CN102693399B - 一种电子文档在线分离与还原的系统及方法 - Google Patents

Abstract

本发明公开一种在线完成文档分离和还原的系统和方法，其目标是实现电子文档在编辑、使用过程中，自动地进行分离存储和原文恢复，并且这种分离和还原过程与具体的文档编辑系统无关。该方法通过将管理终端部分存储区域与专用key盘(本系统定制)部分存储区域绑定，构成逻辑存储空间---“分离存储区”，文档保存到此分离存储区时，其信息有效分离，分存到管理终端和专用key盘两种不同介质上，从此分离存储区读取文档时，通过对两种介质上的文件片段信息获取恢复原文。本方法比传统的加密管理更加安全、方便、可靠，可为终端级电子文档提供超高强度的安全管理手段。

Description

一种电子文档在线分离与还原的系统及方法

技术领域

本发明是涉及一种电子文档的安全管理系统，具体涉及电子文档在线分离与还原的系统，属于信息安全管理技术领域；本发明还涉及这种电子文档在线分离与还原的方法。

背景技术

电子文档的安全防护是信息安全的核心问题之一，其安全管理有一系列的软硬件系统和方法，但是运用的技术手段归纳起来主要有以下几种方法。

⑴基于身份认证的访问控制。典型的是采用服务器集中存储方法，客户端有服务器进行用户身份的认证后，赋予相应的权限，如读、写、复制、删除等。

⑵加密存储方式。文件经过加密后存储在硬盘、移动硬盘、U盘等存储介质中，文件的安全由密钥的安全和加密算法的强度决定，加密移动硬盘就是典型产品。

⑶认证授权和加密存储的混合方式。在安全需求比较高的系统中，通常都是采用这种混合方式构建电子文档安全管理系统。

采用以上方式构建系统时，加密算法和认证授权方式的选择决定了安全管理的能力。事实上，高强度的加密算法很难得到，并且被破解的速度不断提高，破解技术也不断取得突破；密钥的管理代价也很巨大；完善的认证授权机制在小规模系统中难以实施，因而在不破坏电子文档信息完整性的基础上实现低成本的高强度安全管理，困难很大。对电子文档进行有效的信息分离后，分存于不同的存储介质(如管理终端和U盘)，根据不完整信息不能恢复原文的原理，为电子文档提供有效的安全管理手段，是解决问题的有效途径。为此，当前有人曾提出基于信息分割实现文档保护思想和方法，但到目前为此，并没有发现实用的系统或相关的解决方案。

发明内容

发明目的：本发明的目的在于针对现有技术的不足，提供一种能有效防止文档信息泄露的电子文档在线分离与还原的系统。

本发明还提供了这种电子文档在线分离与还原的方法。

技术方案：本发明所述的电子文档在线分离与还原的系统，包括专用分离存储装置、管理终端、分离与还原核心处理模块；所述专用分离存储装置中至少包括关键信息存储装置，用于存储文档被分离出来的关键信息；所述管理终端中至少包括主体信息存储装置，用于存储存储文档被分离出来的主体信息；特定的关键信息存储装置与特定的主体信息存储装置相互绑定，形成可用的逻辑存储空间——“分离存储区”；所述分离与还原核心处理模块用于监测文档读写请求与编辑进程，文档保存时，将以“分离存储区”为指向的电子文档分离成关键信息和主体信息分别保存到关键信息存储装置和主体信息存储装置中；文档打开时，对位于“分离存储区”的文档，分别从关键信息存储装置和主体信息存储装置中读取信息，并恢复成原文。

为成系统应用和管理，本发明系统还包括：注册管理装置，用于建立专用分离存储装置与特定管理终端的关联关系；登录管理装置，使用专用分离存储装置与关联的管理终端处理分离文档时，用于验证专用分离存储装置持有者身份，并将相关的关键信息存储装置与主体信息存储装置绑定成“分离存储区”。

本发明系统中还包括专用分离存储装置的驱动装置，集成在所述管理终端中，用于识别特定的专用分离存储装置。只有安装该驱动装置的管理终端才能识别特定的专用分离存储装置，进一步保证了信息的物理安全。

