CN103605934A

CN103605934A - 一种可执行文件的保护方法及装置

Info

Publication number: CN103605934A
Application number: CN201310543001.6A
Authority: CN
Inventors: 不公告发明人
Original assignee: Beijing Senseshield Technology Co Ltd
Current assignee: Beijing Senseshield Technology Co Ltd
Priority date: 2013-11-06
Filing date: 2013-11-06
Publication date: 2014-02-26
Anticipated expiration: 2033-11-06
Also published as: CN103605934B

Abstract

本发明通过设置设备将要保护的可执行程序加密写入U盘加密锁的公共区，双击公共区中加密后的可执行程序时，通过放置在U盘加密锁CD-ROM区的监控执行设备或U盘加密锁的加解密部分进行解密，然后监控执行设备以调试器方式启动要打开的程序。通过本发明提供的方法，加密后的程序解密依赖U盘加密锁，不影响程序执行效率，可以防止程序被拷贝出去所造成的数据泄密，而且以调试器方式运行，增加了调试和破解的难度，提高了安全性。

Description

一种可执行文件的保护方法及装置

技术领域

本发明涉及信息安全领域，特别涉及一种可执行文件的保护方法及装置。

背景技术

U盘（USB Flash Disk），全称USB闪存驱动器。是一种使用USB接口的无需物理驱动器的微型高容量移动存储产品，通过USB接口与电脑连接，实现即插即用。由于U盘具有小巧易携带、存储容量大、速度快、体积小等特点，在日常生活和工作中得到越来越广泛的应用。

普通U盘是一个透明的移动存储介质设备，对数据的访问没有任何访问控制，只要具有USB接口的接入方都可以无阻碍地使用。因此U盘在给人们带来便捷的同时，也带来了一个重要问题：信息泄密。

U盘信息泄密的原因主要包括：由于用户通过U盘随意拷贝软件、文件或其他数据造成个人或企业机密信息的泄露，这种方式已经成为互联网时代信息泄密的主要原因之一。

目前也有一些解决方案或产品来解决这些问题，比如加密U盘、指纹、口令、权限等方式通过安全途径来对数据信息进行保护，但是这些解决方案在U盘非法使用者获得合法口令或权限后，还是可以对U盘内的数据进行拷贝和转移，还是会造成数据信息的泄露。

加密U盘，加密U盘包括硬件加密和软件加密两种技术，硬件加密技术一般通过U盘的主控芯片进行加密，安全级别高，不容易被破解、成本较高；软件是通过外置服务端或内置软件操作，对U盘文件进行加密，安全性因工而异，成本相对较低。

精锐系列的U盘加密锁是北京深思洛克研发的安全U盘加密锁产品，对应网址为http://www.sense.com.cn/product_4.html，其中详细公开了本申请人开发的精锐系列U盘加密锁软件保护装置的具体参数性能和工作原理。该系列U盘加密锁是于智能卡技术的基础上集成闪存功能的加密产品，U盘加密锁既具备加密锁的全部功能，同时集成的大量存储功能，相当于把一个加密锁和U盘封装在一起,具有强安全性，快速通讯，互不干扰，可靠性高的特征。

U盘加密锁采用的核心安全芯片基于全球最高安全等级CC EAL5+设计，U盘部分可实现不同功能的分区划分，例如：虚拟CDROM、密码存储区、API调用私密区。产品特点：硬件不可复制；支持标准C语言编程，软件代码可“移植”到加密锁内；安全便捷的远程安全控制功能，可快速远程更新加密锁内数据；内置标准的安全算法（RSA、AES、DES及3DES、SHA-1）；U盘可实现CDROM、密码区、隐藏区、普通存储区等多分区的灵活应用。

U盘加密锁中的U盘部分包括四个分区：

CDROM：CD-ROM分区主要用于存放制度数据（文件）,或通过此分区替代光盘用于软件发行；

公共区：公开存储区类似普通U盘，具有存储功能；

密码区：即带密码保护的公开存储区，需要使用密码登录工具进行登录操作，密码区可用于存放一些需要保护的文件或数据，即使设备不慎丢失，没有密码的人也无法看到密码区的内容；

