NAS服务器数据安全存储系统、安全存储及读取方法

摘要

本发明公开了一种NAS服务器数据安全存储系统、数据安全存储方法及读取方法，属于网络存储技术领域。本发明所述的系统包括权限服务器和NAS服务器，用户在登录NAS服务器进行文件的安全存储或读取时，首先需要向权限服务器获取用于登录NAS服务器的用户证书，之后在登录到NAS服务器进行文件读取时，NAS服务器会通过类型密文生成装置模块对用户需要读取的文件进行加密，生成与用户权限匹配的类型密文并发送给用户；进行文件存储时，也会根据文件类型进行加密后再存储。通过本发明能够确保攻击者即使使用管理员权限账户从后台登入也无法获得机密数据，提高NAS服务器存储的安全性。

说明书

技术领域

本发明涉及计算机领域中的网络存储技术，具体涉及一种NAS服务器数 据安全存储系统、数据安全存储方法及读取方法。

背景技术

随着计算机技术和互联网技术不断发展，带来了信息爆炸，各个领域的 计算机数据都在以几何级数方式增长，外存储器特别是硬盘的单盘容量从十 多年前几百MB发展到目前的几TB，存储方式也从十多年前的单机单硬盘方 式发展到现在的以NAS（Network Attached Storage：网络附属存储）、SAN （存储区域网络）以及虚拟化方式的数据集中存储。随着数据存储技术的发 展，数据的集中存储也带来了巨大的安全风险，除了容灾，备份外，需要考 虑的就是机密数据的泄露问题；传统加密软件仅专注于个人计算机终端，而 专注于NAS这样巨量数据存储加密的较少；本发明主要专注于使用加密的方 法保护NAS存储服务器上的机密数据不被泄露；确保即使攻击者使用服务器 管理员权限账户从后台登入也无法获得机密数据；即使直接从硬盘中拷贝文 件，也无法得到机密的明文数据；本发明还可以在线为用户生成透明加密文 件，权限加密文件和外发加密文件，为用户省去在终端上处理的麻烦，更加 有利于文件数据集中存储的工作流程。

发明内容

针对现有技术中存在的缺陷，本发明的目的在于提供一种NAS服务器数 据安全存储系统、安全存储及读取方法，实现NAS巨量数据的安全存储，提 高NAS存储服务器机密数据集中存储的安全性。

为实现上述目的，本发明采用的技术方案如下：

一种NAS服务器数据安全存储系统，包括：

权限服务器，用于根据用户权限生成文件安全策略和用户证书，并将文 件安全策略发送给NAS服务器，将用户证书发送给用户；所述的文件安全策 略包括策略号、需要保护的文件目录或文件类型、以及文件的访问权限；所 述的用户证书包括用户信息和证书对应的策略号；

NAS服务器，用于根据用户的写入请求对文件进行安全存储以及根据用 户的读取请求向用户发送请求的文件；所述的NAS服务器包括文件保护装置， 文件保护装置包括：

用户证书检测模块，用于检测用户证书的完整性和有效性；

安全策略匹配模块，用于根据用户证书中的策略号匹配NAS服务器中对 应的文件安全策略，并将匹配出的文件安全策略发送到目录虚拟化模块；

目录虚拟化模块，用于根据文件安全策略为用户虚拟出与其用户权限匹 配的虚拟目录和文件访问策略；所述虚拟目录用于记录与用户权限匹配的文 件信息。

进一步，如上所述的一种NAS服务器数据安全存储系统，所述的NAS服 务器还包括文件加解密装置，文件加解密装置包括：

全局加解密模块，用于对用户请求读取的文件进行解密，得到明文，以 及用于对用户请求写入的文件进行加密，得到密文；

类型密文生成模块，用于根据文件输出加密策略对全局加解密模块解密 得到的明文进行加密，得到类型密文，并将类型密文发送到用户；所述的类 型密文包括普通明文文件、透明加密文件、权限加密文件和外发加密文件。

