CN103268456B - 一种文件安全控制方法及装置 - Google Patents

Abstract

本发明提供一种文件安全控制方法及对应的装置，应用于主机上，该方法包括：步骤A、在发生已登录域用户将当前主机本地硬盘上的文件向域外复制事件时，为需要复制的当前文件获取对应的加密密钥；步骤B、使用该加密密钥对当前文件中的明文数据进行加密形成密文数据，并将与该加密密钥对应的加密标识保存在该已加密文件的明文区中。相对于现有技术而言，本发明在保障了文件信息安全的前提下又提高了组织内部用户之间文件交流的效率。

Description

一种文件安全控制方法及装置

技术领域

本发明涉及电子文件处理技术，尤其涉及一种文件安全控制方法及对应的装置。

背景技术

随着信息化技术的推广，包括政府机关以及企业在内的各种大型社会组织越来越倾向于采用电子化的方式来保存自身的业务及管理数据。以企业为例，大部分企业的财务报表、员工档案、设计图纸、音像资料等数据通常都采用电子文件的形式予以保存。电子文件已经成为一种不可替代的数据储存方式。

电子文件相对于传统的纸质文件的方式有着各种显而易见的卓越优势。比如说电子文件相对于传统的纸质文件更容易被传播，然而更容易被传播意味着电子文件更容易产生信息安全的问题。如何防止文件未经内部合规程序的批准而流传到外部是一个极具挑战的安全工作，也是目前各种社会组织非常迫切的信息化安全需求。

针对这种安全需求，目前市场上出现了一些解决方案，主要有如下几类技术：文档权限管理系统、主动型文件加密系统、文档透明加解密系统。这几类技术都可以从一定程度上解决客户端的文件安全问题，但目前还没有一种解决方案，在不影响用户使用的前提下，能做到有效防止用户计算机存放的各类保密文件的泄密。

微软公司的RMS系统是一种典型的文档权限管理系统。RMS系统针对office类文件，使用RMS进行加密授权，无权限用户无法打开文件。经过加密的文件离开指定的AD域网络环境，同样无法打开使用。然而RMS系统仅能针对office文件进行加密授权，不能对非office文件进行保护。缺乏广泛的适用性，比如说对于一个IT企业来说，其可能有大量包括源代码在内的有价值的商业秘密并非是采用Office文件来保存的。此外，RMS系统属于主动加密工具，如果企业内部人员故意泄密保密文件将无法防范。

亿赛通文档透明加密系统是一种典型的文档透明加解密系统。对于需要保护的文件类型，该系统会在文件保存时对其进行强制性的加密，只要写在磁盘上就是加密存储的；文件生成的参与者被系统授权许可使用这些加密的文件，可以接触操作这些内容。如果未经合法许可而带走加密文件，这些加密文件内容将不能够被正常打开，文件内容不会因为文件数据体的扩散而扩散。

透明加密技术是近年来针对企业文件保密需求应运而生的一种文件加密技术。所谓透明，是指对文件使用者来说文件被加密是未知的。当使用者在打开或编辑指定文件时，系统将自动对未加密的文件进行加密，对已加密的文件自动解密。文件在硬盘上是密文，在内存中是明文。一旦离开使用环境，由于应用程序无法得到自动解密的服务而无法打开该文件，于是就起来保护文件内容的效果。由于文档透明加解密系统，所有指定类型文件都是强制加密的，因此有如下缺点：文件使用过程需要进行加解密，占用系统资源，有时候会显著影响当前系统性能和用户体验，降低人员的工作效率。而且所有指定类型文件都进行了加密，影响组织内部人员与外部人员的信息交流效率。

发明内容

有鉴于此，本发明提供一种文件安全控制装置，应用于主机上，该装置包括：加密准备单元以及加密执行单元，其中：

加密准备单元，用于在发生已登录域用户将当前主机本地硬盘上的文件向域外复制事件时，为需要复制的当前文件获取对应的加密密钥；

加密执行单元，用户使用该加密密钥对当前文件中的明文数据进行加密形成密文数据，并将与该加密密钥对应的加密标识保存在该已加密文件的明文区中。

本发明还提供一种文件安全控制方法，应用于主机上，该方法包括：

步骤A、在发生已登录域用户将当前主机本地硬盘上的文件向域外复制事件时，为需要复制的当前文件获取对应的加密密钥；

步骤B、使用该加密密钥对当前文件中的明文数据进行加密形成密文数据，并将与该加密密钥对应的加密标识保存在该已加密文件的明文区中。

相对于现有技术而言，本发明通过区分复制操作的对端是否在域内，对于对端在域内的复制操作允许透明通过，对于对端在域外的复制操作则采用加密文件的方式；这种方式在保障了文件中信息安全的前提下又提高了组织内部用户之间文件交流的效率。

