密后的明文；
[0046]2)通过类型密文生成模块对解密后的明文进行加密，得到类型密文，并将类型密文发送给用户；所述的类型密文包括普通明文文件、透明加密文件、权限加密文件和外发加密文件。
[0047]本发明的效果在于:本发明专注于使用加密的方法保护NAS存储服务器上的机密数据不被泄露，可以在线为用户生成4种类型的文件，省去了用户在终端难处理的麻烦，更加有利于文件数据集中存储。
【附图说明】
[0048]图1和图2为【具体实施方式】中一种NAS服务器数据安全存储系统的结构框图；
[0049]图3为【具体实施方式】中权限服务器的结构框图；
[0050]图4为【具体实施方式】中文件保护装置的结构框图；
[0051]图5为【具体实施方式】中文件加解密装置的结构框图；
[0052]图6为【具体实施方式】中输出文件权限级别示意图；
[0053]图7为【具体实施方式】中一种NAS服务器数据安全存储方法的流程图；
[0054]图8为【具体实施方式】中一种NAS服务器数据安全读取方法的流程图；
[0055]图9为【具体实施方式】中安全NAS服务器应用系统结构示意图。
【具体实施方式】
[0056]下面结合说明书附图与【具体实施方式】对本发明做进一步的详细说明。
[0057]图1和图2示出了本发明【具体实施方式】中一种NAS服务器数据安全存储系统的结构框图，由图中可以看，该系统主要包括用户终端10权限服务器20和NAS服务器30，用户终端10的作用是用户通过其登录权限服务器20和NAS服务器30，因此，本实施方式中将用户终端10直接称为用户。
[0058]权限服务器20主要用于根据用户权限生成文件安全策略和用户证书，并将文件安全策略发送给NAS服务器，将用户证书发送给用户；所述的文件安全策略包括策略号、需要保护的文件目录或文件类型、文件的访问权限、文件是否加密、生成的密文类型以及采用的加密算法等；所述的用户证书包括证书的用户信息、有效期限、加密密钥、密钥的长度以及证书对应的策略号。本实施方式中的权限服务器20的结构框图如图3所示，主要包括全局用户列表、权限数据库(图中所示的全局权限库)、角色用户组、用户访问申请装置、用户认证器及文件安全策略生成装置等，其中:
[0059]全局用户列表用于保存NAS服务器全部用户的用户ID ；
[0060]权限数据库用于保存NAS服务器全部用户的用户权限；
[0061]角色用户组用于将全局用户列表中的用户进行分组；
[0062]用户访问申请装置用于用户向权限服务器发起访问申请，并在用户身份确认通过后为用户匹配用户权限；
[0063]用户认证器用于确认登录到权限服务器的用户身份；
[0064]文件安全策略生成装置用于根据用户权限生成与用户权限对应的文件安全策略和用户证书。
[0065]NAS服务器30用于根据用户的写入请求对文件进行安全存储以及根据用户的读取请求向用户传送文件；NAS服务器包括文件保护装置和文件加解密装置。
[0066]文件保护装置的结构框图如图4所示，该装置主要包括用户证书检测模块、安全策略匹配模块、目录虚拟化模块、文件索引查询模块和文件索引库。
[0067]用户证书检测模块用于检测用户证书的完整性和有效性；
[0068]安全策略匹配模块用于根据用户证书中的策略号匹配NAS服务器中对应的文件安全策略，并将文件安全策略发送到目录虚拟化模块；
[0069]目录虚拟化模块用于根据文件安全策略为用户虚拟出与其用户权限匹配的虚拟目录和文件访问策略；所述虚拟目录用于记录与用户权限匹配的文件信息；
[0070]文件索引库，用于保存文件索引信息；
[0071]文件索引查询模块，用于根据用户的读取请求，在文件索引库中查询用户请求读取的文件的索引信息。