隐藏区：即在计算机上不显示盘符，无法直接访问读取其中的数据，用于保护私密数据。

可执行程序/文件 (EXE File)，是一种可在操作系统存储空间中浮动定位的可直接运行的程序。在MS-DOS和MS-Windows操作系统中，可执行程序是指文件后缀名为.exe、.com、.bat的文件。

Windows操作系统中，双击一个可执行文件，文件管理器会自动运行这个应用程序。而双击一个数据文件时，文件管理器会用与之关联的应用程序打开它，比如.txt文件系统默认关联NOTEPAD.EXE程序，.doc/.docx文件默认关联了MS Office中的WINWORD.EXE程序，双击.txt，.doc文件分别会以NOTEPAD.EXE记事本和WINWORD.EXE方式打开。数据文件与应用程序之间的关联是通过注册表来实现的：文件管理器查询注册表，查找数据文件对应扩展名有无注册，有注册就读取该扩展名对应的文件类型，找到文件类型再从中读取关联的程序，从而运行这个关联的应用程序，并把数据文件的文件名或路径作为命令行参数传给它。

Windows系统中，所有注册了的扩展名都在Windows的注册表中，它的键值位于：HKEY_CLASSES_ROOT。而在注册表中扩展名默认值中会存储扩展名对应的文件类型，而这个文件类型也是一个位于注册表HKEY_CLASSES_ROOT下的键值，该键值下具有shell\open\command子条目，而这个command子条目的默认值中就存储了该文件类型所关联的程序，该程序即为扩展名默认的打开程序。以.txt文件为例进行说明：.txt扩展名键值位于系统注册表HKEY_CLASSES_ROOT下，.txt在注册表中默认文件类型为txtfile，txtfile这种文件类型键值也位于系统注册表HKEY_CLASSES_ROOT下，txtfile下具有shell\open\command子条目，command条目默认存储了txtfile文件类型所关联的程序NOTEPAD.EXE（即“记事本”）的路径（及一些参数，如%1一般用来传递被打开的文件路径），则.txt扩展名的文件双击时即以NOTEPAD.EXE记事本方式打开。

Linux系统中，数据文件的文件类型是采用Magic方式和文件扩展名方式判断的，Linux下文件类型信息通常放在/USR/SHARE/MIME、/USR/LOCAL/SHARE/MIME和用户目录下，所有应用程序可以共享这些信息。Linux中文件类型和应用程序的关联是通过文件来实现的，在文件中指明可以操作的文件类型。该文件一般存放在/USR/SHARE/APPLICATIONS目录下。例如Linux桌面环境功能，应用程序与数据文件的关联是通过.desktop文件来实现，应用程序出现在开始菜单中或桌面上，它需要提供一个desktop文件，应用程序安装后，desktop文件通常会被安装到/USR/SHARE/APPLICATIONS下，在desktop文件中指明其关联的数据文件类型，如软件安装包可操作RPM文件，则desktop文件内容部分包括MimeType=application/x-rpm。MimeType这一项指明了可操作的文件类型。

在其他操作系统中，可执行程序的文件后缀名则会不同，但其不影响U盘加密锁在这些操作系统中的应用，由于本说明书仅为对本发明内容的示例性描述，而不是限制，本领域的技术人员根据本发明内容，完全能够对其它操作系统中的可执行程序进行类似的操作和处理，其实现过程和MSDOS、WINDOWS、Linux系统中的实现过程类似，为了简便起见，由于本说明书已经对本发明的过程和装置进行了详细的描述，因此对于其它操作系统下的U盘加密锁的应用不再对其进行详细描述。