所述专用分离存储装置中还包括：用户信息存储装置，用来保存专用分离存储装置持有人的用户信息，如用户名、登录口令和其它用户信息；注册信息存储装置，用来保存专用分离存储装置在相关管理终端的注册信息，包括所注册的主机序列号、主机名、注册时间、主体信息存储区ID及其他相关信息。用户信息通过适当的保护措施（如口令以哈希值保存等）保存在用户信息存储装置中。在专用分离存储装置中注入用户信息，其目的是为专用分离存储装置的注册管理和用户登录做好技术准备。为保证安全性，约定专用分离存储装置必须在管理终端上注册后才能使用。

所述管理终端中还包括：注册信息存储装置，用来保存相关专用分离存储装置在该终端的注册信息，包括注册过的专用分离存储装置序列号、关键信息存储区ID、用户姓名、注册时间及其它相关信息。

为了允许一个专用分离存储装置在多台管理终端上注册，建立与多个终端绑定关系，以便用户使用同一专用分离存储装置在办公室、家用、便携终端上通用，本发明所述专用分离存储装置可以包括多个相互独立的关键信息存储装置，分别与所注册终端的主体信息存储装置关联，用于保存分离文档的关键信息；

为了允许一台管理终端同时注册多个专用分离存储装置，本发明所述管理终端可以包括多个相互独立的主体信息存储装置，分别关联已注册的专用分离存储装置的关键信息存储装置，每注册一个专用分离存储装置，系统都要分配一个对应的主体信息存储装置与其绑定。

本发明所述关键信息存储装置以库形式或单个文件形式保存分离文档的关键信息，还被用于实现“分离存储区”文档目录管理；所述主体信息存储装置以库形式或单个文件形式保存分离文档主体信息。

本发明所述分离与还原核心处理模块中还包括自动监测与处理装置，用于监测与“分离存储区”相关的文档编辑进程，对其所有读取/写入操作，自动定向到“分离存储区”，使编辑系统所产生的临时文件均以分离方式保存和还原，从而杜绝临时文件涉密的可能性。

为保证分离文档对外顺畅交互，本发明系统还包括文档对外交互装置，用于将“分离存储区”的电子文档直接向普通存储区域还原成普通电子文档，但实现此功能最好需用户通过验证确认；或，将普通电子文档移入“分离存储区”，按分离方式保存。

本发明所述管理终端中设置有安全防护装置，拒绝任何方式直接访问所述主体信息存储装置，仅能通过读写“分离存储区”来间接读写主体信息存储装置，以此对各注册用户（一个专用分离存储装置对应一个用户）在本终端的主体信息进行有效保护。

本发明所述专用分离存储装置中设置有安全防护装置，拒绝任何方式直接访问所述关键信息存储装置，仅能通过读写“分离存储区”来间接读写关键信息存储装置。同时，专用分离存储装置在某管理终端登录使用时，只能访问与当前终端关联的关键信息存储区，屏蔽其它终端相关信息的访问。

所述专用分离存储装置为具有硬件保护功能的移动存储器，可以是定制的专用Key盘，以便于携带；当然保护功能也不限于硬件方式实现，可以通过软件方式实现，只不过其保护能力可能会不及硬件方式。本发明所述管理终端为PC机或笔记本电脑。

所述分离与还原核心处理模块不仅可以在管理终端中通过软件实现，还可以在专用分离存储装置植入计算装置实现，可以在终端上附加其它装置实现，也可以综合应用以上方式实现。注册管理装置、登录管理装置同样如此。

本发明所述电子文档在线分离与还原的方法，包括如下步骤：

（1）专用分离存储装置的配置：在专用分离存储装置中注入用户信息，包括用户名、用户口令和其他相关信息；

（2）注册专用分离存储装置并分配存储空间：（a）将专用分离存储装置中的至少部分存储区域设置为关键信息存储区，将管理终端中的至少部分存储区域设置为主体信息存储区，该区域可以是整个主机硬盘、硬盘的某分区、文件夹、库文件，也可是外接存储设备；（b）建立关键信息存储区与主体信息存储区的绑定关系，为形成逻辑存储区域“分离存储区”创造条件；（c）在管理终端上登记专用分离存储装置的注册信息，包括专用分离存储装置的序列号、关键信息存储区Id、用户姓名、注册时间及其它相关信息；（d）在专用分离存储装置上登记所注册的管理终端信息，如主机名、主机序列号、主体信息存储区Id等及其它相关信息；

