动态透明加解密技术分析与产品选型

文档的作者主动泄密是电子文档防泄密工作中最头疼的问题，从对比中可以看到能够控制主动泄密的解决方案包括：方案一，无盘工作站技术；方案二，磁盘加密加上外设控制再加上禁止互联网；方案三：文件透明加解密技术。

方案一讲所有电子文档几种存放在服务器上，通过用户管理和策略控制保证文档安全，但因为需要改变企业的IT架构，实施成本较高，而且无法管理离开企业内网的计算机；方案二要控制的内容非常多，不但包括计算机的硬件端口(如：USB、打印端口等)，还要封锁用户上网，用户在局域网内计算机间共享可能造成泄密，整体性价比不高，主要的缺点是易用性较差；所以方案三的文件透明加解密技术
其中，2、5、6项需要性能较高的服务器支持，4项需要性能很高的服务器且每服务器下挂的客户端数量较有限。

当然，这些技术方法很可能在一个解决方案中混合使用，例如常见1、2、3项混合。

二、文件透明加解密技术分析
1、主动加密和被动加密：
主动加密：指作者自己来按照需要对文件进行加密，例如WinRar带口令压缩、给Word 或Excel文件设置打开密码等。

只针对某些文件夹加密的方式也可以理解为主动加密方式。

被动加密：与作者的意愿无关，相关文件都会被加密，磁盘加密和文件透明加解密属于此类。

以下内容均为讨论被动加密。

2、“动态透明加解密”的含义：
动态和静态：动态是对文件读写多少就加解密多少，静态是指一次性把整个文件加密或解密。

两者的区别在于，动态加密由于不会出现整个文件的明文，相对于静态加密而言更加安全，两者在程序实现上存在区别。

透明：指使用者看不见、感觉不到加解密的存在，透明加密的实现目标是不对普通用户产生影响，用户在前台的操作习惯无需调整，能有效降低在企业实际应用中的阻力。

加解密：将文件内容使用某个密钥+某种算法转换成另外的内容，对于普通用户而言，其直观的效果是：在企业局域网中，具有授权的计算机能够打开被加密的文件，而一旦离开了这个环境，文件被打开时显示为乱码，从而防范用户有意无意的主动泄密。

3、透明加解密工作原理分析：
3.1重定向原理：
重定向指的是在打开文件时，将加密文件拷贝出一个临时文件到一个隐蔽的位置，然后把这个文件解密、打开，保存时再把临时文件加密后覆盖原文件，采用该技术的产品属于静态加密产品。

采用重定向原理的加密产品，实质上是通过变换文件位置来实现加密的，为了确保明文和密文之间的一致性，必须在每次用户存盘或者系统自动存盘的时候，对整个文件进行一次整体加密和并复制到用户文件原来存储的位置，因此效率较低，且由于在计算机上保存了完整的明文文件，只要跟踪到临时文件所在位置即可能泄密，此外，文件在存储过程中需要多次复制，应用程序兼容性需要验证。

3.2动态加解密原理：
采用动态加解密原理的加密产品在读取文件时，会将读出到内存的那部分数据解密，写文件时，则将内存中将写入的部分数据加密并下传至存储设备，采用该技术的产品属于动态加密。

采用动态加解密原理的产品由于只需要对部分文件内容进行加解密，效率较高。

但采用该工作原理在应用层没有可行的实现方法，只能在驱动层中开发，技术实现中的难度很大，开发成本较高。

其原因是由于windows操作系统读写文件时，基本采用二种方式，一种方式是使用ReadFile和WriteFile的常规读写方式，另一种是使用CreateFileMapping和MapViewOfFile的文件映射方式，如果应用程序仅用常规读写方式，可以在应用层通过API 函数的拦截来进行动态加解密；但在实践中很多程序使用了文件映射的读写方式，映射后文件的读写由系统底层缓存管理器自动处理，在应用层无法控制，例如Office就大量使用文件映射方式，在这种情况下只能在驱动层中进行开发加以控制。

4、文件加密状态确认：
4.1加密指定后缀：
实际上，考虑到整体系统的稳定性和可管理性，文件的加密标记存放在文件内部，更能保证标记的可靠性、恒久性和通用性，而使用重定向原理时由于是静态加解密，加密标记存放位置对此类产品的影响不大。

