一种采用国密算法的内容寻址可信文件系统及方法与流程

本发明涉及分布式文件存储与密钥管理，具体提供一种采用国密算法的内容寻址可信文件系统及方法。

背景技术：

1、随着数字经济持续发展，数据已成为核心生产要素，各类机构对文件存储的可信性、安全性、并发处理能力要求持续提升。现有存储技术方案存在多层级缺陷，可分为四类技术痛点：

2、第一，传统路径寻址文件系统方面：依靠文件路径定位数据，文件篡改行为难以快速校验识别，访问权限管控粒度粗糙，文件全生命周期操作缺乏统一审计溯源载体，数据泄露、篡改风险高。

3、第二，传统链式区块链存储系统方面：链式区块结构仅支持串行交易处理，系统吞吐量低、交易确认延迟高，长期运行存在账本存储膨胀问题，无法支撑海量大文件并发读写；且现有商用区块链存储普遍采用sha-256等国际哈希算法，存在密码后门安全隐患。同时文件元数据与原始文件分离存储，二者一致性、不可篡改性无法同步保障。

4、第三，常规dag分布式存储系统方面：现有tangle、dag类账本方案未适配国产化密码体系，缺少完整国密算法全链路集成；未搭建标准化内容寻址cid（content identifier）文件分块机制，文件完整性校验效率低；配套权限管理机制静态固化，无法适配动态业务访问场景。

5、第四，现有可信存储密钥管理体系方面：密钥生成、分发、周期轮换、泄露撤销全部依赖人工运维操作，人力成本高且易出现人为操作失误、密钥明文泄露；权限与密钥绑定关系静态不可调，无法结合文件敏感等级、用户实时访问场景动态适配；缺少密钥全生命周期自动化管控链路，过期密钥长期留存形成安全隐患；跨机构文件共享场景下密钥交换流程繁琐，协同存储效率低下。

6、现有公开专利cn115567550b公开了一种国密区块链存储系统，采用传统链式区块结构，无并行dag交易处理能力，仅依靠智能合约静态管控密钥，不存在多智能体自动化密钥调度机制；另有dag存储相关专利仅实现分布式账本基础记账功能，未融合国密密码栈、内容寻址文件系统、智能体密钥管理三大核心模块。目前现有技术方案均无法同时解决高并发存储、国产化密码安全、智能化密钥全生命周期管控、文件可信溯源多重需求，行业内亟需复合型技术方案填补空白。

技术实现思路

1、为了克服上述缺陷，本发明能够同步实现国产化密码全链路防护、高并发分布式文件存储、密钥全生命周期自动化管控、文件全流程可信溯源，兼顾安全等级、并发性能、智能化运维能力，适配大规模关键业务文件存储需求。

2、第一方面，本发明提供一种采用国密算法的内容寻址可信文件系统，包括：

3、包括两两信息连接的国密加密模块、dag存储引擎、内容寻址模块、共识验证模块、权限管理模块、智能体密钥管理模块及数据同步模块；

4、国密加密模块集成sm2、sm3、sm4、sm9算法套件，分别用于数字签名和公钥加密、哈希摘要、对称加密以及标识密码运算，为内容寻址模块、共识验证模块、权限管理模块的功能实现提供基础算法；

5、dag存储引擎、内容寻址模块及共识验证模块分别用于对交易数据进行封装、索引及固化；

6、权限管理模块用于将访问权限策略及权限变更操作构造为权限交易数据，通过所述dag存储引擎封装入账本，形成可索引、可固化的权限管控记录；

7、智能体密钥管理模块用于将密钥全生命周期操作构造为密钥交易数据，通过所述dag存储引擎封装入账本，形成可索引、可固化的密钥管控记录；

8、数据同步模块用于在各节点间同步已封装、已固化的账本交易数据，保障分布式账本数据一致性。

9、进一步，所述智能体密钥管理模块中，所述智能体协调器用于统一接收系统密钥管理请求，调度分配至对应的功能智能体，统筹各智能体间的交互通信；

10、所述功能智能体包括：

11、密钥生成智能体，用于根据文件敏感等级自适应生成符合国密规范的sm2密钥对、sm4对称文件密钥以及sm9跨组织标识密钥，并对不同敏感等级的文件生成不同位数的sm4密钥；