进一步，如上所述的一种NAS服务器数据安全存储系统，所述的文件加 解密装置还包括：

文件类型判别器，用于判别需要存储的文件的类型；

文件索引生成器，用于生成需要存储的文件的索引信息；所述的索引信 息包括文件的类型、名称和大小。

进一步，如上所述的一种NAS服务器数据安全存储系统，所述的文件保 护装置还包括：

文件索引库，用于保存文件索引信息；

文件索引查询模块，用于根据用户的读取请求，在文件索引库中查询用 户请求读取的文件的索引信息。

进一步，如上所述的一种NAS服务器数据安全存储系统，所述的权限服 务器包括：

用户访问申请装置，用于用户向权限服务器发起访问申请，并在用户身 份确认通过后为用户匹配用户权限；

用户认证器，用于确认登录到权限服务器的用户身份；

文件安全策略生成装置，用于根据用户权限生成与用户权限对应的文件 安全策略和用户证书。

进一步，如上所述的一种NAS服务器数据安全存储系统，所述的权限服 务器还包括：

全局用户列表，用于保存NAS服务器全部用户的用户ID；

权限数据库，用于保存NAS服务器全部用户的用户权限；

角色用户组：用于将全局用户列表中的用户进行分组。

进一步，如上所述的一种NAS服务器数据安全存储系统，用户权限分为 四个等级，用户权限等级不同，用户对NAS服务器中文件的读取权限不同； 最高权限用户拥有普通明文文件、透明加密文件、权限加密文件和外发加密 文件的读取权限，次之的拥有透明加密文件、权限加密文件和外发加密文件 的读取权限，再次之的拥有权限加密文件和外发加密文件的读取权限，最低 权限用户拥有外发加密文件的读取权限。

一种NAS服务器数据安全存储方法，包括以下步骤：

（1）用户登陆到权限服务器，权限服务器为用户匹配用户权限，并根据 用户权限生成文件安全策略和用户证书；所述的文件安全策略包括策略号、 需要保护的文件目录或文件类型、以及文件的访问权限；所述的用户证书包 括用户信息和证书对应的策略号；

（2）权限服务器将所述的文件安全策略发送给NAS服务器,将用户证书 发送给用户；

（3）将所述的用户证书进行本地关联运算，生成用户本地证书；用户本 地证书包括与用户证书中相同的策略号；

（4）用户通过用户本地证书登陆NAS服务器，NAS服务器根据用户本地 证书中的策略号匹配出NAS服务器中对应的文件安全策略，并根据文件安全 策略为用户虚拟出与其用户权限匹配的虚拟目录和文件访问策略；所述虚拟 目录用于记录与用户权限匹配的文件信息；

（5）用户向NAS服务器发送文件写入请求，将待写入文件存储到NAS 服务器。

进一步，如上所述的一种NAS服务器数据安全存储方法，步骤（5）中， 将待写入文件存储到NAS服务器外存储装置中的具体方式包括：

1）判别待写入文件的文件类型，并生成文件的索引信息；

2）通过全局加解密模块对待写入文件进行加密，将加密后的文件存储到 NAS服务器中。

一种NAS服务器数据安全读取方法，包括以下步骤：

（1）用户登陆到权限服务器，权限服务器为用户匹配用户权限，并根据 用户权限生成文件安全策略和用户证书；所述的文件安全策略包括策略号、 需要保护的文件目录或文件类型、以及文件的访问权限；所述的用户证书包 括用户信息和证书对应的策略号；

（2）权限服务器将所述的文件安全策略发送给NAS服务器,将用户证书 发送给用户；

（3）将所述的用户证书进行本地关联运算，生成用户本地证书；用户本 地证书包括与用户证书中相同的策略号；

（4）用户通过用户本地证书登陆NAS服务器，并向NAS服务器发起文件 读取请求；

（5）NAS服务器根据用户的读取请求将对应的文件发送给用户。

进一步，如上所述的一种NAS服务器数据安全读取方法，步骤（5）中， NAS服务器将文件发送给用户的具体方式包括：

1）通过全局加解密模块对用户请求读取的文件进行解密，得到解密后的 明文；

2）通过类型密文生成模块对解密后的明文进行加密，得到类型密文，并 将类型密文发送给用户；所述的类型密文包括普通明文文件、透明加密文件、 权限加密文件和外发加密文件。

