◆何科峰

?

文檔安全管理技術(shù)在變電三維領(lǐng)域的應(yīng)用

◆何科峰

（中國(guó)能源建設(shè)集團(tuán)甘肅省電力設(shè)計(jì)院有限公司 甘肅 730050）

文件是計(jì)算機(jī)系統(tǒng)中非常重要的資源，數(shù)據(jù)加密技術(shù)可以有效保護(hù)計(jì)算機(jī)數(shù)據(jù)文件的安全性。本文介紹了RC4流密碼加密算法的工作原理，利用基于鉤子和文件過(guò)濾驅(qū)動(dòng)技術(shù)，構(gòu)造了一個(gè)有效的文檔安全管理系統(tǒng)。新系統(tǒng)避免了傳統(tǒng)方法的不足，對(duì)企業(yè)重要信息主動(dòng)進(jìn)行強(qiáng)制加密保護(hù)，有效避免了有意或無(wú)意的信息泄密；同時(shí)防止核心信息在內(nèi)部使用時(shí)所帶來(lái)的數(shù)據(jù)擴(kuò)散泄密，這個(gè)技術(shù)對(duì)于變電三維領(lǐng)域至關(guān)重要。

RC4；流密碼；透明加密；文檔安全；變電三維

0 引言

計(jì)算機(jī)信息網(wǎng)絡(luò)技術(shù)的高速發(fā)展和電力信息系統(tǒng)的不斷投入，電力企業(yè)帶來(lái)了低成本、高效率等諸多好處。然而對(duì)于如今的設(shè)計(jì)企業(yè)來(lái)講，如何應(yīng)對(duì)復(fù)雜網(wǎng)絡(luò)環(huán)境下的主動(dòng)攻擊和被動(dòng)攻擊，切實(shí)保護(hù)好數(shù)字化三維設(shè)計(jì)成果文件的安全（如數(shù)據(jù)存儲(chǔ)、數(shù)據(jù)傳輸和數(shù)據(jù)處理的安全）已經(jīng)成為一個(gè)亟待解決的問(wèn)題。

本文基于RC4流加密體制，結(jié)合我院的實(shí)際情況，設(shè)計(jì)部署了一個(gè)可行的文件安全管理系統(tǒng)，較好地保護(hù)了變電三維的各項(xiàng)電子成果文件及知識(shí)產(chǎn)權(quán)的安全。

1 相關(guān)知識(shí)

1.1 RC4流加密算法介紹

RC4算法從密碼學(xué)分類上屬于對(duì)稱加密中的流密碼算法。根據(jù)一次一密的安全性原理，流密碼算法中的偽隨機(jī)序列由輸入的對(duì)稱密鑰（也叫種子密鑰）所確定，通過(guò)一個(gè)偽隨機(jī)序列生成器進(jìn)行某種復(fù)雜的運(yùn)算產(chǎn)生大量的偽隨機(jī)密鑰流，對(duì)明文數(shù)據(jù)流加密得到密文流。

1.2 透明加密技術(shù)介紹

開(kāi)發(fā)人員可以在內(nèi)核級(jí)和用戶級(jí)對(duì)文件的讀寫進(jìn)行操作，從底層技術(shù)來(lái)看，內(nèi)核層采用文件驅(qū)動(dòng)的方式，應(yīng)用層采用Hook API的方式。我們可以將透明加密分為基于鉤子（Hook）技術(shù)的透明加密和基于驅(qū)動(dòng)的透明加密方式。

（1）基于鉤子的透明加密[3]

所有Windows應(yīng)用程序都是通過(guò)windows API函數(shù)對(duì)文件進(jìn)行讀寫的。程序在打開(kāi)或新建一個(gè)文件時(shí)，一般要調(diào)用windows的Create File或Open File、Read File等Windows API函數(shù)；而在向磁盤寫文件時(shí)要調(diào)用Write File函數(shù)。

（2）驅(qū)動(dòng)加密技術(shù)

驅(qū)動(dòng)加密技術(shù)基于windows的文件系統(tǒng)過(guò)濾驅(qū)動(dòng)（IFS）技術(shù)[4]，文件系統(tǒng)驅(qū)動(dòng)就是把文件作為一種設(shè)備來(lái)處理的一種虛擬驅(qū)動(dòng)。當(dāng)應(yīng)用程序?qū)δ撤N后綴文件進(jìn)行操作時(shí)，文件驅(qū)動(dòng)會(huì)監(jiān)控到程序的操作，并改變其操作方式，從而達(dá)到透明加密的效果。

在Windows NT 內(nèi)核模式中，驅(qū)動(dòng)設(shè)計(jì)采用分層結(jié)構(gòu)，分別為文件系統(tǒng)驅(qū)動(dòng)、中間層驅(qū)動(dòng)和設(shè)備驅(qū)動(dòng)。

文件過(guò)濾驅(qū)動(dòng)位于I/O管理和文件系統(tǒng)驅(qū)動(dòng)之間，可監(jiān)控系統(tǒng)發(fā)往下層驅(qū)動(dòng)的I/O請(qǐng)求包（I/O Request Packet，IRP）。它利用過(guò)濾器驅(qū)動(dòng)程序可以為現(xiàn)有功能驅(qū)動(dòng)程序添加新功能，而不必重新編寫原有的功能驅(qū)動(dòng)程序。

舉例來(lái)說(shuō)，如果我們要為文件系統(tǒng)新增加解密功能，則無(wú)需重新編寫文件系統(tǒng)驅(qū)動(dòng)程序，只要直接在其上添加一個(gè)過(guò)濾驅(qū)動(dòng)層，在該層中完成加解密功能即可。

