CN113992702A - 一种ceph分布式文件系统存储国密加固方法及系统 - Google Patents

一种ceph分布式文件系统存储国密加固方法及系统 Download PDF

Info

Publication number
CN113992702A
CN113992702A CN202111087824.3A CN202111087824A CN113992702A CN 113992702 A CN113992702 A CN 113992702A CN 202111087824 A CN202111087824 A CN 202111087824A CN 113992702 A CN113992702 A CN 113992702A
Authority
CN
China
Prior art keywords
server
client
data
encryption
cryptographic algorithm
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202111087824.3A
Other languages
English (en)
Other versions
CN113992702B (zh
Inventor
刘玲星
邹华
纪军刚
宋柏森
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Changsha Zhengtong Cloud Calculating Co ltd
Shenzhen Zhengtong Cloud Computing Co ltd
Shenzhen Zhengtong Electronics Co Ltd
Original Assignee
Changsha Zhengtong Cloud Calculating Co ltd
Shenzhen Zhengtong Cloud Computing Co ltd
Shenzhen Zhengtong Electronics Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Changsha Zhengtong Cloud Calculating Co ltd, Shenzhen Zhengtong Cloud Computing Co ltd, Shenzhen Zhengtong Electronics Co Ltd filed Critical Changsha Zhengtong Cloud Calculating Co ltd
Priority to CN202111087824.3A priority Critical patent/CN113992702B/zh
Publication of CN113992702A publication Critical patent/CN113992702A/zh
Application granted granted Critical
Publication of CN113992702B publication Critical patent/CN113992702B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H04L67/1097—Protocols in which an application is distributed across nodes in the network for distributed storage of data in networks, e.g. transport arrangements for network file system [NFS], storage area networks [SAN] or network attached storage [NAS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Storage Device Security (AREA)

Abstract

本发明公开了一种ceph分布式文件系统存储国密加固方法及系统，其包括在预设通信协议的基础上加入基于国密算法SM2/SM3/SM4的TLS/SSL双向认证；建立国密可信传输通道；基于国密算法SM3/SM4对服务端存储的数据进行国密加固。本发明通过客户端与服务端之间基于国密算法SM2/SM3/SM4的双向认证通信，提高客户端与服务端之间认证及通信的安全性，解决未进行身份认证时用户凭证和会话信息易被窃取、用户请求易被中途拦截或盗取的问题；另外，通过对ceph分布式文件系统存储对应的硬件设备服务器上存储的数据进行SM3/SM4国密加固，实现认证加密通信的国密替代，即使在失去对硬件设备服务器控制后，硬件设备服务器内的数据内容也不能被读取识别，有效保障用户数据及隐私安全。

