◆何科峰

?

文檔安全管理技術(shù)在變電三維領(lǐng)域的應(yīng)用

◆何科峰

（中國能源建設(shè)集團甘肅省電力設(shè)計院有限公司 甘肅 730050）

文件是計算機系統(tǒng)中非常重要的資源，數(shù)據(jù)加密技術(shù)可以有效保護計算機數(shù)據(jù)文件的安全性。本文介紹了RC4流密碼加密算法的工作原理，利用基于鉤子和文件過濾驅(qū)動技術(shù)，構(gòu)造了一個有效的文檔安全管理系統(tǒng)。新系統(tǒng)避免了傳統(tǒng)方法的不足，對企業(yè)重要信息主動進行強制加密保護，有效避免了有意或無意的信息泄密；同時防止核心信息在內(nèi)部使用時所帶來的數(shù)據(jù)擴散泄密，這個技術(shù)對于變電三維領(lǐng)域至關(guān)重要。

RC4；流密碼；透明加密；文檔安全；變電三維

0 引言

計算機信息網(wǎng)絡(luò)技術(shù)的高速發(fā)展和電力信息系統(tǒng)的不斷投入，電力企業(yè)帶來了低成本、高效率等諸多好處。然而對于如今的設(shè)計企業(yè)來講，如何應(yīng)對復(fù)雜網(wǎng)絡(luò)環(huán)境下的主動攻擊和被動攻擊，切實保護好數(shù)字化三維設(shè)計成果文件的安全（如數(shù)據(jù)存儲、數(shù)據(jù)傳輸和數(shù)據(jù)處理的安全）已經(jīng)成為一個亟待解決的問題。

本文基于RC4流加密體制，結(jié)合我院的實際情況，設(shè)計部署了一個可行的文件安全管理系統(tǒng)，較好地保護了變電三維的各項電子成果文件及知識產(chǎn)權(quán)的安全。

1 相關(guān)知識

1.1 RC4流加密算法介紹

RC4算法從密碼學(xué)分類上屬于對稱加密中的流密碼算法。根據(jù)一次一密的安全性原理，流密碼算法中的偽隨機序列由輸入的對稱密鑰（也叫種子密鑰）所確定，通過一個偽隨機序列生成器進行某種復(fù)雜的運算產(chǎn)生大量的偽隨機密鑰流，對明文數(shù)據(jù)流加密得到密文流。

1.2 透明加密技術(shù)介紹

開發(fā)人員可以在內(nèi)核級和用戶級對文件的讀寫進行操作，從底層技術(shù)來看，內(nèi)核層采用文件驅(qū)動的方式，應(yīng)用層采用Hook API的方式。我們可以將透明加密分為基于鉤子（Hook）技術(shù)的透明加密和基于驅(qū)動的透明加密方式。

（1）基于鉤子的透明加密[3]

所有Windows應(yīng)用程序都是通過windows API函數(shù)對文件進行讀寫的。程序在打開或新建一個文件時，一般要調(diào)用windows的Create File或Open File、Read File等Windows API函數(shù)；而在向磁盤寫文件時要調(diào)用Write File函數(shù)。

（2）驅(qū)動加密技術(shù)

驅(qū)動加密技術(shù)基于windows的文件系統(tǒng)過濾驅(qū)動（IFS）技術(shù)[4]，文件系統(tǒng)驅(qū)動就是把文件作為一種設(shè)備來處理的一種虛擬驅(qū)動。當(dāng)應(yīng)用程序?qū)δ撤N后綴文件進行操作時，文件驅(qū)動會監(jiān)控到程序的操作，并改變其操作方式，從而達到透明加密的效果。

在Windows NT 內(nèi)核模式中，驅(qū)動設(shè)計采用分層結(jié)構(gòu)，分別為文件系統(tǒng)驅(qū)動、中間層驅(qū)動和設(shè)備驅(qū)動。

文件過濾驅(qū)動位于I/O管理和文件系統(tǒng)驅(qū)動之間，可監(jiān)控系統(tǒng)發(fā)往下層驅(qū)動的I/O請求包（I/O Request Packet，IRP）。它利用過濾器驅(qū)動程序可以為現(xiàn)有功能驅(qū)動程序添加新功能，而不必重新編寫原有的功能驅(qū)動程序。

舉例來說，如果我們要為文件系統(tǒng)新增加解密功能，則無需重新編寫文件系統(tǒng)驅(qū)動程序，只要直接在其上添加一個過濾驅(qū)動層，在該層中完成加解密功能即可。

