加密文件系统中缓冲技术的研究　◎陈忠贵，舒远仲，吴文俊　

（南昌航空大学，江西南昌３３００６３）　［关键词］缓冲技术；加密；文件系统；效率　［摘要］文章对加密文件系统中缓冲的清除技术进行了研究。当加密文件关闭时，调取内核函数，采用对其缓冲中的明文　数据进行清除并非禁用的方法，从而既保障了加密文件系统对文件操作的效率，又保证了文件内容安全，能有效防止文件内　容泄密。　［中图分类号］ＴＰ３９３．０８　［文献标志码］　Ａ　［文章编号】１００１－４９２６（２０１０）０２—００６７－０５　

Ｒｅｓｅａｒｃｈ　ｏｆ　Ｂｕｆｆｅｒｉｎｇ　Ｔｅｃｈｎｉｑｕｅ　ｉｎ　ｔｈｅ　Ｅｎｃｒｙｐｔｉｎｇ　Ｆｉｌｅ　Ｓｙｓｔｅｍ　ＣＨＥＮ　Ｚｈｏｎｇ—ｇｕｉ，ＳＨＵ　Ｙｕａｎ—ｚｈｏｎｇ，ＷＵ　Ｗｅｎ—Ｊｕｎ　（Ｎａｎｃｈａｎｇ　Ｈａｎｇｋｏｎｇ　Ｕｎｉｖｅ￣ｉｔｙ，Ｎａｎｃｈａｎｇ，Ｊｉａｎｇｘｉ　３３００６３，Ｃｈｉｎａ）　Ｋｅｙ　ｗｏｒｄｓ：ｂｕｆｆｅｒｉｎｇ　ｔｅｃｈｎｉｑｕｅ；ｅｎｅｒｙｐｔｉｏｎ；ｆｉｌｅ　ｓｙｓｔｅｍｓ；ｅｆｆｉｃｉｅｎｃｙ　Ａｂｓｔｒａｃｔ：Ｔｈｅ　ａｒｔｉｃｌｅ　ｓｔｕｄｉｅｓ　ｔｈｅ　ｒｅｍｏｖａｌ　ｔｅｃｈｎｏｌｏｇｙ　ｏｆ　ｂｕｆｆｅｒ　ｉｎ　Ｅｎｃｒｐｔｉｎｇ　Ｆｉｌｅ　Ｓｙｓｔｅｍ．Ｗｈｅｎ　ｔｈｅ　ｅｎｃｒｙｐｔｅｄ　ｆｉｌｅｓ　ａｌ＇ｅ　ｃｌｏｓｅｄ，ｔｈｅ　ｋｅｒ－　ｎｅｌ　ｆｕｎｃｔｉｏｎ　ｉｓ　ｕｓｅｄ　ａｎｄ　ｐｌａｉｎｔｅｘｔ　ｄａｔａ　ｉｓ　ｄｅｌｅｔｅｄ　ｒａｔｈｅｒ　ｔｈａｎ　ｆｏｒｂｉｄｄｅｎ．Ｔｈｅ　ｍｅｔｈｏｄ　ｅｎｓｕｒｅｓ　ｔｈｅ　ｅｆｆｉｃｉｅｎｃｙ　ｏｆ　ｆｉｌｅ　ｏｐｅｒａｔｉｏｎｓ　ａｎｄ　ｄｏｃｕ—　ｍｅｎｔ　ｃｏｎｔｅｎｔ　ｓｅｃｕｒｉｔｙ　ｉｎ　ｅｎｃｒｙｐｔｅｄ　ｆｉｌｅ　ｓｙｓｔｅｍ　ＳＯ　ａｓ　ｔｏ　ｅｆｆｅｃｔｉｖｅｌｙ　ｐｒｅｖｅｎｔ　ｔｈｅ　ｄｏｃｕｍｅｎｔ　ｄｉｓｃｌｏｓｕｒｅ．　

计算机普及带来的文件信息安全性问题，成为　信息安全领域中最受关注的热点之一ｌ１ｊ。加密文件　系统是一种将数据以密文形式存储的文件系统。经　加密文件系统加密后的密文即使文件信息被非法窃　取，因没有密钥，得到的也只是无法辨认的乱码，达　到保护信息资源的目的。　由于内存映射文件的存在，难以在文件过滤驱　动中截取映射文件的读写Ｉ／Ｏ。若不进行缓冲控　制，容易发生数据混乱的现象。如授权进程取到的　数据为加密状态，而非法进程却能获取明文数据。　为避免上述情况发生，在加密文件系统中对文件缓　冲的监控则是一项非常重要和不可或缺的一环。所　以，采用对缓冲中的文件内容（明文）进行删除，即当　文件进程关闭时，对缓冲进行清除。最大程度方便用　户，同时也保证数据的安全，防止文件内容的泄密。　１　相关概念　１．１　Ｗｉｎｄｏｗｓ文件缓冲　Ｗｉｎｄｏｗｓ具有巧妙的文件缓冲机制，就是只要　一个文件被以缓冲方式打开过，则其内容的全部或　者一部分就已经保存在内存里了，称这部分信息为　文件缓冲。一般地说，一个文件无论有几个进程在　访问，都只有一份文件缓冲。　应用层的读／写请求大多都是普通的读／写请求　（不带ＩＲＰ＿ＰＡＧＩＮＧ—ＩＯ、ＩＲＰ—ＳＹＮＣＨＲＯＮＯＵＳ　

