賴宗力 李躍捷

北京應(yīng)用物理與計(jì)算數(shù)學(xué)研究所 北京 100088

0 引言

隨著以計(jì)算技術(shù)、通訊技術(shù)為主的信息技術(shù)的快速發(fā)展，互聯(lián)網(wǎng)的廣泛應(yīng)用以及信息電器的普及，信息安全已成為人們廣為關(guān)注的問題，例如Windows2000留有后門和奔騰－4芯片進(jìn)行客戶記錄的情況，更加深了對(duì)于所用系統(tǒng)安全性的關(guān)注。我國(guó)計(jì)算機(jī)安全防護(hù)能力處于發(fā)展的初級(jí)階段，許多計(jì)算機(jī)基本上處于不設(shè)防狀態(tài)，對(duì)保護(hù)普遍采取的措施是訪問權(quán)限控制，這種方式雖然起到一定的保護(hù)作用，但對(duì)于許多用戶來說并未從根本上解決防泄密問題。這就像用不上鎖的文件柜來存放重要的機(jī)密文件，很容易受到內(nèi)部竊賊窺視、計(jì)算機(jī)木馬竊取、病毒和網(wǎng)絡(luò)黑客的攻擊，具有極大的危險(xiǎn)性。經(jīng)過權(quán)威部門統(tǒng)計(jì)目前很多政府機(jī)關(guān)和企事業(yè)單位信息資產(chǎn)70%的泄密都是由于電腦中的信息在存儲(chǔ)環(huán)節(jié)沒有嚴(yán)格遵守規(guī)定得到應(yīng)有的保護(hù)造成的?，F(xiàn)在各單位對(duì)下屬各部門的固定電腦基本采取權(quán)限控制、令牌登錄、聯(lián)網(wǎng)監(jiān)測(cè)、打印拷貝登記審核等措施。但是作為單位的領(lǐng)導(dǎo)、科研部門的課題負(fù)責(zé)人、學(xué)術(shù)帶頭人經(jīng)常需要外出進(jìn)行投標(biāo)、匯報(bào)工作、學(xué)術(shù)交流等事務(wù)。不可避免地隨身攜帶筆記本電腦或信息存儲(chǔ)器，如果攜帶筆記本電腦或信息存儲(chǔ)器存有的重要信息遭到搶劫、失竊、遺忘造成一定時(shí)間的失控，其不僅會(huì)給單位造成巨大的經(jīng)濟(jì)損失，甚至?xí)＜皣?guó)家的安全和社會(huì)的穩(wěn)定。因此隨身攜帶的筆記本電腦及信息存儲(chǔ)器的防搶、防丟、防竊的安全措施是我們考慮的重點(diǎn)問題。也就是說你萬一丟竊的電腦硬盤被非法者卸下，作為另一臺(tái)電腦的副盤使用，原有的權(quán)限控制、令牌登錄等措施都失去作用。文件信息的安全自然也無法保障；更進(jìn)一步說，如果用戶采取修改硬盤主引導(dǎo)程序的分區(qū)表方式給硬盤加鎖阻止非法用戶登錄，其非法者也可利用市場(chǎng)硬盤數(shù)據(jù)恢復(fù)工具恢復(fù)分區(qū)表或拷貝獲得硬盤文件內(nèi)容。同樣文件信息的安全也無法獲得保障。因此市場(chǎng)需要一種加密體與被加密體相分離攜帶，硬件與軟件相結(jié)合的方法來強(qiáng)化信息安全措施。

1 系統(tǒng)的主要構(gòu)成及功能設(shè)計(jì)

本項(xiàng)目主要研究的內(nèi)容是解決計(jì)算機(jī)安全登錄與信息安全保護(hù)。該系統(tǒng)是由含有USB接口的智能卡(稱為99KEY電子鑰匙)及軟件組成。它是在WINDOWS平臺(tái)上使用的，其一能夠?qū)τ?jì)算機(jī)硬盤中的重要信息進(jìn)行加密和保護(hù)。該產(chǎn)品可將硬盤中的重要數(shù)據(jù)集中存放在安全文件夾—保險(xiǎn)箱中，系統(tǒng)可自動(dòng)將這個(gè)文件夾隱藏，自動(dòng)對(duì)該文件夾中的全部文件內(nèi)容進(jìn)行加密、解密(文件無格式、大小容量限制，數(shù)秒至數(shù)分鐘之內(nèi)快速完成加、解密工作)用戶的個(gè)人信息和加密密鑰及部分加密算法存放在電子鑰匙中，在對(duì)安全文件夾使用者的合法身份驗(yàn)證時(shí)和文件的加解密時(shí)必須由硬件和軟件共同實(shí)現(xiàn)上述過程。保證了系統(tǒng)的安全性和可靠性。其二對(duì)遠(yuǎn)程傳輸過程中的信息進(jìn)行加密，認(rèn)證讀取。其三對(duì)計(jì)算機(jī)和登錄采取硬件(99KEY)和軟件口令相結(jié)合辦法進(jìn)行身份確認(rèn)，確保計(jì)算機(jī)合法用戶安全登錄系統(tǒng)。

