基于濾驅動技術的文件密級標識全程管控系統

張 慶

（內江職業技術學院，四川內江，641100）

0 概述

基于濾驅動技術的文件密級標識全程管控系統是一種通過不同方式對系統重要文件進行加密和解密的系統。在這一過程中操作系統會對Windows 中的文件系統和用戶模式通過相關應用程序和具體操作請求來進行加密和解密，并且能夠在此基礎上進行表述了文件系統驅動與文件系統過濾驅動之間的關系,即通過對文件系統對用戶模式進行相應的方式來對應用程序操作請求的原理進行分析,從而在此基礎上進行相關的驅動工作和通信工作。

隨著Windows 系統的操作越來越人性化和舒適化，這一系列的操作系統正在受到越來越多的PC 使用者的青睞。但是與此同時Windows 的系統操作安全問題也受到了越來越多的重視。基于濾驅動技術的文件密級標識全程管控系統的應用能夠將操作系統的整體安全性進行有效提升并且能夠在此基礎上實現對關鍵文檔資料的加密,例如對于PC 中一些涉及個人隱私、企業機密word 文件、PPT 文件、CAD 文件等文件基于濾驅動技術的文件密級標識全程管控系統的應用能夠進行合理的監控、透明加密、透明解密等重要的操作。目前國內現有的文件密級管控系統的主要功能是針對重要文檔和文件的一些關鍵字的匹配情況進行加密。這種加密方式仍然存在一定較為嚴重的缺陷。即這一文件密級管控系統只是一個對信息進行管理的非智能化管理手段并且這一管理手段的應用還需要PC 使用者進行參與，但是其并不能保證密級標識和信息主體的不可分離、不可篡改、不會泄露。在這一情況下這一技術的應用可以有效的解決上述缺陷的存在。例如這一系統的應用能夠提升信息主體的完整性并且減少這些文件收到篡改的可能性。這在某種程度上很好的提升了重要文件的安全性和隱秘性。基于濾驅動技術的文件密級標識全程管控系統的應用能夠有效確保信息驗證的完整性與此同時做到不會否認基本的驗證功能。與此同時。在文件加密工作大致完成之后，工作人員可以通過低級終端和高級終端之間的有效切換并且設置單邊信息訪問要求，能夠促進其安全性的有效提升。除此之外，在本地文檔的加密和解密過程中可以通過用戶身份鑒證這一方式來有效提升其安全性，即只有通過身份鑒證飛用戶才能對經過設置的本地文檔進行瀏覽和操作，從而在此基礎上有效保證本地文檔的安全性。另外，與此相對應的是，權限設置這一方法雖然存在一定的缺陷性但是依舊有著較好的應用。例如PC 使用者可以按照自己文檔管理的目的和需要對文檔設定相應的閱讀權限和操作權限，在此基礎上通過對其進行細化和分類可以對這一方法進行較為靈活的使用。綜上所述，基于濾驅動技術的文件密級標識全程管控系統應用的最主要思路在于通過相應的過濾驅動程序對PC中的重要文件進行有效的加密和解密工作，從而提升這些文件的安全性。當PC 用戶打開這些文件時,系統能夠自動進行解密操作,即在保證加密操作和解密操作對于用戶是絕對透明的前提下促進其整體安全性的有效提升。

1 現有文件加密方法分析

一般而言現有的文件加密方法在存在自身優越性的前提下也存在其固有缺陷，這主要體現在硬件層加密方式、調用驅動層、系統調用層、用戶層加密方式等加密方法上。以下從幾個方面出發，對現有文件加密方法進行了分析。

1.1 硬件層加密方式

在這種加密方式中CPU 并不會參與信息和數據的加密、解密過程,其加密、解密過程主要是在硬件引擎中完成的。這種硬件層加密方法具有加密速度、解密速度較快的優越性。但是同時存在著加密、解密成本較高的缺陷。

1.2 調用驅動層

調用驅動層加密屬于軟件加密方式。其加密、解密的進行實在PC 的操作系統內核（如圖1）進行的,因此這一加密方法的應用可以有效得到系統內核保護,并且加密、解密流程較為簡易。與此同時由于這一文件加密方法主要依賴中間層驅動程 序因此受應用層的影響較小。因此其相關工作能夠在后臺進行自動完成。但是這一加密方法也存在加密效率、解密效率較低，開發難度高等缺陷。

圖1

1.3 系統調用層

系統調用層加密是指通過使用插入技術來為PC 使用者的文件進行加密的方法。這一加密方法的基礎是用戶空間和內核空間的合理通信,即只有在這個通道內相應操作才會被處理。這種系統調用層加密方法的應用具有對全部操作進行加密的優越性，但是同時存在加密成本較高的缺陷。

