CN112733189A - 一种实现文件存储服务端加密的系统与方法 - Google Patents

Abstract

本发明公开了一种实现文件存储服务端加密的系统与方法，属于计算机技术领域。本发明的实现文件存储服务端加密的系统包括客户端、NFS‑Ganesha、KMS和CephFS，客户端向NFS‑Ganesha发起读请求和写请求，NFS‑Ganesha判断是否需要加密，若需加密，从KMS获取密钥，对数据加密，若需解密，从CephFS中读取数据后，从KMS获取密钥，对数据解密后返回给客户端。该发明的实现文件存储服务端加密的系统能够实现对CephFS不同子目录使用不同密钥加密，并对客户端透明，具有很好的推广应用价值。

Description

一种实现文件存储服务端加密的系统与方法

技术领域

本发明涉及计算机技术领域，具体提供一种实现文件存储服务端加密的系统与方法。

背景技术

目前各行业对云端数据的安全性要求日益提高，服务端加密作为一种有效提高安全性的手段被广泛采用。但NFS-Ganesha现有版本不支持服务端加密，Ceph虽然支持OSD级别的加密，但加密路径过短，仅能保证硬盘失窃情况的数据安全，且不支持使用不同密钥加密不同子目录。从加密路径长度和实际加密效果考虑，硬盘失窃的概率极小，运维人员或攻击者通过CephFS查看用户数据的可能性较大，所以OSD级别的加密对提高安全性几乎没有帮助。

NFS-Ganesha是一个开源的企业级NFS服务器，支持将多种存储后端对外导出，提供NFS协议文件系统服务，如果将CephFS作为存储后端，NFS-Ganesha通过CEPH类库libcephfs实现对CephFS的操作。一个CephFS子目录可以创建一个挂载点，每个挂载点都有一个唯一标识挂载点ID，客户端通过挂载点挂载NFS文件系统。KMS是密钥管理服务，提供密钥安全托管等服务，可以调用接口通过密钥ID获取密钥。服务端加密对用户透明，在将数据写入文件系统之前，将数据进行加密，读取数据时，自动将其解密，挂载加密文件系统和非加密文件系统没有任何区别，可以实现对用户透明的服务端加密。

发明内容

本发明的技术任务是针对上述存在的问题，提供一种能够实现对CephFS不同子目录使用不同密钥加密，并对客户端透明的实现文件存储服务端加密的系统。

本发明进一步的技术任务是提供一种实现文件存储服务端加密的方法。

为实现上述目的，本发明提供了如下技术方案：

一种实现文件存储服务端加密的系统，该系统基于NFS-Ganesha，包括客户端、NFS-Ganesha、KMS和CephFS，客户端向NFS-Ganesha发起读请求和写请求，NFS-Ganesha判断是否需要加密，若需加密，从KMS获取密钥，对数据加密，若需解密，从CephFS中读取数据后，从KMS获取密钥，对数据解密后返回给客户端。

一种实现文件存储服务端加密的方法，使用NFS-Ganesha将分布式文件系统CephFS导出，通过修改NFS-Ganesha源码，与密钥管理服务KMS对接，第一次读写时将密钥保存在缓存中，使用异或加密算法，通过定时任务检查密钥是否可用，实现对用户服务端加密。

作为优选，NFS-Ganesha通过监听端口，接收客户端发来的读请求和写请求，根据请求类型调用对应的libcephfs函数，使用异或加密算法将用户数据与密钥逐位进行异或计算，解密时将密文再与密钥进行一次异或操作即可解密。

作为优选，将密钥缓存在内存中，第一次读写时调用KMS接口获取密钥，再次读写时直接在缓存中读取密钥。

作为优选，将结构体数组作为缓存的数据结构，保存在全局变量中，结构体数组包括挂载点ID、密钥ID和密钥。

作为优选，新增挂载点时，在配置文件中新增挂载点ID与密钥ID的映射关系，修改NFS-Ganesha源码，使其在新增挂载点时将配置文件中新增的内容插入到结构体数组中，实现密钥ID的传入，删除挂载点时，将结构体数组对应元素所占内存释放。

作为优选，所述写操作包括以下过程：

1)监听到客户端写请求，查询挂载点ID是否在缓存内，若不在缓存内，则不需要使用密钥对数据加密，直接调用libcephfs的写函数，将数据写入CephFS；

2)若挂载点ID在缓存内，则表明需要使用密钥进行加密，此时需要判断挂载点ID对应的密钥是否为空，若密钥为空，则调用KMS接口获取密钥，将密钥保存到缓存中，使用密钥加密；

