文檔安全管理技術在變電三維領域的應用

◆何科峰

?

文檔安全管理技術在變電三維領域的應用

◆何科峰

（中國能源建設集團甘肅省電力設計院有限公司 甘肅 730050）

文件是計算機系統中非常重要的資源，數據加密技術可以有效保護計算機數據文件的安全性。本文介紹了RC4流密碼加密算法的工作原理，利用基于鉤子和文件過濾驅動技術，構造了一個有效的文檔安全管理系統。新系統避免了傳統方法的不足，對企業重要信息主動進行強制加密保護，有效避免了有意或無意的信息泄密；同時防止核心信息在內部使用時所帶來的數據擴散泄密，這個技術對于變電三維領域至關重要。

RC4；流密碼；透明加密；文檔安全；變電三維

0 引言

計算機信息網絡技術的高速發展和電力信息系統的不斷投入，電力企業帶來了低成本、高效率等諸多好處。然而對于如今的設計企業來講，如何應對復雜網絡環境下的主動攻擊和被動攻擊，切實保護好數字化三維設計成果文件的安全（如數據存儲、數據傳輸和數據處理的安全）已經成為一個亟待解決的問題。

本文基于RC4流加密體制，結合我院的實際情況，設計部署了一個可行的文件安全管理系統，較好地保護了變電三維的各項電子成果文件及知識產權的安全。

1 相關知識

1.1 RC4流加密算法介紹

RC4算法從密碼學分類上屬于對稱加密中的流密碼算法。根據一次一密的安全性原理，流密碼算法中的偽隨機序列由輸入的對稱密鑰（也叫種子密鑰）所確定，通過一個偽隨機序列生成器進行某種復雜的運算產生大量的偽隨機密鑰流，對明文數據流加密得到密文流。

1.2 透明加密技術介紹

開發人員可以在內核級和用戶級對文件的讀寫進行操作，從底層技術來看，內核層采用文件驅動的方式，應用層采用Hook API的方式。我們可以將透明加密分為基于鉤子（Hook）技術的透明加密和基于驅動的透明加密方式。

（1）基于鉤子的透明加密[3]

所有Windows應用程序都是通過windows API函數對文件進行讀寫的。程序在打開或新建一個文件時，一般要調用windows的Create File或Open File、Read File等Windows API函數；而在向磁盤寫文件時要調用Write File函數。

（2）驅動加密技術

驅動加密技術基于windows的文件系統過濾驅動（IFS）技術[4]，文件系統驅動就是把文件作為一種設備來處理的一種虛擬驅動。當應用程序對某種后綴文件進行操作時，文件驅動會監控到程序的操作，并改變其操作方式，從而達到透明加密的效果。

在Windows NT 內核模式中，驅動設計采用分層結構，分別為文件系統驅動、中間層驅動和設備驅動。

文件過濾驅動位于I/O管理和文件系統驅動之間，可監控系統發往下層驅動的I/O請求包（I/O Request Packet，IRP）。它利用過濾器驅動程序可以為現有功能驅動程序添加新功能，而不必重新編寫原有的功能驅動程序。

舉例來說，如果我們要為文件系統新增加解密功能，則無需重新編寫文件系統驅動程序，只要直接在其上添加一個過濾驅動層，在該層中完成加解密功能即可。

2 基于RC4算法的文檔安全管理系統的構造

圖1 文檔安全系統拓撲圖

2.1 院變電三維業客戶端文件透明加密

由于三維變電各專業部門使用大量的專業軟件，為了有效管理各個專業的成果文件，我們在專業科室的客戶端軟件中采用了基于文件系統過濾驅動技術和HOOK技術相結合的透明加密方法，以便于監控客戶端進程。加密算法利用高效的RC4。

由于系統采用的加密算法RC4屬于對稱加密，故專業科室的員工可以在科室內部共享密鑰k，這樣科室內部實現了透明加密。同樣專業科室的員工可以在科室內部共享密鑰k。

當專業科室的員工向專業科室的某人發送文件（該文件是密文）時，該文件必須經過“公文交換”模塊（權限控制），才能順利抵達對方，并將該以k加密的密文轉化為k加密的密文。

當專業科室的員工向院外部拷貝文件（該文件是密文）時，該文件必須經過“公文交換”模塊（權限控制），才能順利該以k加密的密文轉化為明文。如果用戶直接拷貝密文，打開的將是無效文件。

當專業科室的員工向文件服務器上傳文件（該文件是密文）時，該文件必須經過網關處理，才能順利將以k加密的密文解密，最終以明文的方式存儲在文件服務器上。

同樣的，如果當專業科室的員工從文件服務器下載文件（該文件是明文）時，該文件必須經過網關處理，才能順利將該明文轉換成以k加密的密文后，最終以密文的方式存儲在客戶端。

2.2 加密策略管理服務器端主要實現了系統安全策略的管理

這樣一來，在所有安裝了客戶端加密軟件的電腦上，凡是被服務器策略控制的文檔，都是以密文方式存儲的。而文件服務器上存儲的都是明文文檔，不但較好地保持了歷史數據，而且使系統具備較好的兼容性。

3 文檔安全管理技術在變電三維領域的應用

考慮到新系統可能會對一些專業軟件不兼容或者對專業設計人員造成操作上的不方便，我們在部署該系統時采取了三步走的策略：

第一步，統計分析所有科室的專業軟件與新系統的兼容性，并有針對性地選擇一些崗位試用。為簡化系統管理，新系統的權限全面開放，全院各科室共享一個密鑰。

第二步，部署文件服務器的網關設備，充分測試歷史數據在新系統中的安全性，并重點測試客戶端與文件服務器文件交換的安全性。加強系統管理，對公務交換模塊設置權限，全院各科室仍共享一個密鑰。

第三步，深化系統管理，根據各個工作崗位，對加密策略服務器進行適當的配置，全院各科室使用不同的密鑰，系統全面運行。

由于系統服務器端與客戶端間采用IP可達的連接原則，支持VPN的網絡連接。下一步，我們考慮：

（1）將變電三維各個工程總承包項目部也納入到文件加解密系統的管理范圍。

（2）加強移動辦公的管理，使得在外出差人員也能方便地離線使用該系統，全面保護電子文檔的安全性。

4 結束語

由于RC4流加密算法具有高效、安全的優勢，我們將其和最新的文件透明加密技術相結合，設計出了一個比較適合變電三維的基于RC4算法的透明加密數據防護系統。總的來看，文件安全管理系統運行穩定，對變電三維核心信息進行了全生命周期強制加密保護，有效規避了員工有意或無意導致的信息泄密；防止了變電三維成果文件在內部使用、交換時所帶來的數據泄密。

[1]William Stallings，孟慶樹譯.密碼編碼學與網絡安全-原理與實踐（第四版）.電子工業出版社，2006.

[2]李琴，曾凡平.RC4密碼的改進方法及其性能分析[J].計算機工程，2008.