Description

一种ceph分布式文件系统存储国密加固方法及系统
技术领域
本发明涉及ceph分布式文件系统存储技术领域，尤其是涉及一种ceph分布式文件系统存储国密加固方法及系统。
背景技术
随着互联网的应用和发展，互联网数据量不断增加。ceph分布式存储系统是目前应用较为广泛的一种存储系统，它同时支持块存储、对象存储和文件系统三种存储方式，具备高性能、可拓展等突出优势。其中，文件系统是对文件存储设备的空间进行组织和分配，负责存储文件并对存入的文件进行保护和检索的系统，ceph分布式文件系统存储由于其利于共享的特点，越来越受到人们的青睐。
现有的开源ceph分布式文件系统存储的客户端接入认证及数据存储的接入方式未对对方身份进行验证，容易被窃取用户凭证和会话信息，同时客户端在接入ceph服务端进行数据传送过程中，也存在请求被中途截获或盗取的隐患，严重的甚至可能带来整个网络的瘫痪；而如果ceph分布式文件系统存储里的数据最终落在硬件设备上是明文的，则当用户失去对数据的控制时，如硬件设备丢失，存储设备被恶意盗取等，设备获得者可以直接读取或者还原存储设备上的数据，这一系列问题都将导致用户的数据安全隐患和隐私泄露风险。
发明内容
基于此，本发明的目的在于提供一种ceph分布式文件系统存储国密加固方法及系统，防止客户端请求被中途截获或盗取以及失去对硬件设备控制后数据泄露的问题，有效保障用户认证访问、数据通信及隐私安全。
为解决上述技术问题，本发明采用以下技术方案：
本发明提供了一种ceph分布式文件系统存储国密加固方法，其包括如下步骤：
在预设通信协议的基础上加入基于国密算法SM2/SM3/SM4的TLS/SSL双向认证；
建立国密可信传输通道；
基于国密算法SM3/SM4对服务端存储的数据进行国密加固。
在其中一个实施例中，所述步骤基于国密算法SM3/SM4对服务端存储的数据进行国密加固之前，还包括：
预置SM4国密算法的第二密钥。
在其中一个实施例中，所述步骤在预设通信协议的基础上加入基于国密算法SM2/SM3/SM4的TLS/SSL双向认证的方法，具体操作包括：
将OpenSSL源码的密码算法文件修改为SM2/SM3/SM4国密算法；
利用OpenSSL生成国密算法SM2/SM4对应的密钥。
在其中一个实施例中，所述步骤建立国密可信传输通道方法，包括：
步骤S201、客户端和服务端分别向公共的CA管理平台申请基于SM2国密算法的数字证书；
步骤S202、客户端向分布式文件系统存储的服务端发送TSL/SSL信息，并产生随机数A；其中，所述TSL/SSL信息包括客户端支持的国密算法及SSL协议的版本；
步骤S203、服务端回应确定使用的SSL协议的版本及选择SM2国密算法，产生随机数B，并从服务端秘钥库中取出要使用的SM2公钥及步骤S201中申请的数字证书发送给客户端；
步骤S204、客户端在接收到SM2公钥及数字证书后，通过CA管理平台以及SM3国密算法验证数字证书是否具有合法性及完整性；如是，则转入步骤S205；如否，则客户端返回不安全的警告信息；
步骤S205、客户端发送步骤S201中申请的数字证书及SM2公钥给服务端；
步骤S206、服务端对客户端发送的SM2公钥及数字证书通过CA公共管理平台进行校验；
步骤S207、客户端发送需要使用SM4国密算法为用户后续数据进行加密的方案给服务端；
步骤S208、服务端收到步骤S207中客户端发送的方案后，考虑SM4国密算法的加密效率，同意使用SM4国密算法对通信报文进行加解密；
步骤S209、客户端根据随机数A和B生成随机码R，随机码R作为SM4国密算法加密的密钥，并使用服务端的SM2公钥对随机码R进行加密，获得加密随机码R并发送给服务端；
步骤S210、服务端使用SM2私钥对加密随机码R进行解密，获得SM4国密算法的第一密钥；
步骤S211、客户端与服务端之间基于国密算法SM2/SM3/SM4的TLS/SSL双向认证建立国密可信传输通道。
在其中一个实施例中，所述步骤S211之后，还包括
步骤S212、通过SM3国密算法验证客户端和服务端在数据通信过程中的通信报文的完整性。
在其中一个实施例中，当客户端发起写入请求操作时，所述步骤基于国密算法SM3/SM4对服务端存储的数据进行国密加固的方法，具体操作包括：
步骤S310a、客户端发起写入请求信息，其中，写入请求信息包括待写入数据；
步骤S320a、调用SM4国密算法对待写入数据进行加密，获取加密后的待写入数据；
步骤S330a、调用SM3国密算法校验待写入数据是否具有完整性；若是，则转入步骤S340a；若否，则客户端返回不安全警告信息，停止客户端与服务端之间的数据通信；
步骤S340a、服务器存储加密后的待写入数据。
在其中一个实施例中，所述步骤S340a的方法，具体操作包括：
第一存储副本Primary OSD收到客户端发送的写入请求信息，向第二存储副本Secondary OSD和第三存储副本Tertiary OSD同时转发写入请求信息，调用SM4国密算法对待写入数据进行加密，第二存储副本Secondary OSD和第三存储副本Tertiary OSD对加密后的待写入数据进行写入操作，第二存储副本Secondary OSD和第三存储副本TertiaryOSD写入操作完成后给第一存储副本Primary OSD发送确认消息，第一存储副本PrimaryOSD接收确认消息并完成对加密后的待写入数据写入操作；其中，硬件设备服务器包括第一存储副本Primary OSD、第二存储副本Secondary OSD和第三存储副本Tertiary OSD。
在其中一个实施例中，当服务端发起读出请求操作时，所述步骤基于国密算法SM3/SM4对服务端存储的数据进行国密加固的方法，具体操作包括：
步骤S310b、客户端发起读出请求信息，其中，读出请求信息包括待读出数据；
步骤S320b、调用SM3国密算法校验待读出数据是否具有完整性；若是，则转入步骤S330b；若否，则客户端返回不安全警告信息，停止客户端与服务端之间的数据通信；
