DOI：10.19850/j.cnki.2096-4706.2021.08.050

摘? 要：隨著電腦的普及以及科學(xué)技術(shù)的發(fā)展，電子文檔的使用越來(lái)越廣，其安全也越來(lái)越受到重視。文章針對(duì)涉密電子文檔的安全問(wèn)題，提出了一種新的基于虛擬容器與數(shù)字水印的涉密電子文檔保護(hù)機(jī)制。該方案不僅可以通過(guò)Docker這一虛擬化技術(shù)來(lái)控制用戶對(duì)涉密電子文檔的訪問(wèn)，也能在涉密電子文檔泄露之后追蹤到文檔的泄漏源頭，跟蹤侵權(quán)行為。文章提供的電子文檔安全保護(hù)機(jī)制配置十分靈活，可以根據(jù)需要隨時(shí)變動(dòng)，實(shí)現(xiàn)細(xì)粒度的安全防護(hù)功能與目標(biāo)。

關(guān)鍵字：虛擬容器;Docker;數(shù)字水印;涉密電子文檔保護(hù)

中圖分類號(hào)：TP309? ? ? ?文獻(xiàn)標(biāo)識(shí)碼：A ? ?文章編號(hào)：2096-4706（2021）08-0176-04

Research on Secret Related Electronic Document Protection Mechanism Based on Virtual Container and Digital Watermarking

QIAN Xiaojun

（Jiangsu Golden Shield Detection Technology Co.，Ltd.，Nanjing? 210042，China）

Abstract：With the popularity of computers and the development of science and technology，electronic documents are used more and more widely，and their security is also paid more and more attention. Aiming at the security problem of secret related electronic documents，this paper proposes a new secret related electronic document protection mechanism based on virtual container and digital watermarking. This scheme can not only control usersaccess to secret related electronic documents through Docker virtualization technology，it can also track the source of the leakage of secret related electronic document after it's leaking out and follow up the infringement. The configuration of electronic document security protection mechanism provided in this paper is very flexible，which can be changed at any time according to needs，so as to realize fine-grained security protection functions and objectives.

Keywords：virtual container;Docker;digital watermarking;secret related electronic document protection

0? 引? 言

隨著電腦的普及以及科學(xué)技術(shù)的不斷發(fā)展，電子文檔成為大家日常生活中必不可少的工具。電子文檔的數(shù)量和覆蓋范圍都在持續(xù)地?cái)U(kuò)大。涉密電子文檔含有重要的信息，其安全性問(wèn)題也成為日益突出的問(wèn)題，需要對(duì)其實(shí)施一定的保護(hù)措施，以防止被竊取，減少被竊取帶來(lái)的無(wú)法挽回的損失。

常規(guī)的涉密電子文檔保護(hù)的解決方案是采用防水墻進(jìn)行保護(hù)。防水墻是一種用于防止內(nèi)部信息泄露的安全產(chǎn)品，可以用于信息泄露防范、系統(tǒng)實(shí)時(shí)運(yùn)行監(jiān)控、系統(tǒng)資源安全管理、信息安全審計(jì)等。防水墻是對(duì)一些安全設(shè)備的進(jìn)一步補(bǔ)充，包括防火墻、入侵檢測(cè)系統(tǒng)等。最基礎(chǔ)的防水墻由客戶端、管理中心和服務(wù)器這三個(gè)部分組成。高層的用戶接口層，以實(shí)時(shí)更新的內(nèi)網(wǎng)拓?fù)浣Y(jié)構(gòu)為基礎(chǔ)，提供系統(tǒng)配置、策略配置、實(shí)時(shí)監(jiān)控、審計(jì)報(bào)告、安全報(bào)警等功能，低層功能模塊層由分布在各個(gè)主機(jī)上的探針組成;中間的安全服務(wù)層從低層實(shí)時(shí)采集信息，并向高層報(bào)告或報(bào)警，同時(shí)也會(huì)記錄下整個(gè)系統(tǒng)的審計(jì)信息，以供查詢或生成報(bào)表。