2 基于RC4算法的文檔安全管理系統(tǒng)的構(gòu)造

圖1 文檔安全系統(tǒng)拓?fù)鋱D

2.1 院變電三維業(yè)客戶端文件透明加密

由于三維變電各專業(yè)部門使用大量的專業(yè)軟件，為了有效管理各個專業(yè)的成果文件，我們在專業(yè)科室的客戶端軟件中采用了基于文件系統(tǒng)過濾驅(qū)動技術(shù)和HOOK技術(shù)相結(jié)合的透明加密方法，以便于監(jiān)控客戶端進程。加密算法利用高效的RC4。

由于系統(tǒng)采用的加密算法RC4屬于對稱加密，故專業(yè)科室的員工可以在科室內(nèi)部共享密鑰k，這樣科室內(nèi)部實現(xiàn)了透明加密。同樣專業(yè)科室的員工可以在科室內(nèi)部共享密鑰k。

當(dāng)專業(yè)科室的員工向?qū)I(yè)科室的某人發(fā)送文件（該文件是密文）時，該文件必須經(jīng)過“公文交換”模塊（權(quán)限控制），才能順利抵達對方，并將該以k加密的密文轉(zhuǎn)化為k加密的密文。

當(dāng)專業(yè)科室的員工向院外部拷貝文件（該文件是密文）時，該文件必須經(jīng)過“公文交換”模塊（權(quán)限控制），才能順利該以k加密的密文轉(zhuǎn)化為明文。如果用戶直接拷貝密文，打開的將是無效文件。

當(dāng)專業(yè)科室的員工向文件服務(wù)器上傳文件（該文件是密文）時，該文件必須經(jīng)過網(wǎng)關(guān)處理，才能順利將以k加密的密文解密，最終以明文的方式存儲在文件服務(wù)器上。

同樣的，如果當(dāng)專業(yè)科室的員工從文件服務(wù)器下載文件（該文件是明文）時，該文件必須經(jīng)過網(wǎng)關(guān)處理，才能順利將該明文轉(zhuǎn)換成以k加密的密文后，最終以密文的方式存儲在客戶端。

2.2 加密策略管理服務(wù)器端主要實現(xiàn)了系統(tǒng)安全策略的管理

這樣一來，在所有安裝了客戶端加密軟件的電腦上，凡是被服務(wù)器策略控制的文檔，都是以密文方式存儲的。而文件服務(wù)器上存儲的都是明文文檔，不但較好地保持了歷史數(shù)據(jù)，而且使系統(tǒng)具備較好的兼容性。

3 文檔安全管理技術(shù)在變電三維領(lǐng)域的應(yīng)用

考慮到新系統(tǒng)可能會對一些專業(yè)軟件不兼容或者對專業(yè)設(shè)計人員造成操作上的不方便，我們在部署該系統(tǒng)時采取了三步走的策略：

第一步，統(tǒng)計分析所有科室的專業(yè)軟件與新系統(tǒng)的兼容性，并有針對性地選擇一些崗位試用。為簡化系統(tǒng)管理，新系統(tǒng)的權(quán)限全面開放，全院各科室共享一個密鑰。

第二步，部署文件服務(wù)器的網(wǎng)關(guān)設(shè)備，充分測試歷史數(shù)據(jù)在新系統(tǒng)中的安全性，并重點測試客戶端與文件服務(wù)器文件交換的安全性。加強系統(tǒng)管理，對公務(wù)交換模塊設(shè)置權(quán)限，全院各科室仍共享一個密鑰。

第三步，深化系統(tǒng)管理，根據(jù)各個工作崗位，對加密策略服務(wù)器進行適當(dāng)?shù)呐渲?，全院各科室使用不同的密鑰，系統(tǒng)全面運行。

由于系統(tǒng)服務(wù)器端與客戶端間采用IP可達的連接原則，支持VPN的網(wǎng)絡(luò)連接。下一步，我們考慮：

（1）將變電三維各個工程總承包項目部也納入到文件加解密系統(tǒng)的管理范圍。

（2）加強移動辦公的管理，使得在外出差人員也能方便地離線使用該系統(tǒng)，全面保護電子文檔的安全性。

4 結(jié)束語

由于RC4流加密算法具有高效、安全的優(yōu)勢，我們將其和最新的文件透明加密技術(shù)相結(jié)合，設(shè)計出了一個比較適合變電三維的基于RC4算法的透明加密數(shù)據(jù)防護系統(tǒng)。總的來看，文件安全管理系統(tǒng)運行穩(wěn)定，對變電三維核心信息進行了全生命周期強制加密保護，有效規(guī)避了員工有意或無意導(dǎo)致的信息泄密；防止了變電三維成果文件在內(nèi)部使用、交換時所帶來的數(shù)據(jù)泄密。

[1]William Stallings，孟慶樹譯.密碼編碼學(xué)與網(wǎng)絡(luò)安全-原理與實踐（第四版）.電子工業(yè)出版社，2006.

[2]李琴，曾凡平.RC4密碼的改進方法及其性能分析[J].計算機工程，2008.