步骤S330b、调用SM4国密算法对待读出数据进行解密，获取解密后的待读出数据；
步骤S340b、解密后的待读出数据从服务端传输至客户端。
一种ceph分布式文件系统存储国密加固系统，其包括
双向认证加密模块，用于在预设通信协议的基础上加入基于国密算法SM2/SM3/SM4的TLS/SSL双向认证；
国密通道建立模块，用于建立国密可信传输通道；
数据加解密模块，用于基于国密算法SM3/SM4对服务端存储的数据进行国密加固。
在其中一个实施例中，还包括
预置密钥模块，用于预置SM4国密算法的第二密钥。
综上所述，本发明提供的一种ceph分布式文件系统存储国密加固方法及系统通过客户端与服务端之间基于国密算法SM2/SM3/SM4的双向认证通信，提高客户端与服务端之间认证及通信的安全性，解决未进行身份认证时用户凭证和会话信息易被窃取、用户请求易被中途拦截或盗取的问题；另外，通过对ceph分布式文件系统存储对应的硬件设备服务器上存储的数据进行SM3/SM4国密加固，使得整个ceph分布式文件系统存储实现认证加密通信的国密替代，即使在失去对硬件设备服务器控制后，硬件设备服务器内的数据内容也不能被读取识别，有效保障用户数据及隐私安全。
附图说明
图1为本发明实施例提供的第一种ceph分布式对象存储系统国密加固方法的流程示意图；
图2为本发明实施例提供的第二种ceph分布式文件系统存储国密加固方法的流程示意图；
图3为本发明实施例提供的第一种建立国密可信传输通道方法的流程示意图；
图4为本发明实施例提供的第二种建立国密可信传输通道方法的流程示意图；
图5为本发明实施例提供的第三种ceph分布式文件系统存储国密加固方法的流程示意图；
图6为本发明实施例提供的第一种ceph分布式文件系统存储国密加固系统的结构框图；
图7为本发明实施例提供的第二种ceph分布式文件系统存储国密加固系统的结构框图；
图8为本发明实施例提供ceph分布式文件系统存储国密加固示意图；
图9为本发明实施例提供的ceph分布式文件系统存储底层硬件设备服务器OSD组件上数据国密加固示意图。
具体实施方式
为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
ceph分布式文件系统存储是ceph提供的三大类存储方式之一，POSIX标准兼容，主要用于文件共享存储，主要包括用于数据存储的OSD组件、用于集群监控的MON组件以及用于存储元数据的MDS组件。
ceph分布式文件系统存储支持NFS协议、CIFS协议、SMB协议等三种协议，ceph分布式文件系统存储的客户端可以通过调用NFS协议、CIFS协议、SMB协议三种协议，进而调用服务端的Ganesha服务或者Samba服务，从而实现对服务端集群的操作，其中Ganesha服务对应NFS协议，Samba服务对应CIFS协议和SMB协议；本发明中，客户端可以是个人windows/linux电脑、mac或其他客户端服务器等，在客户端可以像操作本地文件一样实现对服务端文件的操作。
如图8所示，ceph分布式文件系统存储底层在ceph集群上创建多个资源池P(pool)，资源池P里面分别存储着数据以及元数据(文件系统中的数据管理信息)；ceph集群包括libcephfs库，本发明支持通过C、C++、python开发语言开发的客户端调取libcephfs库实现对ceph分布式文件系统存储的操作，如文件上传、下载、编辑等。
图1是本发明实施例提供的第一种ceph分布式文件系统存储国密加固方法的流程示意图，如图1所示，一种ceph分布式文件系统存储国密加固方法，具体包括如下步骤：
步骤S100、在预设通信协议的基础上加入基于国密算法SM2/SM3/SM4的TLS/SSL双向认证；ceph分布式文件系统存储的客户端在调用预设通信协议之前加入基于国密算法SM2/SM3/SM4的TLS/SSL双向认证，其中，预设通信协议包括NFS协议、CIFS协议及SMB协议。
具体地，所述步骤S100的方法，具体操作包括：
将OpenSSL源码的密码算法文件修改为SM2/SM3/SM4国密算法；具体地，将OpenSSL源码的cipher.c密码算法文件中的密码替换为SM2/SM3/SM4国密算法；
利用OpenSSL生成国密算法SM2/SM4对应的密钥。
步骤S200、建立国密可信传输通道；客户端通过调用预设通信协议与服务端建立国密可信传输通道，利用SM4国密算法对预设通信协议传输的内容进行加密，进而保障客户端与服务端之间数据通信的加密效果，防止客户端请求被中途截获或盗取的问题，有效保障用户认证访问、数据通信及隐私安全。
如图3所示，在一个实施例中，所述步骤S200的方法，具体操作包括：
步骤S201、客户端和服务端分别向公共的CA管理平台申请基于SM2国密算法的数字证书；
步骤S202、客户端向分布式文件系统存储的服务端发送TSL/SSL信息，并产生随机数A；其中，所述TSL/SSL信息包括客户端支持的国密算法及SSL协议的版本等；
步骤S203、服务端回应确定使用的SSL协议的版本及选择SM2国密算法，产生随机数B，并从服务端秘钥库中取出要使用的SM2公钥及步骤S201中申请的数字证书发送给客户端；
步骤S204、客户端在接收到SM2公钥及数字证书后，通过CA管理平台以及SM3国密算法验证数字证书是否具有合法性及完整性；如是，则转入步骤S205；如否，则客户端返回不安全的警告信息；其中，验证数字证书是否具有合法性及完整性包括验证数字证书是否过期、是否已经被吊销、是否可信等内容；
步骤S205、客户端发送步骤S201中申请的数字证书及SM2公钥给服务端；
步骤S206、服务端对客户端发送的SM2公钥及数字证书通过CA公共管理平台进行校验；
步骤S207、客户端发送需要使用SM4国密算法为用户后续数据进行加密的方案给服务端；
步骤S208、服务端收到步骤S207中客户端发送的方案后，考虑SM4国密算法的加密效率，同意使用SM4国密算法对通信报文进行加解密；