1.4 用戶層加密方式

用戶層加密方式顧名思義即PC 用戶自己進行加密的加密方法，這一加密方法具有易于實現的優越性，但是由于這一加密方法是用戶自行進行的加密，因此這一加密很容易受到其他程序的攔截。即這一加密、解密方法的安全性仍然有待提升。

2 文件系統驅動概述

通常來說文件系統驅動是在操作系統的子系統中的一個儲存組件。因此子系統管理器在接收到讀寫磁盤操作請求時會優先對緩存中的數據進行有效的檢查。如果緩存中存在請求的數據則子系統管理器會構造相應的請求包并且從緩存中進行數據的直接存取。但是如果當緩存中不存在相應的請求數據則子系統會進行IRP 的有效構造并且將其發往文件系統驅動,并且在這一過程中緩存管理器會對整個流程進行相應的記錄。因此對這兩組函數進行編寫也是編寫這兩組函數也是基于濾驅動技術的文件密級標識全程管控系統的重要任務。

3 文件密級標識系統設計

文件密級標識系統設計是基于濾驅動技術的文件密級標識全程管控系統的應用關鍵部分。這主要體現在用戶模式應用程序、文件系統過濾驅動程序、回調函數入口指針等環節。以下從幾個方面出發，對文件密級標識系統設計進行了分析。

3.1 用戶模式應用程序

用戶模式應用程序是依靠用戶操作為主的加密程序，這一程序的有效應用可以將PC 用戶進行過設置的信息進行更為安全的傳遞和傳輸，并且在此基礎上將其傳遞給文件系統過濾驅動程序。用戶模式應用程序的使用可以針對不同的加密需求和加密條件對文件和數據選擇不同的加密、解密操作，從而有效達到防治文件、數據泄露的目的。（如圖2）

圖2

3.2 文件系統過濾驅動程序

文件系統過濾驅動程序的應用能夠以輪巡方式讀出文件內的數據和信息，并且通過之前內核中記憶的數據和信息進行對比，從而判定這些數據和文件是否具有完整性，如果具有完整性則在對其進行過濾后進行加密的程序。文件系統過濾驅動程序的應用能夠較好地保持文件和數據的完整性并且能夠對于被篡改的數據、信息進行一定程度上的修正和恢復，并且具有占用系統資源較小，運算速度較快等優越性，因此有著較為廣泛的應用。

3.3 回調函數入口指針

PC 使用者在回調函數入口指針的應用過程中可以采用分發例程處理，從而在此基礎上對文件系統過濾驅動進行定義并且這一定義并不要求對IRP 進行處理。即回調函數入口指針的應用能夠將請求直接發往下層驅動同時不需要進任何處理。與此同時，在回調函數入口指針的應用過程中PC 使用者可以在不改變自身基本應用習慣的前提下對系統中重要的數據、信息、文件進行加密，對不需要保護的文件則進 行條件控制，適當地進行加密或不加密處理。

4 入口函數編寫

入口函數的編寫是基于濾驅動技術的文件密級標識全程管控系統的重要組成部分。這主要體現在請求響應函數編寫、WRITE 分發函數編寫、READ 分發函數編寫等環節。以下從幾個方面出發，對入口函數編寫進行了分析。

4.1 請求響應函數編寫

請求響應函數的編寫是入口函數編寫的重要組成部分。通常來說相應函數的添加需要PC 使用者手動添加同時建立一個單文檔程序，并且當原函數沒有參數時，PC 使用者應當增加相應的參數，同時進行代碼的寫入。另外，在請求響應函數的編寫過程中其數據自身應當也是可以進行加密和解密的，這雖然則加了其相應的編寫難度，但是與此同時也增加了其編寫性能和編寫安全性。從而在此基礎上更好地降低請求響應函數的編寫難度何其對PC 整體性能的影響。

4.2 WRITE 分發函數編寫

在WRITE 分發函數的編寫過程中如果這些文件并不需要PC使用者進行加密則會直接向下層驅動傳遞該操作請求。除此之外，在WRITE 分發函數編寫過程中PC 使用者應當從文件路徑名中將文件后綴名進行取出并且將其與需要加密的文件的后綴名進行比較。從而促進基于濾驅動技術的文件密級標識全程管控系統應用水平的有效提升。