1.1 含有USB接口的智能卡的技術(shù)要求

（1）符合USB2.0技術(shù)規(guī)范，通訊速率》1.5MBIT/S；

（2）10萬次熱插拔，最大功耗100mW；

（3）支持RSA 1024bit、ECC 160bit/192bit 公鑰密碼算法，直接在芯片內(nèi)生成RSA或ECC密鑰；

（4）電源5±10%V，由USB接口直接供給；

（5）內(nèi)置SmartCOS PK 安全操作系統(tǒng)；

（6）環(huán)境溫度：0℃～70℃，相對(duì)濕度：30%～95%；

（7）采用國(guó)家密碼管理委員會(huì)批準(zhǔn)的算法；

（8）生成10E38全球惟一EKEY序列號(hào)。

1.2 運(yùn)用軟件部分的技術(shù)要求

（1）采用先進(jìn)的多層C/S結(jié)構(gòu)，具有設(shè)計(jì)開發(fā)靈活性和擴(kuò)展性；

（2） 采用Visual C++平臺(tái)開發(fā)，使系統(tǒng)運(yùn)行穩(wěn)定并可移植；

（3）采用先進(jìn)的組件技術(shù)；

（4）具有再開放的平臺(tái)和接口；

（5）用戶界面友好簡(jiǎn)單快捷；

（6）網(wǎng)絡(luò)通信規(guī)程：統(tǒng)一為TCP/IP；

（7）用戶安裝方便，系統(tǒng)自動(dòng)檢測(cè)用戶的網(wǎng)絡(luò)及軟件環(huán)境，自行進(jìn)行軟件安裝。

2 系統(tǒng)的基本原理及關(guān)鍵技術(shù)解決

我們能否做到像鏈路加密機(jī)的工作方式一樣，明文送出加密機(jī)即加密，密文進(jìn)入加密機(jī)即解密，實(shí)現(xiàn)明文文件寫入硬盤即加密，從硬盤讀出即解密呢？也就是說做一個(gè)類似加密機(jī)工作方式的驅(qū)動(dòng)程序，放入計(jì)算機(jī)操作系統(tǒng)中，用它來控制對(duì)硬盤的讀寫操作。實(shí)現(xiàn)我們的加解密過程。

通常在Windows操作系統(tǒng)中，用戶應(yīng)用程序(用戶進(jìn)程)對(duì)硬件的訪問都要經(jīng)過操作系統(tǒng)的管理程序(系統(tǒng)進(jìn)程)來實(shí)現(xiàn)。系統(tǒng)管理程序由眾多的設(shè)備驅(qū)動(dòng)程序組成，從而形成操作系統(tǒng)的核心層，這個(gè)核心層負(fù)責(zé)對(duì)用戶請(qǐng)求的調(diào)度和管理，控制對(duì)操作系統(tǒng)資源的訪問，這些系統(tǒng)資源包括諸如硬盤、內(nèi)存、顯示器、鍵盤、鼠標(biāo)及其他外部設(shè)備等。因此我們?cè)O(shè)計(jì)開發(fā)的計(jì)算機(jī)安全登錄與信息安全保護(hù)系統(tǒng)的基本思路就是尋找一種硬件、軟件相結(jié)合方法。讓其不工作時(shí)加密工具與被加密體分離保管，需要時(shí)合二為一。加密和解密進(jìn)程在操作系統(tǒng)底層實(shí)現(xiàn)的，而用戶的個(gè)人信息和加密密鑰及部分加密算法存放在電子鑰匙中，當(dāng)操作系統(tǒng)對(duì)文件發(fā)出“寫”指令時(shí)，由虛擬設(shè)備驅(qū)動(dòng)程序攔截內(nèi)存中將要進(jìn)行寫操作的數(shù)據(jù)流，同時(shí)調(diào)用 99KEY中的加密密鑰及部分加密算法和加密參數(shù)，將數(shù)據(jù)進(jìn)行加密處理后進(jìn)入指定的硬盤空間。由于這種方法是動(dòng)態(tài)實(shí)現(xiàn)加密處理，無論系統(tǒng)出現(xiàn)死機(jī)或斷電，存入硬盤的數(shù)據(jù)始終是密文，使得加密文件的安全性更加可靠；最重要的是由于產(chǎn)品是基于個(gè)人應(yīng)用，使用者無須對(duì)文件加/解密進(jìn)行任何操作，在對(duì)文件進(jìn)行保存、另存為、拷貝粘貼、拖動(dòng)的過程中自動(dòng)完成了對(duì)文件的加密和解密，使科研人員所配備的筆記本電腦和活動(dòng)硬盤中科研課題內(nèi)容進(jìn)行加密，萬一被竊取也只是亂碼密文，以增加信息的安全性。

