CN115758420B - 文件访问控制方法、装置、设备及介质 - Google Patents

Abstract

本公开实施例涉及一种文件访问控制方法、装置、设备及介质，涉及计算机技术领域，其中该方法应用于文件访问控制管理***，文件访问控制管理***包括eBPF程序和加解密模块，该方法包括：获取文件访问请求，其中，文件访问请求中包括访问信息；通过eBPF程序确定访问信息与预设的授权信息的匹配结果，并在确定匹配结果为匹配成功时，基于访问信息中的文件信息获取目标文件的目标密钥并存储目标密钥；通过加解密模块获取目标密钥，并基于目标密钥对目标文件执行文件访问操作。本公开实施例，避免了未授权的情况下对文件的访问，目标文件与目标密钥相对应，即使该目标密钥泄露，其他不使用该目标密钥进行解密的文件是安全的，提高了文件的安全性。

Description

文件访问控制方法、装置、设备及介质

技术领域

本公开涉及计算机技术领域，尤其涉及一种文件访问控制方法、装置、设备及介质。

背景技术

随着计算机技术的发展，文件的安全性愈发重要，透明加密技术是一种能够提高文件安全性的技术，在透明加密技术中，加密文件***能够自动对未加密的文件进行加密，得到加密文件，并将加密文件存储在硬盘上。

相关技术中，通过eCryptfs加密文件***对文件进行透明加密，但是eCryptfs加密文件***在用户维度以及文件维度存在安全性较低的问题。

发明内容

为了解决上述技术问题或者至少部分地解决上述技术问题，本公开提供了一种文件访问控制方法、装置、设备及介质。

本公开实施例提供了一种文件访问控制方法，应用于文件访问控制管理***，所述文件访问控制管理***包括eBPF程序和加解密模块，包括：

获取文件访问请求，其中，所述文件访问请求中包括访问信息；

通过所述eBPF程序确定所述访问信息与预设的授权信息的匹配结果，并在确定所述匹配结果为匹配成功时，基于所述访问信息中的文件信息获取目标文件的目标密钥并存储所述目标密钥；

通过所述加解密模块获取所述目标密钥，并基于所述目标密钥对所述目标文件执行文件访问操作。

本公开实施例还提供了一种文件访问控制装置，设置于文件访问控制管理***，所述文件访问控制管理***包括eBPF程序和加解密模块，所述装置包括：

第一获取模块，用于获取文件访问请求，其中，所述文件访问请求中包括访问信息；

第二获取模块，用于通过所述eBPF程序确定所述访问信息与预设的授权信息的匹配结果，并在确定所述匹配结果为匹配成功时，基于所述访问信息中的文件信息获取目标文件的目标密钥并存储所述目标密钥；

访问模块，用于通过所述加解密模块获取所述目标密钥，并基于所述目标密钥对所述目标文件执行文件访问操作。

本公开实施例还提供了一种文件访问控制***，包括eBPF程序以及与所述eBPF程序通信连接的加解密模块，用于执行本公开实施例提供的文件访问控制方法

本公开实施例还提供了一种电子设备，所述电子设备包括：处理器；用于存储所述处理器可执行指令的存储器；所述处理器，用于从所述存储器中读取所述可执行指令，并执行所述指令以实现如本公开实施例提供的文件访问控制方法。

本公开实施例还提供了一种计算机可读存储介质，所述存储介质存储有计算机程序，所述计算机程序用于执行如本公开实施例提供的文件访问控制方法。

本公开实施例提供的技术方案与现有技术相比具有如下优点：本公开实施例中提供的文件访问控制方案，应用于文件访问控制管理***，文件访问控制管理***包括eBPF程序和加解密模块，包括：获取文件访问请求，其中，文件访问请求中包括访问信息；通过eBPF程序确定访问信息与预设的授权信息的匹配结果，并在确定匹配结果为匹配成功时，基于访问信息中的文件信息获取目标文件的目标密钥并存储目标密钥；通过加解密模块获取目标密钥，并基于目标密钥对目标文件执行文件访问操作。采用上述技术方案，在访问信息与授权信息匹配成功的情况下，进一步获取目标文件的目标密钥，并基于该目标密钥对目标文件进行文件访问操作，不仅避免了未授权的情况下对文件的访问，在用户维度提高了文件的安全性，而且目标文件与目标密钥相对应，即使该目标密钥泄露，其他不使用该目标密钥进行解密的文件仍是安全的，进一步在文件维度提高了文件的安全性。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。

为了更清楚地说明本公开实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，对于本领域普通技术人员而言，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本公开实施例提供的一种文件访问控制方法的流程示意图；

图2为本公开实施例提供的一种文件访问控制管理***的架构示意图；

图3为本公开实施例提供的一种通过文件访问模块存储目标密钥的流程示意图；

图4为本公开实施例提供的一种文件读取操作的流程示意图；

图5为本公开实施例提供的一种文件写操作的流程示意图；

图6为本公开实施例提供的一种文件访问控制装置的结构示意图；

图7为本公开实施例提供的一种电子设备的结构示意图。

具体实施方式

为了能够更清楚地理解本公开的上述目的、特征和优点，下面将对本公开的方案进行进一步描述。需要说明的是，在不冲突的情况下，本公开的实施例及实施例中的特征可以相互组合。

在下面的描述中阐述了很多具体细节以便于充分理解本公开，但本公开还可以采用其他不同于在此描述的方式来实施；显然，说明书中的实施例只是本公开的一部分实施例，而不是全部的实施例。

随着计算机技术的发展，文件访问的安全愈发重要，透明加密技术是提高文件访问安全的一种技术。在透明加密技术中，能够对文件进行加密，而该加密过程不会被用户察觉。具体地，当用户打开或编辑文件时，***将自动对未加密的文件进行加密，使文件在硬盘上以加密文件的形式存储；并对加密文件进行自动解密，使文件在内存中为明文文件。当文件的使用环境发生改变，由于无法对文件进行自动解密，使得文件内容无效，从而达到保护文件内容的目的。