步骤S209、客户端根据随机数A和B生成随机码R，随机码R作为SM4国密算法加密的密钥，并使用服务端的SM2公钥对随机码R进行加密，获得加密随机码R并发送给服务端；
步骤S210、服务端使用SM2私钥对加密随机码R进行解密，获得SM4国密算法的第一密钥；
步骤S211、客户端与服务端之间基于国密算法SM2/SM3/SM4的TLS/SSL双向认证建立国密可信传输通道；通过SM4国密算法的第一密钥对基于NFS协议、CIFS协议、SMB协议的报文进行加解密，开始进行数据通信，进而保障客户端与服务端之间数据通信的加密效果，防止客户端请求被中途截获或盗取的问题，有效保障用户认证访问、数据通信及隐私安全。
如图4所示，在其中一个实施例中，所述步骤S211之后，还包括
步骤S212、通过SM3国密算法验证客户端和服务端在数据通信过程中的通信报文的完整性。
本发明一种ceph分布式文件系统存储国密加固方法通过客户端与服务端之间基于国密算法SM2/SM3/SM4的双向认证通信，提高客户端与服务端之间认证及通信的安全性，解决未进行身份认证时用户凭证和会话信息易被窃取、用户请求易被中途拦截或盗取的问题。
步骤S300、基于国密算法SM3/SM4对服务端存储的数据进行国密加固；其中，服务端为ceph分布式文件系统存储对应的硬件设备服务器，硬件设备服务器上的资源池P是对存储对象PG的逻辑分区，在一个资源池P里面存储的同一存储对象PG会最终落在不同的OSD组件(一般配置成与磁盘对应)上；ceph分布式文件系统存储一般采用三副本的存储方式，硬件设备服务器包括第一存储副本Primary OSD、第二存储副本Secondary OSD和第三存储副本Tertiary OSD，即一个存储对象PG会落在3个OSD组件上，如图9所示的ceph分布式文件系统存储的底层OSD组件上数据国密加固示意图。
在一个实施例中，当客户端发起写入请求操作时，所述步骤S300的方法，具体操作包括：
步骤S310a、客户端发起写入请求信息，其中，写入请求信息包括待写入数据；
步骤S320a、调用SM4国密算法对待写入数据进行加密，获取加密后的待写入数据；
步骤S330a、调用SM3国密算法校验待写入数据是否具有完整性；若是，则转入步骤S340a；若否，则客户端返回不安全警告信息，停止客户端与服务端之间的数据通信；
步骤S340a、服务端存储加密后的待写入数据，实现对服务端存储的数据的国密加固。
在一个实施例中，所述步骤S340a的方法，具体操作包括：
第一存储副本Primary OSD收到客户端发送的写入请求信息，向第二存储副本Secondary OSD和第三存储副本Tertiary OSD同时转发写入请求信息，调用SM4国密算法对待写入数据进行加密，第二存储副本Secondary OSD和第三存储副本Tertiary OSD对加密后的待写入数据进行写入操作，第二存储副本Secondary OSD和第三存储副本TertiaryOSD写入操作完成后给第一存储副本Primary OSD发送确认消息，第一存储副本PrimaryOSD接收确认消息并完成对加密后的待写入数据写入操作。
在一个实施例中，当客户端发起读出请求操作时，所述步骤S300的方法，具体操作包括：
步骤S310b、客户端发起读出请求信息，其中，读出请求信息包括待读出数据；
步骤S320b、调用SM3国密算法校验待读出数据是否具有完整性；若是，则转入步骤S330b；若否，则客户端返回不安全警告信息，停止客户端与服务端之间的数据通信；
步骤S330b、调用SM4国密算法对待读出数据进行解密，获取解密后的待读出数据；
步骤S340b、解密后的待读出数据从服务端传输至客户端，实现对服务端存储的数据的国密加固。
在一个实施例中，所述步骤S340b的方法，具体操作包括：
第二存储副本Secondary OSD和第三存储副本Tertiary OSD收到客户端发送的读出请求信息，同时向第一存储副本Primary OSD转发读出请求信息，调用SM4国密算法对待读出数据进行解密，第一存储副本Primary OSD将解密后的待读出数据发送给客户端，第一存储副本Primary OSD完成服务端的读出操作后给第二存储副本Secondary OSD和第三存储副本Tertiary OSD发送确认消息，第二存储副本Secondary OSD和第三存储副本Tertiary OSD接收确认消息并将解密后的待读出数据发送给客户端。
如图2所示，在一个实施例中，所述步骤S300之前，还包括
步骤S400、预置SM4国密算法的第二密钥；在各个OSD组件所在的硬件设备服务器上预置SM4国密算法的第二密钥。
在本实施中，步骤S400位于步骤S300之前，步骤S130也可根据需要描述成位于步骤S1200之前即步骤S100之后及步骤S200之前，步骤S300还可根据需要描述成位于步骤S100之前。
如图5所示，为了更加清晰本发明的技术方案，下面再阐述优选实施例。
步骤S100、在预设通信协议的基础上加入基于国密算法SM2/SM3/SM4的TLS/SSL双向认证；
步骤S201、客户端和服务端分别向公共的CA管理平台申请基于SM2国密算法的数字证书；
步骤S202、客户端向分布式文件系统存储的服务端发送TSL/SSL信息，并产生随机数A；
步骤S203、服务端回应确定使用的SSL协议的版本及选择SM2国密算法，产生随机数B，并从服务端秘钥库中取出要使用的SM2公钥及步骤S201中申请的数字证书发送给客户端；
步骤S204、客户端在接收到SM2公钥及数字证书后，通过CA管理平台以及SM3国密算法验证数字证书是否具有合法性及完整性；如是，则转入步骤S205；如否，则客户端返回不安全的警告信息；
步骤S205、客户端发送步骤S201中申请的数字证书及SM2公钥给服务端；
步骤S206、服务端对客户端发送的SM2公钥及数字证书通过CA公共管理平台进行校验；