但是防水墻是部署在各個(gè)用戶機(jī)器內(nèi)的，也存在有眾多的弱點(diǎn)，主要有：

（1）防水墻存在有漏洞，可能會(huì)被繞過(guò)。

（2）防水墻依賴于底層的操作系統(tǒng)，因此容易通過(guò)操作系統(tǒng)內(nèi)核采用技術(shù)手段關(guān)閉，使其失效。

（3）防水墻的配置以及安全防護(hù)策略較為復(fù)雜，由于實(shí)際的應(yīng)用場(chǎng)景千變?nèi)f化，難以制定統(tǒng)一的安全防護(hù)機(jī)制，特別是在保護(hù)策略發(fā)生變化的情況下。當(dāng)防水墻一旦失效，沒(méi)有有效地保護(hù)好涉密文檔，即使在事后通過(guò)追蹤審計(jì)發(fā)現(xiàn)涉密文檔的非法使用，此時(shí)泄密事件已經(jīng)形成了，其造成的損失也無(wú)法挽回。

目前，涉密電子文檔的保護(hù)重要的控制點(diǎn)有三個(gè)：非法拷貝復(fù)制、屏幕載圖、拍照。傳統(tǒng)的電子文檔保護(hù)方法如電子文檔加密存儲(chǔ)可以控制文檔的非法拷貝復(fù)制，文檔數(shù)字水印技術(shù)可以在文檔被屏幕截圖以及拍照后進(jìn)行所有權(quán)驗(yàn)證以及追蹤泄露源頭。

因此，需要一種新的涉密電子文檔保護(hù)機(jī)制，該機(jī)制除了能實(shí)現(xiàn)上述的涉密文檔三個(gè)控制點(diǎn)的保護(hù)功能，更重要的是即使在該保護(hù)機(jī)制失效時(shí)，仍然能保護(hù)涉密電子文檔的安全。本文提出基于虛擬容器與視頻流水印兩種技術(shù)的結(jié)合，來(lái)實(shí)現(xiàn)該涉密電子文檔保護(hù)目標(biāo)。

1? 核心技術(shù)

1.1? 虛擬容器技術(shù)

Docker是一種新的虛擬化技術(shù)，它提供了一個(gè)簡(jiǎn)單易用的容器接口。Docker將應(yīng)用程序及其依賴項(xiàng)打包到一個(gè)文件中。運(yùn)行此文件會(huì)生成虛擬容器。程序在這個(gè)虛擬容器中運(yùn)行，好像它在一個(gè)真正的物理機(jī)器上運(yùn)行一樣。用戶可以輕松地創(chuàng)建和使用容器，并將自己的應(yīng)用程序放入容器中。容器也可以進(jìn)行版本管理、復(fù)制、共享和修改，就像管理普通代碼一樣。

Docker包括三個(gè)基本概念，分別是鏡像（Image），容器（Container）和倉(cāng)庫(kù)（Repository）。鏡像相當(dāng)于一個(gè)帶有操作系統(tǒng)的完整文件系統(tǒng)。除了提供容器正常運(yùn)行所需的程序、庫(kù)、資源和配置文件外，它還包含一些為運(yùn)行時(shí)準(zhǔn)備的配置參數(shù)。容器是鏡像運(yùn)行時(shí)的實(shí)體，可以創(chuàng)建、啟動(dòng)、停止、刪除、暫停容器等等。容器進(jìn)程是在自己獨(dú)立的命名空間中運(yùn)行的。容器中的進(jìn)程在一個(gè)隔離的環(huán)境中運(yùn)行，并像在獨(dú)立于主機(jī)的系統(tǒng)下運(yùn)行一樣使用。此功能使容器封裝的應(yīng)用程序比直接在主機(jī)中運(yùn)行更安全。Docker的架構(gòu)圖如圖1所示。