2 基于RC4算法的文檔安全管理系統(tǒng)的構(gòu)造

圖1 文檔安全系統(tǒng)拓?fù)鋱D

2.1 院變電三維業(yè)客戶端文件透明加密

由于三維變電各專業(yè)部門使用大量的專業(yè)軟件，為了有效管理各個(gè)專業(yè)的成果文件，我們?cè)趯I(yè)科室的客戶端軟件中采用了基于文件系統(tǒng)過(guò)濾驅(qū)動(dòng)技術(shù)和HOOK技術(shù)相結(jié)合的透明加密方法，以便于監(jiān)控客戶端進(jìn)程。加密算法利用高效的RC4。

由于系統(tǒng)采用的加密算法RC4屬于對(duì)稱加密，故專業(yè)科室的員工可以在科室內(nèi)部共享密鑰k，這樣科室內(nèi)部實(shí)現(xiàn)了透明加密。同樣專業(yè)科室的員工可以在科室內(nèi)部共享密鑰k。

當(dāng)專業(yè)科室的員工向?qū)I(yè)科室的某人發(fā)送文件（該文件是密文）時(shí)，該文件必須經(jīng)過(guò)“公文交換”模塊（權(quán)限控制），才能順利抵達(dá)對(duì)方，并將該以k加密的密文轉(zhuǎn)化為k加密的密文。

當(dāng)專業(yè)科室的員工向院外部拷貝文件（該文件是密文）時(shí)，該文件必須經(jīng)過(guò)“公文交換”模塊（權(quán)限控制），才能順利該以k加密的密文轉(zhuǎn)化為明文。如果用戶直接拷貝密文，打開(kāi)的將是無(wú)效文件。

當(dāng)專業(yè)科室的員工向文件服務(wù)器上傳文件（該文件是密文）時(shí)，該文件必須經(jīng)過(guò)網(wǎng)關(guān)處理，才能順利將以k加密的密文解密，最終以明文的方式存儲(chǔ)在文件服務(wù)器上。

同樣的，如果當(dāng)專業(yè)科室的員工從文件服務(wù)器下載文件（該文件是明文）時(shí)，該文件必須經(jīng)過(guò)網(wǎng)關(guān)處理，才能順利將該明文轉(zhuǎn)換成以k加密的密文后，最終以密文的方式存儲(chǔ)在客戶端。

2.2 加密策略管理服務(wù)器端主要實(shí)現(xiàn)了系統(tǒng)安全策略的管理

這樣一來(lái)，在所有安裝了客戶端加密軟件的電腦上，凡是被服務(wù)器策略控制的文檔，都是以密文方式存儲(chǔ)的。而文件服務(wù)器上存儲(chǔ)的都是明文文檔，不但較好地保持了歷史數(shù)據(jù)，而且使系統(tǒng)具備較好的兼容性。

3 文檔安全管理技術(shù)在變電三維領(lǐng)域的應(yīng)用

考慮到新系統(tǒng)可能會(huì)對(duì)一些專業(yè)軟件不兼容或者對(duì)專業(yè)設(shè)計(jì)人員造成操作上的不方便，我們?cè)诓渴鹪撓到y(tǒng)時(shí)采取了三步走的策略：

第一步，統(tǒng)計(jì)分析所有科室的專業(yè)軟件與新系統(tǒng)的兼容性，并有針對(duì)性地選擇一些崗位試用。為簡(jiǎn)化系統(tǒng)管理，新系統(tǒng)的權(quán)限全面開(kāi)放，全院各科室共享一個(gè)密鑰。

第二步，部署文件服務(wù)器的網(wǎng)關(guān)設(shè)備，充分測(cè)試歷史數(shù)據(jù)在新系統(tǒng)中的安全性，并重點(diǎn)測(cè)試客戶端與文件服務(wù)器文件交換的安全性。加強(qiáng)系統(tǒng)管理，對(duì)公務(wù)交換模塊設(shè)置權(quán)限，全院各科室仍共享一個(gè)密鑰。

第三步，深化系統(tǒng)管理，根據(jù)各個(gè)工作崗位，對(duì)加密策略服務(wù)器進(jìn)行適當(dāng)?shù)呐渲?，全院各科室使用不同的密鑰，系統(tǒng)全面運(yùn)行。

由于系統(tǒng)服務(wù)器端與客戶端間采用IP可達(dá)的連接原則，支持VPN的網(wǎng)絡(luò)連接。下一步，我們考慮：

（1）將變電三維各個(gè)工程總承包項(xiàng)目部也納入到文件加解密系統(tǒng)的管理范圍。

（2）加強(qiáng)移動(dòng)辦公的管理，使得在外出差人員也能方便地離線使用該系統(tǒng)，全面保護(hù)電子文檔的安全性。

4 結(jié)束語(yǔ)

由于RC4流加密算法具有高效、安全的優(yōu)勢(shì)，我們將其和最新的文件透明加密技術(shù)相結(jié)合，設(shè)計(jì)出了一個(gè)比較適合變電三維的基于RC4算法的透明加密數(shù)據(jù)防護(hù)系統(tǒng)。總的來(lái)看，文件安全管理系統(tǒng)運(yùn)行穩(wěn)定，對(duì)變電三維核心信息進(jìn)行了全生命周期強(qiáng)制加密保護(hù)，有效規(guī)避了員工有意或無(wú)意導(dǎo)致的信息泄密；防止了變電三維成果文件在內(nèi)部使用、交換時(shí)所帶來(lái)的數(shù)據(jù)泄密。

[1]William Stallings，孟慶樹(shù)譯.密碼編碼學(xué)與網(wǎng)絡(luò)安全-原理與實(shí)踐（第四版）.電子工業(yè)出版社，2006.

[2]李琴，曾凡平.RC4密碼的改進(jìn)方法及其性能分析[J].計(jì)算機(jī)工程，2008.