3)若密钥不为空，直接获取缓存中的密钥对数据进行加密；

4)加密后的数据调用libcephfs写入CephFS。

作为优选，所述读操作包括以下过程：

a)监听到客户端读请求，直接调用lincephfs从CephFS中读取数据；

b)查询挂载点ID是否在缓存内，若不在缓存内，则不需要解密，直接将数据返回给客户端；

c)若挂载点ID在缓存内，则判断挂载点ID对应的密钥是否为空，若密钥为空，调用KMS接口获取密钥，将密钥保存到缓存中，使用密钥对数据解密，将解密后的数据返回给客户端；

d)若密钥不为空，直接获取缓存中的密钥对数据进行解密，将解密后的数据返回客户端。

与现有技术相比，本发明的实现文件存储服务端加密的方法具有以下突出的有益效果：通过所述实现文件存储服务端加密的方法可以实现对CephFS不同子目录使用不同密钥加密，并对客户端透明。由于加密路径长，所以在CephFS中看到的数据均为加密后的数据，除了NFS客户端可以看到解密的数据外，其他客户端和人员均看不到明文。配置文件中只保存密钥ID，不保存密钥，保证了密钥的安全。由于使用了异或加密算法和缓存，对读写性能影响较小，从性能测试结果看，读写性能下降15％左右，具有良好的推广应用价值。

附图说明

图1是本发明所述实现文件存储服务端加密的系统的拓扑图；

图2是本发明所述实现文件存储服务端加密的方法的写操作流程图；

图3是本发明所述实现文件存储服务端加密的方法的读操作流程图。

具体实施方式

下面将结合附图和实施例，对本发明的实现文件存储服务端加密的系统与方法作进一步详细说明。

实施例

如图1所示，本发明的实现文件存储服务端加密的系统，包括客户端、NFS-Ganesha、KMS和CephFS，客户端向NFS-Ganesha发起读请求和写请求，NFS-Ganesha判断是否需要加密，若需加密，从KMS获取密钥，对数据加密，若需解密，从CephFS中读取数据后，从KMS获取密钥，对数据解密后返回给客户端。

本发明的实现文件存储服务端加密的方法，使用NFS-Ganesha将分布式文件系统CephFS导出，通过修改NFS-Ganesha源码，与密钥管理服务KMS对接，第一次读写时将密钥保存在缓存中，使用异或加密算法，通过定时任务检查密钥是否可用，实现对用户服务端加密。

NFS-Ganesha通过监听2049端口，收到客户端发来的NFS请求后，根据请求类型调用对应的libcephfs函数。使用异或加密算法，将用户数据与密钥逐位进行异或计算，解密时将密文再与密钥进行一次异或操作即可解密。

读操作和写操作请求量大，且对吞吐量和延迟要求较为苛刻，如果每次读写时都调用KMS接口获取密钥，将对吞吐量和延迟有较大影响，对KMS也会有较大压力，所以需要将密钥缓存在内存中，第一次读写时调用KMS接口获取密钥，再次读写时直接在缓存中读取密钥。具体实现如下：在配置文件中保存挂载点ID和密钥ID的映射关系，在NFS-Ganesha启动时将配置文件内容读取到内存中作为缓存，由于缓存读操作远多于写操作，一段连续的内存有利于提高缓存读取速度，因此将结构体数组作为缓存的数据结构，保存在全局变量中，结构体有三个成员：挂载点ID、密钥ID和密钥，如果没有进行过读写操作，结构体中密钥为空。新增挂载点时，先在配置文件中新增挂载点ID与密钥ID的映射关系，修改NFS-Ganesha源码，使其在新增挂载点时将配置文件中新增的内容插入到结构体数组中，实现密钥ID的传入。删除挂载点时，将结构体数组对应元素所占内存释放。读写时，通过挂载点ID找到缓存结构体数组中对应元素，如果结构体中密钥为空，说明是第一次读写，则调用KMS接口获取密钥，将密钥保存在结构体中，方便下次使用。由于KMS系统只负责密钥托管，密钥出现被删除或禁用并不会通知正在使用该密钥的应用，因此需要一个定时任务去同步密钥状态，具体实现如下：修改NFS-Ganesha源码，新增一个定时任务，查询缓存结构体数组中的密钥是否可用，如果不可用，将使用这个密钥的挂载点删除。

该实现文件存储服务端加密的方法使用异或算法对数据加密，对接KMS服务获取密钥并使用缓存提高读写速度，使用定时任务同步密钥。使用异或加密算法，将用户数据与密钥逐位进行异或计算，加密前后数据长度不变，无需对offset和length参数进行处理，解密时将密文再与密钥进行一次异或操作即可解密。其中首次读操作和写操作是调用KMS接口获取密钥，后续读写均读取缓存中的密钥进行加密解密。使用结构体数组作为缓存的数据结构，结构体有三个成员：挂载点ID、密钥ID和密钥，如果没有进行过读写操作，结构体中密钥为空。新增挂载点时，先在配置文件中新增挂载点ID与密钥ID的映射关系，修改NFS-Ganesha源码，使其在新增挂载点时将配置文件中新增的内容插入到结构体数组中，实现密钥ID的传入。删除挂载点时，将结构体数组对应元素所占内存释放。修改NFS-Ganesha源码，新增一个定时任务，查询缓存结构体数组中的密钥是否可用，如果不可用，将使用这个密钥的挂载点删除。

