[發(fā)明專利]一種用于防止文檔被未授權(quán)訪問的方法和裝置

無效

• 申請?zhí)枺?/td>: 200910148475.4
• 申請日: 2009-06-30
• 公開（公告）號: CN101937501A
• 公開（公告）日: 2011-01-05
• 發(fā)明（設(shè)計(jì)）人: 郭代飛;隋愛芬
• 申請（專利權(quán)）人: 西門子(中國)有限公司
• 主分類號: G06F21/22
• 分類號: G06F21/22;H04L9/32
• 代理公司: 暫無信息
• 代理人: 暫無信息

技術(shù)領(lǐng)域

本發(fā)明涉及一種用于防止文檔被未授權(quán)訪問的方法和裝置。

背景技術(shù)

隨著計(jì)算機(jī)技術(shù)的廣泛應(yīng)用，在各個(gè)企業(yè)中，各種數(shù)據(jù)和信息通常都會被錄入計(jì)算機(jī)中存儲成文檔。各個(gè)企業(yè)的計(jì)算機(jī)一般都會與互聯(lián)網(wǎng)和打印機(jī)等連接，而且通常具有磁盤驅(qū)動器和/或USB(通用串口總線)接口等，所以在各個(gè)企業(yè)中，存儲在計(jì)算機(jī)中的文檔很容易通過互聯(lián)網(wǎng)被傳送到企業(yè)外部，或者通過打印機(jī)被打印出來并且被攜帶出企業(yè)，或者被拷貝到磁盤和/或U盤并被攜帶出企業(yè)。從而，存儲在計(jì)算機(jī)中的包含企業(yè)數(shù)據(jù)和信息的文檔很容易被非法地泄露到企業(yè)外部，從而被競爭對手獲取。

為了防止存儲在計(jì)算機(jī)中的包含企業(yè)數(shù)據(jù)和信息的文檔被非法地泄露到企業(yè)外部，目前已經(jīng)提出了一些用于防止文檔泄露的方案。這些方案分成兩種：基于網(wǎng)絡(luò)的方案和基于主機(jī)的方案。基于網(wǎng)絡(luò)的方案通過在企業(yè)的網(wǎng)絡(luò)出入口處部屬安全網(wǎng)關(guān)來防止企業(yè)員工通過各種網(wǎng)絡(luò)應(yīng)用將企業(yè)的文檔泄露到企業(yè)外部。基于主機(jī)的方案通過在企業(yè)的各個(gè)計(jì)算機(jī)中安裝安全代理來監(jiān)控企業(yè)的各個(gè)計(jì)算機(jī)，以防止企業(yè)員工將企業(yè)的文檔通過企業(yè)的各個(gè)計(jì)算機(jī)的主機(jī)周邊設(shè)備接口、打印機(jī)和/或便攜式存儲設(shè)備泄露到企業(yè)外部。通過應(yīng)用這些用于防止文檔泄露的方案，很好地防止了存儲在企業(yè)的計(jì)算機(jī)中的文檔被非法地泄露到企業(yè)外部。

然而，在實(shí)際中，有時(shí)需要將企業(yè)的文檔拷貝到諸如U盤這樣的便攜式存儲設(shè)備中，以便在沒有采用上述用于防止文檔泄露的方案的計(jì)算機(jī)上使用在該便攜式存儲設(shè)備中的文檔。例如，當(dāng)一個(gè)企業(yè)Q的員工Y與其他合作企業(yè)的員工W開會時(shí)，員工Y可能需要將會議所需的企業(yè)Q的一些文檔拷貝到U盤中，然后員工W通過把該U盤插入到其筆記本電腦上來閱讀拷貝到該U盤中的企業(yè)Q的文檔。在這種情況中，由于員工W不屬于企業(yè)Q，所以員工W的筆記本電腦很可能沒有采用上述用于防止文檔泄露的方案，從而不能防止員工W有意或無意地將該U盤中的企業(yè)Q的文檔以明文形式傳播出去，從而其他人在沒有被授權(quán)的情況下就可以訪問該文檔。

