CN104715209A

CN104715209A - 一种外发文档加密保护方法

Info

Publication number: CN104715209A
Application number: CN201510158011.7A
Authority: CN
Inventors: 吴永
Original assignee: Shandong Hua Ruan Golden Shield Softcom Ltd
Current assignee: Shandong Hua Ruan Golden Shield Softcom Ltd
Priority date: 2015-04-03
Filing date: 2015-04-03
Publication date: 2015-06-17
Anticipated expiration: 2035-04-03
Also published as: CN104715209B

Abstract

本发明公开了一种外发文档的加密保护方法，包括：步骤1)在本地计算机上生成CFP文件后，将CFP文件打包进外发外壳程序中，外壳程序包括CFP文件和CFP浏览器；步骤2)将打包的外发外壳程序发送给接收计算机；步骤3)在接收计算机上直接双击外发外壳程序，所述外发外壳程序直接启动CFP浏览器，当用户点击浏览文件按钮时，Cfp浏览器启动一沙箱环境，并将CFP文件释放到沙箱环境下的特定目录；所述Cfp浏览器进一步根据CFP文件格式启动计算机上的外部应用程序进程，并在沙箱环境下打开该文件，其中，该CFP文件的配置访问权限为：该特定目录中的文件只能在沙箱环境下访问。

Description

一种外发文档加密保护方法

技术领域

本发明属于计算机领域，涉及一种外发文档加密保护方法。

背景技术

在企业对外的交流中，经常会有将内部文件发给外部人员(如合作伙伴)阅读的需求，甚至是在一定程度上需要保密的文件。这为文件的泄密带来了极大的风险，因为文件发出去后就完全不受限制了，阅读方获得了文件的全部权限，如阅读方可以随意生成文件的任意多个副本，可以打印文件，甚至可以直接将文件上传到互联网上进行传播。这为文件的拥有者可能造成极大损失，也带来了外发文档保护的需求。现有一种外发文档保护的方案是发出密文文件，强迫打开方在终端安装整套解密环境，流程比较简单，图示如下:

传统的外发文档保护其实不是真正的“外发”，而是让“外部主机”变成“内部主机”再去访问文档，这带来的后果是虽然文档不会外泄，但对外部主机自身的其他文档也会产生一定的影响，如打开其他文件也会像在内部主机一样进行加密，从而导致外部主机需要看文档时安装整套加解密组件，需要编辑他们自己的文件时又必须卸载加解密组件。

发明内容

本发明所要解决的技术问题是提供一种控制外发文档加密保护方法。

本发明解决上述技术问题所采取的技术方案如下：

一种外发文档加密保护方法，包括：

步骤1)在本地计算机上生成CFP文件后，将CFP文件打包进外发外壳程序中，外壳程序包括CFP文件和CFP浏览器；

步骤2)将打包的外发外壳程序发送给接收计算机；

步骤3)在接收计算机上直接双击外发外壳程序，所述外发外壳程序直接启动CFP浏览器，当用户点击浏览文件按钮时，Cfp浏览器启动一沙箱环境，并将CFP文件释放到沙箱环境下的特定目录；

所述Cfp浏览器进一步根据CFP文件格式，启动计算机上的外部应用程序进程，并在沙箱环境下打开该文件，其中，该CFP文件的配置访问权限为：该特定目录中的文件只能在沙箱环境下访问。

进一步地，优选的方法是，所述外发外壳程序被做成可执行应用程序的格式。

进一步地，优选的方法是，所述沙箱环境下启动的应用程序为一沙箱进程，由该应用程序启动的其他应用程序也都为沙箱进程。

进一步地，优选的方法是，所述CFP文件的结构包括：包头、文件偏移表、文件块结构，其中，包头包含全局信息，且包头为自检验；

所述文件偏移表包括文件偏移项，文件偏移项指示文件对应在CFP文件中的偏移信息；

所述文件块结构又包含文件头和文件体，其中，每个文件块包括一个文件头，用于描述文件权限和校验信息；一个文件体，为真实文件的密文形式。

进一步地，优选的方法是，所述文件头中，具体包括：本包中包含的文件个数、是否需要密码打开、是否绑定机器、是否使用网络时间。

进一步地，优选的方法是，本地生成CFP文件，具体包括：

建一个空白的CFP文件，生成包头，并将包头写入CFP文件；

根据CFP写入文件的数量计算文件偏移表大小，生成文件偏移表，保留在内存中；

跳过文件偏移表的大小，逐个写入文件块，先根据文件权限生成文件头，再将文件加密到临时目录，往CFP文件写入文件头，再写入加密的源文件，其中，每写入一个文件时计算文件偏移，填充到内存中的文件偏移表。循环这一操作直到所有文件都被写入CFP文件；