4.3 READ 分發函數編寫

READ 分發函數的編寫能夠實現以下功能，首先能夠獲取需要加密的文件的路徑名并且在此基礎上判斷這一文件是否是需要進行加密的文件。如果是需要加密的文件則會自動對齊進行解密。除此之外，在READ 分發函數的編寫過程中關于文件路徑名的獲取與上述方法類似,在這之后系統也會對文件的后綴名進行判斷。如果是需要進行加密的文件、信息和數據則系統會對加密過的文件、信息和數據進行有效的解密。另外，在.READ 分發函數的編寫過程中PC 使用者應當注重確保需要進行解密的文件的數據結構,但是與此同時應當注意，這一方法與上述方法存在一定的不一致，即其解密過程是在系統內核完成的，因此其操作具有較為復雜的特性。

5 文件系統過濾驅動通信

文件系統過濾驅動通信是為了在PC 使用者在完善操作系統的過程中提供更高的的安全值的通信方式，由于文件系統過濾驅動在本質上而言是一種內核模式驅動，因此這一驅動模式的進行較為依靠于已存在的內核驅動請求，并且在這些請求的基礎上提供新的功能文件系統過濾驅動，同時其戶模式、應用程序、信息通信都是基于濾驅動技術的文件密級標識全程管控系統應用的具體環節下的。在文件系統過濾驅動通信的基本過程中PC 使用者應當注重按照相應步驟來進行相關工作。例如PC 使用者可以將文件系統過濾驅動綁定到相關的目標設備對象上，從而當其信息、數據發生變化時可以通過這些綁定設備對其進行有效的攔截，因此其整體安全性將會得到有效提升。接下來PC 使用者可以通過獲得一個指向目標設備對象的指針來創建一個驅動設備對象，從而在此基礎上確保文件系統過濾驅動通信的各種域的設定是正確的，即其各種域的設定對于調用目標的驅動服務并不會產生較大影響同時不會影響到PC 的整體處理速度。在上述工作完成之后PC 使用者就可以進行文件系統過濾驅動通信，在進行加密、解密通信時需要對管理器進行有效設置，因此在信息的傳遞過程中文件系統的過濾驅動應當能夠區分哪些操作請求是需要文件系統過濾驅動進行處理的。并且當之前的綁定操作完成之后，新設置的管理器會將文件中的信息和數據發往過濾驅動。除此之外，在文件系統過濾驅動通信過程中PC 使用者應當注重新IPR 的有效創建。即依靠之前設定的管理器對IRP 進行的合理創建并且對這些IPR 輸入打開請求，子系統管理器會根據IRP 的具體情況對這些信息進行判定，如果符合判斷則將其發給最高層設備對象，如果不符合判斷則發給相應的邏輯設備進行再判斷，直到確定不符合之前的管理器要求。通常來說當管理器進行初始化時對其適應值進行重新確認有著較為重要的意義。但是這需要PC 使用者將最開始進行的綁定進行解除，并且在部分情況下需要從被綁定的驅動上進行綁定解除但是有時也需要過濾驅動從目標設備上進行綁定解除。在這一過程中PC 使用者應當明晰在初始化中其參數值存在一個并且其該函數只有一個參數目標設備對象指針也只有一個。因此在對其進行初始化是PC 使用者應當格外謹慎。另外，對這一攔截問題進行解決方法是在進行驅動時用相應驅動軟件創建一個命名控制設備的對象并且在這一設備對象中擴展驅動中定義設備類型。例如當PC使用者需要對修改控制設備的對象設備的擴展類型進行判定并且在系統攔截操作請求后,通過對設備的擴展類型進行檢查。即通過得知該操作請求是系統發送的還是用戶通過應用程序進行發送的。并且在這之后對子系統控制碼和網絡文件系統控制碼以及文件系統控制碼等進行定義,從而獲得文件系統過濾驅動的版本號。從而在此基礎上促進信息更加有效的進行加密、解密和傳遞。

6 結語

在Windows 操作系統應用越來越多的今天，系統安全性提升的重要性也被越來越多的人認識到。PC 使用者在文件的加密和解密過程中應當對基于濾驅動技術的文件密級標識全程管控系統有著清晰的了解，并在此基礎上通過研究與實踐的進行促進Windows 安全性整體水平不斷提升。

[1] 王文宇，陳尚義.電子文件密級管理系統的關鍵技術與設計[J].信息安全與通信保密，2009（10）

[2] 邊力,陳性元,汪永偉.基于多維標識的文件分級保護模型[J].計算機工程,2011(13)

[3] 武越,劉向東,石兆軍.文件密級標識全程管控系統的設計與實現[J].計算機工程與設計，2013(10)