12、密钥分配智能体，用于结合用户属性证书、文件预设访问权限策略以及实时访问请求场景，自动向合规用户下发加密后的文件密钥，并配置有一次一密临时会话密钥和一人一密长期访问密钥两种运行模式；

13、密钥轮换智能体，用于基于定时周期或安全事件触发密钥轮换，轮换时自动生成新的sm4密钥重新加密文件，同步更新账本中的密钥交易，并向授权用户推送密钥更新通知；

14、密钥撤销智能体，用于在用户权限变更、人员离职或密钥泄露时生成密钥撤销交易写入dag账本，使原访问密钥即时失效，并对高敏感文件同步触发强制密钥轮换；

15、智能匹配引擎，用于采用机器学习算法持续采集并分析用户访问行为特征，动态优化权限判定规则与密钥分配策略，并实时识别异常访问行为以触发安全处置流程。

16、进一步，所述dag存储引擎中的每笔交易包括交易id、发送者sm2公钥、交易类型、内容字段、时间戳、sm2数字签名、至少两个前置交易引用id以及智能体操作标识agentid；

17、其中，所述交易id基于剔除签名和交易id字段后的完整交易数据计算sm3哈希生成，所述智能体操作标识agentid用于区分交易是由人工发起或是由特定智能体自动发起，当所述智能体操作标识agentid为空时表示人工发起的交易，当所述智能体操作标识agentid填充有智能体编号时表示由对应的智能体自动发起的交易。

18、进一步，所述共识验证模块对每一笔新交易执行以下四阶段并行校验：

19、第一阶段，核验发送者sm2数字签名的合法性，剔除交易id和签名字段后序列化剩余数据计算sm3哈希，与签名解密结果比对；

20、第二阶段，检索本地dag账本，核验本次交易引用的前置交易真实存在且未失效；

21、第三阶段，针对文件块交易，重新计算文件块sm3哈希，与交易内记录哈希值比对；

22、第四阶段，若交易携带智能体操作标识agentid，则额外核验对应智能体的操作权限范围。

23、进一步，所述内容寻址模块生成内容标识符cid的流程如下：

24、将原始文件切分为固定尺寸的数据块，逐块计算sm3哈希得到块cid；

25、以全部块cid作为叶子节点构建默克尔树，将默克尔树根哈希作为文件cid；

26、分别计算文件元数据、访问权限策略以及sm4加密密钥的sm3哈希，生成对应的元数据cid、策略cid和密钥cid；

27、将所述文件cid、元数据cid、策略cid和密钥cid绑定至同一元数据交易中写入dag账本，通过单一文件cid即可调取文件块索引、权限策略和密钥全部关联信息。

28、进一步，所述dag存储引擎中，每一笔新增交易引用至少两笔尖端交易。

29、进一步，文件上传流程包括以下步骤：

30、用户发起上传预备请求，系统核验用户证书有效性后，密钥生成智能体在文件数据传输之前生成sm4文件密钥，密钥分配智能体采用文件属主sm2公钥对所述sm4文件密钥加密并预构建密钥托管交易；

31、对明文文件进行文件分块，采用所述sm4文件密钥对各明文块加密得到密文块，对每一密文块计算sm3哈希生成块cid，以全部块cid构建默克尔树得到文件默克尔根；

32、客户端将全部密文块发送至分布式存储节点持久化存储，系统整合文件默克尔根、全部块cid集合、文件元数据、访问权限策略以及加密后的sm4文件密钥形成完整交易数据写入dag账本；

33、账本写入成功后向客户端返回上传成功回执及文件全局标识，上传行为数据同步上传至智能匹配引擎。

34、进一步，文件下载流程包括以下步骤：

35、用户携带sm2身份证书和属性证书发起文件下载请求，系统核验用户证书有效性，确认用户合法身份；

36、通过文件内容标识符cid读取dag账本内配套的元数据、访问权限策略以及密钥交易；

37、智能匹配引擎结合用户属性证书、文件敏感度以及访问上下文综合判定访问权限；

38、若权限不满足，则拒绝访问并生成审计交易写入dag账本；若权限满足，则密钥分配智能体使用用户sm2公钥对sm4文件密钥进行加密，生成由智能体私钥签名的密钥分配交易写入dag账本；

