CN102938762A - 一种基于移动终端的文件安全管理系统 - Google Patents

Abstract

本发明公开了一种基于移动终端的文件安全管理系统，该系统通过权限分组模块、接入身份认证模块、密钥分发模块及密级管理模块来实现，终端用户、用户组之间通过无线网络连接至服务器，并通过无线网络相互连接，进行文件传输与接收，采用接入身份认证与权限分组、密钥分发等方法，不仅实现了移动终端中的文件授权和密级管理，而且可以确保无线网络误码或丢包情况下，密文的出错不会影响剩下密文的查询，误码健壮性好。

Description

一种基于移动终端的文件安全管理系统

技术领域

本发明涉及一种网络通讯领域，尤其涉及一种基于移动终端的文件安全管理系统。

背景技术

近年来，智能手机、平板电脑等移动终端越来越多的被人们使用，许多企业和政府机构也开始通过移动终端进行移动办公、移动执法等应用，工作效率得到了极大地提升。但由于适用于PC终端的文件安全管理系统，大多由于系统软、硬件以及网络状况上的差异性而无法直接应用到移动终端，移动终端中的文件面临的安全威胁与日俱增。

在专利名称为“支持协同工作的外发文件安全管理系统”(申请号：201010138182.0)描述了一种解决方案，该方案通过采用数字签名、自动加解密以及文档全过程保护等多种技术，实现对文档内容加密并远程集中存储，并从用户身份认证管理、访问控制管理、文档加密等级安全管理和综合安全审计等多方面，对文档的创建、访问、使用、传输、存储和销毁整个生命周期进行有效的安全管理。该方法可追溯性较好，但是文档信息的完整性和保密性主要依赖加密算法，很难直接应用于主要使用无线网络的移动终端中。

发明内容

本发明要解决的技术问题在于提供了一种可实现移动终端中的文件授权和密级管理的文件安全管理系统。

为解决上述技术问题，本发明通过以下方案来实现：一种基于移动终端的文件安全管理系统，该系统通过权限分组模块、接入身份认证模块、密钥分发模块及密级管理模块来实现，终端用户、用户组之间通过无线网络连接至服务器，并通过无线网络相互连接，进行文件传输与接收，上述模块其具体功能如下：

1)、所述权限分组模块：是对终端用户身份进行注册，并设置该终端用户的组别及权限；

2)、所述接入身份认证模块：终端用户每次开机时均需要通过无线网络接入服务器进行身份认证，通过身份认证和注册后，确定该终端用户的权限和分组，才能正常使用操作系统；

3)、所述密钥分发模块包括用户组密钥分发子模块及用户密钥分发子模块，所述用户组密钥分发子模块是以终端用户为基本单元，每个终端用户周期存储两个子钥，加密每个终端用户的开始，同一用户组内所有用户层子钥指针复位；所述用户密钥分发子模块是以文件为基本单元，加密每个文件的开始，将该文件对应的两个子钥分别二值化成128比特的密钥序列，其分发过程与文件加密过程同步，两个密钥序列分配交叉进行，密钥序列可重复分发，直到该文件结束。

所述终端用户创建文档时，可通过密级管理模块对文档进行密级设置。

所述密级管理模块包括公开、普通、私密、保密、机密、绝密等加密级别。

所述密钥分发模块对每个段落分配一个新的密钥，实现明文变为密文。

所述权限分组模块，在同组终端用户内，权限高和同级权限的终端用户可打开、浏览、编辑同级权限和权限低的终端用户的发送文档。

所述权限分组模块，在不同组终端用户之间，需请求服务器授权通过后，打开、浏览、编辑终端用户的发送文档。

所述权限分组模块，在任何终端用户之间，权限低的终端用户，需请求服务器授权通过后，打开、浏览、编辑终端用户的发送文档。

本发明的优点是：采用接入身份认证与权限分组、密钥分发等方法，不仅实现了移动终端中的文件授权和密级管理，而且可以确保无线网络误码或丢包情况下，密文的出错不会影响剩下密文的查询，误码健壮性好，其具体有益效果如下：

1)、通过接入身份认证和注册，易于对用户分组和权限的管理；

2)、在本发明中，由于每个文件使用了长度为128×2＝256比特的密钥序列，安全保密性高；

3)、由于从用户的角度看，密钥分发是以文件为基本单元的，而且每个文件又是以段落为单位由2个子钥交叉进行加密，所以出现误码或丢包的情况下，不会影响下一段落的解密，误码健壮性好；

4)、整个密钥分发过程主要进行的是异或、比较和判断等运算，计算开销小，易于移动终端的实时处理。

附图说明

以下结合附图对本发明作详细说明。

图1为本发明服务器与用户、用户组之间的连接示意图；

图2为本发明密钥分发模块原理示意图；

图3为本发明文件安全管理系统流程图。

具体实施方式

如图1、图3所示，一种基于移动终端的文件安全管理系统，该系统通过权限分组模块、接入身份认证模块、密钥分发模块及密级管理模块来实现。

实施例：

用户使用智能手机或平板电脑，用户组A包括用户A1、用户A2，用户组B包括用户B1、用户B2，用户组A或用户组B可根据情况增加用户的数量，用户之间通过无线网络连接至服务器，并通过无线网络相互连接，用户A1、用户A2、用户B1、用户B2每次开机时均需要通过无线网络接入服务器进行身份认证，通过身份认证和注册后，确定用户的权限和分组。