发明内容

有鉴于此，本发明提供了一种U盘加密锁内可执行程序的保护方法及装置，以解决存储设备中数据信息容易泄露的安全隐患问题。

本发明不仅适用于WINDOWS操作系统，也适用于其他操作系统，如LINUX系统、UNIX系统。

本发明提供一种可执行程序保护系统，包括：计算机主机；与计算机主机电连接的U盘加密锁；

所述计算机主机中包括设置设备；其中，

所述设置设备，用于将可执行程序加密写入所述U盘加密锁；

所述U盘加密锁，用于存储可执行程序数据内容,并执行软件保护操作；所述U盘加密锁包括U盘部分和加密锁部分；

其中，所述U盘部分包括公共区和CD-ROM区；

在所述CD-ROM区中具有监控执行设备，用于监控所述公共区中的可执行程序的双击或Enter键操作动作，并根据所述操作动作对已加密的可执行程序进行解密、并以调试方式运行所述U盘加密锁中的已解密的所述可执行程序。

根据本发明的一个方面，所述U盘加密锁的加密锁部分包括存储模块和解密模块，其中，

存储模块，用于存储加密可执行程序的密钥信息；

解密模块，用于与所述监控执行设备交互，从所述存储模块中读取密钥、解密所述可执行程序。

根据本发明的一个方面，所述存储模块还存储可执行程序及所使用加密算法的对应关系映射表信息。

根据本发明的一个方面，所述设置设备对可执行程序进行加密处理时可自定义选择加密方法。

根据本发明的一个方面，所述设置设备对可执行程序加密方法包括对称加密算法或非对称加密算法，其中对称加密算法包括AES、DES、TDES；非对称算法包括RSA、ECC。

根据本发明的一个方面，加密后写入公共区的可执行程序保持原文件名，或者自定义文件名。

根据本发明的一个方面，所述设置设备将用于加密可执行文件的加密算法的密钥写入U盘加密锁。

根据本发明的一个方面，提供一种通过可执行程序保护系统进行信息保护的方法，所述可执行程序保护系统包括：计算机主机；与计算机主机电连接的U盘加密锁；

所述计算机主机中包括设置设备；其中，所述设置设备，用于将可执行程序加密写入所述U盘加密锁；

所述U盘加密锁，用于存储可执行程序数据内容,并执行软件保护操作；所述U盘加密锁包括U盘部分和加密锁部分；其中，所述U盘部分包括公共区和CD-ROM区；

所述U盘加密锁中具有监控执行设备，用于监控所述公共区中的可执行程序的双击或Enter键操作动作

所述方法包括如下步骤：

步骤1：通过所述设置设备选择加密方案，并将可执行程序加密写入所述U盘加密锁；

步骤2：将设置好的所述U盘加密锁与所述主机连接，自动运行锁内监控执行设备；

步骤3：所述监控执行设备自动监控用户双击或Enter键公共区内可执行程序的操作；

步骤4：所述监控执行设备或所述U盘加密锁解密要打开的可执行程序；

步骤5：所述监控执行设备以调试器方式运行已解密的所述可执行程序。

根据本发明的一个方面，所述加解密方案至少包括以下几种方案之一：

方案1：设置设备将加密后可执行程序写入所述U盘加密锁时，标识当前使用的加密算法；或

方案2：设置设备将可执行程序写入所述U盘加密锁时，同时将使用加密算法对应的密钥写入所述U盘加密锁；或

方案3：U盘加密锁自身预设了设置设备的所有加密算法的各种密钥。

根据本发明的一个方面，所述方案3中，在U盘加密锁出厂或初始化时，就预先将设置设备中会使用到的所有加密算法密钥信息全部写入U盘加密锁的加密锁部分的存储区中或U盘加密锁中的公共区。

根据本发明的一个方面，所述步骤4中通过U盘加密锁来解密存放在公共区内的可执行程序，具体包括：

所述监控执行设备监控U盘加密锁中可执行程序的双击或键盘Enter键操作，所述监控执行设备向U盘加密锁的加密锁部分中的解密模块发送解密命令，所述解密模块接收到解密命令后，通过加密标识或映射表关系从加密锁部分的存储区或U盘加密锁的公共区中查找对应的加密算法密钥，解密模块通过所述密钥解密可执行程序，解密完成后通知所述监控执行设备，所述监控执行设备以调试器方式运行解密后的可执行程序。

