统的四个主要组成部分设计随机异构变换方法，使得主要组成部分支持动态变换，通过格式和管理的变换，使得很难猜测文件系统具体的数据和管理方式；具体如下：

第一是文件接口变换；首先，在保证基本语义与功能的基础上进行校验域的添加与更改；校验域分为用户接口调用权限的校验，以及与匹配文件系统异构节点的校验；其次，通过接口调用函数名的变换以及语义代码的随机构建过程来实现接口的异构变换；

第二是文件系统元数据变换；文件系统元数据是管理数据的数据，负责对文件系统在磁盘上的排布管理、磁盘数据块的分配；文件系统元数据主要包括超级块和文件索引节点两种数据结构；对其进行改造，包括增加变换标识、随机属性、可变数据布局等可变换属性域，同时对原本的关键数据结构校验改变为新的字节量；变换方式本质上就是在原有数据结构当中添加属性域，并且将新增的属性纳入到文件系统的校验域当中，以保证属性的完整性和不可篡改；

第三是文件元数据变换；文件元数据是文件系统中管理文件的数据；通过对文件元数据进行改造，增加动态变换属性，包括文件数据块寻址的算法，支持动态变换属性的文件数据块的寻址，需要结合变换属性进行运算，可变换的寻址算法包括可变偏移寻址和映射表转换寻址等算法；

可变偏移算法是文件数据块的起始偏移不是固定，而是文件系统构建时会随机生成多个可变便宜值，不同的文件可以具有不同的偏移，偏移算法根据文件唯一号选择偏移；

映射表转换算法是在文件系统被构建时，随机生成一个满射的映射表，文件数据块寻址时，初始数据块号需要经过映射表转换获取真正的数据块号，否则输出的文件数据是杂乱无章内容；

普通用户即使突破了文件接口异构的安全防护，取得了未授权异构体的文件系统访问，也因为无法正确的解析读取文件数据块而保障文件系统安全；

第四是数据空间变换；通过自身动态选择或者是管理员预先定制的密钥对文件系统的数据空间进行加密变换，消除数据明文带来的安全隐患；具体提供一组多种不同类型的加密算法，且加密算法可以随机组合；对于磁盘分区或空间构建新的文件系统，构建工具随机生成加密组合，利用加密组合算法对文件系统数据空间的数据进行加密。

2.根据权利要求1所述的安全文件系统构建方法，其特征在于，在文件接口变换中，接口的异构变换的随机性主要由两种方式显示：①针对每个异构体文件系统，使用标签后缀改变接口函数名，标签选用不同的字符集，同时建立标签库，对新的异构体的函数调用接口做异构变换时检索相应的标签库；②使用特定的字符串映射表表示对应字符串的函数语义，授权用户使用相应的字符串序列与安全文件系统进行交互。

3.根据权利要求1所述的安全文件系统构建方法，其特征在于，在文件元数据变换中，由于文件数据块的起始偏移不是固定，而是文件系统构建时会随机生成多个可变便宜值，不同的文件可以具有不同的偏移，所述可变偏移算法是根据文件唯一号选择偏移；

所述映射表转换算法是在文件系统被构建时，随机生成一个满射的映射表，文件数据块寻址时，初始数据块号需要经过映射表转换获取真正的数据块号，否则输出的文件数据是杂乱无章内容。

4.根据权利要求1所述的安全文件系统构建方法，其特征在于，所述数据空间异构变换的操作步骤为：①为特定的文件系统异构体申请变换算法以及相应的密钥；②存入数据，对用户数据进行异构变换，存入磁盘镜像当中；③读取数据，验证用户密钥之后，对磁盘数据进行逆变换；不同的异构体文件系统采用不同的加密方式，同一异构体中不同的用户采用不同的加密密钥，最大程度的保障安全性的实现。