（3）登录专用分离存储装置：（a）输入登录密码，验证用户的合法性，如不通过，拒绝使用；用户专用分离存储装置在注册过的管理终端上，经过登录后，才能使用文档分离管理功能，登录目的是验证用户身份，阻止别有用心的人在掌握他人专用分离存储装置和管理终端的情况下，操作其文档；（b）登录成功后，根据关键信息存储区与主体信息存储区的绑定关系，构成用户可用的逻辑存储区域“分离存储区” “分离存储区”以特定的逻辑盘符形式出现，为用户提供透明访问；

（4）文档的保存与文档的还原：

（a）保存：以“分离存储区”为指向的文档保存时，分离与还原核心处理模块将文档分离成关键信息和主体信息；关键信息保存到关键信息存储区，主体信息保存到主体信息存储区；关键信息存储区以库形式或单个文件形式保存分离文档的关键信息，还被用于实现“分离存储区”文档目录管理，主体信息存储区以库形式或单个文件形式保存分离文档主体信息；分存两处的文档关键信息与主体信息一对一关联；有多种不同算法可用于文档的信息有效分离，本发明提供一种基于随机变换和抽取的分离算法。

文档分离保存过程如图1所示：

首先，以随机参数对文档进行上下文关联的变换，这种变换是可逆的；

其次，对变换后的文档，按随机点位、次数和长度进行信息抽取；

最后，将所有变换算法参数、抽取算法参数及抽取的信息作为关键信息，以数据文件形式保存到专用分离存储装置的关键信息存储区，抽取后的剩余信息(文档主体信息)保存到管理终端的主体信息存储区，并建立两部分信息之间的一对一关系。

（b）还原：对“分离存储区”的文档发生读请求时，分离与还原核心处理模块通过还原算法，从关键信息存储区与主体信息存储区分别读入关键信息和主体信息，按分离的逆过程进行文档还原。

上述步骤（2）中，同一管理终端，允许注册多个专用分离存储装置；同一专用分离存储装置，允许在多个管理终端注册。

有益效果：本发明与现有技术相比，其有益效果是：

1、本发明通过定制专用专用分离存储装置、规划存储空间、改造操作系统之文件系统，研制配套服务软件相结合，提供一种在线实现电子分离和还原，对用户透明，与具体编辑系统无关的系统和方法。它将电子文档的信息保存于管理终端和专用分离存储装置两种不同的存储介质上，用户只要控制好管理终端或专用分离存储装置的其中之一，便能防止文档信息的泄漏，从而提供一种有效的文档防泄密管理手段，它比现有安全保密系统具有更高的防护强度，更加便于推广应用。

2、本发明系统及方法能够实现电子文档多方位安全管理。在基于信息分离，从原理上保证高强度防护性能的同时，本发明进一步从防非法窃取、技术漏洞、数据损坏3个方面保证系统应用的安全。通过专用分离存储装置的注册和登录管理，实现双因子认证，能够有效阻止使用他人利用专用分离存储装置和管理终端还原或窃取分离文档；通过跟踪和分离编辑系统运行产生的临时文件，能够有效防止临时文件泄密的可能；通过软硬件方法，对专用分离存储装置和管理终端的分离文档区域进行隔离，能够保证分离信息的物理安全。

3、本发明能够为实施电子文档人性化安全管理提供保证。本发明采用了“一机多盘”和“一盘多机”的注册管理机制，为灵活、方便地实施安全管理提供了保证；对专用分离存储装置采用双因子认证管理，降低使用和管理风险，即使终端和专用分离存储装置同时落入他人之手，也难以登录使用；本发明的系统对文档的保护强度不依赖于系统的算法，没有密钥管理或其它安全保密管理的负担和要求，可完全开放使用；本发明的系统实施，对软硬件支撑环境无特殊要求，可在普通PC台式终端或便携终端上实施。该发明在可实施性及用户体验方面均具有优势，能够为实施电子从档人性化安全管理提供保证。