本发明的效果在于：本发明专注于使用加密的方法保护NAS存储服务器 上的机密数据不被泄露，可以在线为用户生成4种类型的文件，省去了用户 在终端难处理的麻烦，更加有利于文件数据集中存储。

附图说明

图1和图2为具体实施方式中一种NAS服务器数据安全存储系统的结构 框图；

图3为具体实施方式中权限服务器的结构框图；

图4为具体实施方式中文件保护装置的结构框图；

图5为具体实施方式中文件加解密装置的结构框图；

图6为具体实施方式中输出文件权限级别示意图；

图7为具体实施方式中一种NAS服务器数据安全存储方法的流程图；

图8为具体实施方式中一种NAS服务器数据安全读取方法的流程图；

图9为具体实施方式中安全NAS服务器应用系统结构示意图。

具体实施方式

下面结合说明书附图与具体实施方式对本发明做进一步的详细说明。

图1和图2示出了本发明具体实施方式中一种NAS服务器数据安全存储 系统的结构框图，由图中可以看，该系统主要包括用户终端10权限服务器 20和NAS服务器30，用户终端10的作用是用户通过其登录权限服务器20 和NAS服务器30，因此，本实施方式中将用户终端10直接称为用户。

权限服务器20主要用于根据用户权限生成文件安全策略和用户证书，并 将文件安全策略发送给NAS服务器，将用户证书发送给用户；所述的文件安 全策略包括策略号、需要保护的文件目录或文件类型、文件的访问权限、文 件是否加密、生成的密文类型以及采用的加密算法等；所述的用户证书包括 证书的用户信息、有效期限、加密密钥、密钥的长度以及证书对应的策略号。 本实施方式中的权限服务器20的结构框图如图3所示，主要包括全局用户列 表、权限数据库（图中所示的全局权限库）、角色用户组、用户访问申请装 置、用户认证器及文件安全策略生成装置等，其中：

全局用户列表用于保存NAS服务器全部用户的用户ID；

权限数据库用于保存NAS服务器全部用户的用户权限；

角色用户组用于将全局用户列表中的用户进行分组；

用户访问申请装置用于用户向权限服务器发起访问申请，并在用户身份 确认通过后为用户匹配用户权限；

用户认证器用于确认登录到权限服务器的用户身份；

文件安全策略生成装置用于根据用户权限生成与用户权限对应的文件安 全策略和用户证书。

NAS服务器30用于根据用户的写入请求对文件进行安全存储以及根据用 户的读取请求向用户传送文件；NAS服务器包括文件保护装置和文件加解密 装置。

文件保护装置的结构框图如图4所示，该装置主要包括用户证书检测模 块、安全策略匹配模块、目录虚拟化模块、文件索引查询模块和文件索引库。

用户证书检测模块用于检测用户证书的完整性和有效性；

安全策略匹配模块用于根据用户证书中的策略号匹配NAS服务器中对应 的文件安全策略，并将文件安全策略发送到目录虚拟化模块；

目录虚拟化模块用于根据文件安全策略为用户虚拟出与其用户权限匹配 的虚拟目录和文件访问策略；所述虚拟目录用于记录与用户权限匹配的文件 信息；

文件索引库，用于保存文件索引信息；

文件索引查询模块，用于根据用户的读取请求，在文件索引库中查询用 户请求读取的文件的索引信息。

文件加解密装置的结构框图如图5所示，该装置主要包括全局加解密模 块、类型密文生成模块、文件类型判别器和文件索引生成器。

全局加解密模块用于对用户请求读取的文件进行解密，得到明文，以及 用于对用户请求写入的文件进行加密，得到密文；

类型密文生成模块用于根据文件输出加密策略对全局加解密模块解密得 到的明文进行加密，得到类型密文，并将类型密文发送到用户；所述的类型 密文包括普通明文文件、透明加密文件、权限加密文件和外发加密文件。

