[發明專利]一種基于安全目錄的多設備文件保護方法和裝置

有效

• 申請號: 201611152430.0
• 申請日: 2016-12-14
• 公開（公告）號: CN106650492B
• 公開（公告）日: 2019-06-07
• 發明（設計）人: 沈熳婷;俞銀燕;湯幟;崔曉瑜
• 申請（專利權）人: 北京大學
• 主分類號: G06F21/62
• 分類號: G06F21/62;G06F21/16;G06F21/46;G06F21/60
• 代理公司: 北京萬象新悅知識產權代理有限公司 11360
• 代理人: 黃鳳茹

1.一種基于安全目錄的多設備文件保護方法，通過創建設備管理模塊、文件夾監視器和文件保護模塊，定義統一的安全文件結構和創建安全目錄，使得任意格式的文件都能夠按照所述安全文件結構被封裝，再基于安全目錄，實現多設備共享文件保護；包括如下步驟：

A)通過設備管理模塊管理多設備信息，包括管理設備信息表、生成設備密鑰、生成設備驗證碼和返回設備密鑰；

B)通過文件保護模塊，定義統一的安全文件結構，將原文件按照所述安全文件結構重新封裝，生成新文件為安全結構文件；具體包括B1)～B2)：

B1)生成文件加密密鑰：文件保護模塊使用每一個設備密鑰遍歷加密文件內容密鑰CEK，生成與相應授權設備綁定的文件密鑰密文項，使用系統密鑰產生密鑰認證碼，進而生成受保護文件的文件密鑰密文項，內容包括設備密鑰數量、與各設備綁定的文件密鑰密文和對應的設備驗證碼；

B2)生成安全結構文件：文件保護模塊在接收到文件密鑰之后，對敏感文件的內容信息進行加密，并將文件密鑰和原始文件名信息作為文件頭，封裝為安全文件結構；所述安全文件結構包括文件頭和文件內容；文件內容為原文件加密后的密文；文件頭包括文件總長度、文件名長度、用于防止文本猜測攻擊的隨機鹽R、文件密鑰密文、初始文件的消息認證碼、初始文件長度和文件頭的消息摘要；所述文件密鑰密文包括密文總長度、密文信息總項數、文件密鑰密文信息和密鑰認證碼；所述密文總長度記錄文件密鑰密文的總長度；所述密文信息總項數記錄與各授權設備綁定的密文信息總數一致；所述密鑰認證碼由公式產生，用于驗證文件解密過程中設備恢復的文件密鑰的正確性；

C)通過安全目錄存儲敏感文件，授權用戶可進入安全目錄進行文件操作；

D)當用戶進入安全目錄進行文件操作時，通過調用文件夾監視器的內部函數，實時監控安全目錄中的用戶行為；再基于安全目錄，進行多設備共享文件保護；包括D1)～D5)：

D1)當用戶進行文件編輯操作時，文件夾監視器檢測到用戶操作，對文件保護模塊發出對文件實施解密以供用戶使用的請求；

D2)文件保護模塊接收到文件夾監視器發送的文件操作請求后，首先驗證請求打開文件的完整性；再生成設備解密密鑰，發送給設備管理模塊；

D3)設備管理模塊獲取設備的硬件信息Dev_info，使用系統密鑰K_s和隨機鹽R產生該設備的設備密鑰K_D＝G^a({Dev_info,R,K_s})，G^a為加密函數；同時生成設備的硬件信息Dev_info的單向Hash值，一并發送給文件保護模塊；

D4)文件保護模塊生成文件解密密鑰并檢驗完整性：首先識別文件密鑰密文項中的信息與當前設備是否匹配；對于匹配的文件密鑰密文信息項，獲取文件內容密鑰CEK進行檢驗；

D5)文件保護模塊恢復被保護文件：文件保護模塊使用文件內容密鑰CEK對被保護的文件進行解密，并恢復為原始文件，供用戶使用。

2.如權利要求1所述多設備文件保護方法，其特征是，使用對于用戶是透明的自定義的用戶ticket來進行用戶身份的驗證和授權；所述用戶ticket由公式(1)生成：

其中，password_u是用戶密碼；ID是該用戶的用戶名，也是該用戶的唯一標識；H(·)為單向哈希函數。

3.如權利要求1所述多設備文件保護方法，其特征是，步驟A)所述生成設備密鑰具體是：設備管理模塊獲取設備的設備硬件信息，解密設備信息表，檢驗設備信息表的完整性后，獲取所有相關授權設備的設備唯一標識、設備信息摘要、設備信息三元組信息集合產生各授權設備的設備密鑰其中，K_s為系統密鑰，R為隨機鹽，G^a為加密函數。

4.如權利要求1所述多設備文件保護方法，其特征是，步驟B2)使用對稱加密算法對敏感文件的內容信息進行加密。