如图2所示，写操作包括以下过程：

1)监听到客户端写请求，查询挂载点ID是否在缓存内，若不在缓存内，则不需要使用密钥对数据加密，直接调用libcephfs的写函数，将数据写入CephFS；

2)若挂载点ID在缓存内，则表明需要使用密钥进行加密，此时需要判断挂载点ID对应的密钥是否为空，若密钥为空，则调用KMS接口获取密钥，将密钥保存到缓存中，使用密钥加密；

3)若密钥不为空，直接获取缓存中的密钥对数据进行加密；

4)加密后的数据调用libcephfs写入CephFS。

如图3所示，读操作包括以下过程：

a)监听到客户端读请求，直接调用lincephfs从CephFS中读取数据；

b)查询挂载点ID是否在缓存内，若不在缓存内，则不需要解密，直接将数据返回给客户端；

c)若挂载点ID在缓存内，则判断挂载点ID对应的密钥是否为空，若密钥为空，调用KMS接口获取密钥，将密钥保存到缓存中，使用密钥对数据解密，将解密后的数据返回给客户端；

d)若密钥不为空，直接获取缓存中的密钥对数据进行解密，将解密后的数据返回客户端。

以上所述的实施例，只是本发明较优选的具体实施方式，本领域的技术人员在本发明技术方案范围内进行的通常变化和替换都应包含在本发明的保护范围内。

Claims (8)

1.一种实现文件存储服务端加密的系统，其特征在于：该系统基于NFS-Ganesha，包括客户端、NFS-Ganesha、KMS和CephFS，客户端向NFS-Ganesha发起读请求和写请求，NFS-Ganesha判断是否需要加密，若需加密，从KMS获取密钥，对数据加密，若需解密，从CephFS中读取数据后，从KMS获取密钥，对数据解密后返回给客户端。

2.一种实现文件存储服务端加密的方法，其特征在于：使用NFS-Ganesha将分布式文件系统CephFS导出，通过修改NFS-Ganesha源码，与密钥管理服务KMS对接，第一次读写时将密钥保存在缓存中，使用异或加密算法，通过定时任务检查密钥是否可用，实现对用户服务端加密。

3.根据权利要求2所述的实现文件存储服务端加密的方法，其特征在于：NFS-Ganesha通过监听端口，接收客户端发来的读请求和写请求，根据请求类型调用对应的libcephfs函数，使用异或加密算法将用户数据与密钥逐位进行异或计算，解密时将密文再与密钥进行一次异或操作即可解密。

4.根据权利要求3所述的实现文件存储服务端加密的方法，其特征在于：将密钥缓存在内存中，第一次读写时调用KMS接口获取密钥，再次读写时直接在缓存中读取密钥。

5.根据权利要求4所述的实现文件存储服务端加密的方法，其特征在于：将结构体数组作为缓存的数据结构，保存在全局变量中，结构体数组包括挂载点ID、密钥ID和密钥。

6.根据权利要求5所述的实现文件存储服务端加密的方法，其特征在于：新增挂载点时，在配置文件中新增挂载点ID与密钥ID的映射关系，修改NFS-Ganesha源码，使其在新增挂载点时将配置文件中新增的内容插入到结构体数组中，实现密钥ID的传入，删除挂载点时，将结构体数组对应元素所占内存释放。

7.根据权利要求6所述的实现文件存储服务端加密的方法，其特征在于：所述写操作包括以下过程：

1)监听到客户端写请求，查询挂载点ID是否在缓存内，若不在缓存内，则不需要使用密钥对数据加密，直接调用libcephfs的写函数，将数据写入CephFS；

2)若挂载点ID在缓存内，则表明需要使用密钥进行加密，此时需要判断挂载点ID对应的密钥是否为空，若密钥为空，则调用KMS接口获取密钥，将密钥保存到缓存中，使用密钥加密；

3)若密钥不为空，直接获取缓存中的密钥对数据进行加密；

4)加密后的数据调用libcephfs写入CephFS。

8.根据权利要求7所述的实现文件存储服务端加密的方法，其特征在于：所述读操作包括以下过程：

a)监听到客户端读请求，直接调用lincephfs从CephFS中读取数据；

b)查询挂载点ID是否在缓存内，若不在缓存内，则不需要解密，直接将数据返回给客户端；

c)若挂载点ID在缓存内，则判断挂载点ID对应的密钥是否为空，若密钥为空，调用KMS接口获取密钥，将密钥保存到缓存中，使用密钥对数据解密，将解密后的数据返回给客户端；

d)若密钥不为空，直接获取缓存中的密钥对数据进行解密，将解密后的数据返回客户端。

Images