—ＰＡＧＩＮＧ—ＩＯ、ＩＲＰ—ＮＯＣＡＣＨＥ），这种请求的特　

点是文件系统会调用ＣｃＣｏｐｙＲｅａｄ和ＣｃＣｏｐｙＷｒｉｔｅ　来完成。这两个函数会直接从缓冲中读数据，若缓　

［收稿日期］２０１０—０４—０８　［修回１５１期］２０１０—０５—１９　［作者简介］陈忠贵（１９７９一），男，南昌航空大学软件学院硕士研究生。主要研究方向：信息安全。　

６７　６８　第　期　冲中没有，才会转换为分页读／写请求。　图１表示应用程序看到的文件内容、缓冲中的　文件内容和真实硬盘上的文件内容之间的关系。　ｌ应用程序看到的文件内容　▲　缓冲写请求ｌ　Ｉ｛缓　’　ｒ　｛　文件缓冲中的文件内容　ｔ　真实硬盘上的文件内容　图ｌ　应用程序看到的文件内容、缓冲中的文件内容　和真实硬盘上的文件内容之间的关系　显然，同一个文件的内容被分成了３份。这３　份数据是可以互不相同的，而且他们之间通过４种　ＩＲＰ进行互相转换。这４种ＩＲＰ是：　（１）缓冲写请求，把应用程序看到的文件内容　拷贝到文件缓冲中。　（２）缓冲读请求，把文件缓冲中的文件内容拷　贝到应用程序中。　（３）分页写请求，把文件缓冲中的文件内容拷　一贝到真实硬盘中。　（４）分页读请求，把真实硬盘中的数据拷贝到　文件缓冲中。　文件过滤可以过滤到全部４种ＩＲＰ。实际上有　时候还有另外的ＩＲＰ（比如直接从硬盘读／写数据但　是不给文件缓冲做出贡献的非缓冲读／写请求），在　此暂时忽略，把非缓冲ｉ卖／写请求和分页读／写请求　归并到一起　¨。　１．２明文还是密文选择　据图１所示，对一个授权进程来说，有以下两点　是确定无疑的：　（１）真实硬盘上的文件内容必须是密文。这是　防止信息泄密的要求所致。　（２）应用程序看到的文件内容必须是明文。如　果不是明文，应用程序自然就无法正常编辑文件了。　对一个非授权进程而言，它看到的文件内容必　须是密文。这个说法也是成立的。　南蜃巍官士謦学报　Ｊｏｕｒｎａｌ　ｏｆ　Ｎａｎｃｈａｎｇ　Ｈａｎｇｋｏｎｇ　Ｕｎｌｖｅｒｓｉｔｙ　自然科学版………・Ｎａｔｕｒａｌ　Ｓｃｉｅｎｃｅｓ　加密文件系统中缓冲技术的研究　文件缓冲内容到底应该是密文还是明文，实际　上还没有一个统一的答案。如果文件缓冲内容是密　文，则须截获缓冲读／写请求来进行加密／解密。对　于使用内存映射文件的情况，这就难以处理。所以，　文件缓冲内容为密文的情况一般都只能将不使用内　存映射文件的软件作为授权进程。如果文件缓冲内　容是明文，只需要处理分页读／写请求。而分页读／　写请求无论是否使用内存映射文件都存在，这样就　能合并处理两种情况（使用内存映射文件或者不使　用）。因此，这里将采用明文作为文件缓冲内容。　当然，更超前的技术是所谓的“双缓冲”＿３　Ｊ，意　思是授权进程看到的缓冲内容是明文，而非授权进　程看到的缓冲内容是密文。因为两个缓冲同时存在，　互不干扰，执行效率高，但这样的后果是同步困难。　另外，缓冲技术还需要对微过滤驱动　的开发，　Ｗｉｎｄｏｗｓ消息机制　以及ＰＥ文件格式有一定的了解。　