将文件指针调整到文件偏移表的开始处，写入文件偏移表。

进一步地，优选的方法是，所述沙箱环境采取DLL注入和API HOOK方式构建，具体包括：

Cfp浏览器加载proclimit.dll使自己成为沙箱；

HOOK API CreateProcessInternalW监视子进程创建，在子进程创建的时候对子进程注入proclimit.dll；

其中，CreateProcessInternalW的HOOK处理如下：

1)修改进程创建参数，使创建的进程是挂起状态的。

2)在挂起的进程的导入表中写入proclimit.dll的全路径，这样当进程继续运行时会主动加载proclimit.dll。

3)让挂起的程序重新跑起来；

其中，如果当前进程是CfpViewer.exe，则不再HOOK别的API。

进一步地，优选的方法是，基于文件权限控制所述HOOK APICreateProcessInternalW启动的API进程。

相对于现有技术，本发明具有以下优点：

1.比起传统的外发保护，本方案环境简单，仅仅外发一个exe文件即可完成所有步骤，不需要安装整套加解密环境。

2.本方案不会对接收计算机环境产生污染，有没有泄密意识的上，接收计算机完全感觉不到打开的外发文件和本地文件有何不同。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。

附图说明

下面结合附图对本发明进行详细的描述，以使得本发明的上述优点更加明确。其中，

图1是本发明外发文档加密保护方法的流程示意图；

图2是本发明外发文档加密保护方法的流程示意图；

图3是本发明外发文档加密保护方法的CFP文件的结构示意图。

具体实施方式

以下将结合附图及实施例来详细说明本发明的实施方式，借此对本发明如何应用技术手段来解决技术问题，并达成技术效果的实现过程能充分理解并据以实施。需要说明的是，只要不构成冲突，本发明中的各个实施例以及各实施例中的各个特征可以相互结合，所形成的技术方案均在本发明的保护范围之内。

另外，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

具体来说，CFP：Cis File Package，CIS文件包，外发文件的格式。

外发沙箱：由软件生成的一个隔离的环境，在此环境中打开的文件是安全的且不会被任意泄密。

本方案正是为了解决外发的便捷和易用。

其中，本方案关键点在于在外部主机上形成外发沙箱，在此沙箱中可以按外发方设定的权限进行文档浏览，沙箱是一个独立的环境，所以不会对外部主机造成任何影响，外部主机可以在浏览外发文档的同时进行自己的工作。

具体来说，如图1、2、3所示，一种外发文档加密保护方法，包括：

步骤2)将打包的外发外壳程序发送给接收计算机；

进一步地，优选的方法是，本地生成CFP文件，具体包括：

建一个空白的CFP文件，生成包头，并将包头写入CFP文件；

将文件指针调整到文件偏移表的开始处，写入文件偏移表。

Cfp浏览器加载proclimit.dll使自己成为沙箱；

其中，CreateProcessInternalW的HOOK处理如下：

1)修改进程创建参数，使创建的进程是挂起状态的。

3)让挂起的程序重新跑起来；

其中，如果当前进程是CfpViewer.exe，则不再HOOK别的API。

相对于现有技术，本发明具有以下优点：

其中，更具体地说，本发明的具体工作流程如下：

本方案起始步骤1)在外发发起者本地生成CFP文件，同一个外发包支持多个文件，并包装成EXE文件的形式，达到一键外发的目的。

步骤2)将打包的EXE文件直接发送给接收计算机。

步骤3)接收计算机直接双击EXE文件，即能在受限的环境中阅读源文件。

本方案有两个关键点，一是外发文件的结构，二是外发沙箱在外部主机上的建立，外发文件的结构保证了文件的安全性和强壮性，外发沙箱保证了在外部主机上能正常阅读文件并不会对自有环境造成影响。