附图说明

图1是本发明一种实施方式中一种文件安全控制装置运行环境及逻辑结构框架图。

图2是本发明一种实施方式中一种文件安全控制装置与域内域控服务器交互流程图。

图3是本发明一种实施方式中文件加密处理的详细实现流程图。

图4是本发明一种实施方式中文件解密处理的详细实现流程图。

具体实施方式

域控技术在各种社会组织部署的网络中已经被广泛应用。本发明基于域控技术来提出一种更加高效且安全的文件处理机制来满足用户对于信息安全问题上的各种严苛要求。在以下描述中将以基于LDAP协议的AD（active directory，活动目录）域为例进行说明，当然本发明并不排除其他的实现方式。

在一种软件实施方式中，本发明提供一种文件安全控制装置。请参考图1，该装置作为一个客户端程序运行在用户主机上，用户主机的基本硬件架构包括CPU、内存、输入输入设备、非易失性存储器（例如硬盘）以及其他硬件。该文件安全控制装置可与域内的域控服务器配合工作。从逻辑上来看，该装置包括：配置管理单元、加密准备单元、加密执行单元、解密准备单元以及解密执行单元。该装置对文件一般的加密处理流程包括以下步骤：

步骤10，在发生已登录域用户将主机本地硬盘上的文件向域外复制事件时，加密准备单元获取对应的密钥；

步骤11，加密执行单元使用该加密密钥对该文件中的明文数据进行加密形成密文数据，并将与该加密密钥对应的加密标识保存在该已加密文件的明文区中。

该装置对文件一般的解密处理流程包括以下步骤：

步骤20，解密准备单元判断即将复制到本地硬盘上的当前文件是否携带有加密标识，如果是则根据该加密文件中加密标识获取对应的解密密钥；

步骤21，解密执行单元根据该解密密钥对文件中的密文数据进行解密形成明文数据，并移除保存在该文件明文区中的加密标识。

在本发明中，正常情况下，处于AD域内的主机本地硬盘上的文件通常是以明文形式保存的。在一种简洁的实施方式中，假设使用当前主机的用户登录到AD域了，加密准备单元检测到用户将文件复制出去时，若此时对端也在本AD域中，那么加密准备单元会允许该复制操作透明通过，不会将复制操作引导进入加密流程中。这样的处理可以允许主机在域内的文件复制以明文方式进行。由于复制操作过程不涉及加密和解密操作，在文件交流比较频繁的应用场景中，可以极大地降低主机在加密和解密上的资源消耗，节约时间，并可以显著提升用户体验和用户的工作效率。

但是此时如果复制操作的对端在域外，比如是一个移动硬盘，此时加密准备单元会将复制操作挂起，先对当前文件执行加密处理，加密处理完成后再允许复制操作继续。这样一来，由于离开AD域的文件通常都进行了加密处理，因此即便文件因为误操作或者恶意操作而流传出AD域，也不会产生严重的信息安全隐患。

如前所述，当域内计算机上的文件通过复制操作离开主机本地硬盘时该文件会被加密，当这些被加密的文件再通过复制操作回到域内计算机时，为了继续方便该文件的使用，可以利用加密标识来获取解密密钥对其进行解密。加密标识存放在明文区，明文区可以是文件头部，也可以是从数据区扩展出来的扩展区。文件明文区的加密标识可以形象地理解为一个密钥本的索引。在解密过程中，通过该索引可以在密钥本中获取对应的解密密钥，然后使用该解密密钥对文件中的密文数据进行解密获得明文数据。由于加密标识与密钥的对应关系通常存放在域内的主机或者服务器上，因此当文件离开AD域之后，由于域外缺乏这样的对应关系，因而无法实现文件的解密，如此可确保文件的安全性。

以下结合图2、图3以及图4，以一个接近实际应用的示例来继续描述该装置在主机上电运行后执行的各种处理流程。

在本发明优选的方式中，客户端程序（指代上述文件安全控制装置）在主机上电之后，其可以与域控服务器交互获取后续所需运用的一些参数。一个典型的流程如下：

步骤101，配置管理单元在客户端程序启动后从指定的域控服务器上获取例外安全策略并加以保存；

步骤102，配置管理单元判断使用主机的当前用户是否已经登录到域上，如果是则根据该用户SID从域控服务器上对应获取密钥生成要素总集；如果否，则结束；

在优选的方式中，本发明引入了安全例外策略，其主要是为了给后续文件加密过程提供更为灵活的处理选择，当然其并不是必须的一种实现。另外，从获取方式上来说，其也可以通过静态配置的方式加以保存。而密钥生成要素总集也并非必须从域控服务器上获取，其可以手工静态配置，比如说一个企业中大部分计算机都分别是由一个唯一用户使用的话，动态获取各种密钥生成要素并不是必须的手段。

本发明所说的密钥生成要素可以覆盖多种可能的要素，比如说域控服务器的GUID（Globally Unique Identifier）、用户GUID、主机名称、用户Email地址，甚至可能是主机MAC地址以及CPU序列号这些硬件标识。这些标识均可以作为密钥生成要素的一种加以利用。在本发明中，密钥生成要素分为两种，一种是与用户有关联的密钥生成要素，另一种则是与用户无关的密钥生成要素。比如用户Email地址则是与用户有关联的，不同用户的Email地址通常并不相同，当然如果一个企业内部有大量Email地址共用的情况，则可以放弃使用用户Email地址。再比如说，域控服务器的GUID则是与用户无关的密钥生成要素，对于多个不同用户来说，其域控服务器的GUID通常是相同的。域控服务器上可以保存这些密钥生成要素，当用户需要获取这些要素时，域控服务器可以根据该用户安全标识（SecurityIdentifier,SID，也可称为“用户域标识”）来获取对应的各种密钥生成要素然后发送给用户加以保存，SID是用户在域内的唯一标识，在一个AD域内，不同用户的SID是互不相同的。

在安全例外策略以及密钥生成要数准备完成后，客户端程序就可以开始对后续复制操作进行安全控制了。需要说明的是，本发明所说的复制操作是一个广义的概念，其可以是简单地从本地硬盘将文件复制到USB移动硬盘上，也可能文件共享操作，也可能是FTP上传等操作。到底哪种复制操作需要进行安全控制，取决于开发者对复制操作的定义，定义越广泛则安全控制就会更加严格。以下描述本实施方式中的加密处理流程。

步骤201，在发生文件复制到非当前主机的本地磁盘事件时，加密准备单元先判断使用当前主机的用户是否已经登录到AD域，如果是则转步骤202，否则转步骤205；

步骤202，加密准备单元判断该用户是否符合预设的例外安全策略，如果是，则允许复制操作透明通过；否则转步骤203；

步骤203，加密准备单元继续判断复制操作的对端是否在本AD域内，如果是，允许复制操作透明通过；如果否则转步骤204；

步骤204，加密准备单元根据从密钥生成要素总集中选择至少一个密钥生成要素来生成一个密钥生成要素子集，转步骤207；

步骤205，加密准备单元判断该当前主机是否符合预设的例外安全策略，如果是，则允许复制操作透明通过；否则转步骤206；

步骤206，加密准备单元禁止本次复制操作；或选定一个预设的密钥生成要素子集，然后转步骤207处理；

步骤207，加密准备单元根据预定密钥算法使用密钥生成要素子集生成加密密钥，转步骤208处理；

步骤208，加密执行单元获取下一个待复制的文件；

步骤209，加密执行单元对该文件中的数据进行加密，并在该文件的明文区中添加加密标识；然后允许加密后的文件继续复制操作；

步骤210，加密执行单元判断当前文件是否为本次复制操作的最后一个文件，如果是则结束，否则返回步骤208继续选择下一个文件。

在步骤201至步骤210的处理过程中，其大致的流程可以概括如下：先判断一次复制操作是否允许其透明通过，对于不允许透明通过的复制操作，则需要加密处理甚至禁止复制。而对于加密过程而言，也可以进行区分，如果使用当前主机的用户已经登录域，则可以采用一种与用户身份有关联的加密密钥；如果使用当前主机的用户没有登录到域，则该用户在AD域上没有身份，因此需要采用一种与用户身份无关的加密密钥。

如果一个用户没有登录到AD域，此时用户将文件从本地硬盘复制出去，这种行为可能会产生一定的信息安全隐患。此时一般的处理机制分为两种可选的方式，一种是直接禁止该复制操作，这种方式可以将安全隐患直接消除，但是灵活性稍差，毕竟这种情况下用户复制操作仍然有可能是合规的，尽管这样的可能性通常比较低。另一种处理方式是根据预设的密钥生成要素子集来生成一个密钥，对文件加密之后允许文件的复制操作继续。这种方式相对来说比较均衡，文件经过加密之后信息安全性得到了大幅度提高，而允许复制操作通过则可以提高灵活性，避免影响工作效率的问题。值得注意的是，这个时候由于用户没有登录域，也就是说对于客户端程序而言，用户是没有域身份的，此时就无法选择与用户身份相关的密钥生成要素。在优选的方式中，可以使用域控服务器GUID或其他与用户没有关联的密钥生成要素来确定出密钥生成要素子集。

为了进一步提高客户端程序的灵活性，比如说有一些特殊计算机需要经常与外部交流非加密文件。此时管理者可以针对这些特殊需求的主机做一些例外的安全策略，对于用户没有登录域的情况，此时加密准备单元会判断当前主机是否符合例外安全策略，比如说其IP地址或MAC地址是否在一个白名单内，如果是，则允许复制操作透明通过，而无需进行后续的加密处理过程。如果不在白名单内，则意味着不符合例外安全策略，则仍然要继续后续一般的加密处理过程。

如果一个用户已经登录到AD域，若加密准备单元判断其本次复制操作的对端也是在本AD域内，则无需关注文件的信息安全问题，因为文件尚未离开AD域内，为了提高用户的工作效率和使用体验，加密准备单元会允许复制操作透明通过，免去后续消耗资源和时间的加密和解密过程。但是如果此时用户复制操作的对端是在域外，意味着文件的信息安全很可能存在隐患，此时加密处理仍然需要进行。判断对端在域内还是域外，可以有很多方式来实现，比如说向域控服务器查询对端的主机名，再比如说将该对端主机名加上AD域，尝试与该加上后缀的主机名建立连接，如果能够互通则说明对端在域内，否则在域外；当然如果对端不是一个主机，比如是一个U盘，则显然不是在域内。当然这些判断方式有很多种，甚至可能会深入到IP地址等层面去判断；但如何判断并不是本发明关注的重点；本领域普通技术人员可参考各种现有的协议规范加以实现。

然而在进行加密处理之前，同样可以先考虑例外安全策略。在用户已经登录域的情况下，仍然可能有少数用户可能因实际工作中各种复杂原因而需要直接采用明文的方式将文件复制到域外。此时，管理者同样可以在域控服务器上配置针对用户的例外安全策略，通过步骤101下发到主机上。此时加密准备单元可以优先判断该用户是否符合例外安全策略，比如用户SID是否在预设白名单内，如果在则可以允许复制操作通过，免去后续的加密处理。通常大部分用户并不会在白名单内，也就是说并不符合例外安全策略，因此大部分情况下会继续后续加密处理。

以上描述了从当前主机本地硬盘将文件复制出去时的整体处理机制。现在继续描述加密过程中密钥生成以及数据加密过程。在本发明优选的方式中，对于一个已经用户登录到AD域的情况，加密准备单元在确定密钥生成要素子集的时候可以从密钥生成要素总集中选择一个或者多个密钥生成要素，相应地，由于选择的密钥生成要素可能与用户有关联，加密执行单元在此时需要同样将用户的域标识（比如用户的SID）添加到加密文件的明文区中某个指定的位置上。对于一个尚未登录域的用户而言，此时加密准备单元通常只能从与用户无关的密钥生成要素（通常已预先保存在本地）中选择一个或者多个来生成密钥生成要素子集。在确定了密钥生成要素子集中的一个或多个密钥生成要素之后，加密准备单元可以采用预定的密钥生成算法（比如典型的哈希算法）使用该子集中的密钥生成要素来生成加密密钥，与用户登录到AD域情况不同的是，这种情况下明文区中可以不用携带用户的域标识了，通常携带加密标识即可。请参考表1，假设采用对称密钥的方式，其中加密标识主要是用来表明密钥是参考哪个密钥生成要素子集计算出来的。由于解密方通常也拥有与表1相同的表项结构，因此，其可以通过加密标识查表确定使用哪些密钥生成要素来计算出解密密钥。

表1

在加密密钥生成之后，可以使用该密钥对文件数据区中的数据进行加密，这样域外的人员即便非法获取到该文件，其通常也没有办法获取其中的数据。然而，对于被加密的文件，后续有可能会再次被复制回到AD域中，此时就需要解密。举例来说，假设一个企业某分支机构通过VPN方式接入到总部，由于分支机构人员较少，其VPN专线带宽可能较低，比如2Mbps这样的带宽。分支机构的用户1希望总部的用户2给其传送大量文件，这些文件的大小可能多达几十GB，此时虽然用户1和用户2都已经登录到AD域，但是由于带宽太小的这种客观条件的限制。如果按照正常的方式在AD域内采用FTP等方式进行复制，这样的复制过程虽然不涉及加密解密过程，但复制的时间非常长，若中途遇到VPN链路不稳定，或者遭遇VPN链路上其他数据流量的冲击，很可能会的导致复制操作中断。若采用传统方式，用户1和用户2通常会采用内部安全审批的方式来请求刻录光盘，然而在文件量非常大的情况下，整个审批流程会非常漫长，影响工作效率。在本发明中，用户2可以采用光盘刻录或者复制到移动硬盘的方式，现将文件转移到可移动存储介质上，然后通过物流快递的方式发往分支机构。用户2将文件复制到移动存储介质上的时候，显然这些文件会被加密，信息安全问题得到了有效控制，内部通常就无需繁复的审批流程。而分支机构的用户1收到之后可以快速地通过客户端程序快速解密或者明文形式的文件；可大大提升工作效率。

值得注意的是：在上述实施方式中，加密准备单元可以始终使用相同的密钥生成要素子集来生成加密密钥。但是在一些安全性要求较高的场景中，对于登录域用户的复制操作，如果涉及到加密处理，也就是在步骤204或步骤206中，在对下一个文件进行加密时加密准备单元可以按照一些预设的动态规则来确定密钥生成要素子集，也就是说密钥生成要素子集将不是一个静态的子集，可能会发生变化。举例而言，假设预设的动态规则是一个随机规则，那么每次密钥生成要素子集包括哪些密钥生成要素是不确定的，每对一个文件进行加密就会重新选择密钥生成要素子集，动态地生成加密密钥。比如说，上一次使用用户GUID与用户Email地址组成的子集，本次仅仅使用用户Email作为子集，再比如说，上次使用的是域控服务器GUID作为子集，本次使用的是域控服务器GUID以及域控服务器的MAC的组合作为子集。这样一来每个文件加密密钥都可能是不同的，破解加密文件的难度会极大幅度地提高。

以下继续介绍本实施方式中解密处理过程。

步骤301，在发生文件复制到本地硬盘事件时，解密准备单元先判断文件是否从域外复制到域内，如果不是，则允许复制操作透明通过；如果是则可能需要对文件进行解密，转步骤302处理；

步骤302，解密准备单元获取下一个文件，然后通过文件明文区中是否包括加密标识来判断该文件是否为加密文件，如果不是则允许针对该文件的复制操作透明通过，转步骤303；如果是，则转步骤304；

步骤303，解密准备单元判断该文件是否为本次复制操作的最后一个文件，如果是则结束，否则返回步骤302；

步骤304，解密准备单元从加密文件的明文区中获取加密标识以及用户SID；

步骤305，解密准备单元判断用户SID是否已经缓存，如果已经缓存则转步骤309，如果没有缓存则根据用户SID从域控服务器获取与用户SID对应的密钥生成要素总集，并缓存该用户SID以及对应的密钥生成要素总集；转步骤306；

步骤306，解密准备单元根据加密标识从与该用户SID对应的密钥生成要素总集中确定密钥生成要素子集；

步骤307，解密准备单元根据预设密钥生成算法使用密钥生成要素子集生成解密密钥，转步骤308；

步骤308，解密准备单元继续判断加密标识是否已经缓存，如果是，则获取缓存中与该加密标识对应的解密密钥，转步骤309；否则转步骤306；

步骤309，解密执行单元使用解密密钥对文件中的加密数据进行解密，并移除其中的用户SID以及加密标识；然后允许复制操作继续进行。

客户端程序在发现一个文件复制到本地硬盘时，首先其解密准备单元需要判断本次操作是否可能会涉及到解密操作。从复制操作的两端来看，如果复制两端都在域内，也就是说两端主机的用户都登录到AD域了，那么来自对端的文件定然是未经过加密的，此时解密准备单元可以确定本次复制操作的所有文件都是明文文件，无需解密处理，复制操作将会被允许透明通过。同样的道理，如果本端的用户没有登录域，此时可能无法对部分文件进行解密，因为有些文件的解密过程会需要与域控服务器交互，既然如此，此时解密准备单元可以无需关注这些文件是否为加密文件，因为文件复制进入本地磁盘通常不会引发信息安全问题，此时允许其透明通过即可。在本端已经登录到AD域，而复制的对端（也就是复制操作的源端）并没有登录到AD域时，比如复制对端是一个可移动存储介质，此时通常会涉及到解密问题。

来自对端的文件可能是加密文件也可能是明文文件，甚至可能是加密文件与明文文件的组成的多个文件的组合，解密准备单元可以通过文件的明文区中是否携带加密标识来确定。加密标识通常会存放在一个事先约定好的字段上，如果这个字段为空或者数值非法，说明是一个明文文件，此时允许该文件的复制操作透明通过。如果此时该文件不是最后一个文件，则继续选择下一个文件，否则结束。如果下一个文件是加密文件，则需要对文件进行解密。

解密分为两种情况，一种情况是加密文件的明文区仅仅携带了加密标识，这说明该文件的加密密钥是采用预设的密钥生成要素子集生成的，而这些预设的密钥生成要素通常与加密该文件的用户无关，此时根据加密标识可以确定这些密钥生成要素子集，然后用密钥生成算法生成解密密钥，继而就可以由解密执行单元将文件解密了。另一种情况是，加密文件的明文区不仅携带有加密标识，同时还携带了用户SID（通常也是存放在指定的字段中）。这说明之前加密过程中使用了与用户有关联的密钥生成要素，即生成加密密钥的密钥生成要素子集中至少包括了一个与用户有关联的密钥生成要素。此时解密准备单元可以先根据用户SID从域控服务器获取该用户的密钥生成要素总集，然后根据加密标识与密钥生成要素子集之间的对应关系从该用户的密钥生成要素总集中确定出当前加密文件的密钥生成要素子集。

请参考表1，假设加密标识为4，用户2在解密来自用户1的加密文件时，首先要从域控服务器获取密钥生成要素总集，然后选择其中用户1的GUID以及用户1的Email地址作为密钥生成要素子集。接下来根据密钥生成算法使用密钥生成要素子集生成解密密钥。如果加密过程中未使用与用户有关联的密钥生成要素，则不涉及用户SID。

为了提高解密过程的效率，在解密过程中，如果涉及用户SID，则可以将用户SID和其对应的密钥生成要素总集缓存起来，在解密下一个文件时，如果用户SID已存在于缓存中，则可以从缓存中获取到对应的密钥生成要素总集，而无需从域控服务器上再次获取对应的密钥生成要素总集。同样的道理，在第一次处理一个加密标识的时候会生成对应的密钥，此时可以将加密标识和对应的密钥可以缓存起来。在解密下一个文件的时候，如果加密标识已经存在，则可以从缓存中获取到对应的解密密钥，而无需重新计算解密密钥。值得注意的是，假设加密端在处理过程中如果使用动态密钥的方式，则加密标识与对应的解密密钥缓存可能意义较小，尤其是加密标识有很多种变化的时候，每次加密标识可能都是不一样的。

此外，考虑到一次复制操作过程中，多个加密文件可能是多个不同用户加密形成的，此时加密标识的缓存需要缓存在对应的用户SID下，因为不同用户在加密文件中使用相同的加密标识时，这些相同的加密标识对应的解密密钥是不相同的。加密标识只是表明密钥生成要素子集中有哪些密钥生成要素。然而这些密钥生成要素可能是与用户有关联的，比如说子集是用户Email地址，显然大部分情况下，不同用户Email地址互不相同，因此生成的解密密钥也不会相同。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (22)

1.一种文件安全控制装置，应用于主机上，该装置包括：加密准备单元以及加密执行单元，其特征在于：

加密准备单元，用于在发生已登录域用户将当前主机本地硬盘上的文件向域外复制事件时，为需要复制的当前文件获取对应的与该用户身份有关联的加密密钥；在发生未登录域用户将当前主机本地硬盘上的文件向外复制事件时，禁止该复制操作或者为需要复制的当前文件获取对应的与该用户身份无关的加密密钥；其中，域内的主机本地硬盘上的文件以明文形式保存；

加密执行单元，用于使用该加密密钥对当前文件中的明文数据进行加密形成密文数据，并将与该加密密钥对应的加密标识保存在该已加密文件的明文区中；其中，该加密密钥为与该用户身份有关联的加密密钥时，该已加密文件的明文区还保存了该用户的用户域标识；

所述加密准备单元，进一步用于在发生已登录域用户将当前主机本地硬盘上的文件向域内其他主机复制事件时，允许复制操作透明通过；

解密准备单元，用于判断即将复制到本地硬盘上的当前文件是否携带有加密标识，如果仅携带加密标识，则根据该加密标识从预设的密钥生成要素总集中确定出对应的密钥生成要素子集，并根据预设的密钥生成算法使用该密钥生成要素子集生成解密密钥；如果携带加密标识和用户域标识，根据用户域标识从域控服务器上获取对应的密钥生成要素总集，并根据加密标识从密钥生成要素总集中确定出对应的密钥生成要素子集，然后根据预设的密钥生成算法使用密钥生成要素子集生成解密密钥；

解密执行单元，用于根据该解密密钥对文件中的密文数据进行解密形成明文数据。

2.如权利要求1所述的装置，其特征在于：所述加密准备单元获取对应的加密密钥过程包括：从本地保存的密钥生成要素总集确定出密钥生成要素子集，并根据预定密钥生成算法使用密钥生成子集生成所述加密密钥。

3.如权利要求2所述的装置，其特征在于：所述密钥生成要素子集中包括与用户有关联的密钥生成要素。

4.如权利要求3所述的装置，其特征在于：所述密钥生成要素子集包括多个密钥生成要素，其中至少一个密钥生成要素与用户有关联。

5.如权利要求2所述的装置，其特征在于：所述加密执行单元进一步用于在处理完当前文件之后判断当前文件是否为复制操作中的最后一个文件，如果是则结束，否则选择下一个文件作为当前文件并返回加密准备单元继续处理；

所述加密准备单元从本地保存的密钥生成要素总集确定出密钥生成要素子集过程具体为：根据预设的动态规则从本地保存的密钥生成要素总集中确定出密钥生成要素子集。

6.如权利要求1所述的装置，其特征在于：所述加密准备单元，进一步用于在发生已登录域用户将当前主机本地硬盘上的文件向域外复制事件时，先判断该用户是否符合例外安全策略，如果是则允许复制操作透明通过，否则继续为需要处理的当前文件获取对应的加密密钥。

7.如权利要求1所述的装置，其特征在于：所述加密准备单元，进一步用于在发生未登录域用户将当前主机本地硬盘上的文件向外复制事件时，先判断当前主机是否符合例外安全策略，如果是则允许复制操作透明通过，否则继续禁止该复制操作或者为需要复制的当前文件获取对应的加密密钥。

8.如权利要求6或7所述的装置，其特征在于，该装置还包括：配置管理单元，用于从域控服务器获取所述例外安全策略。

9.如权利要求1所述的装置，其特征在于：所述解密准备单元，进一步用于在当前文件未携带加密标识时，允许针对当前文件的复制操作透明通过。

10.如权利要求1所述的装置，其特征在于：所述解密准备单元，进一步用于先判断是否当前主机的用户已经登录且复制操作的对端在域外，如果是则继续判断即将复制到本地硬盘上的当前文件是否携带有加密标识，如果否，则允许复制操作透明通过。

11.如权利要求1所述的装置，其特征在于：所述解密准备单元，进一步用于先判断该用户域标识是否已经缓存，如果否，则根据用户域标识从域控服务器上获取对应的密钥生成要素总集并缓存用户域标识及对应的密钥生成要素总集；如果是，则继续判断加密标识是否已经缓存，如果加密标识已缓存，则从缓存中获取对应的解密密钥，否则根据加密标识从缓存的密钥生成要素总集中确定出对应的密钥生成要素子集，根据对称的密钥生成算法使用密钥生成要素子集生成解密密钥并缓存加密标识与对应的解密密钥。

12.一种文件安全控制方法，应用于主机上，其特征在于，该方法包括：

步骤A、在发生已登录域用户将当前主机本地硬盘上的文件向域外复制事件时，为需要复制的当前文件获取对应的与该用户身份有关联的加密密钥；在发生未登录域用户将当前主机本地硬盘上的文件向外复制事件时，禁止该复制操作或者为需要复制的当前文件获取对应的与该用户身份无关的加密密钥；其中，域内的主机本地硬盘上的文件以明文形式保存；

步骤B、使用该加密密钥对当前文件中的明文数据进行加密形成密文数据，并将与该加密密钥对应的加密标识保存在该已加密文件的明文区中；其中，该加密密钥为与该用户身份有关联的加密密钥时，该已加密文件的明文区还保存了该用户的用户域标识；

所述步骤A还包括：

在发生已登录域用户将当前主机本地硬盘上的文件向域内其他主机复制事件时，允许复制操作透明通过；

步骤C、判断即将复制到本地硬盘上的当前文件是否携带有加密标识，如果仅携带加密标识，则根据该加密标识从预设的密钥生成要素总集中确定出对应的密钥生成要素子集，并根据预设的密钥生成算法使用该密钥生成要素子集生成解密密钥；如果携带加密标识和用户域标识，根据用户域标识从域控服务器上获取对应的密钥生成要素总集，并根据加密标识从密钥生成要素总集中确定出对应的密钥生成要素子集，然后根据预设的密钥生成算法使用密钥生成要素子集生成解密密钥；

步骤D、根据该解密密钥对文件中的密文数据进行解密形成明文数据。

13.如权利要求12所述的方法，其特征在于：所述获取对应的加密密钥过程包括：从本地保存的密钥生成要素总集确定出密钥生成要素子集，并根据预定密钥生成算法使用密钥生成子集生成所述加密密钥。

14.如权利要求13所述的方法，其特征在于：所述密钥生成要素子集中包括与用户有关联的密钥生成要素。

15.如权利要求14所述的方法，其特征在于：所述密钥生成要素子集包括多个密钥生成要素，其中至少一个密钥生成要素与用户有关联。

16.如权利要求13所述的方法，其特征在于：所述步骤B进一步包括：在处理完当前文件之后判断当前文件是否为复制操作中的最后一个文件，如果是则结束，否则选择下一个文件作为当前文件并返回步骤A继续处理；

所述从本地保存的密钥生成要素总集确定出密钥生成要素子集过程具体为：根据预设的动态规则从本地保存的密钥生成要素总集中确定出密钥生成要素子集。

17.如权利要求12所述的方法，其特征在于：所述步骤A进一步包括：在发生已登录域用户将当前主机本地硬盘上的文件向域外复制事件时，先判断该用户是否符合例外安全策略，如果是则允许复制操作透明通过，否则继续为需要处理的当前文件获取对应的加密密钥。

18.如权利要求12所述的方法，其特征在于：所述步骤A进一步包括：

在发生未登录域用户将当前主机本地硬盘上的文件向外复制事件时，先判断当前主机是否符合例外安全策略，如果是则允许复制操作透明通过，否则继续禁止该复制操作或者为需要复制的当前文件获取对应的加密密钥。

19.如权利要求17或18所述的方法，其特征在于，还包括：

步骤E、从域控服务器获取所述例外安全策略。

20.如权利要求12所述的方法，其特征在于：所述步骤C进一步包括：

在当前文件未携带加密标识时，允许针对当前文件的复制操作透明通过。

21.如权利要求12所述的方法，其特征在于：所述步骤C进一步包括：

先判断是否当前主机的用户已经登录且复制操作的对端在域外，如果是则继续判断即将复制到本地硬盘上的当前文件是否携带有加密标识，否则允许复制操作透明通过。

22.如权利要求12所述的方法，其特征在于：所述步骤C进一步包括：

先判断该用户域标识是否已经缓存，如果否，则根据用户域标识从域控服务器上获取对应的密钥生成要素总集并缓存用户域标识及对应的密钥生成要素总集；如果是，则继续判断加密标识是否已经缓存，如果加密标识已缓存，则从缓存中获取对应的解密密钥，否则根据加密标识从缓存的密钥生成要素总集中确定出对应的密钥生成要素子集，根据对称的密钥生成算法使用密钥生成要素子集生成解密密钥并缓存加密标识与对应的解密密钥。