項(xiàng)目的關(guān)鍵技術(shù)是在操作系統(tǒng)層實(shí)現(xiàn)對(duì)數(shù)據(jù)的動(dòng)態(tài)加密和解密。通俗點(diǎn)說通過一種基于機(jī)器指令的過程攔截技術(shù)實(shí)現(xiàn)對(duì)數(shù)據(jù)庫(kù)系統(tǒng)和文件系統(tǒng)所有數(shù)據(jù)存取的操作進(jìn)行攔截和控制，進(jìn)而實(shí)現(xiàn)本地?cái)?shù)據(jù)庫(kù)內(nèi)容和文件內(nèi)容的數(shù)據(jù)保存到硬盤是進(jìn)行加密處理的，從硬盤讀到數(shù)據(jù)庫(kù)系統(tǒng)到內(nèi)存時(shí)再進(jìn)行解密處理；而且當(dāng)遠(yuǎn)程訪問數(shù)據(jù)庫(kù)系統(tǒng)時(shí)，通過攔截網(wǎng)絡(luò)訪問的發(fā)送和讀寫操作實(shí)現(xiàn)對(duì)發(fā)起方的數(shù)據(jù)進(jìn)行加密和認(rèn)證保護(hù)，對(duì)接受方則進(jìn)行解密和驗(yàn)證。

例如：Windows9x操作系統(tǒng)使用兩個(gè)優(yōu)先權(quán)保護(hù)級(jí)分別為Ring0和Ring3級(jí)。系統(tǒng)進(jìn)程運(yùn)行于Ring0級(jí)(最高的訪問級(jí)別)，因而具有對(duì)系統(tǒng)全部資源的訪問權(quán)和管理權(quán)；而普通用戶進(jìn)程運(yùn)行于Ring3級(jí)，只能訪問自己的程序空間，不允許對(duì)系統(tǒng)資源進(jìn)行直接訪問，因此許多操作受到限制。顯然這種普通用戶進(jìn)程是無法勝任實(shí)時(shí)加解密工作的。因此我們要實(shí)現(xiàn)的驅(qū)動(dòng)程序(后臺(tái)監(jiān)視進(jìn)程)必須運(yùn)行在Ring0優(yōu)先級(jí)，而實(shí)現(xiàn)這一目的基礎(chǔ)就是虛擬設(shè)備驅(qū)動(dòng)程序VxD技術(shù)。虛擬設(shè)備驅(qū)動(dòng)程序，用作 Windows9x系統(tǒng)和物理設(shè)備之間的接口。但它不僅適用于硬件設(shè)備，也適用于按VxD規(guī)范所編制的各種軟件“設(shè)備”。

VxD有兩種裝入方式：靜態(tài)裝入與動(dòng)態(tài)裝入。靜態(tài)裝入就是隨虛擬機(jī)管理器(VMM)一起裝入，即系統(tǒng)啟動(dòng)時(shí)加載，系統(tǒng)關(guān)閉時(shí)卸載。動(dòng)態(tài)裝入是被調(diào)用時(shí)才被加載，調(diào)用完畢就被卸載。在這兩種方式下，VxD都是和VMM緊密地聯(lián)系在一起的，這使得VxD可以完成應(yīng)用程序一些無法完成的功能：VxD可以不受限制地訪問硬件設(shè)備，檢查操作系統(tǒng)數(shù)據(jù)結(jié)構(gòu)，訪問任意地址內(nèi)存，I/O端口，內(nèi)存區(qū)域訪問，甚至截取硬件中斷。

VxD技術(shù)的實(shí)質(zhì)是：通過加載具有Ring0最高優(yōu)先級(jí)的VxD，運(yùn)行于 Ring3上的應(yīng)用程序能夠以一定的接口控制VxD的動(dòng)作，從而達(dá)到控制系統(tǒng)的目的。實(shí)時(shí)加解密軟件之所以要使用VxD技術(shù)，關(guān)鍵有二：①VxD擁有系統(tǒng)最高運(yùn)行權(quán)限；②許多Windows9x系統(tǒng)底層功能只能在VxD中調(diào)用，應(yīng)用程序如果要用到系統(tǒng)的底層功能必須編個(gè)VxD作為中介。VxD作為應(yīng)用程序在系統(tǒng)中的一個(gè)代理，應(yīng)用程序通過它來完成任何自己本身做不到的事情，通過這一手段，Windows9x系統(tǒng)為普通應(yīng)用程序留下了擴(kuò)充接口。

