[发明专利]数据加密方法及系统

说明书

本发明公开一种数据加密方法及系统，属于信息安全技术领域。用于网络附加存储NAS系统，NAS系统包括多个文件系统，方法包括：获取第一文件系统的文件系统加密密钥；为第一文件系统中的第一文件生成文件密钥序列号；根据第一文件系统的文件系统加密密钥和第一文件的文件密钥序列号为第一文件生成文件加密密钥；当检测到对第一文件的写入指令时，根据第一文件的文件加密密钥对写入数据加密得到写入数据对应的密文。本发明能够解决同一文件系统中数据采用同一密钥存储，数据的安全性较低，且数据的管理粒度过大，无法实现文件系统中单独文件的管理的问题，达到文件级数据加密的效果，提高数据的安全性，实现单独文件的管理。

技术领域

本发明涉及信息安全技术领域，特别涉及一种数据加密方法及系统。

背景技术

随着互联网信息技术的发展，信息的存储安全越来越重要。以网络附加存储(英文：Network Attached Storage，简称：NAS)系统为例，NAS中通常可以包括多个文件系统(英文：FileSystem，简称：FS)，每个FS中的数据使用同一密钥加密，且NAS系统通常采用对称加密算法对数据进行加密，在对称加密算法中，数据的加密和解密使用同一密钥。

当在NAS系统上创建文件系统时，NAS系统自动为该文件系统分配文件系统密钥标识(英文：FileSystem Key IDentity，简称：FS_Key_ID)，同时，NAS系统为该文件系统申请对应的文件系统加密密钥(英文：FileSystem Key，简称：FS_Key)，当需要向文件系统中写入数据时，NAS系统使用文件系统对应的FS_Key对写入的数据加密，并将加密得到的密文存储至存储池(英文：StoragePool)；当需要从文件系统中读取数据时，NAS系统先从StoragePool中读取密文，然后使用FS_Key对读取到的密文进行解密得到数据，再将解密得到的数据明文传输至请求读取该数据的模块；当需要对文件系统进行数据销毁时，NAS系统直接将该文件系统对应的FS_Key删除。

在实现本发明的过程中，发明人发现现有技术至少存在以下问题：

NAS系统中同一文件系统中的数据采用同一密钥存储，数据的安全性较低，且数据的管理粒度过大，无法实现文件系统中单独文件的管理。

发明内容

为了解决现有技术中NAS系统中数据的安全性较低，且数据的管理粒度过大，无法实现文件系统中单独文件的管理的问题，本发明提供了一种数据加密方法及系统。所述技术方案如下：

第一方面，提供一种数据加密方法，用于网络附加存储NAS系统，所述NAS系统包括多个文件系统，所述方法包括：

获取第一文件系统的文件系统加密密钥，所述第一文件系统为所述多个文件系统中的任意一个文件系统；

为所述第一文件系统中的第一文件生成与所述第一文件唯一对应的文件密钥序列号；

根据所述第一文件系统的文件系统加密密钥和所述第一文件的文件密钥序列号为所述第一文件生成与所述第一文件唯一对应的文件加密密钥；

当检测到对所述第一文件的写入指令时，根据所述第一文件的文件加密密钥对所述写入指令中的写入数据加密得到所述写入数据对应的密文。

结合第一方面，在第一方面的第一种可能的实施方式中，所述第一文件包括：文件结构、文件密钥序列号和文件密文，

所述根据所述第一文件的文件加密密钥对所述写入指令中的写入数据加密得到所述写入数据对应的密文之后，所述方法还包括：

当检测到对所述第一文件的删除指令时，检测预设的第一文件系统的属性选项是否指示销毁所述第一文件；

当所述预设的第一文件系统的属性选项指示销毁所述第一文件时，删除所述第一文件的文件结构和所述第一文件的文件密钥序列号；