文檔安全加密系統(tǒng)的技術(shù)研究和實(shí)現(xiàn)方式

申請(qǐng)免費(fèi)試用、咨詢電話：400-8352-114

加密技術(shù)是利用數(shù)學(xué)或物理手段，對(duì)電子信息在傳輸過(guò)程中或存儲(chǔ)設(shè)備內(nèi)的數(shù)據(jù)進(jìn)行保護(hù)，以防止泄漏的技術(shù)。在信息安全技術(shù)中，加密技術(shù)占有重要的地位，在保密通信、數(shù)據(jù)安全、軟件加密等均使用了加密技術(shù)。常用的加密算法有DES系列(包括DES和3DES)，RC系列(常用的有RC4和RC6)和AES等對(duì)稱加密算法(加密密鑰和解密密鑰相同或相似)以及RSA等非對(duì)稱加密算法。除此此外，還有用于獲取信息摘要的MD5等。這些常用的加密算法，只要設(shè)置合適的密碼，在現(xiàn)有的計(jì)算機(jī)技術(shù)條件下，一般均可滿足安全性要求，但不同的加密算法，需要的計(jì)算量有很大的不同。對(duì)于文檔安全加密系統(tǒng)，加密算法是整個(gè)系統(tǒng)的核心，其選擇的依據(jù)一般根據(jù)系統(tǒng)的安全性要求進(jìn)行確定，在滿足安全性要求的前提下，盡可能選用速度快的加密算法，在條件容許的情況下，可以采用硬件的方式對(duì)數(shù)據(jù)進(jìn)行加密(如直接利用安全芯片提供的加密算法進(jìn)行加密等)。

1. 文檔安全中的加密技術(shù)

雖然加密算法是文檔安全系統(tǒng)的核心，但加密算法以何種方式進(jìn)行實(shí)現(xiàn)，是決定文檔安全系統(tǒng)的關(guān)鍵。在文檔安全系統(tǒng)中，常用的實(shí)現(xiàn)方式有靜態(tài)加密方式和動(dòng)態(tài)加密方式，靜態(tài)加密是指在加密期間，待加密的數(shù)據(jù)處于未使用狀態(tài)(靜態(tài))，這些數(shù)據(jù)一旦加密，在使用前，需首先通過(guò)靜態(tài)解密得到明文，然后才能使用。目前市場(chǎng)上許多加密軟件產(chǎn)品就屬于這種加密方式。

與靜態(tài)加密不同，動(dòng)態(tài)加密(也稱實(shí)時(shí)加密，透明加密等，其英文名為encrypt on-the-fly)，是指數(shù)據(jù)在使用過(guò)程中(動(dòng)態(tài))自動(dòng)對(duì)數(shù)據(jù)進(jìn)行加密或解密操作，無(wú)需用戶的干預(yù)，合法用戶在使用加密的文件前，也不需要進(jìn)行解密操作即可使用，表面看來(lái)，訪問(wèn)加密的文件和訪問(wèn)未加密的文件基本相同，對(duì)合法用戶來(lái)說(shuō)，這些加密文件是“透明的”，即好像沒(méi)有加密一樣，但對(duì)于沒(méi)有訪問(wèn)權(quán)限的用戶，即使通過(guò)其它非常規(guī)手段得到了這些文件，由于文件是加密的，因此也無(wú)法使用。由于動(dòng)態(tài)加密技術(shù)不僅不改變用戶的使用習(xí)慣，而且無(wú)需用戶太多的干預(yù)操作即可實(shí)現(xiàn)文檔的安全，因而近年來(lái)得到了廣泛的應(yīng)用。

由于動(dòng)態(tài)加密要實(shí)時(shí)加密數(shù)據(jù)，必須動(dòng)態(tài)跟蹤需要加密的數(shù)據(jù)流，而且其實(shí)現(xiàn)的層次一般位于系統(tǒng)內(nèi)核中，因此，從實(shí)現(xiàn)的技術(shù)角度看，實(shí)現(xiàn)動(dòng)態(tài)加密要比靜態(tài)加密難的多，需要解決的技術(shù)難點(diǎn)也遠(yuǎn)遠(yuǎn)超過(guò)靜態(tài)加密。