相关技术中，通过eCryptfs加密文件***对文件进行透明加密，在eCryptfs加密文件***中，需要将对加密文件进行解密的特征参数挂载到该eCryptfs加密***，从而实现文件的自动加密与自动解密，当未挂载特征参数时，用户打开该文件看到的是一堆乱码，用户无法获取该文件的真实内容。将特征参数挂载到该透明加密***之后，不但进行挂载的用户能够看到该文件的明文内容，其他用户也能够看到该文件的明文内容，用户维度的文件安全性较低，并且eCryptfs加密文件***下的文件使用同一个特征参数进行加密，若一个文件的被解密，则其他的文件也可以使用对该文件进行解密的特征参数进行解密，文件维度的文件安全性也较低。

为了解决上述问题，本公开实施例提供了一种文件访问控制方法，下面结合具体的实施例对该方法进行介绍。

图1为本公开实施例提供的一种文件访问控制方法的流程示意图，该方法可以由文件访问控制装置执行，其中该装置可以采用软件和/或硬件实现，一般可集成在电子设备中。如图1所示，该文件访问控制方法应用于文件访问控制管理***，文件访问控制管理***包括eBPF程序和加解密模块，该文件访问控制方法包括：

步骤101，获取文件访问请求，其中，文件访问请求中包括访问信息。

其中，文件访问控制管理***可以为能够实现对文件访问进行管理的软件***，通过该文件访问控制管理***能够拦截用户态***调用的操作和参数，本实施例对该文件访问控制管理***所在的操作***不做限制，例如该操作***可以为Linux操作***。扩展型柏克莱封包过滤器（Extended Berkeley Packet Filter，eBPF）可以理解为在操作***的内核中实现的一个虚拟机，当特定的事件触发时，可以在该虚拟机环境中执行eBPF字节码，以实现相应的监控、安全等功能，本公开实施例中的eBPF程序是基于上述eBPF技术编写的软件。加解密模块可以为对文件进行加密处理和解密处理的功能模块，该加解密模块中可以设置有缓冲层，以对加密文件或者解密文件进行缓冲处理。

本公开实施例中，文件访问请求可以为用于指示对文件进行访问的请求，访问信息可以为从一个或多个维度对一次文件访问的特征进行表征的信息，可选的，该访问信息可以包括进程信息、用户信息、文件信息中的至少一个。

在本公开实施例中，响应于用户对文件的访问操作，或者接收到程序对文件的访问请求的情况下，内核空间中的虚拟文件***能够根据文件访问控制管理***和/或操作***的登录用户，以及申请访问文件的进程等生成访问信息，并生成包括该访问信息的文件访问请求，文件访问控制管理***获取该文件访问请求。

在本公开一些实施例中，eBPF程序包括文件访问模块和用户态配置程序，在获取文件访问请求之前，该文件访问控制方法还包括：通过文件访问模块获取用户态配置程序发送的授权信息之后，采用键值对的方式存储授权信息，并通过函数探针设置调用函数对应的eBPF程序代码，其中，调用函数包括***打开函数、虚拟文件打开函数以及***关闭函数。

其中，用户态配置程序可以为在操作***的用户态中根据配置操作生成授权信息的程序。文件访问模块可以为在内核空间中接收并存储用户空间传输的信息的功能模块。授权信息可以理解为能够对文件进行访问的条件。键值对为一种数据结构，该键值对的类型有多种，本实施例不做限制，例如该键值对可以为Map类型。

函数探针可以为内核提供的能够动态对指定内核函数进行探测的函数，该函数探针包括：kprobe函数和kretprobe函数。其中，kprobe函数用于对函数执行入口进行探测，kretprobe函数用于对函数返回执行进行探测。通过kprobe函数和kretprobe函数能够在被探测的函数执行入口或执行返回的情况下，触发执行相应的eBPF程序代码。***打开函数为sys_open()函数，该***打开函数可以通过kprobe函数进行探测。虚拟文件打开函数为vfs_open()函数，该虚拟文件打开函数可以通过kprobe函数进行探测。***关闭函数可以为sys_close()函数，该***关闭函数可以通过kretprobe函数进行探测。

在本实施例中，文件管理人员可以在界面上配置授权对一个或多个文件进行访问的用户、未授权对文件进行访问的用户，以及授权对文件进行访问的进程、未授权对文件进行访问的进程等。根据文件管理人员的配置操作，通过用户态配置程序能够生成相应的授权信息，并且通过该用户态配置程序将该授权信息发送至文件访问模块。通过文件访问模块获取该授权信息之后，将该授权信息存储在Map类型的哈希表中。

并且，通过kprobe函数和kretprobe函数设置上述调用函数对应的eBPF程序代码，具体地，可以通过kprobe函数设置sys_open()函数以及vfs_open()函数对应的eBPF程序代码，通过kretprobe函数设置sys_close()函数对应的eBPF程序代码。

步骤102，通过eBPF程序确定访问信息与预设的授权信息的匹配结果，并在确定匹配结果为匹配成功时，基于访问信息中的文件信息获取目标文件的目标密钥并存储目标密钥。

其中，匹配结果可以包括匹配成功和匹配失败，其中，匹配成功可以表征在授权信息中查询到该访问信息，匹配失败可以表征在授权信息中未查询到该访问信息。文件信息可以理解为能够唯一表征某一文件的信息，该文件信息的表现形式不限，例如可以为数字或字母等。文件信息又称文件标识，在本实施例中，可以将某一个文件的路径信息作为该文件的文件信息。目标密钥可以为对目标文件进行加解密处理的密钥，该解密算法的类型有多种，本实施例不做限制，例如该加解密算法可以为256位密钥的高级加密标准（AdvancedEncryption Standard，AES）算法。

