[發明專利]基于進程隔離加密機制的安全保密盤模型及其生成方法

在審

• 申請號: 201410344375.X
• 申請日: 2014-07-20
• 公開（公告）號: CN104077244A
• 公開（公告）日: 2014-10-01
• 發明（設計）人: 董霽樓;陳鋒;鮑愛華;謝慶芳;王艷梅
• 申請（專利權）人: 湖南藍途方鼎科技有限公司
• 主分類號: G06F12/14
• 分類號: G06F12/14
• 代理公司: 暫無信息
• 代理人: 暫無信息

技術領域

本發明涉及信息安全技術領域，特別是一種計算機中與信息和數據保密相關的存儲盤模型。

背景技術

隨著計算機和網絡技術的迅速發展，信息網絡已深入社會生活的各個方面，信息網絡中的各種重要數據在存儲、傳送、使用和銷毀過程中容易遭受竊取、篡改、刪除或病毒木馬的侵蝕。傳統的數據加密和存儲方式能夠保證數據在加密狀態的安全性，但是在數據被解密使用的過程中，仍然存在諸多泄密風險和途徑，如木馬和病毒竊取、網絡、打印失泄密等。一般而言，終端是接觸和處理單位信息的載體和工具，因而在大多數的企業和單位中，終端存留著大量的涉密信息，如各種應用和業務系統在使用過程中產生的臨時文件、過程數據及導出和生成的報表、運行結果等敏感數據；而這些數據往往散存在各個終端各自的存儲環境中，沒有得到有效的集中管控。

目前針對此類終端信息的防擴散方法有很多，大致可分為三大類：封堵類、文檔強制加密類以及虛擬桌面隔離類，下面對目前主流的三大類終端防擴散技術分別進行闡述。

封堵類：以封堵的方式防止信息從終端擴散，即采用禁用外設端口、網絡等方式封堵任何可能導致數據從終端泄密的途徑。該方式極大限制了用戶的行為，對用戶的工作造成很大不便；另外，因文檔本身并沒有加密，因而也無法從根源上解決數據泄密問題。

文檔強制加密類：以文檔強制透明加解密的方式防止信息從終端擴散。該方式是從源頭上當文件寫磁盤時通過文件加解密過濾驅動，把寫入磁盤的文件強制加密保存；而當終端使用這些加密文件時，必須通過文件加解密過濾驅動解密，方可透明解密使用文檔。由于終端上的加密文檔只能在企業內部擁有加解密授權的終端上正常打開使用，在沒有授權的終端上，加密文件無法被解密和打開，從而保證涉密文件即使被非法帶出也不會泄密的目的。該方式從理論上能夠從源頭上比較好的保障企業信息無法從終端擴散出去的目標，但該方式在長期的應用實踐過程中，發現存在以下幾方面的問題：1）需要加密保護的文檔類型眾多，涉及的應用程序類型更多，加密軟件需要很好的支持和兼容各種應用系統和軟件，不同應用的加密策略設定工作和測試工作量非常之大，服務壓力比較大；2）因該加密方式為透明加解密，所以文檔被授權進程在內存透明解密使用過程中，存在被該解密進程通過網絡發出去泄密的風險；3）該加密方式在使用過程中，加密應用啟動或者運行過程中必須依賴的配置文件也會一同被加密，而在某些情況下，一個配置文件可能會被多個應用所調用，如果其他調用該配置文件的應用沒有解密權限，則會導致該應用運行的失敗，從而導致額外的維護工作量和給用戶帶來新的不便；4）使用該方式，終端內的涉密文檔被以加密的方式散存在各個存儲磁盤中，無法對終端的涉密文檔實現強制集中式管理。綜上，采用文檔強制透明加解密的方式防止信息從終端擴散的解決方案，在實際應用的過程中，存在推廣難度大、維護工作量大、對散落在終端的大量文檔也無法統一歸檔管理的問題，因此不適用于終端規模龐大、應用復雜的環境。

虛擬桌面隔離類：以虛擬機、虛擬安全桌面等虛擬隔離技術，把終端涉密信息隔離存儲的方式來防止終端信息擴散的技術。該類型的技術從實現原理上與文檔透明強制加密方式比較而言，簡化了策略配置的復雜度，相對于文檔透明加密技術在易用性和涉密文檔處理環境的可信性等方面是一大進步。如VMware等廠商提出了虛擬桌面架構，利用虛擬機監視器為用戶程序提供安全保護層，隔離保護用戶程序的內存空間，確保軟件運行環境可靠。但類似于安全桌面、虛擬桌面類的虛擬隔離技術來做終端涉密信息的防擴散，存在以下不足：1）利用注冊表、文件重定向等機制從真實桌面上構建的虛擬隔離桌面，相對于虛擬機技術而言是一大進步，消耗的終端資源會少很多，用戶體驗也會好很多，但始終是一個重量級的隔離環境，大型應用軟件在虛擬桌面內的使用或者真實桌面與虛擬桌面頻繁的來回切換，會容易導致兼容性問題發生；2）類似于從真實桌面構建一個虛擬隔離桌面的方式來防止終端信息泄密，勢必要求用戶在終端處理敏感信息時必須要登錄到安全虛擬桌面環境中去，這樣對用戶操作習慣會造成一定影響和改變；3）虛擬桌面隔離技術的核心是利用重定向技術來實現涉密文檔的隔離保護，就文檔本身安全加密保存方面存在不足；4）在虛擬安全桌面環境下，用戶往往有通過網絡對外交流和溝通的需求，如無其他輔助手段對安全桌面下的網絡訪問進行細粒度控制和管理，網絡途徑失泄密將成為虛擬安全桌面防終端信息擴散的軟肋。

可見上述三種防止終端信息擴散的方法都存在一定的弊端，無法滿足目前信息安全技術的要求。

發明內容