步骤S207、客户端发送需要使用SM4国密算法为用户后续数据进行加密的方案给服务端；
步骤S208、服务端收到步骤S207中客户端发送的方案后，考虑SM4国密算法的加密效率，同意使用SM4国密算法对通信报文进行加解密；
步骤S209、客户端根据随机数A和B生成随机码R，随机码R作为SM4国密算法加密的密钥，并使用服务端的SM2公钥对随机码R进行加密，获得加密随机码R并发送给服务端；
步骤S210、服务端使用SM2私钥对加密随机码R进行解密，获得SM4国密算法的第一密钥；
步骤S211、客户端与服务端之间基于国密算法SM2/SM3/SM4的TLS/SSL双向认证建立国密可信传输通道；
步骤S212、通过SM3国密算法验证客户端和服务端在数据通信过程中的通信报文的完整性；
步骤S400、预置SM4国密算法的第二密钥；
步骤S300、基于国密算法SM3/SM4对服务端存储的数据进行国密加固。
本发明一种ceph分布式文件系统存储国密加固方法通过对ceph分布式文件系统存储对应的硬件设备服务器上存储的数据进行SM3/SM4国密加固，使得整个ceph分布式文件系统存储实现认证加密通信的国密替代，即使在失去对硬件设备服务器控制后如硬件设备丢失，存储设备被恶意盗取等，硬件设备服务器内的数据内容也不能被读取识别，有效保障用户数据及隐私安全。
图6示出了本发明提供的一种ceph分布式文件系统存储国密加固系统的结构框图，如图6所示，对应于上述一种ceph分布式文件系统存储国密加固方法，本发明还提供一种ceph分布式文件系统存储国密加固系统，该ceph分布式文件系统存储国密加固系统包括用于执行上述ceph分布式文件系统存储国密加固方法的模块，该ceph分布式文件系统存储国密加固系统可以被配置于云平台，本发明提供一种ceph分布式文件系统存储国密加固系统，通过客户端与服务端之间基于国密算法SM2/SM3/SM4的双向认证通信，提高客户端与服务端之间认证及通信的安全性，解决未进行身份认证时用户凭证和会话信息易被窃取、用户请求易被中途拦截或盗取的问题；另外，通过对ceph分布式文件系统存储对应的硬件设备服务器上存储的数据进行SM3/SM4国密加固，使得整个ceph分布式文件系统存储实现认证加密通信的国密替代，即使在失去对硬件设备服务器控制后，硬件设备服务器内的数据内容也不能被读取识别，有效保障用户数据及隐私安全。
具体地，请参考图6，该一种ceph分布式文件系统存储国密加固系统包括双向认证加密模块100、国密通道建立模块200及数据加解密模块300。
双向认证加密模块100，用于在预设通信协议的基础上加入基于国密算法SM2/SM3/SM4的TLS/SSL双向认证；双向认证加密模块100用于ceph分布式文件系统存储的客户端在调用预设通信协议之前加入基于国密算法SM2/SM3/SM4的TLS/SSL双向认证。
国密通道建立模块200，用于建立国密可信传输通道；具体地，客户端通过调用预设通信协议与服务端建立国密可信传输通道，利用SM4国密算法对预设通信协议传输的内容进行加密，进而保障客户端与服务端之间数据通信的加密效果，防止客户端请求被中途截获或盗取的问题，有效保障用户认证访问、数据通信及隐私安全。
数据加解密模块300，用于基于国密算法SM3/SM4对服务端存储的数据进行国密加固；具体地，数据加解密模块300用于在客户端发起写入请求时，向OSD组件写入待写入数据前先调用SM4国密算法对待写入数据进行加密，并调用SM3国密算法对数据完整性进行校验；另外，还用于从OSD组件读取数据时先对待读取数据调用SM4国密算法进行解密，并运用SM3校验待读取数据完整性，从而保证数据的加密存储。
如图7所示，在一个实施例中，所述ceph分布式文件系统存储国密加固系统还包括预置密钥模块400，用于预置SM4国密算法的第二密钥；具体地，所述预置密钥模块400用于预置SM4国密算法的第二密钥在各个OSD组件所在的硬件设备服务器上。
综上所述，本发明一种ceph分布式文件系统存储国密加固方法及系统通过客户端与服务端之间基于国密算法SM2/SM3/SM4的双向认证通信，提高客户端与服务端之间认证及通信的安全性，解决未进行身份认证时用户凭证和会话信息易被窃取、用户请求易被中途拦截或盗取的问题；另外，通过对ceph分布式文件系统存储对应的硬件设备服务器上存储的数据进行SM3/SM4国密加固，使得整个ceph分布式文件系统存储实现认证加密通信的国密替代，即使在失去对硬件设备服务器控制后，硬件设备服务器内的数据内容也不能被读取识别，有效保障用户数据及隐私安全。
本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。
在本发明所提供的几个实施例中，应该理解到，所揭露的系统和方法，可以通过其它的方式实现。例如，以上所描述的系统实施例仅仅是示意性的。例如，各个单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。
本发明实施例方法中的步骤可以根据实际需要进行顺序调整、合并和删减。本发明实施例装置中的单元可以根据实际需要进行合并、划分和删减。另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以是两个或两个以上单元集成在一个单元中。该集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分，或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，终端，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。
以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本发明范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明的保护范围应以所附权利要求为准。