2. 文檔安全加密系統(tǒng)的實(shí)現(xiàn)層次

在現(xiàn)代操作系統(tǒng)中，文件的操作均通過(guò)文件系統(tǒng)進(jìn)行，雖然不同的操作系統(tǒng)支持的文件系統(tǒng)不同，但對(duì)文件的訪問(wèn)方式基本相同，在Windows系統(tǒng)中，文件系統(tǒng)是以設(shè)備驅(qū)動(dòng)程序形式存在的。Windows的設(shè)備驅(qū)動(dòng)程序采用分層方式，允許在應(yīng)用程序和硬件之間存在多個(gè)驅(qū)動(dòng)程序?qū)哟?，其中過(guò)濾驅(qū)動(dòng)程序是一種特殊類型的中間驅(qū)動(dòng)程序，它們位于其它驅(qū)動(dòng)程序的上層或下層，截獲發(fā)送給低層驅(qū)動(dòng)程序設(shè)備對(duì)象的請(qǐng)求，在請(qǐng)求到達(dá)低層驅(qū)動(dòng)程序之前，過(guò)濾驅(qū)動(dòng)程序可以更改該請(qǐng)求，而低層驅(qū)動(dòng)程序完全不知道在其上層驅(qū)動(dòng)中發(fā)生的一切操作。圖1給出了Windows系統(tǒng)中的文件操作流程，其中層次I和II屬于應(yīng)用層;層次III和IV屬于操作系統(tǒng)內(nèi)核層。從中可以看出，一個(gè)應(yīng)用程序(I層)在發(fā)出文件操作請(qǐng)求時(shí)，需要經(jīng)過(guò)操作系統(tǒng)提供的API層(II層)、文件過(guò)濾驅(qū)動(dòng)程序?qū)?III層)和文件系統(tǒng)層(IV層)才能訪問(wèn)文件，由此可知，文檔安全加密系統(tǒng)也只能在這四個(gè)層次上進(jìn)行實(shí)現(xiàn)。

文件系統(tǒng)的這種組織結(jié)構(gòu)決定了文檔安全加密系統(tǒng)的實(shí)現(xiàn)方式，在數(shù)據(jù)從應(yīng)用程序訪問(wèn)文件所經(jīng)過(guò)的每個(gè)層次中，均可對(duì)訪問(wèn)的數(shù)據(jù)實(shí)施加密/解密操作，由于層次I只能獲取應(yīng)用程序自身讀寫的數(shù)據(jù)，其他應(yīng)用程序的數(shù)據(jù)不經(jīng)過(guò)該層，因此，在層次I中只能實(shí)現(xiàn)靜態(tài)加密，無(wú)法實(shí)現(xiàn)動(dòng)態(tài)加密;即使是層次II，也并不是所有文件數(shù)據(jù)均通過(guò)該層，但在該層可以攔截到各種文件的打開、關(guān)閉等操作。因此，在應(yīng)用層實(shí)現(xiàn)的動(dòng)態(tài)加解密產(chǎn)品無(wú)法真正做到“實(shí)時(shí)”加密/解密操作，一般只能通過(guò)其他變相的方式進(jìn)行實(shí)現(xiàn)(一般均在層次II進(jìn)行實(shí)現(xiàn))。例如，在應(yīng)用程序打開文件時(shí)，先直接解密整個(gè)文件或解密整個(gè)文件到其他路徑，然后讓應(yīng)用程序直接(重定向)訪問(wèn)這個(gè)完全解密的文件，而在應(yīng)用程序關(guān)閉這個(gè)文件時(shí)，再將已解密的文件進(jìn)行加密。其實(shí)質(zhì)是靜態(tài)加解密過(guò)程的自動(dòng)化，并不屬于嚴(yán)格意義上的動(dòng)態(tài)加密。

只有在層次III和IV中才能攔截到各種文件操作，因此，真正的動(dòng)態(tài)加解密產(chǎn)品只能在內(nèi)核層進(jìn)行實(shí)現(xiàn)。

3. 在系統(tǒng)內(nèi)核層實(shí)現(xiàn)動(dòng)態(tài)加解密

在文件過(guò)濾驅(qū)動(dòng)層(III)和文件系統(tǒng)層(IV)，不僅能夠獲得文件的各種信息，而且能夠獲得訪問(wèn)這些文件的進(jìn)程信息和用戶信息等，因此，可以研制出功能非常強(qiáng)大的文檔安全產(chǎn)品。就動(dòng)態(tài)加解密產(chǎn)品而言，有些文件系統(tǒng)自身就支持文件的動(dòng)態(tài)加解密，如Windows系統(tǒng)中的NTFS文件系統(tǒng)，其本身就提供了EFS(Encryption File System)支持，但作為一種通用的系統(tǒng)，雖然提供了細(xì)粒度的控制能力(如可以控制到每個(gè)文件)，但在實(shí)際應(yīng)用中，其加密對(duì)象一般以分區(qū)或目錄為單位，難以做到滿足各種用戶個(gè)性化的要求，如自動(dòng)加密某些類型文件等。雖然有某些不足，但支持動(dòng)態(tài)加密的文件系統(tǒng)在某種程度上可以提供和磁盤級(jí)加密技術(shù)相匹敵的安全性。由于文件系統(tǒng)提供的動(dòng)態(tài)加密技術(shù)難以滿足用戶的個(gè)性化需求，因此，為第三方提供動(dòng)態(tài)加解密安全產(chǎn)品提供了足夠的空間。