39、加密后的sm4密钥下发至用户终端，用户使用自身sm2私钥解密获取文件密钥，解密文件块完成读取；

40、本次访问行为数据上传至智能匹配引擎，用于持续优化权限判定与密钥分配策略。

41、进一步，所述系统还包括接口层，用于对外提供标准化访问通道，所述接口层包含posix兼容文件接口、restful api以及多语言sdk，支持fuse用户空间挂载和容器化集群部署。

42、第二方面，本发明提供一种采用国密算法的内容寻址可信文件方法，包括以下步骤：

43、构建分布式对等网络，每一网络节点完整存储dag账本副本，节点间通过国密加密p2p通道通信；

44、通过国密加密模块提供基于sm2、sm3、sm4、sm9算法的密码运算服务；

45、基于改进tangle有向无环图构建分布式账本，将文件块、元数据、访问权限策略以及密钥操作封装为独立交易进行并行处理；

46、基于sm3哈希算法为文件内容、元数据、权限以及密钥生成唯一的内容标识符cid，并以所述内容标识符cid为索引直接定位对应数据；

47、采用无全局锁定的共识机制，结合sm2数字签名对交易进行多阶段并行校验，依据交易被后续交易引用的次数确定确认度，在确认度达到预设阈值后固化交易；

48、基于sm2数字身份证书和属性加密技术执行文件访问控制，将权限变更操作生成交易存入账本；

49、通过智能体协调器统一调度多个功能智能体，协同完成密钥的生成、分配、轮换和撤销全生命周期操作，并结合用户身份属性、文件敏感等级以及实时访问上下文动态匹配解密密钥；

50、基于gossip协议完成节点间账本数据同步，支持节点动态新增和离线退出。

51、本发明具有以下有益效果：

52、1.全链路采用国密sm2/sm3/sm4/sm9算法套件，替代国际密码套件，覆盖数据传输、文件加密和身份认证全链路安全防护；文件、密钥及通信数据全程国密加密；多智能体协同架构自动完成密钥管控，密钥明文仅在内存临时缓存且使用后立即清空，大幅减少人工接触密钥带来的泄露风险；权限管理模块与智能匹配引擎形成双层权限校验架构，杜绝越权访问，解决传统存储密码体系不安全、密钥人工运维风险高的问题。

53、2. 基于改进tangle有向无环图构建dag账本，实现多交易并行写入和并行校验，无需全局共识锁定，系统吞吐量相较传统链式区块链提升数倍；内容标识符cid内容寻址、文件增量更新以及全局数据去重三重机制降低存储资源占用，通过全局比对块cid实现重复数据检测，相同内容数据块仅存储单份并依靠引用计数管控生命周期，适配tb级海量文件并发读写，解决传统区块链存储性能差和账本存储膨胀的缺陷。

54、3. 文件上传、权限变更以及密钥生成、分配、轮换、撤销全部封装为独立交易写入不可篡改dag账本，交易确认度达到预设阈值后永久固化；通过文件内容标识符cid可一次性调取文件块索引、权限策略和密钥等全部关联信息，完整支撑等保、密评合规审计，解决传统存储溯源困难、操作记录易篡改的问题。

55、4. 智能体密钥管理模块采用多智能体协同架构，由智能体协调器统一调度密钥生成、分配、轮换和撤销功能智能体，全自动完成密钥全生命周期操作，无需人工介入；智能匹配引擎引入机器学习算法持续分析用户访问行为，动态优化权限判定规则与密钥分配策略，主动识别异地登录、越权访问等异常行为并自动触发安全处置流程；支持一次一密、一人一密多模式适配不同安全等级业务，解决现有密钥管理依赖人工、策略静态固化的痛点。

56、5. 分布式p2p集群基于gossip协议完成节点间账本同步，支持节点弹性增减和离线退出，系统性能随节点扩容线性提升；模块化架构可按需新增安全策略和智能体功能；接口层提供posix兼容文件接口、restful api和多语言sdk，支持fuse用户空间挂载和容器化集群部署，存量业务系统无需代码改造即可无缝迁移接入，解决新型分布式存储兼容性差、拓展能力弱的问题。

57、6. 依托sm9标识密码算法实现跨组织身份认证与密钥安全交换，智能体间通过sm9加密消息队列异步通信，无需提前交换公钥；配合dag账本实现各机构数据权限隔离，在保障数据隔离的前提下实现安全文件共享，适配政务、金融多单位协同业务场景。