本发明将可执行程序存储在U盘加密锁的公共区，监控执行设备存储于U盘加密锁CD-ROM区并自动运行，监控执行设备监控用户双击或Enter键公共区中的可执行程序动作，通过自身或U盘加密锁解密要打开的程序，然后监控执行设备以调试器方式运行锁内解密的可执行程序。本发明中存储与U盘加密锁中的程序都是加密过的，解密过程需依赖U盘加密时，即使将程序拷贝出去打开也是乱码，可以防止数据泄密，加解密的过程基本不影响程序的执行效率，而且监控执行设备以调试方式运行，可以防止内存DUMP,增加调试和破解难度，提高安全性。

附图说明

图1是根据本发明一个实施例的可执行文件的保护装置结构图。

图2是根据本发明一个实施例的可执行文件的保护方法流程图。

图3是根据本发明一个具体实施例的可执行文件的保护方法流程图。

图4是根据本发明一个具体实施例的可执行文件的保护方法流程图。

图5是根据本发明一个具体实施例的可执行文件的保护方法流程图。

具体实施方式

为使本发明的目的、技术方案及优点更加清楚明白，以下参照附图并举实施例，对本发明进一步详细说明。

本发明不仅适用于WINDOWS操作系统,还适用于其他操作系统，如LINUX操作系统、UNIX系统。

图1 为按照本发明一个实施例的可执行文件保护装置的整体结构图。

如图1所示，根据本发明的一个实施例，可执行文件保护装置包括：主机、U盘加密锁设备。

主机中具有设置设备，主机通过USB接口与U盘锁设备电性连接。

U盘锁设备中包括加密锁部分和U盘部分。

加密锁部分包括存储模块和解密模块；其中，存储模块，用于存储加密可执行程序的密钥信息；解密模块，用于与U盘部分的CD-ROM区中的监控执行设备交互，从存储模块中读取密钥、解密可执行程序。根据本发明的一个具体实施例，存储模块还可以存储可执行程序及所使用加密算法的对应关系映射表信息。

U盘部分包括公共区和CD-ROM区。

如图1所示，为了更清楚地显示本发明的内容，图1中的U盘部分中仅仅显示了公共区和CD-ROM区，没有绘制隐藏区和密码区。

如图1所示，在公共区中存储了多个可执行程序，编号从1至N，N为正整数，作为示例。图1中分别对应于程序1、程序2、程序3、程序N。

此外，CD-ROM区中还具有监控执行设备。根据本发明的一个实施例，监控执行设备为内置在U盘加密锁中的软件程序，为自启动状态。

如图1所示，设置设备设置在计算机主机中，用于将可执行程序加密写入U盘锁设备中。使用者使用设置设备时，选择可执行程序之后可以选择加密方案，比如，设置设备中具有加密算法下拉列表，通过下拉列表选择要使用的加密方案。

本发明首先在设置设备中选择加密方案，然后加密可执行程序并写入U盘加密锁的公共区中，当存在多个不同加密方案的可执行文件时，为便于提高解密效率，可以在将可执行程序写入U盘加密锁时，增加加密方案标识。加密锁部分的存储模块中可以预设设置设备所使用加密方案的各种密钥，或设置设备在将可执行程序写入加密锁的同时也将加密算法的密钥写入U盘加密锁。

监控执行设备监控用户双击打开可执行程序的动作，以调试器方式装载可执行程序，监控执行设备根据可执行程序对应的加密算法标识，从公共区或存储模块中读取对应密钥，解密并运行可执行程序。

根据本发明的一个方面，解密时，监控执行设备向加密锁部分的解密模块发出解密请求，解密模块接收请求，并根据标识信息或映射表从存储模块或公共区中查找对应的密钥，解密可执行程序。U盘加密锁中的加密锁部分根据加密算法标识查找对应密钥，解密模块通过密钥解密可执行程序，解密后，监控执行设备以调试器方式运行可执行程序。