在公开本实施例中，通过eBPF程序将访问信息与授权信息进行匹配，若在授权信息中能够检索到该访问信息，则确定匹配结果为匹配成功，并根据访问信息中的文件信息确定目标文件，进而获取能够对该目标文件进行加解密处理的目标密钥，并将该目标密钥进行存储。

在本公开一些实施例中，eBPF程序包括文件访问模块和用户态配置程序，并通过函数探针设置调用函数对应的eBPF程序代码，相应的，通过eBPF程序确定访问信息与预设的授权信息的匹配结果，包括：

通过文件访问模块拦截到虚拟文件***基于文件访问请求对***打开函数的调用时，确定***打开函数对应的第一eBPF程序代码；基于第一eBPF程序代码将访问信息与授权信息进行匹配，得到匹配结果。

其中，虚拟文件***（Virtual File Systems，VFS）是内核的子***，虚拟文件***可以为用户态的程序提供统一的操作文件的***调用，当虚拟文件***接收到用户态的程序的***调用时，经过虚拟文件***的处理将该***调用传递给具体的文件***。该虚拟文件***可以理解为一个抽象的文件***通用层，该虚拟文件***主要由一组抽象的、标准的文件操作构成，并且该虚拟文件***能够为用户提供***调用函数，如open()函数，read()函数，write()函数等，而在内核中对应的***调用函数分别为sys_open()函数、vfs_open()函数、sys_read()函数、sys_write()函数。read()函数和write()函数的***调用经过虚拟文件***处理后，映射到具体的物理文件***，比如，该物理文件***可以为***扩展文件***（Fourth Extended Filesystem，EXT4）。

第一eBPF程序代码可以为实现访问信息与授权信息匹配功能的代码。本实施例对该第一eBPF程序代码的具体代码以及实现该第一eBPF程序代码的具体编程语言不做限制。

在本实施例中，预先设置了***打开函数对应的第一eBPF程序代码，以使拦截到***打开函数被调用时，执行该第一eBPF程序代码，实现访问信息与授权信息的匹配。具体地，在对目标文件的访问过程中，Linux***中的虚拟文件***基于文件访问请求调用***打开函数，通过文件访问模块能够拦截到该对***打开函数的调用，进而确定该***打开函数对应的第一eBPF程序代码。在进行访问目标文件的下一步操作之前，执行该第一eBPF程序代码，以对访问信息和授权信息进行匹配，若在授权信息包括的各授权条件中，存在与访问信息一致的授权条件，则确定匹配结果为匹配成功；若在授权信息包括的各授权条件中，不存在于访问信息一致的授权条件，则确定匹配结果为匹配失败，并向***打开函数的***调用返回匹配失败指令，以终止对目标文件的访问。

在本公开一些实施例中，授权信息包括已授权的进程以及各文件对应的已授权的用户，访问信息包括文件信息、进程信息和用户信息，确定匹配结果为匹配成功，包括：若已授权的进程中包括进程信息对应的进程，或者，目标文件对应的已授权的用户中包括用户信息的当前用户，则确定匹配结果为匹配成功。

其中，进程可以为具备文件访问功能的进程，进程信息可以为能够唯一表征某一进程的信息，该进程信息的表现形式不限，例如该进程信息可以为数字或字母等，该进程信息可以理解为进程标识。用户可以为***或软件的登录用户，用户信息可以为能够唯一表征某一用户的信息，该用户信息可以理解为用户标识，该用户信息的表现形式不限，例如该用户信息可以包括数字和/或字母。已授权的进程可以为已经被授权进行文件访问的进程。已授权的用户可以为已经被授权对一个或多个文件进行访问的用户。

在本公开实施例中，可以利用内核中描述进程和文件的结构体，获取被访问的文件对应的文件信息，进行文件访问的进程对应的进程信息以及用户的用户信息，根据该文件信息、进程信息、用户信息生成访问信息。授权信息中记录了已授权的进程以及各文件对应的已授权的用户，在已授权的进程中查询该进程信息，若查询到该进程信息，则说明该进程能够进行文件的访问，匹配结果为匹配成功。或者，根据各文件对应的已授权的用户，确定目标文件对应的已授权的用户，在该目标文件对应的已授权的用户中查询该用户信息，若查询到该用户信息，则说明该用户能够进行目标文件的访问，匹配结果为匹配成功。

在本公开一些实施例中，eBPF程序包括文件访问模块和用户态配置程序和密钥管理模块，基于访问信息中的文件信息获取目标文件的目标密钥并存储目标密钥，包括：

通过文件访问模块拦截到调用虚拟文件打开函数时，基于虚拟文件打开函数对应的第二eBPF程序代码基于文件信息在块设备中获取目标文件的目标密钥和文件描述符；若获取到目标密钥，则将目标密钥存储在目标文件的文件描述符中；否则，调用密钥管理模块生成目标文件的目标密钥，并将目标密钥存储在目标文件的文件描述符中

其中，密钥管理模块可以为具备密钥生成功能、密钥存储功能、密钥管理功能中至少一个功能的功能模块。可选的，为了防止某个文件的密钥被泄露后，其他文件也被该泄漏的密钥进行解密，密钥管理模块可以为每个文件生成一一对应的密钥。第二eBPF程序代码可以为实现将目标文件对应的密钥存储在对应的文件描述符的功能的代码。本实施例对该第二eBPF程序代码的具体代码以及实现该第二eBPF程序代码的具体编程语言不做限制。块设备为一种物理设备，该块设备可以为I/O设备中的一类设备，该块设备可以为硬盘、U盘等。文件描述符可以为内核访问文件的依据。