本文通過(guò)使用Docker構(gòu)建和部署容器，并將涉密電子文檔存放在容器中，通過(guò)Docker容器使用涉密電子文檔，以保證涉密電子文檔訪問(wèn)的安全性。同時(shí)，與涉密電子文檔服務(wù)器存在交互接口用于獲取電子文檔。在獲取涉密電子文檔后，在Docker容器中對(duì)文檔進(jìn)行解密操作，并進(jìn)行給文檔添加數(shù)字水印的操作。同時(shí)也對(duì)用戶使用行為進(jìn)行監(jiān)控，并記錄相應(yīng)的日志。

1.2? 防拍照與截圖數(shù)字水印技術(shù)

為了防止通過(guò)拍照、截屏、打印等方式而帶來(lái)的涉密電子文檔的泄密，可以通過(guò)在電子文檔中嵌入數(shù)字水印，從而可以追蹤到文本的泄漏源頭，跟蹤侵權(quán)行為。文檔數(shù)字水印技術(shù)如圖2所示。目前包含三種常見(jiàn)的水印解決方案，分別是基于文本結(jié)構(gòu)的方法，基于語(yǔ)法、語(yǔ)義的方法和基于隨機(jī)或統(tǒng)計(jì)的方法。

其中，基于文本結(jié)構(gòu)的方法中的基于文檔格式的水印嵌入是根據(jù)Word文檔格式中未使用的空間來(lái)實(shí)現(xiàn)，或者根據(jù)PDF格式中行末標(biāo)識(shí)符不顯示的特點(diǎn)，利用水印信息控制行尾標(biāo)識(shí)符的修改方法，實(shí)現(xiàn)水印信息的嵌入。本文則根據(jù)PDF文檔格式的特點(diǎn)添加水印信息，下面對(duì)該方法及其使用效果進(jìn)行展示如圖3所示。首先將水印信息轉(zhuǎn)化為二進(jìn)制數(shù)據(jù)流，如“100110”，然后解析PDF文檔，獲取交叉引用表中每行的行末標(biāo)識(shí)符修改為“＼r＼n”，如果二進(jìn)制信息為1，則修改為“＼n”，否則不變，再重新生成文檔，生成帶水印信息的文檔。

2? 涉密電子文檔保護(hù)機(jī)制的架構(gòu)與實(shí)現(xiàn)流程

2.1? 實(shí)現(xiàn)涉密電子文檔保護(hù)的Docker容器

首先需要?jiǎng)?chuàng)建涉密電子文檔保護(hù)的Docker容器，本文提出的Docker容器由安全防護(hù)策略與功能的配置接口、數(shù)字水印的保護(hù)功能模塊、Docker容器與涉密電子文檔服務(wù)器的交互接口以及用戶使用行為監(jiān)控與日志模塊這四個(gè)部分組成。下面介紹這四個(gè)部分：

（1）安全防護(hù)策略與功能的配置接口，通過(guò)使用這個(gè)接口可以配置Docker中應(yīng)該采用什么方式來(lái)實(shí)現(xiàn)的涉密文件的保護(hù)。

（2）數(shù)字水印的保護(hù)功能模塊，通過(guò)給涉密電子文檔添加數(shù)字水印，可以保護(hù)涉密電子文檔的版權(quán)，以及在涉密電子文檔被泄露時(shí)，找到泄露源頭。

（3）Docker容器與涉密電子文檔服務(wù)器的交互接口，包括雙方的身份認(rèn)證，以及涉密電子文檔的加密傳輸與解密功能模塊。

（4）用戶使用行為監(jiān)控與日志模塊，Docker容器負(fù)責(zé)實(shí)時(shí)監(jiān)控用戶使用電子文檔行為并形成日志，以備后期審計(jì)查詢。

2.2? 保護(hù)機(jī)制的架構(gòu)

本文提出的涉密電子文檔保護(hù)機(jī)制的架構(gòu)主要分為三個(gè)層次，分別是安全屬性與策略管理層，Docker容器層以及用戶客戶端。通過(guò)這三個(gè)層次的保護(hù)，實(shí)現(xiàn)用戶對(duì)涉密電子文檔的安全使用。下面介紹下這三個(gè)層次：

