[发明专利]Linux文件系统的访问控制方法及装置

权利要求书

1.一种Linux文件系统的访问控制方法，包括：

在Linux操作系统启动过程中，注册Linux安全模块；

其中，所述Linux安全模块用于执行以下操作：

调用签名验签模块，以从签名验签服务器获取配置信息，所述配置信息用于记录Linux文件系统中的被保护文件以及所述被保护文件的保护策略；

根据所述保护策略对所述被保护文件进行文件保护；

其中，所述签名验签模块用于执行以下操作：

响应于接收到第一用户对所述配置信息的修改请求，对所述第一用户的签名进行验证；

如果所述第一用户的签名通过验证，修改所述配置信息。

2.根据权利要求1所述的方法，所述Linux安全模块还用于执行以下操作：

接收第一进程发送的文件访问请求；

在所述第一进程对应的用户为根用户的情况下，判断所述第一进程是否为从容器中逃逸的进程，如果所述第一进程为从所述容器中逃逸的进程，则拒绝所述文件访问请求。

3.根据权利要求2所述的方法，所述第一进程对应的任务结构体中记录有所述第一进程的父进程的容器标识，

所述判断所述第一进程是否为从容器中逃逸的进程，包括：

查找所述第一进程对应的任务结构体，以获取所述第一进程的父进程的容器标识；

如果所述第一进程的父进程的容器标识与所述第一进程的容器标识不同，确定所述第一进程为从所述容器中逃逸的进程。

4.根据权利要求3所述的方法，所述父进程的容器标识由所述父进程的mnt_mns字段获取。

5.根据权利要求1所述的方法，所述被保护文件为所述Linux文件系统中的用户文件。

6.根据权利要求1所述的方法，所述Linux安全模块还用于执行以下操作：

接收第二进程发送的文件访问请求；

如果所述第二进程对应的用户为登录用户且用户权限为根用户权限，则拒绝所述文件访问请求。

7.根据权利要求1所述的方法，Linux安全模块还用于执行以下操作：根据所述配置信息，将所述被保护文件和/或所述保护策略导出至Linux文件系统接口中。

8.一种Linux文件系统的访问控制装置，包括：

注册单元，用于在Linux操作系统启动过程中，注册Linux安全模块；

其中，所述Linux安全模块用于执行以下操作：

调用签名验签模块，以从签名验签服务器获取配置信息，所述配置信息用于记录Linux文件系统中的被保护文件以及所述被保护文件的保护策略；

根据所述保护策略对所述被保护文件进行文件保护；

其中，所述签名验签模块用于执行以下操作：

响应于接收到第一用户对所述配置信息的修改请求，对所述第一用户的签名进行验证；

如果所述第一用户的签名通过验证，修改所述配置信息。

9.根据权利要求8所述的装置，所述Linux安全模块还用于执行以下操作：

接收第一进程发送的文件访问请求；

在所述第一进程对应的用户为根用户的情况下，判断所述第一进程是否为从容器中逃逸的进程，如果所述第一进程为从所述容器中逃逸的进程，则拒绝所述文件访问请求。

10.根据权利要求9所述的装置，所述第一进程对应的任务结构体中记录有所述第一进程的父进程的容器标识，

所述判断所述第一进程是否为从容器中逃逸的进程，包括：

查找所述第一进程对应的任务结构体，以获取所述第一进程的父进程的容器标识；

如果所述第一进程的父进程的容器标识与所述第一进程的容器标识不同，确定所述第一进程为从所述容器中逃逸的进程。

11.根据权利要求10所述的装置，所述父进程的容器标识由所述父进程的mnt_mns字段获取。