在本实施例中，预先设置了虚拟文件打开函数对应的第二eBPF程序代码，以使拦截到虚拟文件打开函数被调用时，执行该第二eBPF程序代码，将目标密钥存储在文件描述符中。具体地，若通过文件访问模块能够拦截到对虚拟文件打开函数的调用，说明已经确定访问信息和授权信息匹配成功。并且，在拦截到对虚拟文件打开函数的调用时，确定该虚拟文件打开函数对应的第二eBPF程序代码，并且确定块设备中的目标文件，获取该目标文件的目标密钥以及文件描述符，并将目标密钥存储在目标文件的文件描述符的私有数据中。

或者，在一些场景中，目标文件为新建的文件，新建的文件不存在对应的密钥，因而通过文件访问模块拦截到调用虚拟文件打开函数时，要首先基于该第二eBPF程序代码调用密钥管理模块生成该目标文件的目标密钥，进一步的，将新生成的目标密钥存储在目标文件的文件描述符的私有数据中。

在本公开一些实施例中，该目标密钥在块设备中存储在目标文件的末尾位置或起始位置。一种可选的实施方式中，由于目标文件的起始位置通常存储有该目标文件的相关信息，为了避免存储目标密钥对该相关信息的影响，可以将目标密钥存储在目标文件的末尾位置，通过记录目标密钥相对于文件最后一位的偏移位置对该目标密钥的位置进行标记。

步骤103，通过加解密模块获取目标密钥，并基于目标密钥对目标文件执行文件访问操作。

其中，文件访问操作可以为针对文件的处理操作，该文件访问操作包括但不限于文件读取操作、文件写入操作等。

在本公开实施例中，通过eBPF程序存储目标密钥之后，通过加解密模块从该eBPF程序中获取目标密钥，并基于目标密钥对目标文件进行解密或解密处理，基于加密或解密处理之后的目标文件进行文件访问操作。

本公开实施例提供的文件访问控制方法，应用于文件访问控制管理***，所述文件访问控制管理***包括eBPF程序和加解密模块，包括：获取文件访问请求，其中，文件访问请求中包括访问信息；通过eBPF程序确定访问信息与预设的授权信息的匹配结果，并在确定匹配结果为匹配成功时，基于访问信息中的文件信息获取目标文件的目标密钥并存储目标密钥；通过加解密模块获取目标密钥，并基于目标密钥对目标文件执行文件访问操作。采用上述技术方案，在访问信息与授权信息匹配成功的情况下，进一步获取目标文件的目标密钥，并基于该目标密钥对目标文件进行文件访问操作，不仅避免了未授权的情况下对文件的访问，在用户维度提高了文件的安全性，而且目标文件与目标密钥相对应，即使该目标密钥泄露，其他不使用该目标密钥进行解密的文件仍是安全的，进一步在文件维度提高了文件的安全性。

在本公开一些实施例中，该文件访问控制方法还包括：获取文件关闭请求，通过文件访问模块拦截到虚拟文件***基于文件关闭请求对***关闭函数的调用时，确定***关闭函数对应的第三eBPF程序代码；基于第三eBPF程序代码将存储在目标文件的文件描述符中的目标密钥移动至目标文件中。

其中，文件关闭请求可以为用于指示文件关闭的请求，该文件关闭请求可以包括该被关闭文件的文件信息。第三eBPF程序代码可以为实现将文件描述符中的目标密钥移动至目标文件功能的代码，本实施例对该第三eBPF程序代码的具体代码以及实现该第三eBPF程序代码的编程语言不做限制。

在本实施例中，预先设置了***关闭函数对应的第三eBPF程序代码，以使拦截到***关闭函数被调用时，执行该第三eBPF程序代码，实现将目标密钥移动到目标文件中。具体地，虚拟文件***根据接收到的文件关闭请求，调用***关闭函数以关闭文件，文件访问模块对该***关闭函数的调用进行拦截，并执行通过函数探针设置的该***关闭函数对应的第三eBPF程序代码。通过执行该第三eBPF程序代码，确定该目标文件的文件描述符，并确定存储在该文件描述符中的目标密钥，并将该目标密钥移动至目标文件的末尾位置。

上述方案中，通过拦截***关闭函数的调用，在关闭目标文件之前确定文件描述符中的目标密钥，并将该目标密钥存储在目标文件中，若该目标密钥为新建文件的密钥，通过将密钥存储在新建文件中的方式，确定了该密钥与新建文件之间的对应关系。

在本公开一些实施例中，可以为最近打开的文件或写入过的文件在内核中保留一份副本，该副本的大小为物理页的大小，当再次需要读取该文件时，不必从块设备读取该文件，当再次写入文件内容时，可以先写入到对应的页缓冲中，空闲时再从该页缓冲中写入到块设备。

在本公开一些实施例中，加解密模块设置有明文页缓冲层，文件访问请求为文件读取请求，通过加解密模块获取目标密钥，并基于目标密钥对目标文件执行文件访问操作，包括：若通过加解密模块确定明文页缓冲层中不包括目标文件，则从块设备中获取目标文件，并从文件访问模块的目标文件的文件描述符中获取目标密钥，基于目标密钥以页为单位对目标文件进行解密，然后将解密后的目标文件添加到明文页缓冲层之后返回。可选的，若通过加解密模块确定明文页缓冲层中包括目标文件，则在明文页缓冲层中读取目标文件并返回。

其中，加解密模块为运行在内核态的堆栈式文件***，该加解密模块将文件分成多个逻辑块，每个逻辑块的大小等于物理页的大小，并且加解密模块以该逻辑块为单位对文件进行加解密，该加解密模块包括页缓冲层，该页缓冲层对文件的缓冲区进行维护。明文页缓冲层可以为对存储有明文文件的缓冲区进行维护的页缓冲层，明文文件可以理解为解密后的文件。文件读取请求可以为用于指示进行文件读取的请求。堆栈式文件***是位于虚拟文件***和底层物理文件***之间的一层文件***，其本身不存储数据，它通过把要实现的文件***功能加载到底层物理文件***之上来实现功能需求开发。从而省去了内核空间和用户空间频繁切换的时间开销。