下面分别就这两点进行描述。

外发文件的生成步骤：

外发文件是一个独立的EXE文件，称之外发外壳程序。此EXE文件中包装了一个CFP文件，在本地生成CFP文件后，将CFP以资源的形式打包进外发外壳程序中，外壳程序包括CFP文件和CFP浏览器。在外部主机上双击外发外壳程序后，外发外壳释放出CFP文件和CFP浏览器，再使用CFP浏览器打开CFP文件。这个逻辑是很简单的，所以外发文件核心在于CFP文件自身，下面描述CFP文件的结构：

文件分3部分：包头、文件偏移表、文件块结构(又包含文件头和文件体)列表，作用分别如下：

1.包头包含一些全局信息，如本包中包含的文件个数、是否需要密码打开、是否绑定机器、是否使用网络时间，等等。包头是自校验的，如果被人恶意破坏，则整个CFP文件将不可再使用。包头的C语言结构体表示如下：

2.紧跟着包头后面是一个表，叫文件偏移表。这个表包含了至少一个文偏移项，文件偏移项指示了文件对应在CFP文件中的偏移。如a.txt是1k大小，从10k位置开始，11k位置结束。文件偏移项的C语言结构体表示如下：

3.文件块结构，有多少个文件则有多少个文件块，每个文件块包含一个文件头(描述文件权限和校验)和一个文件体(真实文件的密文形式，即使用工具从CFP文件中切割出文件也无法还原)，文件块结构又包含文件头和文件体，

1)文件头，描述了文件本身的权限，如打开次数、禁止复制、禁止拖放等等。由于每个文件头是独立的，所以同一个包中不同文件可以有不同的权限。文件目录项是自校验的，如果被人恶意破坏，则对应文件不可再使用。文件头的C语言结构体表示如下：

2)文件体，是真实文件的密文形式。

该文件结构保证了文件不可被破解及强壮性(即使被恶意破坏一部分，其他部分仍然可使用)。

按照CFP文件结构来生成CFP文件就很简单了，分以下几步：

1.建一个空白的CFP文件，生成包头，并将包头写入CFP文件。

2.根据CFP写入文件的数量计算文件偏移表大小，生成文件偏移表，保留在内存中。

3.跳过文件偏移表的大小，逐个写入文件块，先根据文件权限生成文件头，再将文件加密到临时目录，往CFP文件写入文件头，再写入加密的源文件。每写入一个文件时计算文件偏移，填充到内存中的文件偏移表。循环这一操作直到所有文件都被写入CFP文件。

4.将文件指针调整到文件偏移表的开始处，写入文件偏移表。

其中，CFP文件生成后，将CFP文件以资源形式更新进外发外壳文件中，整个生成流程结束。

外发沙箱在外部主机上的建立：

如上所述，外发外壳程序发到外部主机上后，双机外部主机会释放出CFP文件和CFP浏览器，进程名为CfpViewer.exe，外发沙箱实质上是由CfpViewer建立的，下面先说明CfpViewer.exe的工作流程：

1.CfpViewer被运行过后会注册自己成为.cfp文件的浏览器，从此以后双击cfp文件就可以直接关联到CfpViewer.exe，除此之外，CfpViewer还支持拖放打开、运行状态双击cfp文件传递打开。

2.会尝试安装cisfm32/cisfm64驱动。此驱动用来隔离沙箱环境和外部环境。

3.释放协同工作模块CfpDemon.exe CfpDemon64.exe cishook32.dllcishook64.dll dumpshield.dll dumpshield64.dll proclimit.dll proclimit64.dll模块CfpDemon dumpshield cishook32共同组成explorer保护墙，用来保证在最终用户有泄密意图时保护dump目录(下面会详细解释dump目录)。这个保护墙功能比较单一，不再详述。协同工作模块都释放在％TEMP％目录下

4.加载proclimit.dll使自己成为沙箱，沙箱是整个外发浏览的基石，后面会详述。

5.显示用户交互界面，响应用户操作。描述下打开文件时的流程：

1)双击或点击浏览文件按钮时，会检查运行环境(驱动是否正常、是否有危险程序存在、是否已经有外发文件在浏览中)，如果检查合规，则会从cfp中释放文件到cfp文件同级目录下的dump目录，此目录是外发包浏览器主工作目录，驱动以及CfpDemon保护的也正是它。该目录中文件只能被沙箱进程访问，如直接在explorer里复制dump目录中的文件到其他地方会直接无权限。