（1）安全屬性與策略管理層：這一層位于整個(gè)架構(gòu)的最高層，用于配置各種涉密文檔安全防護(hù)的策略，以及文檔保護(hù)機(jī)制中各方角色的身份認(rèn)證機(jī)制、角色身份與涉密文檔使用的許可策略配置等，是保護(hù)機(jī)制的控制核心。

（2）Docker容器層：這一層是實(shí)現(xiàn)涉密文檔安全防護(hù)功能的核心層，由眾多動(dòng)態(tài)部署在用戶機(jī)器上的虛擬容器，執(zhí)行涉密文檔安全防護(hù)的具體功能。

（3）用戶客戶端，提供用戶身份認(rèn)證功能，從Docker容器層下載容器鏡像，并啟動(dòng)與運(yùn)行鏡像。

2.3? 實(shí)現(xiàn)流程

涉密電子文檔保護(hù)機(jī)制的具體實(shí)現(xiàn)流程如圖4所示。

本文提出的涉密電子文檔保護(hù)機(jī)制由四個(gè)部分組成，分別是用戶客戶端，安全屬性與策略管理層，Docker容器層以及涉密文檔服務(wù)器。通過(guò)這四個(gè)部分的交互，實(shí)現(xiàn)保護(hù)功能，具體的流程為：

（1）用戶客戶端首先向安全屬性與策略管理層發(fā)送身份認(rèn)證請(qǐng)求，安全屬性與策略管理層對(duì)用戶客戶端的身份進(jìn)行認(rèn)證，并向用戶客戶端發(fā)送身份認(rèn)證結(jié)果。

（2）用戶的身份認(rèn)證請(qǐng)求通過(guò)后，再次向安全屬性與策略管理層發(fā)送涉密文檔的使用請(qǐng)求，請(qǐng)求包括：要使用的涉密文檔信息，使用的方式等。由策略管理層仲裁判斷當(dāng)前的用戶是否具有目標(biāo)涉密文檔的相應(yīng)使用權(quán)限。

（3）如果仲裁通過(guò)，則由策略管理層向用戶客戶端發(fā)送許可，并根據(jù)預(yù)配置的涉密文檔使用策略，配置并指定客戶端可以使用Docker鏡像。

（4）用戶客戶端獲得許可后，獲取指定Docker鏡像，并啟動(dòng)運(yùn)行。Docker容器啟動(dòng)后按配置好的參數(shù)，開始向涉密文檔服務(wù)器發(fā)送請(qǐng)求，獲取加密的涉密文檔。

（5）Docker容器獲得加密的文檔后，開始通過(guò)配置參數(shù)對(duì)加密文檔解密，并嵌入水印，用戶通過(guò)Docker容器提供的功能使用涉密文檔，同時(shí)Docker容器實(shí)現(xiàn)對(duì)涉密文檔使用的安全程控制，監(jiān)控用戶的使用行為。

本文實(shí)現(xiàn)涉密電子文檔保護(hù)機(jī)制的偽代碼為：

Algorithm Protection mechanism of classified electronic documents

User client：U? ?Security attributes and policy management：S

Secret-related document server：SDS

1：U sends authentication request to S;

2：if authenticati.on results == true：

3：? ? U sends the use request of Secret-related documents to S;

4：? ? if use request == true：

5：? ? ? ? ?S sends permission to U，Configure and specify docker

mage that U can use;

6：? ? ? ? ?U gets the docker image and starts running;

7：? ? ? ? ?The docker container layer sends requests to the SDS;

8：? ? ? ? ?The SDS returns secret-related electronic document;

9：? ? ? ? ? ? The docker container layer decrypts the secret-related

electronic documents and adds digital watermark;

10：? ? ? ? ? ? ? ? ?U uses the secret-related electronic documents by

accessing docker container;