要研發(fā)在文件級(jí)的動(dòng)態(tài)加解密安全產(chǎn)品，雖然與具體的操作系統(tǒng)有關(guān)，但仍有多種方法可供選擇，一般可通過(guò)Hook或過(guò)濾驅(qū)動(dòng)等方式嵌入到文件系統(tǒng)中，使其成為文件系統(tǒng)的一部分，從某種意義上來(lái)說(shuō)，第三方的動(dòng)態(tài)加解密產(chǎn)品可以看作是文件系統(tǒng)的一個(gè)功能擴(kuò)展，這種擴(kuò)展往往以模塊化的形式出現(xiàn)，能夠根據(jù)需要進(jìn)行掛接或卸載，從而能夠滿足用戶的各種需求，這是作為文件系統(tǒng)內(nèi)嵌的動(dòng)態(tài)加密系統(tǒng)難以做到的。

4. 文檔安全加密系統(tǒng)的實(shí)例

對(duì)于個(gè)人用戶，由于不涉及權(quán)限和密鑰的管理分配等，文檔安全加密系統(tǒng)一般只需要在客戶端實(shí)現(xiàn)加解密等功能即可;對(duì)于單位用戶來(lái)說(shuō)，只提供加解密等功能是遠(yuǎn)遠(yuǎn)不夠的，必須提供相應(yīng)的管理系統(tǒng)，如用戶身份的確認(rèn)，權(quán)限分配，密鑰管理、安全策略管理等多種功能。雖然不同的文檔安全系統(tǒng)有不同的實(shí)現(xiàn)方式，但總體架構(gòu)基本是相似的。下面我們以億賽通公司的文檔安全加密系統(tǒng)SmartSec為例，對(duì)文檔安全加密系統(tǒng)的實(shí)現(xiàn)方式進(jìn)行分析和說(shuō)明。

圖2是SmartSec的總體架構(gòu)圖，整個(gè)安全系統(tǒng)由服務(wù)器端和客戶端兩大部分組成，支持C/S和B/S兩種組織結(jié)構(gòu)。服務(wù)端主要由用戶管理、密鑰管理、文檔流轉(zhuǎn)管理、安全引擎等組成。其中用戶管理主要負(fù)責(zé)用戶身份的驗(yàn)證，權(quán)限的分配和管理等;文檔流轉(zhuǎn)管理的主要功能是負(fù)責(zé)文檔在單位內(nèi)部不同部門之間的流轉(zhuǎn)和單位內(nèi)部與外部之間的流轉(zhuǎn)工作，在保證文檔不影響用戶交流的情況下，為文檔提供安全保障。如控制文檔的瀏覽次數(shù)、使用時(shí)間，擁有的權(quán)限等。密鑰管理用于實(shí)現(xiàn)不同部門之間的密鑰分配和交換等功能;安全策略管理用于設(shè)置和管理系統(tǒng)的安全策略以及為每個(gè)用戶分配相應(yīng)的安全策略等;安全引擎主要為服務(wù)器系統(tǒng)提供安全保障，如驗(yàn)證安全系統(tǒng)模塊的運(yùn)行權(quán)限和條件等，并提供對(duì)服務(wù)器端存儲(chǔ)的文檔進(jìn)行加密/解密等多種安全相關(guān)的功能。

圖3給出了SmartSec客戶端的實(shí)現(xiàn)原理，從中可以看出，SmartSec的動(dòng)態(tài)加解密是以文件過(guò)濾驅(qū)動(dòng)程序的方式進(jìn)行實(shí)現(xiàn)的(位于層次III)，同時(shí)在應(yīng)用層(層次II)和內(nèi)核層(層次III)均提供訪問(wèn)控制功能，除此之外，還提供了日志和程序行為控制等功能，這種通過(guò)應(yīng)用層和內(nèi)核層相互配合的實(shí)現(xiàn)方式，不僅能提供更高的安全性，而且有助于降低安全系統(tǒng)對(duì)系統(tǒng)性能的影響。（IT168）