在本实施例中，进行目标文件的读取时，先通过加解密模块对明文页缓冲层进行目标文件的读取，若通过加解密模块在明文页缓冲层中发现该目标文件，说明当前存在解密后的目标文件，则读取该明文页缓冲层中的目标文件，并返回该目标文件；若在明文页缓冲层中未发现该目标文件，说明当前不存在解密后的目标文件，则从块设备中获取该目标文件所在的物理页，可以理解地物理页中存储的该目标文件为解密前的目标文件，并从文件访问模块中目标文件的文件描述符中获取目标密钥，使用该目标密钥该目标文件所在的物理页进行解密处理，获得解密后的目标文件，将该解密后的目标文件添加至明文页缓冲层之后返回该解密后的目标文件。

上述方案中，由于明文页缓冲层中存储的文件可能被定时清除，在目标文件关闭之前，如果需要重复读取目标文件，需要重复对目标文件进行解密处理，需要重复获取该目标文件的目标密钥，因而从文件访问模块中目标文件的文件描述符中获取该目标密钥，而不从块设备的目标文件中获取该目标密钥，提高了目标密钥的获取效率。

在本公开一些实施例中，加解密模块设置有明文页缓冲层和密文页缓冲层，文件访问请求为文件写入请求，通过加解密模块获取目标密钥，并基于目标密钥对目标文件执行文件访问操作，包括：通过加解密模块将目标文件写入明文页缓冲层，并从文件访问模块的目标文件的文件描述符中获取目标密钥，基于目标密钥以页为单位对目标文件进行加密，然后将加密后的目标文件写入密文页缓冲层。

其中，密文页缓冲层可以为对存储有密文文件的缓冲区进行维护的页缓冲层，密文文件可以理解为解密前的文件。文件写入请求可以为用于指示进行文件写入的请求。

在本实施例中，进行目标文件的写入时，可以理解地，该目标文件为接收到的加密前的目标文件，先通过加解密模块确定明文页缓冲层中是否存在明文缓冲区，若是，则通过加解密模块将目标文件写入该明文页缓冲层中的明文缓冲区，否则，先通过加解密模块创建该明文页缓冲层中的明文缓冲区，再将目标文件写入该明文页缓冲层中的明文缓冲圈。在将目标文件写入明文页缓冲层之后，将该目标文件写入密文页缓冲层。具体地，先通过加密模块确定密文页缓冲层中是否存在密文缓冲区，若是，则从文件访问模块的目标文件的文件描述符中获取该目标密钥，使用该目标密钥以页为单位对目标文件进行加密，得到加密后的目标文件，将该加密后的目标文件写入密文页缓冲层中的密文缓冲区。

若通过加密模块确定密文页缓冲层中不存在密文缓冲区，则通过加密模块创建密文页缓冲层中的密文缓冲区，并从文件访问模块的目标文件的文件描述符中获取该目标密钥，使用该目标密钥以页为单位对目标文件进行加密，得到加密后的目标文件，将该加密后的目标文件写入新创建的密文页缓冲层中的密文缓冲区。

可选的，在将加密后的目标文件写入密文页缓冲层之后，可以将该密文页缓冲层的内容写入到块设备中，并清除密文页缓冲层以及明文页缓冲层中记载的内容。

上述方案中，实现了将加密前的目标文件写入明文页缓冲层，并实现了将加密后的目标文件写入密文页缓冲层，从而避免了每次都从块设备中进行目标文件的读取，提高了目标文件的读取效率。

本公开实施例提供了一种文件访问控制***，该文件访问控制***包括eBPF程序以及与eBPF程序通信连接的加解密模块，用于执行上述实施例中的任一文件访问控制方法。

在本实施例中，该文件访问控制***可以安装在Linux***中，并且安装该文件访问控制***下的eBPF程序和加解密模块，并且基于该文件访问控制***可以实现授权信息的配置，即确定能够访问文件的进程以及每个用户能够访问的一个或多个文件，并且将该授权信息下发至eBPF程序。

图2为本公开实施例提供的一种文件访问控制管理***的架构示意图，如图2所示，在用户空间中，存在用户进程、用户态配置程序。在内核空间中，存在文件访问模块、密钥管理模块、虚拟文件***、加解密模块、块设备文件***驱动、块设备，其中，加解密模块包括密文页缓冲层和明文页缓冲层。该文件访问控制管理***内的数据传输关系如上述实施例所示，此处不再赘述。

接下来通过一个具体的示例对本公开实施例中的文件访问控制方法，进行进一步说明。该文件访问控制方法包括：

在用户态，用户态配置程序通过界面配置授权和非授权的进程，以及各用户允许和不允许访问的文件，得到授权信息。将该授权信息下发至文件访问模块，并将该授权信息存储在该文件访问模块的MAP类型哈希表中。

通过密钥管理模块能够生成、存储和管理密钥。并且，为了防止某个加密文件的密钥被泄露后，其他加密文件也能够通过泄漏的密钥进行解密，该密钥管理模块为每个加密文件随机生成密钥，密钥与加密文件一一对应，并将密钥存储在加密文件的末尾。可选的，还可以对密钥进行加密，因而，即使加密文件的密钥泄漏，也无法使用该加密之后的密钥对加密文件进行解密处理。

文件访问模块存储了授权信息，并且通过kprobe函数探测内核态的sys_open()的***调用，通过kretprobe函数探测内核态的vfs_open()函数以及sys_close()函数的***调用，从而实现了拦截用户态中***调用的操作和参数。该文件访问模块的工作过程如下：

当拦截到sys_open()***调用时，执行通过kprobe函数设置的sys_open()***调用的类型对应的第一eBPF程序代码，通过内核中描述进程与文件的结构体，确定当前处理的文件对应的文件信息，进程对应的进程信息以及用户信息，得到访问信息，将该访问信息和哈希表中授权信息进行匹配，若匹配成功，则运行该进程或者确定用户能够访问该目标文件。若匹配失败，则向***调用返回匹配失败指令，以使后续针对目标文件的读、写等操作不再执行。