附图说明

图1为本发明文档分离保存过程示意图。

图2为本发明实施例中系统框架图。

图3为本发明实施例中分离算法流程图。

图 4为本发明实施例中专用key盘的结构示意图。

具体实施方式

下面结合附图，对本发明技术方案进行详细说明，但是本发明的保护范围不局限于所述实施例。

实施例1

1、系统硬件要求

包括管理终端及专用key盘。其中，管理终端为普通PC机或笔记本电脑。专用key盘为具有硬件保护能力的定制U盘。

、存储规划与关联关系设计

⑴key盘空间规划：分为三部分，一是key盘用户信息，包括用户名和用户登录口令，口令以哈希值保存；二是在相关终端的注册信息，包括所注册的主机序列号、主机名、注册时间、主体信息存储区ID及其它相关信息；三是分离存储数据区，根据所注册的终端数量设置若干区域（关键信息存储区），每个区域与相应终端的主体信息存储区建立一对一关联关系，用于保存分离文档的关键信息。

⑵主体信息存储区规划：key盘注册时，在终端上以库文件形式为此key盘分配配套存储空间，即主体信息存储区，并建立key盘注册登记表，记录所有注册过的key盘ID、用户名、相关联的主体信息存储区ID，及相关的注册信息。主体信息存储区用于存放分离文档的主体信息。

⑶分离存储区：key盘在注册过的终端上成功登录后，key盘的关键信息存储区与对应的终端主体信息存储区自动绑定，形成用户能够访问的“分离存储区”，该存储区的文档均以分离方式保存，所存文件及文件目录的管理，通过key盘中分离文档关键信息的映射来实现。保存在key盘的关键信息，提供原文档的属性信息。

、系统组成、功能及运行方式

以windows WDM设备驱动架构为背景，介绍在Windows 2000或Windows XP操作系统下的系统实现案例。

如图2所示，系统由应用程序模块、分离与还原核心处理模块、驱动程序模块和存储设备组成，跨应用层、操作系统层、设备层三个层次。

⑴应用程序。包括key盘配置、key盘注册、注销、用户登录、终端及key盘应用与管理情况查询、日志查询功能，由用户调用执行，位于应用层。

⑵分离与还原核心处理模块。以文件系统过滤驱动和设备过滤驱动形式加载到操作系统层，主要功能包括：

①过滤文件系统操作请求，鉴别不同类型的文档操作，针对分离文档、普通文档、临时文件以及系统维护所涉及的文件操作请求，分别进行相应处理。

②完成文档的信息分离与还原操作。

③维护管理日志，内容包括用户注册、注销以及重要管理操作。

④提供系统状态信息。

⑤处理临时文件。当操作的对象是分离文件时，以分离的方式实现临时文件的存储，将临时文件的主体信息保存在操作系统环境变量指定的Temp目录中，关键信息保存在内存中。

⑶驱动程序，根据分离与还原核心处理模块的要求，提供硬件存储设备访问支持。

⑷存储设备。包括Key盘和主机硬盘，Key盘用来存储文档的关键信息，文档的主体信息保存在主机硬盘中。

、文档分离和还原流程

⑴分离文件的写操作处理流程

①文档编辑程序发起向分离存储区写操作，操作请求发送给分离与还原核心处理模块。

②分离与还原核心处理模块通过变换和抽取，将文档分离成关键信息和主体信息。

③分离与还原核心处理模块通过设备驱动程序，驱动Key盘中的相关电路将关键信息和主体信息分别写入key盘和主机硬盘，并建立两者之间的一对一关联关系。

④分离与还原核心处理模块向编辑程序报告写操作完成。

⑵分离文件的读操作处理流程

①文档编辑程序发起读分离文档操作，向分离与还原核心处理模块发送读请求。

②分离与还原核心处理模块获取读操作请求后，通过设备驱动程序驱动Key盘中的相关电路从key盘读取关键信息,并通过一对一关联关系，读取其配对的主体信息。

③分离与还原核心处理模块通过还原算法，将关键信息和主体信息恢复成原文档。

④分离与还原核心处理模块将文档原文提交给编辑程序，读操作完成。

、信息分离算法

⑴分离

第一步：去特征化变换。目的是消除普通电子文档格式特征，使文档中的信息熵值尽可能均匀，通过上下文的数据关联性，形成无特征文件。变换算法选择以简单成熟为原则，以保证系统效率和可靠。具体应用可采用基于DES加密算法的变换方式，并引入了三个初始随机向量强化数据的相关性，如图3所示。