文件类型判别器，用于判别需要存储的文件的类型；

文件索引生成器，用于生成需要存储的文件的索引信息；所述的索引信 息包括文件的类型、名称和大小。

NAS服务器用户在登录NAS服务器30之前，用户需要登录到权限服务器 20获取NAS使用证书（本实施方式中的用户证书）。用户登录到权限服务器 20后，由用户认证器对用户进行认证，并向用户访问申请装置发起访问请求， 用户访问申请装置通过角色用户组检索全局用户列表、权限数据库和全局文 件索引库匹配出用户可访问的文件和权限，并将匹配出的用户可访问的文件 和权限提交给权限规则，权限规则首先对用户可访问的文件和权限进行冲突 检查，并对有冲突的权限按照最小权限原则进行处理，防止有冲突的权限输 出，其次根据用户输出文件类型请求，进一步过滤用户可访问的文件和权限， 将过滤后的权限数据交给文件安全策略生成装置，文件安全策略生成装置将 按照过滤权限生成文件安全策略与用户证书，权限服务器将文件安全策略发 送给NAS服务器，将用户证书发送给用户。

其中，用户访问申请装置匹配用户可访问的文件和权限时，首先通过检 索全局用户列表和权限数据库匹配出用户权限，之后根据用户权限匹配出用 户可访问的文件，并通过检索全局文件索引库从已有的文件中将用户可访问 的文件挑选出来，例如，用户可访问DOC和XLS类型的文件，这就需要从已 有的文件中将DOC和XLS类型的文件挑选出来。权限规则是对匹配出的用户 权限进行过滤的模块，例如匹配出的用户权限有两种，一种是用户可读写访 问所有的XSL文件，另一种是用户只读访问某些XSL文件，这时权限规则对 用户的这两种权限进行过滤，过滤掉用户对某些XSL文件的写访问权限。

NAS服务器用户拿到用户证书，使用本地相关证书程序进行关联运算， 产生可以使用的用户本地证书（主要防止攻击者通过网络监听伪造用户证 书），用户拿到用户本地证书后，可以通过协议http（超文本转移协议）/ftp （文件传输协议）/smb（Server Message Block）/nfs（network File System） 登录到NAS服务器，NAS服务器通过目录虚拟化模块为提交用户本地证书 的用户提供一个虚拟目录，NAS服务器用户通过向此虚拟目录写入本地证书 文件输入证书信息，NAS服务器上的虚拟目录将证书发送给文件保护装置 中的证书检测模块，证书检测装置检测证书与用户的匹配度以防止伪造证书； 通过检测的证书将使用证书的策略号匹配出权限服务器提交给NAS服务器 的文件安全策略，匹配出来的文件安全策略将输入给目录虚拟化模块，目录 虚拟化装置根据文件安全策略再为当前用户虚拟出与其权限匹配的文件访问 策略，之后，用户就可以给根据文件访问策略，向NAS服务器发送文件（存 储请求）或者获取文件（读取请求）。

用户向NAS服务器发起文件读取请求时，NAS服务器通过全局加解密 模块对用户请求读取的文件进行解密，得到解密后的明文，再通过类型密文 生成模块对解密后的明文进行加密，得到类型密文，并将类型密文发送给用 户；所述的类型密文包括普通明文文件、透明加密文件、权限加密文件和外 发加密文件4种文件类型，其中读取类型加密文件需要的权限级别如图6所 示，普通明文需要的权限最高，透明加密文件次之，权限文件再次之，外发 加密文件需要的权限最低。

用户向NAS服务器发起文件存储请求时，首先通过文件类型判别器判别 待写入文件的文件类型，并生成文件的索引信息，再通过全局加解密模块对 待写入文件进行加密，将加密后的文件存储到NAS服务器外存储装置中

本实施方式中用户权限分为四个等级，用户权限等级不同，用户对NAS 服务器中文件的读取权限不同；最高权限用户拥有普通明文文件、透明加密 文件、权限加密文件和外发加密文件的读取权限，次之的拥有透明加密文件、 权限加密文件和外发加密文件的读取权限，再次之的拥有权限加密文件和外 发加密文件的读取权限，最低权限用户只拥有外发加密文件的读取权限。