所述增加加密方案标识，至少包括以下几种方式：

1. 将可执行程序写入加密锁时，在文件名尾部增加标识，比如在可执行文件名后面+“_”+加密方案标识+“.”+文件扩展名；

2. 加密可执行程序并写入加密锁时，生成可执行程序及对应加密算法的映射表，该映射表可以文件方式同时写入U盘加密锁中。

根据本发明的一个方面，设置设备将加密后的可执行程序写入加密锁时，还可以将加密算法的密钥写入加密锁。根据本发明的一个实施方式，可以写入加密锁的公共区或者加密锁存储模块中，为提高安全性，可以对密钥进行加密后存储。

根据本发明的一个方面，U盘加密锁内部可以预设设置设备所使用加密方案的各种密钥，根据本发明的一个实施方式，所述预设位置是在U盘加密锁内部的加密锁存储模块区域。

但是本领域的技术人员完全可以理解，监控执行设备完全可以根据实际使用需求，以硬件芯片、硬件集成电路、嵌入式芯片、固件等多种形式来实现监控执行设备的功能，其无需本领域的技术人员付出创造性的劳动，因此监控执行设备作为软件模块实现的形式仅仅是本发明的一种示例性实施例，而并不是对本发明的一种限制。上述硬件芯片、硬件集成电路、嵌入式芯片、固件等多种形式实现的监控执行设备均在本发明的保护范围内。

如图2所示，根据本发明的一个实施方式，采用U盘加密锁的方式对可执行文件进行保护的方法如下：

步骤1：通过设置设备选择加密方案，将可执行程序加密写入U盘加密锁的公共区中；

步骤2：将设置好的U盘加密锁与计算机主机设备连接，自动运行U盘加密锁内部的监控执行设备；

步骤3：监控执行设备自动监控用户对U盘加密锁中公共区内部可执行程序的双击操作或者Enter键操作；

步骤4：监控执行设备解密要打开的可执行程序，或者U盘加密锁内部的加密锁部分解密要打开的可执行程序；

步骤5：监控执行设备以调试器方式运行已经过解密的可执行程序。

如图3所示，假定本实施例中要保护的可执行文件为A.exe，一种可执行文件的保护方法，具体步骤包括：

1. 设置设备中选择对称算法AES对A.exe进行加密，加密后文件名为A_aes.exe，由设置设备将A_aes.exe及AES加密算法密钥写入U盘加密锁的公共区；

2. 将设置好的U盘加密锁与主机连接，自动运行锁内监控执行设备；

3. 监控执行设备自动监控用户双击或Enter键公共区内可执行程序A_aes.exe的操作；

4. 监控执行设备根据A_aes.exe加密算法标识，从U盘加密锁的公共区中查找AES加密算法密钥，监控执行设备解密可执行文件A_aes.exe;

5. 监控执行设备以调试器方式运行解密后的可执行程序。

如图4所示，本实施例中要保护的可执行程序为NOTEPAD.EXE和WINWORD.EXE，一种可执行文件的保护方法，具体步骤包括：

1. U盘加密锁中的加密锁存储模块中预设设置设备所使用的各种加密方案的密钥信息；

2. 设置设备采用不同加密方案加密NOTEPAD.EXE和WINWORD.EXE，比如分别采用AES和DES加密算法，分别NOTEPAD.EXE采用AES加密，对WINWORD.EXE采用DES加密，将加密后的两个可执行文件及可执行文件对应的加密算法映射表写入U盘加密锁。根据本发明的一个具体实施方式，将可执行程序写入公共区，将映射表存储在隐藏区或存储模块中。当然，本领域的技术人员也可以将映射表存储在存储模块中，也可以在公共区或隐藏区，其中加密后文件名与原文件名一致；