图中，变换利用成熟的加密算法实现对原文件信息的非线性变换，第n个数据块和第n-1个数据块密文、第n-2个数据块明文分别异或后，进行DES加密变换，这实质上是一种增强型CBC（加密数据块反馈）链式加密模式，强化了数据间的关联性，由于第1、2个数据块缺少参加异或的数据明文和密文，在程序实现中，设定了初始向量IV1、IV2和IV3，以启动正向变换的链式加密模式，其中IV1、IV2和IV3由程序随机生成。考虑到DES加密以56位的数据块为变换单元，在本模块的实现中采用7B，据此IV1、IV2和IV3的长度也相应的为7B。

第二步：信息抽取和打包

在去特征的文档(记为S0)中，以随机的次数rn进行信息抽取，在位置rp(i)抽取长度rl(i)的字符串rs(i)(1<=i<=rn)。具体算法采用以下循环：

For i=1 to rn

rp(i)=随机数1

rl(i)=随机数2

在S0的位置rp(i)，抽取 rl(i)个字节,存入rs(i)，抽取处以随机的数据填入；

Next i

数据打包的内容：步骤⑴中的去特征化变换参数、rn、数组rp()、rl()、rs()，按一定规则打包后作为分离出的信息存入key盘。S0保存于终端硬盘。

按这种方式将文档信息分离处理后，分存于S0和key盘中，任一个都不能单独恢复原文。

⑵还原

还原算法是分离算法的逆过程。

、专用key盘的设计与驱动

本系统专用Key盘系统结构如图4所示。

在普通U盘基础上，通过加装分离存储管理电路与计算机系统连接，Key盘响应其驱动程序发来的指令，并根据指令管理Key盘中的存储区域，Key盘驱动程序向上层提供存储服务。

分离存储管理电路用于对关键信息存储区实施保护，通过key盘驱动程序，key盘关键信息存储区才能使用。我们把key盘驱动程序集成到该系统中，在未安装该系统的终端上，Key 盘会被识别成一个普通U盘，Key盘上的分离存储管理电路屏蔽关键信息存储区，因而只提供普通U盘功能，这时只有普通存储区可以正常读写，分离存储区不会向上暴露给用户和操作系统。而在安装了该系统的终端上，Key盘驱动能够识别出Key盘的分离信息区，在对用户身份进行认证后，才提供对关键信息存储区的访问，从而实现了保护key盘分离文档信息的功能。

如上所述，尽管参照特定的优选实施例已经表示和表述了本发明，但其不得解释为对本发明自身的限制。在不脱离所附权利要求定义的本发明的精神和范围前提下，可对其在形式上和细节上作出各种变化。

Claims (9)

1.一种电子文档在线分离与还原的系统，其特征在于包括专用分离存储装置、管理终端、分离与还原核心处理模块；

所述专用分离存储装置中至少包括关键信息存储装置，用于存储文档被分离出来的关键信息；所述管理终端中至少包括主体信息存储装置，用于存储存储文档被分离出来的主体信息；关键信息存储装置与相关的主体信息存储装置相互绑定，形成“分离存储区”；

所述分离与还原核心处理模块，以过滤驱动形式加载在操作系统层，在线过滤文件系统操作请求，监测文件读写，鉴别不同类型的文档操作，并自动进行分离或还原处理；文档保存时，对指向“分离存储区”的电子文档分离成关键信息和主体信息，分别保存到关键信息存储装置和主体信息存储装置中；文档打开时，对位于“分离存储区”的文档，分别从关键信息存储装置和主体信息存储装置中读取信息，并恢复成原文，将原文提交应用层的编辑程序使用，完成读操作而不在任何存储介质进行保存；