图7示出了本发明具体实施方式中一种NAS服务器数据安全存储方法的 流程图，该方法包括以下步骤：

步骤S11：权限服务器根据用户权限生成用户证书和文件安全策略；

步骤S12：权限服务器将文件安全策略发送给NAS服务器,将用户证书发 送给用户；

NAS服务器用户在登录NAS服务器之前需要获取NAS服务器使用证书， 用户通过登录权限服务器获取该证书。用户登陆到权限服务器后，权限服务 器首先对用户进行身份认证，认证通过后，权限服务器检索全局用户列表和 权限数据库为用户匹配用户权限，之后根据用户权限生成与其权限对应的文 件安全策略和用户证书；其中，所述的文件安全策略包括策略号、需要保护 的文件目录（文件目录是指存储文件的目录名称，用于成批设置需要保护的 文件，存放在该文件目录下的文件都将受到相应的保护）或文件类型、文件 的访问权限、文件是否加密、生成的密文类型以及采用的加密算法等；所述 的用户证书包括证书的用户信息、有效期限、加密密钥、密钥的长度以及证 书对应的策略号。

权限服务器在生成文件安全策略和用户证书后，将文件安全策略发送给 NAS服务器，将用户证书发送给用户。

步骤S13：根据用户证书生成本地用户证书；

为了防止攻击者通过网络监听伪造用户证书，用户接收到权限服务器发 送的用户证书后，使用本地相关证书程序对用户证书进行本地关联运算，生 成可以使用的用户本地证书；用户本地证书包括与用户证书中相同的策略号。

步骤S14：用户登录NAS服务器，NAS服务器为用户生成与其权限匹配的 虚拟目录和文件访问策略；

步骤S15：用户向NAS服务器发送文件写入请求，将待写入文件存储到 NAS服务器。

用户通过用户本地证书登陆NAS服务器，NAS服务器首先通过用户证书 检测模块检测用户证书的有效性和完整性以防止伪造证书，检测通过后根据 用户本地证书中的策略号匹配出NAS服务器中对应的文件安全策略，并根据 文件安全策略为用户虚拟出与其用户权限匹配的虚拟目录和文件访问策略； 所述虚拟目录用于记录与用户权限匹配的文件信息，之后，用户将需要存储 的文件通过http/ftp/smb/nfs传送到NAS服务器进行存储。将文件存储到NAS 服务器中的具体方式包括：

1）判别待写入文件的文件类型，并生成文件的索引信息；

2）通过全局加解密模块对待写入文件进行加密，将加密后的文件存储到 NAS服务器中。

http/ftp/smb/nfs协议将文件传送给NAS服务器上的文件加解密装置文件 加解密装置开始处理文件，将文件传送给文件类型判别模块，文件类型判别 装置将文件判别为以下可能的类型，文本文件和二进制文件等，之后文件索 引生成器开始对文件做更详细的索引，如可解析文件的文件摘要，文件完整 性摘要，文件大小和其他重要的文件标识等，文件索引生成器将生成的文件 摘要数据写入文件索引库，全局加解密模块使用全局加密策略对文件进行加 密；加密后的文件存储在NAS服务器中或者NAS服务器的外存储装置中， 文件写入完成，新写入的文件索引将被同步到权限文件服务器。

图8示出了本具体实施方式中一种NAS服务器数据安全读取方法的流程 图，该方法包括以下步骤：

步骤S21：权限服务器根据用户权限生成用户证书和文件安全策略；

步骤S22：权限服务器将文件安全策略发送给NAS服务器,将用户证书发 送给用户；

NAS服务器用户在登录NAS服务器之前需要获取NAS服务器使用证书， 用户通过登录权限服务器获取该证书。用户登陆到权限服务器后，权限服务 器首先对用户进行身份认证，认证通过后，权限服务器检索全局用户列表和 权限数据库为用户匹配用户权限，之后根据用户权限生成与其权限对应的文 件安全策略和用户证书；其中，所述的文件安全策略包括策略号、需要保护 的文件目录或文件类型、文件的访问权限、文件是否加密、生成的密文类型 以及采用的加密算法等；所述的用户证书包括证书的用户信息、有效期限、 加密密钥、密钥的长度以及证书对应的策略号。

