Linux文件系统的访问控制方法及装置.pdf

(19)国家知识产权局(12)发明专利申请(10)申请公布号CN114722432A(43)申请公布日2022.07.08(21)申请号202210381379.X(22)申请日2022.04.12(71)申请人支付宝（杭州）信息技术有限公司地址310000浙江省杭州市西湖区西溪路556号8层B段801-11(72)发明人刘守业喻望晏艳陈青松(74)专利代理机构北京布瑞知识产权代理有限公司11505专利代理师张欣(51)Int.Cl.G06F21/64(2013.01)G06F21/62(2013.01)权利要求书2页说明书9页附图3页(54)发明名称Linux文件系统的访问控制方法及装置(57)摘要提供一种Linux文件系统的访问控制方法及装置。所述方法包括：在Linux操作系统启动过程中，注册Linux安全模块；其中，所述Linux安全模块用于执行以下操作：调用签名验签模块，以从签名验签服务器获取配置信息，所述配置信息用于记录Linux文件系统中的被保护文件以及所述被保护文件的保护策略；根据所述保护策略对所述被保护文件进行文件保护；其中，所述签名验签模块用于执行以下操作：响应于接收到第一用户对所述配置信息的修改请求，对所述第一用户的签名进行验证；如果所述第一用户的签名通过验证，修改所述配置信息。CN114722432ACN114722432A权利要求书1/2页1.一种Linux文件系统的访问控制方法，包括：在Linux操作系统启动过程中，注册Linux安全模块；其中，所述Linux安全模块用于执行以下操作：调用签名验签模块，以从签名验签服务器获取配置信息，所述配置信息用于记录Linux文件系统中的被保护文件以及所述被保护文件的保护策略；根据所述保护策略对所述被保护文件进行文件保护；其中，所述签名验签模块用于执行以下操作：响应于接收到第一用户对所述配置信息的修改请求，对所述第一用户的签名进行验证；如果所述第一用户的签名通过验证，修改所述配置信息。2.根据权利要求1所述的方法，所述Linux安全模块还用于执行以下操作：接收第一进程发送的文件访问请求；在所述第一进程对应的用户为根用户的情况下，判断所述第一进程是否为从容器中逃逸的进程，如果所述第一进程为从所述容器中逃逸的进程，则拒绝所述文件访问请求。3.根据权利要求2所述的方法，所述第一进程对应的任务结构体中记录有所述第一进程的父进程的容器标识，所述判断所述第一进程是否为从容器中逃逸的进程，包括：查找所述第一进程对应的任务结构体，以获取所述第一进程的父进程的容器标识；如果所述第一进程的父进程的容器标识与所述第一进程的容器标识不同，确定所述第一进程为从所述容器中逃逸的进程。4.根据权利要求3所述的方法，所述父进程的容器标识由所述父进程的mnt_mns字段获取。5.根据权利要求1所述的方法，所述被保护文件为所述Linux文件系统中的用户文件。6.根据权利要求1所述的方法，所述Linux安全模块还用于执行以下操作：接收第二进程发送的文件访问请求；如果所述第二进程对应的用户为登录用户且用户权限为根用户权限，则拒绝所述文件访问请求。7.根据权利要求1所述的方法，Linux安全模块还用于执行以下操作：根据所述配置信息，将所述被保护文件和/或所述保护策略导出至Linux文件系统接口中。8.一种Linux文件系统的访问控制装置，包括：注册单元，用于在Linux操作系统启动过程中，注册Linux安全模块；其中，所述Linux安全模块用于执行以下操作：调用签名验签模块，以从签名验签服务器获取配置信息，所述配置信息用于记录Linux文件系统中的被保护文件以及所述被保护文件的保护策略；根据所述保护策略对所述被保护文件进行文件保护；其中，所述签名验签模块用于执行以下操作：响应于接收到第一用户对所述配置信息的修改请求，对所述第一用户的签名进行验证；如果所述第一用户的签名通过验证，修改所述配置信息。2CN114722432A权利要求书2/2页9.根据权利要求8所述的装置，所述Linux安全模块还用于执行以下操作：接收第一进程发送的文件访问请求；在所述第一进程对应的用户为根用户的情况下，判断所述第一进程是否为从容器中逃逸的进程，如果所述第一进程为从所述容器中逃逸的进程，则拒绝所述文件访问请求。10.根据权利要求9所述的装置，所述第一进程对应的任务结构体中记录有所述第一进程的父进程的容器标识，所述判断所述第一进程是否为从容器中逃逸的进程，包括：查找所述第一进程对应的任务结构体，以获取所述第一进程的父进程的容器标识；如果所述第一进程的父进程的容器标识与所述第一进程的容器标识不同，确定所述第一进程为从所述容器中逃逸的进程。11.根据权利要求10所述的装置，所述父进程的容器标识由所述父进程的mnt_mns字段获取。12