２加密文件系统结构层次　加密文件系统设计分内核层（ＲＩＮＧ　０）和用户　层（ＲＩＮＧ　３）。在用户层，客户端初始化ＵＳＢＫＥＹ，　设定要附着驱动的分区，再设定过滤条件，包括过滤　目录和过滤进程；然后将该过滤条件传给内核层的文　件过滤驱动。文件过滤驱动根据此条件，动态选择加　解密操作＿６］。如图２给出整个系统的结构层次。　初始化ＵＳＢＫＥＹ　

包　叵　

图２加密文件系统结构层次　２ｏｔ０年６月　第２４卷第２期　

文章阐述的缓冲内容清除技术即在ＲＩＮＧＯ下　实现。　

３加密文件系统的性能优化策略　ＮＴ内核模式开发标准是使用ＩＲＰ作为与系统　驱动程序通信的基本手段。它的优点是ＩＲＰ既封装　了上下文所需的详细操作又允许ＩＲＰ从驱动程序的　众多操作细节中分离出来，该方法在ＮＴ分层设备　体系中非常通用。但有相当多的上层操作请求需要　快速响应，此时，上层操作生成的ＩＲＰ决定整个操作　的成本并会导致系统性能的下降。所以，ＮＴ系统引　入的Ｆａｓｔ　１／Ｏ概念以实现文件内容的缓冲。若打算　提升加密文件系统对文件操作的效率，必须实现对　文件的Ｃａｃｈｅ管理。文件Ｃａｃｈｅ管理又牵涉到文件　系统驱动（Ｆｉｌｅ　Ｓｙｓｔｅｍ　Ｄｒｉｖｅｒ，ＦＳＤ）、虚拟内存管理　器、Ｃａｃｈｅ管理器，三者一起为用户提供访问非易失　性存储器的能力。限于篇幅，文章只介绍文件系统　的Ｃａｃｈｅ管理机制及其实现。　３．１文件系统Ｃａｃｈｅ管理机制　文件系统因操作系统而异，但共同目标都是提　高文件系统的执行效率。Ｗｉｎｄｏｗｓ　Ｃａｃｈｅ管理器的　显著优点是允许用户在文件系统缓冲和运行程序使　用物理内存之间保持平衡。文件系统还有一个使用　Ｃａｃｈｅ管理器的重要原因：一个文件可能被标准的　文件系统接口访问，比如读和写，也有可能通过内存　管理器被视作内存映射文件访问；有时两种访问方　式备用在同一个文件上。此时，Ｃａｃｈｅ管理器必须　建立这两种访问方式的桥梁，以确保数据的可靠性。　３．２　Ｃａｃｈｅ管理实现　３．２．１　ＦＡＳＴ　Ｉ／Ｏ处理　ＩＲＰ是１／Ｏ请求操作的默认机制，它用于同步　或异步１／Ｏ；缓冲或非缓冲１／Ｏ；或者分页１／Ｏ请求。　但对于缓冲文件的快速同步１／Ｏ请求，有一个特定　处理机制：ＦＡＳＴ　１／Ｏ　。　

加密文件系统中缓冲技术的研究　６９　ＦＡＳＴ　１／Ｏ机制出现的原因是：大部分１／Ｏ请求　都是同步和允许阻塞的。在ＦＡＳＴ　１／Ｏ操作中，数据　在用户空间和系统缓冲之间直接传输，而不通过文　件系统和存储驱动堆栈。当ＦＡＳＴ　Ｉ／Ｏ处理例程不　存在时，它会重新发送一个ＩＲＰ替代。所以，ＦＡＳＴ　１／Ｏ并不是必须的。ＦＡＳＴ　１／Ｏ能提高文件系统的效　率原因在于它不用１／Ｏ管理器来创建ＩＲＰ，也不需　要经过驱动设备对象堆栈的处理。　ＦＡＳＴ　１／Ｏ一般处理过程是：查询文件系统驱动　对象ＦＡＳＴ　１／Ｏ所对应的处理例程是否存在。若不　存在则返回假，系统重新发送ＩＲＰ继续实现文件操　作；若该处理例程存在，则直接调用该处理例程完成　该ＦＡＳＴ　１／Ｏ。　３．２．２文件缓冲清除　显然，对缓冲中的数据控制最简单方法是禁用　缓冲。但该方法将大大影响用户使用文件的效率，　违背缓冲设计者的初衷。本系统为最大程度方便用　户，同时也要保证数据的安全，采用对缓冲中的明文　清除并非禁用。　对内存数据操作涉及到一个非常重要的数据结　构：文件控制块（Ｆｉｌｅ　Ｃｏｎｔｒｏｌ　ｂｌｏｃｋ，ＦＣＢ）。众所周　知，当打开一个文件时，内存中存在一个文件对象，　通过文件对象的ＦｓＣｏｎｔｅｘｔ域可以获得文件控制块　的信息，如图３所示。　文件控制块　

图３文件对象和文件控制块