我们这里把使用动态加解密原理时的文件头和文件尾技术进行对比：
假设一个文件的开头位置是P1，结束位置是P2，加密标记的长度是L，带文件头和带
文件尾有不同的状态，然后需要发出一个写操作从Pw1位置写到Pw2位置，此事写操作会超过原有的结束位置P2，如图1
图1 动态加解密时文件头和文件尾对比
文件头标记的处理方法：仅改变写入位置参数将Pw1= Pw1+L然后加密Pw2-Pw1这段内容并传递下去。

文件尾标记的处理方法也有两种：一种方法是将L段加密标记复制到内存中，然后加密Pw2-Pw1这段内容并原位置传递下去，再到Pw2的位置把L段加密标记接上去；另一种方法是先到Pw2的位置复制L段加密标记并接上去，然后加密Pw2-Pw1这段内容并原位置传递下去。

从以上分析可以看出，在文件尾加标记会导致加长写文件时软件要多执行一个动作，就是移动尾部加密标记的动作，如果完成第一个动作后由于掉电或其他原因未能完成第二个动作，那么文件就会被损坏。

不论是加长写文件还是缩短写文件都需要把加密标记不断移动，可能在一个文档的一个保存操作中这种动作会执行几十上百次。

当然计算机掉电本来就有可能造成文件的损坏，但使用文件头标记不会造成多余的动作，
也就意味着使用文件头存放加密标记在文件损坏的概率与文件未加密时是相等的，没有扩大文件损坏的概率。

还发现为了逃避技术实现上的困难，某些透明产品虽然使用了文件尾加密标记的处理方式，但会在打开文件时去掉尾部的加密标记，关闭文件时再将该尾部标记加上，这种方法是不可取的，因为在用户打开了大量的文件后，如果出现掉电等意外情况，会导致所有打开文件的加密标记全部丢失，从而造成大量文件无法打开，这是企业用户绝对不能容忍的。

三、文件动态透明加解密产品评测基本点
1.可靠性
在进行各种大量文件操作后，文件是否会出现异常而无法打开，企业可以使用各种常规和非常规的方法来仔细测试；此外透明加密产品是否支持在网络文件系统下各种应用程序的正常工作也可以作为一个考核的要点。

2.稳定性
安装透明加密产品后，可多次开机、注销、关机看客户端是否正常；还可以安装不同的杀毒软件，检查透明加密产品是否能正常运行；在各种不同的程序进行文件自动加密后，也可以检查是否会造成应用程序异常甚至崩溃。

3.效率
取出若干文件样本进行测试，分为二类，一类是较大的文件，二是一个目录中有较多的文件，先记录下这些文件在未安装加密软件前的打开窗口中预览、打开、保存等各项操作的时间，然后加密这些文件，安装加密后再来对比这些操作的时间。

使用大型的三维CAD装配体来检测是一种比较有效的方法。

4.安全性
安装透明加密产品后，可将文件编辑后拷贝到未安装加密产品的计算机上，查看是否能够打开；可检查文件打开后，复制粘贴、拖拽、OLE等操作是否受到控制，是否可以从受控程序中将文件内容移到其他程序中（例如：从word中将文档移到excel、写字板中等）；
将文件使用各种方法另存为任意后缀后拷贝到未安装加密的计算机上，查看是否能够打开；使用注入工具来攻击受控程序看是否能够获得明文文件；文件的加密密钥是否可以自行制定，保证即使加密软件开发商无密钥时拿到加密文件也无法打开。

5.透明度
安装后按照正常习惯使用，看是否有和普通使用不同的地方，在使用过程中是否足够透明，是否影响原有的工作习惯；是否一个加密文件打开后，其他进程就无法访问，从而影响工作甚至导致一些软件无法协同工作(例如一些PDM软件就要求在文件正在打开状态时检入)；是否在多台计算机同时打开共享的同一个文件时仍编辑文件等。

6.可扩展性
是否支持一些防泄密的外围辅助功能（如：封锁usb、打印端口等）；是否可以扩展支持新的操作系统及未来的操作系统（如：是否支持vista等）；是否可以扩展加密算法；是否可以对一些OA和PDM等软件进行集成的定制。

本文提到的一些原理和方法并不能涵盖透明加密产品的全部，对于透明加密这个还在迅速发展的领域，企业在选择产品的时候一定要对自己的需求有全面的把握，牢牢抓住自己的核心需求，充分评估自身的管理水平后，一定能够找到一款适合自己的透明加密产品。