Claims (10)

1.一种ceph分布式文件系统存储国密加固方法，其特征在于，包括如下步骤：
在预设通信协议的基础上加入基于国密算法SM2/SM3/SM4的TLS/SSL双向认证；
建立国密可信传输通道；
基于国密算法SM3/SM4对服务端存储的数据进行国密加固。
2.根据权利要求1所述的一种ceph分布式文件系统存储国密加固方法，其特征在于，所述步骤基于国密算法SM3/SM4对服务端存储的数据进行国密加固之前，还包括：
预置SM4国密算法的第二密钥。
3.根据权利要求1所述的一种ceph分布式文件系统存储国密加固方法，其特征在于，所述步骤在预设通信协议的基础上加入基于国密算法SM2/SM3/SM4的TLS/SSL双向认证的方法，具体操作包括：
将OpenSSL源码的密码算法文件修改为SM2/SM3/SM4国密算法；
利用OpenSSL生成国密算法SM2/SM4对应的密钥。
4.根据权利要求1～3任一项所述的一种ceph分布式文件系统存储国密加固方法，其特征在于，所述步骤建立国密可信传输通道方法，包括：
步骤S201、客户端和服务端分别向公共的CA管理平台申请基于SM2国密算法的数字证书；
步骤S202、客户端向分布式文件系统存储的服务端发送TSL/SSL信息，并产生随机数A；其中，所述TSL/SSL信息包括客户端支持的国密算法及SSL协议的版本；
步骤S203、服务端回应确定使用的SSL协议的版本及选择SM2国密算法，产生随机数B，并从服务端秘钥库中取出要使用的SM2公钥及步骤S201中申请的数字证书发送给客户端；
步骤S204、客户端在接收到SM2公钥及数字证书后，通过CA管理平台以及SM3国密算法验证数字证书是否具有合法性及完整性；如是，则转入步骤S205；如否，则客户端返回不安全的警告信息；
步骤S205、客户端发送步骤S201中申请的数字证书及SM2公钥给服务端；
步骤S206、服务端对客户端发送的SM2公钥及数字证书通过CA公共管理平台进行校验；
步骤S207、客户端发送需要使用SM4国密算法为用户后续数据进行加密的方案给服务端；
步骤S208、服务端收到步骤S207中客户端发送的方案后，考虑SM4国密算法的加密效率，同意使用SM4国密算法对通信报文进行加解密；
步骤S209、客户端根据随机数A和B生成随机码R，随机码R作为SM4国密算法加密的密钥，并使用服务端的SM2公钥对随机码R进行加密，获得加密随机码R并发送给服务端；
步骤S210、服务端使用SM2私钥对加密随机码R进行解密，获得SM4国密算法的第一密钥；
步骤S211、客户端与服务端之间基于国密算法SM2/SM3/SM4的TLS/SSL双向认证建立国密可信传输通道。
5.根据权利要求4所述的一种ceph分布式文件系统存储国密加固方法，其特征在于：所述步骤S211之后，还包括
步骤S212、通过SM3国密算法验证客户端和服务端在数据通信过程中的通信报文的完整性。
6.根据权利要求1～3任一项所述的一种ceph分布式文件系统存储国密加固方法，其特征在于，当客户端发起写入请求操作时，所述步骤基于国密算法SM3/SM4对服务端存储的数据进行国密加固的方法，具体操作包括：
步骤S310a、客户端发起写入请求信息，其中，写入请求信息包括待写入数据；
步骤S320a、调用SM4国密算法对待写入数据进行加密，获取加密后的待写入数据；
步骤S330a、调用SM3国密算法校验待写入数据是否具有完整性；若是，则转入步骤S340a；若否，则客户端返回不安全警告信息，停止客户端与服务端之间的数据通信；
步骤S340a、服务端存储加密后的待写入数据。
7.根据权利要求6所述的一种ceph分布式文件系统存储国密加固方法，其特征在于，所述步骤S340a的方法，具体操作包括：
第一存储副本Primary OSD收到客户端发送的写入请求信息，向第二存储副本Secondary OSD和第三存储副本Tertiary OSD同时转发写入请求信息，调用SM4国密算法对待写入数据进行加密，第二存储副本Secondary OSD和第三存储副本Tertiary OSD对加密后的待写入数据进行写入操作，第二存储副本Secondary OSD和第三存储副本TertiaryOSD写入操作完成后给第一存储副本Primary OSD发送确认消息，第一存储副本PrimaryOSD接收确认消息并完成对加密后的待写入数据写入操作；其中，硬件设备服务器包括第一存储副本Primary OSD、第二存储副本Secondary OSD和第三存储副本Tertiary OSD。
8.根据权利要求1～3任一项所述的一种ceph分布式文件系统存储国密加固方法，其特征在于，当客户端发起读出请求操作时，所述步骤基于国密算法SM3/SM4对服务端存储的数据进行国密加固的方法，具体操作包括：
步骤S310b、客户端发起读出请求信息，其中，读出请求信息包括待读出数据；
步骤S320b、调用SM3国密算法校验待读出数据是否具有完整性；若是，则转入步骤S330b；若否，则客户端返回不安全警告信息，停止客户端与服务端之间的数据通信；
步骤S330b、调用SM4国密算法对待读出数据进行解密，获取解密后的待读出数据；
步骤S340b、解密后的待读出数据从服务端传输至客户端。
9.一种ceph分布式文件系统存储国密加固系统，其特征在于：包括
双向认证加密模块，用于在预设通信协议的基础上加入基于国密算法SM2/SM3/SM4的TLS/SSL双向认证；
国密通道建立模块，用于建立国密可信传输通道；
数据加解密模块，用于基于国密算法SM3/SM4对服务端存储的数据进行国密加固。
10.根据权利要求9所述的一种ceph分布式文件系统存储国密加固系统，其特征在于：还包括
预置密钥模块，用于预置SM4国密算法的第二密钥。
CN202111087824.3A 2021-09-16 2021-09-16 一种ceph分布式文件系统存储国密加固方法及系统 Active CN113992702B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202111087824.3A CN113992702B (zh) 2021-09-16 2021-09-16 一种ceph分布式文件系统存储国密加固方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202111087824.3A CN113992702B (zh) 2021-09-16 2021-09-16 一种ceph分布式文件系统存储国密加固方法及系统