当拦截到vfs_open()函数调用时，说明允许该进程或者用户访问该目标文件，则执行kprobe函数设置的vfs_open()***调用的类型对应的第二eBPF程序代码。通过执行该第二eBPF程序代码，首先在目标文件的末尾获取目标密钥，如果获取到了目标密钥说明该目标文件为加密后的文件，将获取到的目标密钥存储在目标文件的文件描述符的私有数据中；如果未获取到目标密钥，说明该目标文件可能为新建的文件，则调用密钥管理模块的接口随机生成密钥，得到目标密钥，然后将生成的目标密钥存储在目标文件的文件描述符的私有数据里面。该目标文件的加密算法可采用256位密钥的高级加密标准算法等。

当拦截到sys_close()函数调用时，执行kretprobe函数设置的sys_close()***调用的类型对应的第三eBPF程序代码，通过执行该第三eBPF程序代码将存储在目标文件的文件描述符中的目标密钥存在目标文件的末尾。

图3为本公开实施例提供的一种通过文件访问模块存储目标密钥的流程示意图，如图3所示，该存储目标密钥的流程包括：

步骤301，若拦截到***打开函数的***调用，执行通过第一函数探针设置的***打开函数对应的第一eBPF程序代码。其中，***打开函数为sys_open()函数，第一函数探针为kprobe函数。

步骤302，判断进程或者用户是否允许访问目标文件。若是，执行步骤304，否则执行步骤303。

步骤303，返回匹配失败指令。

步骤304，若拦截到虚拟文件打开函数的***调用，执行通过函数探针设置的虚拟文件打开函数对应的第二eBPF程序代码。其中，虚拟文件打开函数为vfs_open()函数。

步骤305，判断在目标文件的末尾是否获取到目标密钥。若是，执行步骤307，否则执行步骤306。

步骤306，调用密钥管理模块接口随机生成密钥。

步骤307，将目标密钥存储在目标文件的文件描述符的私有数据中。

加解密模块是一个运行在内核空间的的堆栈式文件***，其页缓冲层用于进行文件的页缓冲。Linux内核中使用address_space结构体来表示页缓冲层，并使用基数树对页缓冲层进行管理。本实施例使用密文页缓冲层和明文页缓冲层，通过设置双缓冲层的方式能增提升读文件取操作的性能。图4为本公开实施例提供的一种文件读取操作的流程示意图，如图4所示，该读去操作的步骤包括：

步骤401，查询明文页缓冲层中是否包括明文类型的目标文件。若是，执行步骤402，否则执行步骤403。

步骤402，返回明文类型的目标文件。

步骤403，确定块设备中记载有该目标文件的物理页。

步骤404，从目标文件的文件描述符中获取目标密钥，使用该目标密钥对记载有该目标文件的物理页进行解密，得到明文类型的目标文件，并返回该目标文件。

图5为本公开实施例提供的一种文件写操作的流程示意图，如图5所示，该写操作的步骤包括：

步骤501，查询明文页缓冲层中是否包括明文缓冲区。若是，执行步骤503，否则执行步骤502。

步骤502，创建明文缓冲区。

步骤503，将明文类型的目标文件写入明文缓冲区。

步骤504，查询密文页缓冲层中是否包括密文缓冲区。若是，执行步骤506，否则，执行步骤505。

步骤505，创建密文缓冲区。

步骤506，使用目标密钥对明文缓冲区中明文类型的目标文件进行加密，得到密文类型的目标文件，将密文类型的目标文件写入密文缓冲区。

可选的，还可以在将密文缓冲区的内容写入到块设备之后，清除密文缓冲区以及对应的明文缓冲区。

上述方案中，在内存中使用Linux***的I/O页缓冲方式缓存了明文类型的目标文件以及密文类型的目标文件，省去了读取操作过程中频繁的解密操作，提升了读取操作的性能。并且，每个文件使用不同的密钥进行加解密，即使某个文件的密钥泄漏了，由于该密钥不能对其他文件进行解密，其他文件仍是安全的。通过eBPF技术支持的kprobe函数对应的事件类型，拦截sys_open()函数的***调用，对参数以及调用进程进行检测，根据授权信息判断进程或者用户是否具有访问该文件的权限，提高了安全性。

图6为本公开实施例提供的一种文件访问控制装置的结构示意图，该装置可由软件和/或硬件实现，一般可集成在电子设备中。如图5所示，该装置设置于文件访问控制管理***，所述文件访问控制管理***包括eBPF程序和加解密模块，包括：

第一获取模块601，用于获取文件访问请求，其中，所述文件访问请求中包括访问信息；

第二获取模块602，用于通过所述eBPF程序确定所述访问信息与预设的授权信息的匹配结果，并在确定所述匹配结果为匹配成功时，基于所述访问信息中的文件信息获取目标文件的目标密钥并存储所述目标密钥；

访问模块603，用于通过所述加解密模块获取所述目标密钥，并基于所述目标密钥对所述目标文件执行文件访问操作。

可选的，所述eBPF程序包括文件访问模块和用户态配置程序，在获取文件访问请求之前，所述装置还包括：

设置模块，用于通过所述文件访问模块获取所述用户态配置程序发送的授权信息之后，采用键值对的方式存储所述授权信息，并通过函数探针设置调用函数对应的eBPF程序代码，其中，所述调用函数包括***打开函数、虚拟文件打开函数以及***关闭函数。