权限服务器在生成文件安全策略和用户证书后，将文件安全策略发送给 NAS服务器，将用户证书发送给用户。

步骤S23：根据用户证书生成本地用户证书；

为了防止攻击者通过网络监听伪造用户证书，用户接收到权限服务器发 送的用户证书后，使用本地相关证书程序对用户证书进行本地关联运算，生 成可以使用的用户本地证书；用户本地证书包括与用户证书中相同的策略号。

当然，用户之前已经登录过NAS服务器，获取过用户证书，在再次登录 NAS服务器时，则不需要再重复步骤S21-S23，直接使用本地用户证书进入下 一步中。

步骤S24：用户登录NAS服务器，NAS服务器为用户生成与其权限匹配的 虚拟目录和文件访问策略；

步骤S25：用户向NAS服务器发送文件读取请求，获取需要的文件。

用户通过用户本地证书登陆NAS服务器，NAS服务器首先通过用户证书 检测模块检测用户证书的有效性和完整性以防止伪造证书，检测通过后根据 用户本地证书中的策略号匹配出NAS服务器中对应的文件安全策略，并根据 文件安全策略为用户虚拟出与其用户权限匹配的虚拟目录和文件访问策略； 所述虚拟目录用于记录与用户权限匹配的文件信息，之后，用户通过 http/ftp/smb/nfs向NAS服务器发起文件读取请求，获取其需要的文件。本实 施方式中NAS服务器将文件发送给用户的具体方式包括：

1）通过全局加解密模块对用户请求读取的文件进行解密，得到解密后的 明文；

2）通过类型密文生成模块对解密后的明文进行加密，得到类型密文，并 将类型密文发送给用户；所述的类型密文包括普通明文文件、透明加密文件、 权限加密文件和外发加密文件。

用户使用http/ftp/smb/nfs向NAS服务器发起文件读出请求，文件（密文） 输入到文件保护装置中的全局加解密模块，全局加解密模块根据全局解密策 略解开用户请求的文件，被解密的明文数据输入到类型密文生成模块；类型 密文生成模块根据文件输出加密策略输出类型密文，并将类型密文通过协议 http/ftp/smb/nfs之一传送给用户。

其中，透明加密文件、权限加密文件可以有效防止攻击者从网络攻击获 得有效明文。当用户拿到透明密文后，可以通过本地证书解开文件读取数据； 当用户拿到外发文件后，外发文件包含自解密程序与权限控制程序，用户仅 可以在规定权限下打开文件读取数据。

此外，需要说明的是，本发明的NAS服务器数据安全存储系统除了用户 可以直接通过http/ftp/smb/nfs协议访问和使用安全NAS服务器，安全NAS 服务器还可以作为其他应用服务器的后台存储服务器，此时，其它应用服务 器则相当于用户，该方式的流程如图9所示，具体如下：

（1）用户在权限服务器里为应用服务器建立可以使用明文数据作为输出 文件的权限规则（当然具体的权限规则可以根据需要进行具体设定，该处只 是举例说明）；

（2）应用服务器作为用户登录安全NAS服务器，向安全NAS服务器写 入证书文件，安全NAS服务器为应用服务器建立虚拟目录；

（3）应用服务器将自身数据作为文件写入安全NAS服务器；

（4）安全NAS服务器将写入的应用服务器文件使用全局加密策路进行 加密，这样可以有效防止在安全NAS服务器停机时，攻击强行使用磁盘拷贝 的方式窃取数据；

（5）当应用服务器需要读取文件时，安全NAS服务器就为应用服务器 提供普通明文文件。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本 发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要 求及其同等技术的范围之内，则本发明也意图包含这些改动和变型在内。