實(shí)時(shí)加解密的關(guān)鍵技術(shù)是FileHooking(俗稱鉤子程序)，加解密應(yīng)用程序通過使用靜態(tài)加載的VxD，間接獲得了對(duì)Windows9x系統(tǒng)的控制權(quán)，但要實(shí)現(xiàn)對(duì)系統(tǒng)中所有文件 I/O(輸入/輸出)操作的實(shí)時(shí)監(jiān)控，還要用到另一種關(guān)鍵技術(shù)－FileHooking，通過掛接一個(gè)處理函數(shù)，截獲所有與文件 I/O操作有關(guān)的系統(tǒng)調(diào)用。Windows9x使用 32位保護(hù)模式可安裝文件系統(tǒng)(IFS)，由可安裝文件系統(tǒng)管理器(IFSManager)協(xié)調(diào)對(duì)文件系統(tǒng)和硬件設(shè)備的訪問，它接收以Win32API函數(shù)調(diào)用形式向系統(tǒng)發(fā)出的文件I/O請(qǐng)求，再將請(qǐng)求轉(zhuǎn)給文件系統(tǒng)驅(qū)動(dòng)程序FSD，由它調(diào)用低級(jí)別的IOS系統(tǒng)實(shí)現(xiàn)最終訪問。每個(gè)文件I/O API調(diào)用都有一個(gè)特定的FSD函數(shù)與之對(duì)應(yīng)，IFSManager負(fù)責(zé)完成由API到FSD的參數(shù)裝配工作，在完成文件I/O API函數(shù)參數(shù)的裝配之后轉(zhuǎn)相應(yīng)FSD執(zhí)行之前，它會(huì)調(diào)用一個(gè)稱為FileSystemApiHookFunction的Hooker函數(shù)。通過安裝自己的 Hooker函數(shù)，就可以截獲系統(tǒng)內(nèi)所有對(duì)文件I/O的API調(diào)用，并適時(shí)對(duì)相關(guān)文件進(jìn)行加解密操作，從而實(shí)現(xiàn)實(shí)時(shí)加解密。

圖1 系統(tǒng)底層示意圖

3 結(jié)束語

本項(xiàng)目產(chǎn)品的主要核心部分內(nèi)容業(yè)已通過了檢測(cè)和科技成果鑒定(如：國(guó)家保密局涉密信息系統(tǒng)安全保密測(cè)評(píng)中心J0031檢測(cè)報(bào)告；中國(guó)人民解放軍信息安全測(cè)評(píng)中心軍密認(rèn)字第 0256號(hào)；公安部計(jì)算機(jī)信息系統(tǒng)安全產(chǎn)品質(zhì)量監(jiān)督檢驗(yàn)中心公計(jì)檢 030091，等等)。其電子鑰匙存放國(guó)家商密級(jí)加解密算法，實(shí)施動(dòng)態(tài)加密，一次一密?；究梢詽M足既定用戶要求，在具體實(shí)施過程中，僅僅需要根據(jù)用戶不同層次需求差異，進(jìn)一步完善和改進(jìn)界面管理模塊，對(duì)用戶提供方便實(shí)用的管理界面，使用戶可以對(duì)當(dāng)前的規(guī)則進(jìn)行各種操作。即：雙因子安全登錄；USB輸出控制；聯(lián)網(wǎng)控制；文件物理刪除；禁用安全模式；盤符隱藏；網(wǎng)絡(luò)信息隔離；網(wǎng)絡(luò)通訊信息傳輸加密；雙方身份認(rèn)證識(shí)別，權(quán)限分配等等。

[1]戴七劍,涂彥暉.數(shù)據(jù)恢復(fù)技術(shù).電子工業(yè)出版社.2005.

[2]張仕斌,萬武南,張金全,孫宣東.應(yīng)用密碼學(xué).西安電子科技大學(xué)出版社.2009.

[3]Atulkahate著,金名等譯.密碼學(xué)與網(wǎng)絡(luò)安全.清華大學(xué)出版社.2005.

[4]毛德操.Windows內(nèi)核情景分析(上下).電子工業(yè)出版社.2005.

[5]蔣靜,虛志偉.操作系統(tǒng)原理技術(shù)與編程.機(jī)械工業(yè)出版社.2003.