所述分离与还原核心处理模块中还包括临时文件监测和处理装置，用于监测与“分离存储区”相关的文档编辑进程，对其运行中所产生的临时文件均以分离方式保存和还原。

2.根据权利要求1所述的系统，其特征在于：还包括，

注册管理装置，用于建立专用分离存储装置与特定管理终端的关联关系；

登录管理装置，使用专用分离存储装置与关联的管理终端处理分离文档时，用于验证专用分离存储装置持有者身份，并将相关的关键信息存储装置与主体信息存储装置绑定成“分离存储区”。

3.根据权利要求1所述的系统，其特征在于：还包括，

专用分离存储装置的驱动装置，集成在所述管理终端中，用于识别特定的专用分离存储装置。

4.根据权利要求1所述的系统，其特征在于：

所述专用分离存储装置中还包括：

用户信息存储装置，用来保存专用分离存储装置持有人的用户信息；

注册信息存储装置，用来保存专用分离存储装置在相关管理终端的注册信息；

所述管理终端中还包括：

注册信息存储装置，用来保存相关专用分离存储装置的注册信息。

5.根据权利要求1所述的系统，其特征在于：

所述专用分离存储装置包括多个相互独立的关键信息存储装置，分别与所注册终端的主体信息存储装置关联；

所述管理终端包括多个相互独立的主体信息存储装置，分别关联已注册的专用分离存储装置的关键信息存储装置。

6.根据权利要求1所述的系统，其特征在于：还包括文档对外交互装置，用于将“分离存储区”的电子文档直接向普通存储区域还原；或将普通电子文档移入“分离存储区”，按分离方式保存。

7.根据权利要求1所述的系统，其特征在于：所述专用分离存储装置和管理终端中均设置有安全防护装置，拒绝任何方式直接访问所述关键信息存储装置和主体信息存储装置，仅能通过读写 “分离存储区”来实现对关键信息存储装置和主体信息存储装置的访问。

8.根据要求1所述电子文档在线分离与还原的系统进行电子文档在线分离与还原的方法，其特征在于包括如下步骤：

（1）专用分离存储装置的配置：在专用分离存储装置中注入用户信息，包括用户名、用户口令和其他相关信息；

（2）注册专用分离存储装置并分配存储空间：（a）将专用分离存储装置中的至少部分存储区域设置为关键信息存储区，将管理终端中的至少部分存储区域设置为主体信息存储区；（b）建立关键信息存储区与主体信息存储区的绑定关系，为形成逻辑存储区域“分离存储区”创造条件；（c）在管理终端上登记专用分离存储装置的注册信息；（d）在专用分离存储装置上登记所注册的管理终端信息；

（3）登录专用分离存储装置：（a）输入登录密码，验证用户的合法性，如不通过，拒绝使用；（b）登录成功后，根据关键信息存储装区与主体信息存储区的绑定关系，构成用户可用的逻辑存储区域“分离存储区”；

（4）文档的保存与文档的还原：

（a）保存：以“分离存储区”为指向的文档保存时，由分离与还原核心处理模块截获此消息，并将文档分离成关键信息和主体信息；关键信息保存到关键信息存储区，主体信息保存到主体信息存储区；分存两处的文档关键信息与主体信息一一对应关联；

（b）还原：对“分离存储区”的文档发生读请求时，分离与还原核心处理模块通过还原算法，从关键信息存储区与主体信息存储区分别读入关键信息和主体信息，按分离的逆过程进行文档还原。

9.根据权利要求8所述的方法，其特征在于：步骤（4）中文档的保存方法为：

首先，以随机参数对文档进行上下文关联的变换，这种变换是可逆的；

其次，对变换后的文档，按随机点位、次数和长度进行信息抽取；

最后，将所有变换算法参数、抽取算法参数及抽取的信息作为关键信息，以数据文件形式保存到分离存储装置的关键信息区，抽取后的剩余信息，即文档主体信息保存到管理终端的主体信息区，并建立两部分信息之间的一对一关系。