可选的，所述第二获取模块602，用于：

通过所述文件访问模块拦截到虚拟文件***基于所述文件访问请求对所述***打开函数的调用时，确定所述***打开函数对应的第一eBPF程序代码；

基于所述第一eBPF程序代码将所述访问信息与所述授权信息进行匹配，得到匹配结果。

可选的，授权信息包括已授权的进程以及各文件对应的已授权的用户，所述访问信息包括文件信息、进程信息和用户信息，所述第二获取模块602，用于：

若所述已授权的进程中包括所述进程信息对应的进程，或者，所述目标文件对应的已授权的用户中包括所述用户信息的当前用户，则确定所述匹配结果为匹配成功。

可选地，所述eBPF程序包括密钥管理模块，所述第二获取模块602，包括：

通过所述文件访问模块拦截到调用所述虚拟文件打开函数时，基于所述虚拟文件打开函数对应的第二eBPF程序代码基于所述文件信息在块设备中获取所述目标文件的目标密钥和文件描述符；

若获取到所述目标密钥，则将所述目标密钥存储在所述目标文件的文件描述符中；否则，调用所述密钥管理模块生成所述目标文件的目标密钥，并将所述目标密钥存储在所述目标文件的文件描述符中

可选的，所述目标密钥在块设备中存储在所述目标文件的末尾位置或起始位置。

可选的，所述装置还包括：

第三获取模块，用于获取文件关闭请求，通过所述文件访问模块拦截到虚拟文件***基于所述文件关闭请求对所述***关闭函数的调用时，确定所述***关闭函数对应的第三eBPF程序代码；

移动模块，用于基于所述第三eBPF程序代码将存储在所述目标文件的文件描述符中的目标密钥移动至所述目标文件中。

可选的，所述加解密模块设置有明文页缓冲层，所述文件访问请求为文件读取请求，所述访问模块603，用于：

若通过所述加解密模块确定所述明文页缓冲层中不包括所述目标文件，则从块设备中获取所述目标文件，并从所述文件访问模块的所述目标文件的文件描述符中获取所述目标密钥，基于所述目标密钥以页为单位对所述目标文件进行解密，然后将解密后的所述目标文件添加到所述明文页缓冲层之后返回。

可选地，所述访问模块603还用于：

若通过所述加解密模块确定所述明文页缓冲层中包括所述目标文件，则在所述明文页缓冲层中读取所述目标文件并返回。

可选地，所述加解密模块设置有明文页缓冲层和密文页缓冲层，所述文件访问请求为文件写入请求，所述访问模块603，用于：

通过所述加解密模块将所述目标文件写入所述明文页缓冲层，并从所述文件访问模块的所述目标文件的文件描述符中获取所述目标密钥，基于所述目标密钥以页为单位对所述目标文件进行加密，然后将加密后的所述目标文件写入所述密文页缓冲层。

本公开实施例所提供的文件访问控制装置可执行本公开任意实施例所提供的文件访问控制方法，具备执行方法相应的功能模块和有益效果。

图7为本公开实施例提供的一种电子设备的结构示意图。如图7所示，电子设备700包括一个或多个处理器701和存储器702。

处理器701可以是中央处理单元（CPU）或者具有文件访问控制能力和/或指令执行能力的其他形式的处理单元，并且可以控制电子设备700中的其他组件以执行期望的功能。

存储器702可以包括一个或多个计算机程序产品，所述计算机程序产品可以包括各种形式的计算机可读存储介质，例如易失性存储器和/或非易失性存储器。所述易失性存储器例如可以包括随机存取存储器（RAM）和/或高速缓冲存储器（cache）等。所述非易失性存储器例如可以包括只读存储器（ROM）、硬盘、闪存等。在所述计算机可读存储介质上可以存储一个或多个计算机程序指令，处理器701可以运行所述程序指令，以实现上文所述的本公开的实施例的文件访问控制方法以及/或者其他期望的功能。在所述计算机可读存储介质中还可以存储诸如输入信号、信号分量、噪声分量等各种内容。

在一个示例中，电子设备700还可以包括：输入装置703和输出装置704，这些组件通过总线***和/或其他形式的连接机构（未示出）互连。

此外，该输入装置703还可以包括例如键盘、鼠标等等。

该输出装置704可以向外部输出各种信息，包括确定出的距离信息、方向信息等。该输出装置704可以包括例如显示器、扬声器、打印机、以及通信网络及其所连接的远程输出设备等等。

当然，为了简化，图7中仅示出了该电子设备700中与本公开有关的组件中的一些，省略了诸如总线、输入/输出接口等等的组件。除此之外，根据具体应用情况，电子设备700还可以包括任何其他适当的组件。

除了上述方法和设备以外，本公开的实施例还可以是计算机程序产品，其包括计算机程序指令，所述计算机程序指令在被处理器运行时使得所述处理器执行本公开实施例所提供的文件访问控制方法。

所述计算机程序产品可以以一种或多种程序设计语言的任意组合来编写用于执行本公开实施例操作的程序代码，所述程序设计语言包括面向对象的程序设计语言，诸如Java、C++等，还包括常规的过程式程序设计语言，诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。

此外，本公开的实施例还可以是计算机可读存储介质，其上存储有计算机程序指令，所述计算机程序指令在被处理器运行时使得所述处理器执行本公开实施例所提供的文件访问控制方法。

所述计算机可读存储介质可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以包括但不限于电、磁、光、电磁、红外线、或半导体的***、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子（非穷举的列表）包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器（RAM）、只读存储器（ROM）、可擦式可编程只读存储器（EPROM或闪存）、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。

需要说明的是，在本文中，诸如“第一”和“第二”等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上所述仅是本公开的具体实施方式，使本领域技术人员能够理解或实现本公开。对这些实施例的多种修改对本领域的技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本公开的精神或范围的情况下，在其它实施例中实现。因此，本公开将不会被限制于本文所述的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (11)

1.一种文件访问控制方法，其特征在于，应用于文件访问控制管理***，所述文件访问控制管理***包括eBPF程序和加解密模块，所述eBPF程序包括文件访问模块、用户态配置程序、密钥管理模块，所述方法包括：