3. 将设置好的U盘加密锁与主机连接，自动运行锁内监控执行设备；

4. 监控执行设备自动监控用户双击或Enter键公共区内可执行程序NOTEPAD.EXE和/或WINWORD.EXE的操作；

5. 监控执行设备向U盘加密锁发送解密命令，U盘加密锁通过映射表从锁内查找对应的加密算法密钥，并解密可执行程序；

6. 监控执行设备以调试器方式运行解密后的可执行程序。

如图5所示，假定本实施例中要保护的可执行文件为B.exe，一种可执行文件的保护方法，具体步骤包括：

步骤1：设置设备将可执行程序B.exe加密写入到U盘加密锁的公共区，加密后的文件名与原文件名相同；

步骤2：将设置好的U盘加密锁插入主机USB接口，自动运行锁内监控执行设备；

步骤3：监控执行设备自动监控用户双击或Enter键公共中已加密的数据文件B.exe；

步骤4：U盘加密锁设备解密要打开的可执行程序；

步骤5：监控执行设备以调试器方式运行解密后的可执行程序。

在Linux、Unix系统中实施本发明的方法步骤与在Windows系统中实施基本相同，具体实施时可参考Windows系统中的实施方案，此处不再赘述。

此外，根据本发明的一个实施例，U盘加密锁采用的USB协议是USB 2.0。但是，本领域的技术人员都清楚，USB协议包括很多版本，本发明同样适用于其他版本的USB协议，包括但不限于USB 1.1、USB 2.5、USB 3.0。

此外，在其他操作系统中，可执行程序的文件后缀名则会不同，但其不影响U盘加密锁在这些操作系统中的应用，由于本说明书仅为对本发明内容的示例性描述，而不是限制，本领域的技术人员根据本发明内容，完全能够对其它操作系统中的可执行程序进行类似的操作和处理，其实现过程和MSDOS、WINDOWS、LINUX系统中的实现过程类似，并不会为了简便起见，由于本说明书已经对本发明的过程和装置进行了详细的描述，因此本说明书对于其它操作系统下的U盘加密锁的处理和使用方式不再对其进行详细描述。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换以及改进等，均应包含在本发明的保护范围之内。

Claims

1. 一种可执行程序保护系统，包括：计算机主机；与计算机主机电连接的U盘加密锁；其特征在于，

所述计算机主机中包括设置设备；其中，

所述设置设备，用于将可执行程序加密写入所述U盘加密锁；

其中，所述U盘部分包括公共区和CD-ROM区；

2. 根据权利要求1所述的可执行程序保护系统，其特征在于，所述U盘加密锁的加密锁部分包括存储模块和解密模块，其中，

存储模块，用于存储加密可执行程序的密钥信息；

3. 根据权利要求2所述的可执行程序保护系统，其特征在于，所述存储模块还存储可执行程序及所使用加密算法的对应关系映射表信息。

4. 根据权利要求1所述的可执行程序保护系统，其特征在于，所述设置设备对可执行程序进行加密处理时可自定义选择加密方法。

5. 根据权利要求1-4所述的可执行程序保护系统，其特征在于，所述设置设备对可执行程序加密方法包括对称加密算法或非对称加密算法，其中对称加密算法包括AES、DES、TDES；非对称算法包括RSA、ECC。

6. 根据权利要求1-5所述的可执行程序保护系统，其特征在于，加密后写入公共区的可执行程序保持原文件名，或者自定义文件名。

7. 根据权利要求1-6所述的可执行程序保护系统，其特征在于，所述设置设备将用于加密可执行文件的加密算法的密钥写入U盘加密锁。

8. 一种通过可执行程序保护系统进行信息保护的方法，所述可执行程序保护系统包括：计算机主机；与计算机主机电连接的U盘加密锁；

其特征在于，

所述U盘加密锁中具有监控执行设备，用于监控所述公共区中的可执行程序的双击或Enter键操作动作;

所述方法包括如下步骤：

9. 根据权利要求8所述的通过可执行程序保护系统进行信息保护的方法，其特征在于，所述加解密方案至少包括以下几种方案之一：

10. 根据权利要求9所述的通过可执行程序保护系统进行信息保护的方法，其特征在于，所述方案3中，在U盘加密锁出厂或初始化时，就预先将设置设备中会使用到的所有加密算法密钥信息全部写入U盘加密锁的加密锁部分的存储区中或U盘加密锁中的公共区。

11. 根据权利要求8所述的通过可执行程序保护系统进行信息保护的方法，其特征在于，所述步骤4中通过U盘加密锁来解密存放在公共区内的可执行程序，具体包括：