11：? ?end if

12：end if

3? 結(jié)? 論

本文提出了一種新的基于虛擬容器與數(shù)字水印的涉密電子文檔保護(hù)機(jī)制。該保護(hù)機(jī)制使用Docker這一虛擬化技術(shù)來(lái)控制用戶對(duì)涉密電子文檔的訪問(wèn)，并同時(shí)使用數(shù)字水印技術(shù)給涉密電子文檔嵌入水印，追蹤到文檔的泄漏源頭，跟蹤侵權(quán)行為。由于Docker的隔離性與封閉性，可以通過(guò)其中配置策略實(shí)現(xiàn)對(duì)電子文檔的保護(hù)，阻止用戶通過(guò)漏洞來(lái)繞過(guò)預(yù)定的涉密文檔安全防護(hù)策略。電子文檔進(jìn)入Docker容器之后，才會(huì)解密，因此即使Docker容器被攻擊失效，加密的電子文件也不會(huì)泄密。本文提出的涉密電子文檔保護(hù)機(jī)制可以進(jìn)行非常靈活的配置，可以實(shí)現(xiàn)對(duì)涉密電子文檔的安全保護(hù)功能和目標(biāo)。

參考文獻(xiàn)：

[1] 孟曉春.Word與Adobe Acrobat PDF文檔的水印算法研究 [D].西安：西安科技大學(xué)，2013.

[2] 徐振.電子文檔版權(quán)保護(hù)系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn) [D].成都：電子科技大學(xué)，2013.

[3] 石廣麗，馬曉晨.電子文檔保護(hù)問(wèn)題及對(duì)策 [J].科學(xué)與財(cái)富，2017（4）：390-390.

[4] 張翔.網(wǎng)絡(luò)環(huán)境下計(jì)算機(jī)終端文檔加密與管理 [J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2016（7）：52+54.

[5] 黃俊琿.基于水印的銀行電子文檔完整性保護(hù)問(wèn)題研究 [D].廣州：廣東財(cái)經(jīng)大學(xué)，2016.

[6] 邢少敏，馮維，王泉景.基于區(qū)塊鏈技術(shù)的涉密電子文檔保護(hù)方案研究 [J].信息安全研究，2017，3（10）：884-892.

[7] 劉豐威，董茵，潘煒，等.基于點(diǎn)陣二維碼水印技術(shù)的文檔安全保護(hù)探析 [J].新型工業(yè)化，2020，10（7）：19-20.

[8] 蘇軍.Docker容器安全管控技術(shù)研究 [J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2020（11）：21-22.

[9] 陳偉，涂俊亮.Docker容器安全的分析研究 [J].通信技術(shù)，2020，53（12）：3072-3077.

[10] 劉昱良，何璐.基于Docker技術(shù)的容器云平臺(tái)淺析 [J].大眾科技，2021，23（1）：15-17+20.

[11] 呂彬，徐國(guó)坤.Docker容器安全性分析與增強(qiáng)方案研究 [J].保密科學(xué)技術(shù)，2021（1）：15-22.

[12] 閆實(shí).數(shù)字文檔版權(quán)保護(hù)的零水印算法研究 [D].西安：西安科技大學(xué)，2014.

[13] 李高遠(yuǎn).兩種新型PDF文檔水印算法 [D].西安：西安科技大學(xué)，2016.

[14] 張航.用文檔加密實(shí)現(xiàn)電子檔案的安全保護(hù) [J].陜西檔案，2015（2）：49-50.

[15] 王甜甜.基于關(guān)鍵字符的Word文檔脆弱水印算法 [D].成都：西南交通大學(xué)，2013.

作者簡(jiǎn)介：錢小軍（1981—），男，漢族，江蘇南京人，中級(jí)工程師，中級(jí)測(cè)評(píng)師，CISP，CIIPT，本科，研究方向：網(wǎng)絡(luò)應(yīng)用與安全。

收稿日期：2021-02-10