Publications (2)

Publication Number Publication Date
CN113992702A true CN113992702A (zh) 2022-01-28
CN113992702B CN113992702B (zh) 2023-11-03

Family

ID=79735967

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202111087824.3A Active CN113992702B (zh) 2021-09-16 2021-09-16 一种ceph分布式文件系统存储国密加固方法及系统

Country Status (1)

Country Link
CN (1) CN113992702B (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114615046A (zh) * 2022-03-07 2022-06-10 中国大唐集团科学技术研究总院有限公司 一种基于国密证书的管理员双因子认证方法
CN117527193A (zh) * 2023-10-20 2024-02-06 合芯科技有限公司 一种基于国密ceph对象存储的加密方法及装置

Citations (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2016107321A1 (zh) * 2014-12-30 2016-07-07 北京奇虎科技有限公司 安全通信系统
WO2017100217A1 (en) * 2015-12-11 2017-06-15 Amazon Technologies, Inc. Key exchange through partially trusted third party
CN110598422A (zh) * 2019-08-01 2019-12-20 浙江葫芦娃网络集团有限公司 一种基于移动数字证书的可信身份验证系统及方法
US20190394031A1 (en) * 2018-01-11 2019-12-26 Beijing Guodian Tong Network Technology Co., Ltd Method and device for quantum key fusion-based virtual power plant security communication and medium
CN110690969A (zh) * 2018-07-06 2020-01-14 武汉信安珞珈科技有限公司 一种多方协同完成双向ssl/tls认证的方法和系统
CN111740844A (zh) * 2020-06-24 2020-10-02 上海缔安科技股份有限公司 基于硬件的国密算法的ssl通信方法及装置
CN111865609A (zh) * 2020-07-03 2020-10-30 上海缔安科技股份有限公司 一种基于国密算法的私有云平台数据加解密系统
CN112003843A (zh) * 2020-08-12 2020-11-27 中电科技（北京）有限公司 国产bmc服务器ssl认证方法及装置
CN112653672A (zh) * 2020-12-11 2021-04-13 苏州浪潮智能科技有限公司 一种基于国密算法双向认证方法、装置、设备及可读介质
CN112788011A (zh) * 2020-12-30 2021-05-11 上海浦东发展银行股份有限公司 一种基于国密算法的网关双向认证系统及方法