通过所述文件访问模块获取所述用户态配置程序发送的授权信息之后，采用键值对的方式存储所述授权信息，并通过函数探针设置调用函数对应的eBPF程序代码，其中，所述调用函数包括***打开函数、虚拟文件打开函数以及***关闭函数；

获取文件访问请求，其中，所述文件访问请求中包括访问信息；

通过所述文件访问模块拦截到虚拟文件***基于所述文件访问请求对所述***打开函数的调用时，确定所述***打开函数对应的第一eBPF程序代码；

基于所述第一eBPF程序代码将所述访问信息与所述授权信息进行匹配，得到匹配结果；

在确定所述匹配结果为匹配成功时，通过所述文件访问模块拦截到调用所述虚拟文件打开函数时，基于所述虚拟文件打开函数对应的第二eBPF程序代码基于文件信息在块设备中获取目标文件的目标密钥和文件描述符；

若获取到所述目标密钥，则将所述目标密钥存储在所述目标文件的文件描述符中；否则，调用所述密钥管理模块生成所述目标文件的目标密钥，并将所述目标密钥存储在所述目标文件的文件描述符中；

通过所述加解密模块获取所述目标密钥，并基于所述目标密钥对所述目标文件执行文件访问操作。

2.根据权利要求1所述的方法，其特征在于，所述授权信息包括已授权的进程以及各文件对应的已授权的用户，所述访问信息包括文件信息、进程信息和用户信息，确定所述匹配结果为匹配成功，包括：

若所述已授权的进程中包括所述进程信息对应的进程，或者，所述目标文件对应的已授权的用户中包括所述用户信息的当前用户，则确定所述匹配结果为匹配成功。

3.根据权利要求1或2所述的方法，其特征在于，所述目标密钥在块设备中存储在所述目标文件的末尾位置或起始位置。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

获取文件关闭请求，通过所述文件访问模块拦截到虚拟文件***基于所述文件关闭请求对所述***关闭函数的调用时，确定所述***关闭函数对应的第三eBPF程序代码；

基于所述第三eBPF程序代码将存储在所述目标文件的文件描述符中的目标密钥移动至所述目标文件中。

5.根据权利要求1所述的方法，其特征在于，所述加解密模块设置有明文页缓冲层，所述文件访问请求为文件读取请求，通过所述加解密模块获取所述目标密钥，并基于所述目标密钥对所述目标文件执行文件访问操作，包括：

若通过所述加解密模块确定所述明文页缓冲层中不包括所述目标文件，则从块设备中获取所述目标文件，并从所述文件访问模块的所述目标文件的文件描述符中获取所述目标密钥，基于所述目标密钥以页为单位对所述目标文件进行解密，然后将解密后的所述目标文件添加到所述明文页缓冲层之后返回。

6.根据权利要求5所述的方法，其特征在于，所述方法还包括：

若通过所述加解密模块确定所述明文页缓冲层中包括所述目标文件，则在所述明文页缓冲层中读取所述目标文件并返回。

7.根据权利要求1所述的方法，其特征在于，所述加解密模块设置有明文页缓冲层和密文页缓冲层，所述文件访问请求为文件写入请求，通过所述加解密模块获取所述目标密钥，并基于所述目标密钥对所述目标文件执行文件访问操作，包括：

通过所述加解密模块将所述目标文件写入所述明文页缓冲层，并从所述文件访问模块的所述目标文件的文件描述符中获取所述目标密钥，基于所述目标密钥以页为单位对所述目标文件进行加密，然后将加密后的所述目标文件写入所述密文页缓冲层。

8.一种文件访问控制***，其特征在于，包括eBPF程序以及与所述eBPF程序通信连接的加解密模块，所述eBPF程序包括文件访问模块、用户态配置程序、密钥管理模块，所述文件访问控制***用于执行上述权利要求1-7中任一所述的文件访问控制方法。

9.一种文件访问控制装置，其特征在于，设置于文件访问控制管理***，所述文件访问控制管理***包括eBPF程序和加解密模块，所述eBPF程序包括文件访问模块、用户态配置程序、密钥管理模块，所述装置包括：

设置模块，用于通过所述文件访问模块获取所述用户态配置程序发送的授权信息之后，采用键值对的方式存储所述授权信息，并通过函数探针设置调用函数对应的eBPF程序代码，其中，所述调用函数包括***打开函数、虚拟文件打开函数以及***关闭函数；

第一获取模块，用于获取文件访问请求，其中，所述文件访问请求中包括访问信息；

第二获取模块，用于通过所述文件访问模块拦截到虚拟文件***基于所述文件访问请求对所述***打开函数的调用时，确定所述***打开函数对应的第一eBPF程序代码；基于所述第一eBPF程序代码将所述访问信息与所述授权信息进行匹配，得到匹配结果；在确定所述匹配结果为匹配成功时，通过所述文件访问模块拦截到调用所述虚拟文件打开函数时，基于所述虚拟文件打开函数对应的第二eBPF程序代码基于文件信息在块设备中获取目标文件的目标密钥和文件描述符；若获取到所述目标密钥，则将所述目标密钥存储在所述目标文件的文件描述符中；否则，调用所述密钥管理模块生成所述目标文件的目标密钥，并将所述目标密钥存储在所述目标文件的文件描述符中；

访问模块，用于通过所述加解密模块获取所述目标密钥，并基于所述目标密钥对所述目标文件执行文件访问操作。

10.一种电子设备，其特征在于，所述电子设备包括：

处理器；

用于存储所述处理器可执行指令的存储器；

所述处理器，用于从所述存储器中读取所述可执行指令，并执行所述指令以实现上述权利要求1-7中任一所述的文件访问控制方法。

11.一种计算机可读存储介质，其特征在于，所述存储介质存储有计算机程序，所述计算机程序用于执行上述权利要求1-7中任一所述的文件访问控制方法。

Images