假设用户A1、用户A2权限级别设置为高级，用户B1、用户B2权限级别分别设置高级、低级，当用户A1创建一个新的word文档时，系统自动弹出密级设置提示框，密级有公开、普通、私密、保密、机密、绝密等加密等级，选择保密。

用户A1对图档进行编辑，在编辑过程中将对每个段落分配一个新的密钥，实现明文变为密文。当用户A1将该word文档保存后发给同组的用户组A的用户A2后，因用户A2权限也为高级，用户A2接收该word文档后，可以正常的打开、浏览、编辑该文档。当用户A1将该word文档保存后发给不同组的用户组B的用户B1、用户B2后，因用户B1、用户B2所处的组别与用户A1不同，即使用户B1的级别也为高级，但因不同组别，在接收该word文档后，也需向服务器提交授权请求，经服务器审核通过后，才能够正常的解密，打开、浏览、编辑该word文档，如未通过，该word文档不能打开。

假设用户A1、用户A2的权限级别分别为高级、低级时，用户A1将该word文档保存后发给同组的用户组A的用户A2后，用户A2因级别为低级，在接收该word文档后，无法打开，需向服务器提交授权请求，经服务器审核通过后，才能够正常的解密，打开、浏览、编辑该word文档，如未通过，该word文档不能打开。

如图2所示，密钥分发模块，当使用第j个密钥序列加密第n个用户组的开始时，由前一用户组初始密钥

和该密钥序列初始密钥kj来获得当前用户组的初始密钥

其中：

$k_j^{n-1}(g\left(k_j\right)+g\left(k_j^{n-2}\right))\mathrm{mod}1$

$=G(j,n-1)\mathrm{mod}1=\left\{\begin{array}{c}G(j,n-1),0\≤G(j,n-1)\≤1\\ G(j,n-1)-1,G(j,n-1)>1\end{array}\right.$

从用户组的角度看，密钥分发以用户为基本单元，每个用户周期存储两个子钥

其中r+1表示当前用户组数。加密每个用户的开始，同一用户组内所有用户层子钥指针复位，即

必定有

从用户的角度看，密钥分发又以文件为基本单元。加密每个文件的开始，将该文件对应的两个子钥

分别二值化成128比特的密钥序列，其分发过程与文件加密过程同步，两个密钥序列分配交叉进行，密钥序列可重复分发，直到该文件结束。

以上所述仅为本发明的优选实施方式，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其它相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (7)

1.一种基于移动终端的文件安全管理系统，其特征在于：该系统通过权限分组模块、接入身份认证模块、密钥分发模块及密级管理模块来实现，终端用户、用户组之间通过无线网络连接至服务器，并通过无线网络相互连接，进行文件传输与接收，上述模块其具体功能如下：

1)、所述权限分组模块：是对终端用户身份进行注册，并设置该终端用户的组别及权限；

2)、所述接入身份认证模块：终端用户每次开机时均需要通过无线网络接入服务器进行身份认证，通过身份认证和注册后，确定该终端用户的权限和分组，才能正常使用操作系统；

3)、所述密钥分发模块包括用户组密钥分发子模块及用户密钥分发子模块，所述用户组密钥分发子模块是以终端用户为基本单元，每个终端用户周期存储两个子钥，加密每个终端用户的开始，同一用户组内所有用户层子钥指针复位；所述用户密钥分发子模块是以文件为基本单元，加密每个文件的开始，将该文件对应的两个子钥分别二值化成128比特的密钥序列，其分发过程与文件加密过程同步，两个密钥序列分配交叉进行，密钥序列可重复分发，直到该文件结束。

2.按照权利要求1所述的一种基于移动终端的文件安全管理系统，其特征在于：所述终端用户创建文档时，可通过密级管理模块对文档进行密级设置。

3.按照权利要求2所述的一种基于移动终端的文件安全管理系统，其特征在于：所述密级管理模块包括公开、普通、私密、保密、机密、绝密等加密级别。

4.按照权利要求1所述的一种基于移动终端的文件安全管理系统，其特征在于：所述密钥分发模块对每个段落分配一个新的密钥，实现明文变为密文。

5.按照权利要求1所述的一种基于移动终端的文件安全管理系统，其特征在于：所述权限分组模块，在同组终端用户内，权限高和同级权限的终端用户可打开、浏览、编辑同级权限和权限低的终端用户的发送文档。

6.按照权利要求1所述的一种基于移动终端的文件安全管理系统，其特征在于：所述权限分组模块，在不同组终端用户之间，需请求服务器授权通过后，打开、浏览、编辑终端用户的发送文档。

7.按照权利要求1所述的一种基于移动终端的文件安全管理系统，其特征在于：所述权限分组模块，在任何终端用户之间，权限低的终端用户，需请求服务器授权通过后，打开、浏览、编辑终端用户的发送文档。

Images