Patent Citations (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2016107321A1 (zh) * 2014-12-30 2016-07-07 北京奇虎科技有限公司 安全通信系统
WO2017100217A1 (en) * 2015-12-11 2017-06-15 Amazon Technologies, Inc. Key exchange through partially trusted third party
US20190394031A1 (en) * 2018-01-11 2019-12-26 Beijing Guodian Tong Network Technology Co., Ltd Method and device for quantum key fusion-based virtual power plant security communication and medium
CN110690969A (zh) * 2018-07-06 2020-01-14 武汉信安珞珈科技有限公司 一种多方协同完成双向ssl/tls认证的方法和系统
CN110598422A (zh) * 2019-08-01 2019-12-20 浙江葫芦娃网络集团有限公司 一种基于移动数字证书的可信身份验证系统及方法
CN111740844A (zh) * 2020-06-24 2020-10-02 上海缔安科技股份有限公司 基于硬件的国密算法的ssl通信方法及装置
CN111865609A (zh) * 2020-07-03 2020-10-30 上海缔安科技股份有限公司 一种基于国密算法的私有云平台数据加解密系统
CN112003843A (zh) * 2020-08-12 2020-11-27 中电科技（北京）有限公司 国产bmc服务器ssl认证方法及装置
CN112653672A (zh) * 2020-12-11 2021-04-13 苏州浪潮智能科技有限公司 一种基于国密算法双向认证方法、装置、设备及可读介质
CN112788011A (zh) * 2020-12-30 2021-05-11 上海浦东发展银行股份有限公司 一种基于国密算法的网关双向认证系统及方法

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
DEQIANG GONG; RUI CHEN; KAI DING; WEI XI; HAO YAO; YANG YU; XIAOFAN ZHU; HUAILIN YU; YIFEI ZHANG: "Cyber Security Protection of Distribution Automation System Based on Hybrid Encryption Algorithms", 《2019 IEEE 3RD CONFERENCE ON ENERGY INTERNET AND ENERGY SYSTEM INTEGRATION (EI2)》, pages 916 - 920 *
谌志强;刘明星;韩文兴;文毅;张文帅: "国密算法在核安全级DCS中的应用研究", 《自动化仪表》, vol. 42, no. 1, pages 276 - 281 *

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114615046A (zh) * 2022-03-07 2022-06-10 中国大唐集团科学技术研究总院有限公司 一种基于国密证书的管理员双因子认证方法
CN114615046B (zh) * 2022-03-07 2024-04-30 中国大唐集团科学技术研究总院有限公司 一种基于国密证书的管理员双因子认证方法
CN117527193A (zh) * 2023-10-20 2024-02-06 合芯科技有限公司 一种基于国密ceph对象存储的加密方法及装置

Also Published As

Publication number Publication date
CN113992702B (zh) 2023-11-03

Similar Documents

Publication Publication Date Title
US11470054B2 (en) Key rotation techniques
CN106104562B (zh) 机密数据安全储存和恢复系统及方法
KR101130415B1 (ko) 비밀 데이터의 노출 없이 통신 네트워크를 통해 패스워드 보호된 비밀 데이터를 복구하는 방법 및 시스템
US7688975B2 (en) Method and apparatus for dynamic generation of symmetric encryption keys and exchange of dynamic symmetric key infrastructure
US8059818B2 (en) Accessing protected data on network storage from multiple devices
US9137017B2 (en) Key recovery mechanism
US20170118019A1 (en) Methods, systems and computer program product for providing verification code recovery and remote authentication
US8788811B2 (en) Server-side key generation for non-token clients
CN111556025A (zh) 基于加密、解密操作的数据传输方法、系统和计算机设备
US20220078017A1 (en) Authorized Data Sharing Using Smart Contracts
US11044082B2 (en) Authenticating secure channel establishment messages based on shared-secret
US10819709B1 (en) Authorizing delegated capabilities to applications in a secure end-to-end communications system
CN110932850B (zh) 通信加密方法及系统
CN113992702B (zh) 一种ceph分布式文件系统存储国密加固方法及系统
CN113572740A (zh) 一种基于国密的云管理平台认证加密方法
CN113360886B (zh) 一种加密数据共享的方法、装置、设备及可读介质
CN113992346A (zh) 一种基于国密加固的安全云桌面的实现方法
CN113779619A (zh) 一种基于国密算法的ceph分布式对象存储系统加解密方法
EP4096160A1 (en) Shared secret implementation of proxied cryptographic keys
CN110519222B (zh) 基于一次性非对称密钥对和密钥卡的外网接入身份认证方法和系统
US20240113885A1 (en) Hub-based token generation and endpoint selection for secure channel establishment
CN112966280A (zh) 数据处理方法、装置、服务器及数据管理系统
KR102413497B1 (ko) 보안 전자 데이터 전송을 위한 시스템 및 방법
CN115473655B (zh) 接入网络的终端认证方法、装置及存储介质
CN111698203A (zh) 一种云数据加密方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant