CN103390135A - 一种文件保护系统及其实现方法 - Google Patents

Abstract

本发明提出了一种文件保护系统及其实现方法，其结构包括：上层用户界面应用程序，其被构造用以实现加密策略设置及其他人机交互；I/O管理器，其被构造用以接收来自所述上层用户界面应用程序的请求消息，并以请求包形式分发数据；文件过滤驱动，其被构造用以拦截来自I/O管理器的请求包，并对其中的数据进行判断，然后将符合条件的待处理数据进行转发；独立加密硬件，所述独立加密硬件内部存储有加/解密算法和密钥，并作用于文件过滤驱动，其被构造用以接收来自所述文件过滤驱动的待处理数据并进行处理。本发明的加密和解密过程全部在独立的加密硬件中完成，整个加/解密过程中，密钥不出加密硬件，提高了文件的安全性。

Description

一种文件保护系统及其实现方法

技术领域

本发明涉及数据安全领域，特别是指一种文件保护系统及其实现方法。

背景技术

随着社会的发展，计算机已成为人们生活工作中不可或缺的一部分。同时随着信息技术的不断发展，各种安全的问题也越发凸显出来。而在这些存在的安全问题中，人们往往更加重视网络的安全问题，各种软件硬件的防火墙，各种系统防护层出不穷。但人们往往忽视文件安全性问题，恶意拷贝，机密文件泄漏往往也会给各种用户带非常严重的损失。

信息安全在中国不是一个新问题。“七五”与“八五”期间，我国在信息加密、解密、密钥芯片、密钥管理等方面有所研究。随着1993年以后因特网在全球的迅猛发展和1994年中国接入因特网，近两年来，人们对信息安全有了较多的认识。使中国人对信息化带来的实际危险有了切实的认识。我们现在使用较多的还是传统加密软件，也就是对需要的文件进行加密。加密的时候设定密码，需要使用该文件的时候输入同样的密码进行解密，而且一旦解密文件没有清除，则可以对该文件进行任意拷贝或密码被恶意监听、盗取则这些机密文件资料的泄密风险陡增。忽视往往就会带来不可挽回的损失。由于加解密操作繁琐，也不利于提高工作效率。

透明驱动加密技术是近年来针对企业和个人文件保密需求应运而生的一种文件加密技术。所谓透明，是指对使用者来说是未知的。当使用者在打开或编辑指定文件时，系统将自动对未加密的文件进行加密，对已加密的文件自动解密。在不影响用户使用习惯的情况下文件在硬盘上始终是密文存在，一旦离开使用环境，由于文件无法解密，从而起到保护文件内容的效果(目前也有企业在做类似产品)，但即便这样，也存在加密密钥必须存在于透明驱动中(或解密时密钥从介质中读取到透明驱动中使用)这样整个系统因为这里的短板导致了整个系统的安全性变得非常脆弱，机制上已经决定这个弱点无法避免，易受攻击。找到一个可靠、便捷、高效、实用的文件保护机制，在适应用户日常操作习惯的前提下让被保护了的文件真正得到安全，加了密并不意味着安全，使用者以为加了密，而真正情况是机密资料实际还毫无门槛地暴露在风险之中，这就更加危险。安全是指中间没有任何一个短板环节的加密机制，这是解决的问题方向。

发明内容

本发明提出一种由独立加密硬件进行加解密的文件透明加/解密方法及其实施系统，解决了现有驱动层透明加密方法中密钥会被调入驱动，系统性导致文件安全降低的问题。

本发明的技术方案是这样实现的：

一种由独立加密硬件完成透明加解密的文件保护系统，包括：

上层用户界面应用程序，其被构造用以实现加密策略设置及其他人机交互；

I/O管理器，其被构造用以接收来自所述上层用户界面应用程序的请求消息，并以请求包形式分发数据；

文件过滤驱动，其被构造用以拦截来自I/O管理器的请求包，并对其中的数据进行判断，然后将符合条件的待处理数据进行转发；

其特殊之处在于，还包括：

独立加密硬件，所述独立加密硬件内部存储有加/解密算法和密钥，并作用于文件过滤驱动，其被构造用以接收来自所述文件过滤驱动的待处理数据并进行处理。

上述系统中，所述独立加密硬件可以构造为本身具有存储模块，可以用于储存处理后数据。

上述系统中，所述独立加密硬件也可以构造为具有将处理后数据发送给文件过滤驱动的功能，并由文件过滤驱动将处理后数据转发给相应存储设备进行存储。

当采用上述独立加密硬件具有将处理后数据发送给文件过滤驱动功能的技术方案时，本系统还包括：

文件驱动，所述文件驱动接收并处理来自文件过滤驱动的数据，并将其转发；

存储设备驱动，其被构造用以接收来自文件驱动的数据，并将其转发；

物理存储设备，其被构造用以接收来自存储设备驱动的数据并进行相应的存储。

所述物理存储设备可以是计算机硬盘，也可以是其他移动存储设备，如移动硬盘、U盘等。

本发明文件保护系统所述独立加密硬件为计算机外设硬件设备，至少包括存储介质和读卡、算法运算模块、传输装置；可以优选设置为加密硬盘或U盘形式。

上述系统中所述待处理数据为：明文数据或者密文数据，即所述独立加密硬件执行实际的加密或者解密功能。

上述系统中，所述符合条件的待处理数据具体为：

将文件控制块的后缀名与对应进程名进行比较判断，若结果为真，则符合条件，为待处理数据；

若结果为假，则释放数据。

一种由独立加密硬件完成透明加解密的方法，包括以下步骤：

S1)上层用户界面应用程序发送请求消息给I/O管理器；

S2)I/O管理器接收来自上层用户界面应用程序的请求消息，并将数据以请求包形式进行分发；

S3)文件过滤驱动拦截来自I/O管理器的请求包；

S4)文件过滤驱动对请求包中的数据进行判断：当所述数据符合条件时，为待处理数据，转步骤S5)，当所述数据不符合条件时，则文件过滤驱动释放数据；

S5)文件过滤驱动将所述待处理数据发送至独立加密硬件；

S6)独立加密硬件对所述待处理数据进行相关操作；

S7)独立加密硬件将处理后数据进行存储。

上述方法中步骤S7)具体可以为独立加密硬件将处理后数据直接存储于独立加密硬件中。

上述方法中步骤S7)也可以包括以下步骤：

S71)独立加密硬件将处理后数据发送至文件过滤驱动；

S72)文件过滤驱动将处理后数据传递到文件驱动；

S73)文件驱动处理数据并发送给存储设备驱动；

S74)存储设备驱动通知物理存储设备进行数据存储；

S75)物理存储设备进行数据存储的步骤。

本发明方法中步骤S4)所述对请求包中的数据进行判断具体为：

将文件控制块的后缀名与对应进程名进行比较判断，若结果为真，则符合条件，为待处理数据；

若结果为假，则释放数据。

本发明方法中步骤S6)所述进行相关操作包括：

对明文进行加密或对密文进行解密。

上述方法中，所述独立加密硬件为计算机外设硬件设备，至少包括存储介质和读卡、算法运算模块、传输装置，可以优选设置为加密硬盘或U盘形式。

上述方法中，所述物理存储设备可以是计算机硬盘，也可以是其他移动存储设备，如移动硬盘、U盘等。

本发明主要技术原理如下：

一种通过驱动透明传输数据在独立加密硬件中实现加解密的文件保护系统，主要包括上层用户界面应用程序和独立加密硬件，并通过与Windows内核程序紧密结合来实现。

其中，上层用户界面应用程序，其与独立加密硬件进行紧密交互与配合，实现加密策略设置及其他人机交互实现。

具体地说，本发明的文件保护系统与Windows内核紧密相连，Windows内核是一个分层驱动模型，每一个物理设备对应着多个驱动设备对象，每一层只能同上层和下层进行服务请求交互。

Windows内核中的文件过滤驱动就是把文件作为一种设备处理的一种虚拟驱动，当应用程序对某种后缀文件进行操作时，文件过滤驱动会监控到应用程序的操作，并决定是否需要将数据送往硬件加密设备去处理。

上述技术方案中所述独立加密硬件中存储有加/解密算法和密钥，并挂载在文件过滤驱动之下，其利用USB接口等与计算机实现数据交互，主要工作是在电脑之外完成数据的加解密，独立执行加/解密算法进行数据加解密，从而达到安全加/解密的效果。

当接收到I/O请求时，文件过滤驱动会拦截并将把需要加解密的数据传递给独立加密硬件，进行加/解密，并进行存储；或者接收由独立加密硬件处理后的数据；从而实现在独立加密硬件中(而非在文件过滤驱动中)对数据进行加/解密处理。也就是文件的加/解密过程全部在独立加密硬件中进行，如此加密密钥永不出硬件，也无法以任何其他方式非法读出。离开独立加密硬件点电脑中文件无法被加密，加密过的文件也无法被解密。

本发明的文件保护驱动及其加密方法采用文件过滤驱动拦截数据，并实现数据的自动处理。数据文件在后台通过独立加密硬件自动加/解密，不改变人员电脑操作习惯，数据文件在创建、存储、应用、传输等环节中均以加密形式存在。

在本发明的文件保护系统中自动加密的文档离开加密保护环境在其他环境下将变成一堆乱码，无法使用。

本发明的文件保护系统简单、灵活、方便，具有良好的系统兼容性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明文件保护系统的第一种实施结构原理图；

图2为本发明文件保护系统的第二种实施结构原理图；

图3为本发明文件保护系统的第一实施例的加密过程原理图；

图4为本发明文件保护系统的第一实施例的解密过程原理图；

图5为本发明文件保护系统的第二实施例的加密过程原理图；

图6为本发明文件保护系统的第二实施例的解密过程原理图；

图7为本发明文件保护方法第一实施例的步骤流程图；

图8为本发明文件保护方法第二实施例的步骤流程图；

图中：10-上层用户界面应用程序；20-I/O管理器；30-文件过滤驱动；40-独立加密硬件；401-第一独立加密硬件；402-第二加密硬件；50-文件驱动；60-存储设备驱动；70-物理存储设备；A-明文；B-密文。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

实施例一：

图1、图3、图4、图7所示为本发明文件保护系统及其方法的第一实施例，其结构如图1所示包括：

上层用户界面应用程序10，用以实现加密策略设置及其他人机交互，即接收输入的操作指令并传递消息给I/O管理器20；

I/O管理器20，用以接收来自所述上层用户界面应用程序10的请求消息，并将数据以请求包形式进行分发；

文件过滤驱动30，用以拦截来自I/O管理器20的请求包，并对其中的数据进行判断，然后将符合条件的待处理数据进行转发，若数据不符合条件，则释放；

独立加密硬件40，其内部集成有加/解密算法和密钥，并作用于文件过滤驱动30，其接收来自所述文件过滤驱动30的待处理数据并进行处理。

本实施例所述独立加密硬件40为计算机外设硬件设备，至少包括存储介质和读卡、算法运算模块、传输装置，可以优选设置为加密硬盘或U盘形式；并且本实施例中，所述独立加密硬件40还具有存储模块，可以用于存储处理后数据。

本实施例中，所述待处理数据为：明文数据或者密文数据。即所述独立加密硬件执行实际的加密或者解密功能。

本实施例中，所述符合条件的待处理数据具体为：将文件控制块的后缀名与对应进程名进行比较判断(例如*.doc文件对应着WINWORD.EXE进程)；若结果为真，则为符合条件的待处理数据。

如图7所示，本实施例的信息传递的具体实现步骤为：

S1)上层用户界面应用程序10发送请求消息给I/O管理器20；

S2)I/O管理器20接收来自上层用户界面应用程序10的请求消息，并将数据以请求包形式进行分发；

S3)文件过滤驱动拦截来自I/O管理器的请求包；

S4)文件过滤驱动对请求包中的数据进行判断，当所述数据符合条件时，为待处理数据，转步骤S5)，当所述数据不符合条件时，则文件过滤驱动释放数据；

S5)文件过滤驱动将所述待处理数据发送至独立加密硬件；

S6)独立加密硬件对所述待处理数据进行相关操作；

S70)独立加密硬件40将处理后数据存储在自身的存储介质中。

步骤S4)中所述对请求包的数据进行判断，具体为：

将文件控制块的后缀名与对应进程名进行比较判断，若结果为真，则符合条件，为待处理数据；

若结果为假，则释放数据。

步骤S6)中，所述对符合条件的待处理数据进行相关操作包括对明文进行加密或对密文进行解密。

具体地讲，当需要加密时，如图3所示，上层用户界面应用程序10发送请求消息给I/O管理器20；

I/O管理器20接收来自上层用户界面应用程序10的请求消息，并将数据以请求包形式进行分发；

文件过滤驱动30拦截来自I/O管理器20的请求包；

文件过滤驱动30对请求包中的数据进行判断；

当所述数据符合条件时，为待处理数据即明文A，文件过滤驱动30将其发送至第一独立加密硬件401，当所述数据不符合条件时，文件过滤驱动将其释放；

第一独立加密硬件401对所述明文A数据进行加密操作，使之转换为密文B；

第一独立加密硬件401将处理后的密文B数据存储在自身的存储介质中。

当需要解密时，如图4所示，上层用户界面应用程序10发送请求消息给I/O管理器20；

I/O管理器20接收来自上层用户界面应用程序10的请求消息，并将数据以请求包形式进行分发；

文件过滤驱动30拦截来自I/O管理器20的请求包；

文件过滤驱动30对请求包中的数据进行判断；

当所述数据符合条件时，为待处理数据即密文B，文件过滤驱动30将其发送至第一独立加密硬件401，当所述数据不符合条件时，文件过滤驱动将其释放；

第一独立加密硬件401对所述密文B数据进行解密操作，使之转换为明文A；

第一独立加密硬件401将处理后的明文A数据存储在自身的存储介质中。

实施例二：

图2、图5、图6和图8为本发明文件保护系统及方法的第二实施例，其与第一实施例在结构上的不同处在于：

所述独立加密硬件40还具有将处理后数据发送给文件过滤驱动30的功能，并由文件过滤驱动30将处理后数据转发给相应存储设备进行存储。

当所述独立加密硬件40将处理后数据发送给文件过滤驱动30时，由文件过滤驱动30转发给相应存储设备进行存储，此技术方案中，本系统还可以包括：

文件驱动50，用以接收并处理来自文件过滤驱动30的数据，并将其转发；

存储设备驱动60，用以接收来自文件驱动50的数据，并将其转发；

物理存储设备70，用以接收来自存储设备驱动60的数据并进行相应的存储。

如图8所示，本发明第二实施例的信息传递的具体实现方法与第一种实施方式中的实现方法不同之处在于：

用以下以下步骤取代了第一种实施方式的步骤S70)：

S71)独立加密硬件40将处理后数据发送至文件过滤驱动30；

S72)文件过滤驱动30将处理后数据传递到文件驱动50；

S73)文件驱动50处理数据并发送给存储设备驱动60；

S74)存储设备驱动60通知物理存储设备70进行数据存储；

S75)物理存储设备70进行数据存储。

本实施例中，所述物理存储设备70可以是计算机硬盘，也可以是其他移动存储设备，如移动硬盘、U盘等。

本实施例中，所述文件过滤驱动30拦截来自I/O管理器20的请求包并对其中的数据进行判断的方式，以及所述独立加密硬件40对数据进行的相关操作与第一实施例相同。

具体地讲，当需要加密时，如图5所示，上层用户界面应用程序10发送请求消息给I/O管理器20；

I/O管理器20接收来自上层用户界面应用程序10的请求消息，并将数据以请求包形式进行转发；

文件过滤驱动30拦截来自I/O管理器20的请求包；

文件过滤驱动30对请求包中的数据进行判断；

当所述数据符合条件时，为待处理数据即明文A，文件过滤驱动30将其发送至第二独立加密硬件402，当所述数据不符合条件时，文件过滤驱动将其释放；

第二独立加密硬件402对所述明文A数据进行加密操作，使之转换为密文B；

第二独立加密硬件402将处理后的密文B数据发送至文件过滤驱动30；

文件过滤驱动30将处理后的密文B数据传递到文件驱动50；

文件驱动50处理数据并发送给存储设备驱动60；

存储设备驱动60通知物理存储设备70进行数据存储；

物理存储设备70将密文B进行存储。

当需要解密时，如图6所示，上层用户界面应用程序10发送请求消息给I/O管理器20；

I/O管理器20接收来自上层用户界面应用程序10的请求消息，并将数据以请求包形式进行分发；

文件过滤驱动30拦截来自I/O管理器20的请求包；

文件过滤驱动30对请求包中的数据进行判断；

当所述数据符合条件时，为待处理数据即密文B，文件过滤驱动30将其发送至第二独立加密硬件402，当所述数据不符合条件时，文件过滤驱动将其释放；

第二独立加密硬件402对所述密文B数据进行解密操作，使之转换为明文A；

第二独立加密硬件402将处理后的明文A数据发送至文件过滤驱动30；

文件过滤驱动30将处理后的明文A数据传递到文件驱动50；

文件驱动50处理数据并发送给存储设备驱动60；

存储设备驱动60通知物理存储设备70进行数据存储；

物理存储设备70将明文A数据进行存储。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种由独立加密硬件完成透明加解密的文件保护系统，包括：

上层用户界面应用程序，其被构造用以实现加密策略设置及其他人机交互；

I/O管理器，其被构造用以接收来自所述上层用户界面应用程序的请求消息，并以请求包形式分发数据；

文件过滤驱动，其被构造用以拦截来自I/O管理器的请求包，并对其中的数据进行判断，然后将符合条件的待处理数据进行转发；

其特征在于，还包括：

独立加密硬件，所述独立加密硬件内部存储有加/解密算法和密钥，并作用于文件过滤驱动，其被构造用以接收来自所述文件过滤驱动的待处理数据并进行处理。

2.根据权利要求1所述的文件保护系统，其特征在于：

所述独立加密硬件本身具有存储模块，用于储存处理后数据。

3.根据权利要求1所述的文件保护系统，其特征在于：所述独立加密硬件具有将处理后数据发送给文件过滤驱动的功能，并由文件过滤驱动将处理后数据转发给相应存储设备进行存储。

4.根据权利要求3所述的文件保护系统，其特征在于：还包括

文件驱动，所述文件驱动接收并处理来自文件过滤驱动的数据，并将其转发；

存储设备驱动，其被构造用以接收来自文件驱动的数据，并将其转发；

物理存储设备，其被构造用以接收来自存储设备驱动的数据并进行相应的存储。

5.根据权利要求1所述的文件保护系统，其特征在于：所述独立加密硬件为计算机外设硬件设备，至少包括存储介质和读卡、算法运算模块、传输装置。

6.一种由独立加密硬件完成透明加解密的方法，包括以下步骤：

S1)上层用户界面应用程序发送请求消息给I/O管理器；

S2)I/O管理器接收来自上层用户界面应用程序的请求消息，并以请求包形式分发数据；

S3)文件过滤驱动拦截来自I/O管理器的请求包；

S4)文件过滤驱动对请求包中的数据进行判断，当所述数据符合条件时，为待处理数据，转步骤S5)，当所述数据不符合条件时，文件过滤驱动释放所述数据；

S5)文件过滤驱动将所述待处理数据发送至独立加密硬件；

S6)独立加密硬件对所述待处理数据进行相关操作；

S7)独立加密硬件将处理后数据进行存储。

7.根据权利要求6所述的加解密方法，其特征在于：步骤S7)具体为独立加密硬件将处理后数据直接存储于独立加密硬件中。

8.根据权利要求6所述的加解密方法，其特征在于：步骤S7)具体包括以下步骤：

S71)独立加密硬件将处理后数据发送至文件过滤驱动；

S72)文件过滤驱动将处理后数据传递到文件驱动；

S73)文件驱动处理数据并发送给存储设备驱动；

S74)存储设备驱动通知物理存储设备进行数据存储；

S75)物理存储设备进行数据存储的步骤。

9.根据权利要求6所述的加解密方法，其特征在于：步骤S4)所述对请求包中的数据进行判断具体为：

将文件控制块的后缀名与对应进程名进行比较判断，若结果为真，则符合条件，为待处理数据；

若结果为假，则释放数据。

10.根据权利要求9所述的加解密方法，其特征在于：步骤S6)所述进行相关操作包括：

对明文进行加密或对密文进行解密。

Images