發(fā)明內(nèi)容

考慮到現(xiàn)有技術(shù)的上述缺陷，本發(fā)明提供一種用于防止文檔被未授權(quán)使用的方法和裝置，利用該方法和裝置，可以防止文檔被未授權(quán)訪問。

按照本發(fā)明的一種文檔保護(hù)裝置，包括：已加密的文檔；以及，控制模塊，其中，所述控制模塊進(jìn)一步包括：發(fā)送模塊，用于當(dāng)所述文檔保護(hù)裝置在計(jì)算機(jī)上被運(yùn)行時(shí)，向另一裝置發(fā)送用于請求用來對所述已加密的文檔進(jìn)行解密的加密密鑰且包含身份信息和認(rèn)證信息的消息，其中，所述身份信息和所述認(rèn)證信息是從連接到所述計(jì)算機(jī)的便攜式存儲設(shè)備獲取的；接收模塊，用于從所述另一裝置接收所述用于對所述已加密的文檔進(jìn)行解密的加密密鑰；解密模塊，用于利用所述接收的加密密鑰對所述已加密的文檔進(jìn)行解密，以得到明文的文檔；以及，管理模塊，用于根據(jù)文檔訪問策略來控制用戶對所述明文的文檔的訪問。

按照本發(fā)明的一種便攜式存儲設(shè)備，包括：通信接口模塊，用于與所述便攜式存儲設(shè)備所連接的計(jì)算機(jī)進(jìn)行通信；安全存儲區(qū)，用于關(guān)聯(lián)地存儲身份信息和原始認(rèn)證信息；以及，控制模塊，用于當(dāng)經(jīng)由所述通信接口模塊從所述計(jì)算機(jī)中的文檔保護(hù)裝置接收到用于請求身份信息和基本認(rèn)證信息的消息時(shí)，基于所述安全存儲區(qū)存儲的原始認(rèn)證信息經(jīng)來計(jì)算基本認(rèn)證信息，并把所述計(jì)算的基本認(rèn)證信息和所述安全存儲區(qū)存儲的身份信息由所述通信接口模塊發(fā)送給所述計(jì)算機(jī)中的文檔保護(hù)裝置。

按照本發(fā)明的一種用于制作文檔的文檔保護(hù)裝置的裝置，包括：接收模塊，用于接收用戶標(biāo)識、訪問密碼和用于控制用戶對所述文檔的訪問的文檔訪問策略；產(chǎn)生模塊，用于產(chǎn)生用來加密所述文檔的加密密碼；加密模塊，用于利用所述產(chǎn)生的加密密鑰對所述文檔進(jìn)行加密，以得到加密的文檔；組合模塊，用于把所述加密的文檔和一個(gè)用于控制用戶對所述文檔的訪問的控制模塊組合在一起，以獲得文檔保護(hù)裝置；以及，發(fā)送模塊，用于向便攜式存儲設(shè)備發(fā)送所述接收的用戶標(biāo)識和訪問密碼以及所述獲得的文檔保護(hù)裝置，以及向另一裝置發(fā)送所述接收的用戶標(biāo)識、訪問密碼和文檔訪問策略以及所述生成的加密密碼。

按照本發(fā)明的一種由文檔保護(hù)裝置執(zhí)行的方法，其中，所述文檔保護(hù)裝置包括已加密的文檔，所述方法包括步驟：當(dāng)所述文檔保護(hù)裝置在計(jì)算機(jī)上被運(yùn)行時(shí)，向另一裝置發(fā)送用于請求用來對所述已加密的文檔進(jìn)行解密的加密密鑰且包含身份信息和認(rèn)證信息的消息，其中，所述身份信息和所述認(rèn)證信息是從連接到所述計(jì)算機(jī)的便攜式存儲設(shè)備獲取的；從所述另一裝置接收所述用于對所述已加密的文檔進(jìn)行解密的加密密鑰；利用所述接收的加密密鑰對所述已加密的文檔進(jìn)行解密，以得到明文的文檔；以及，文檔訪問策略來控制用戶對所述明文的文檔的訪問。