[0072]文件加解密装置的结构框图如图5所示，该装置主要包括全局加解密模块、类型密文生成模块、文件类型判别器和文件索引生成器。
[0073]全局加解密模块用于对用户请求读取的文件进行解密，得到明文，以及用于对用户请求写入的文件进行加密，得到密文；
[0074]类型密文生成模块用于根据文件输出加密策略对全局加解密模块解密得到的明文进行加密，得到类型密文，并将类型密文发送到用户；所述的类型密文包括普通明文文件、透明加密文件、权限加密文件和外发加密文件。
[0075]文件类型判别器，用于判别需要存储的文件的类型；
[0076]文件索引生成器，用于生成需要存储的文件的索引信息；所述的索引信息包括文件的类型、名称和大小。
[0077]NAS服务器用户在登录NAS服务器30之前，用户需要登录到权限服务器20获取NAS使用证书(本实施方式中的用户证书)。用户登录到权限服务器20后，由用户认证器对用户进行认证，并向用户访问申请装置发起访问请求，用户访问申请装置通过角色用户组检索全局用户列表、权限数据库和全局文件索引库匹配出用户可访问的文件和权限，并将匹配出的用户可访问的文件和权限提交给权限规则，权限规则首先对用户可访问的文件和权限进行冲突检查，并对有冲突的权限按照最小权限原则进行处理，防止有冲突的权限输出，其次根据用户输出文件类型请求，进一步过滤用户可访问的文件和权限，将过滤后的权限数据交给文件安全策略生成装置，文件安全策略生成装置将按照过滤权限生成文件安全策略与用户证书，权限服务器将文件安全策略发送给NAS服务器，将用户证书发送给用户。
[0078]其中，用户访问申请装置匹配用户可访问的文件和权限时，首先通过检索全局用户列表和权限数据库匹配出用户权限，之后根据用户权限匹配出用户可访问的文件，并通过检索全局文件索弓丨库从已有的文件中将用户可访问的文件挑选出来，例如，用户可访问DOC和XLS类型的文件，这就需要从已有的文件中将DOC和XLS类型的文件挑选出来。权限规则是对匹配出的用户权限进行过滤的模块，例如匹配出的用户权限有两种，一种是用户可读写访问所有的XSL文件，另一种是用户只读访问某些XSL文件，这时权限规则对用户的这两种权限进行过滤，过滤掉用户对某些XSL文件的写访问权限。
[0079]NAS服务器用户拿到用户证书，使用本地相关证书程序进行关联运算，产生可以使用的用户本地证书(主要防止攻击者通过网络监听伪造用户证书)，用户拿到用户本地证书后，可以通过协议http (超文本转移协议)/ftp (文件传输协议)/smb (Server MessageBlock) /nfs (network File System)登录到NAS服务器，NAS服务器通过目录虚拟化模块为提交用户本地证书的用户提供一个虚拟目录，NAS服务器用户通过向此虚拟目录写入本地证书文件输入证书信息，NAS服务器上的虚拟目录将证书发送给文件保护装置中的证书检测模块，证书检测装置检测证书与用户的匹配度以防止伪造证书；通过检测的证书将使用证书的策略号匹配出权限服务器提交给NAS服务器的文件安全策略，匹配出来的文件安全策略将输入给目录虚拟化模块，目录虚拟化装置根据文件安全策略再为当前用户虚拟出与其权限匹配的文件访问策略，之后，用户就可以给根据文件访问策略，向NAS服务器发送文件(存储请求)或者获取文件(读取请求)。
[0080]用户向NAS服务器发起文件读取请求时，NAS服务器通过全局加解密模块对用户请求读取的文件进行解密，得到解密后的明文，再通过类型密文生成模块对解密后的明文进行加密，得到类型密文，并将类型密文发送给用户；所述的类型密文包括普通明文文件、透明加密文件、权限加密文件和外发加密文件4种文件类型，其中读取类型加密文件需要的权限级别如图6所示，普通