2)提取文件权限(禁止复制等)，写入注册表

3)直接ShellExecute调用系统注册的相对文件类型的浏览器打开指定文件。

4)沙箱的传染性，关键的一步到来了——前文提到，CfpViewer.exe加载proclimit.dll使自己成为沙箱，一个沙箱是一套封闭的环境，成为沙箱后，由这个沙箱环境创建的进程也会被传染成沙箱。如CfpViewer双击doc文件，启动的winword.exe成为一个沙箱进程，winword再启动某转换程序，转换程序也变成沙箱进程。

正如上文所说，只有沙箱进程才能访问dump目录。这确保了只有被我们“传染”的进程——即受控进程——才能访问涉密文件。这也形成了一个约定：只有被CfpViewer启动或间接被CfpViewer启动的进程才能正常浏览文档。举两个例子：

1.图片，win7上双击图片默认是由explorer.exe来打开，由于explorer在使用CfpViewer前就已经存在了，不属于沙箱环境，则不能打开图片

2.dde型打开。如notepad++，如果已在运行状态，再次打开一个文件时，会提交给已经在运行的进程来打开。则如果notepad++在运行状态，再使用cfpviewer打开一个需要用notepad++来打开的文件时，会导致notepad++无法打开，此时应关闭旧notepad++，使notepad++被CfpViewer.exe启动，则可正常使用。

下面详细描述沙箱的形成：

CFP沙箱主要使用两种技术构建：DLL注入和API HOOK。其中DLL注入是前提，而沙箱的传染性是由HOOK来实现的，这就牵涉到先有鸡还是先有蛋的问题。上文讲CfpViewer工作

流程时特意强调一步：CfpViewer.exe加载proclimit.dll使自己成为沙箱，“加载”，可认为是自主有意识的“DLL注入”，所以可认为沙箱的建立和传染是从CfpViewer.exe主动加载proclimit.dll开始的。

proclimit.dll被加载后的流程如下:

1.HOOK API CreateProcessInternalW监视子进程创建，在子进程创建的时候及时地对子进程注入proclimit.dll，达到“传染”的效果CreateProcessInternalW的HOOK处理：

1)修改进程创建参数，使创建的进程是挂起状态的。

3)让挂起的程序重新跑起来

4)由于32位进程也能启动64位进程，提供了两个小程序负责注入，分别负责在64位上实现两种注入、32位上实现两种注入。小程序会释放在proclimit.dll的同级目录(％TEMP％)，小程序名分别叫inj32.exe inj64.exe

3.如果当前进程是CfpViewer.exe，则不再HOOK别的API，因为只HOOK CreateProcessInternalW即可形成沙箱，HOOK别的API是用来控制文件权限的。

4.从注册表中读取文件权限，文件权限在CfpViewer工作流程中已经提取出来并写入注册表

5.根据文件权限来决定HOOK哪些API，如禁止复制就要HOOKSetClipboardData

6.控制文件复制和移动HOOK CopyFileExW MoveFileWithProgressW来限制对文件的复制和移动行为。如果系统版本大于XP，还会使用IFileOperationProgressSink来协助控制

7.性能和稳定性最敏感的：另存为控制，通过HOOK CreateFileW并对CreateFileW做行为分析来实现，使无法直接把文件另存为出去。

其中，以下结合实施例说明API HOOK牵涉到的相关API：

CreateFileW文件另存为控制

MoveFileWithProgressW CopyFileExW文件复制移动控制

SetClipboardData禁止复制控制，如果不HOOK则无法控制复制内容的行为

DoDragDrop禁止拖放控制，如果不HOOK则无法控制拖放行为

CreateProcessInternalW沙箱核心，如果不HOOK则无法形成沙箱

CoCreateInstance/IFileOperation IFileOperationProgressSink的跳板

StartDocW打印控制

从此沙箱形成并可按外发方设定的权限正常浏览文件。

下面假想一个应用场景说明此专利效果：

假定外部终端A收到外发包，包中文件名为a.txt，权限是不允许复制。在终端A上双击a.exe，则会自动调用txt阅读器(通常是notepad.exe)来浏览a.txt，此时复制a.txt内容无法粘贴出去。然后打开一个本地文件b.txt，b.txt内容可以复制粘贴出去，说明沙箱仅对外发包中文件生效，对本地文件不会造成影响。

本发明采取了上述方案以后，具有以下两个主要优点：

需要说明的是，对于上述方法实施例而言，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本申请并不受所描述的动作顺序的限制，因为依据本申请，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本申请所必须的。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。

而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

最后应说明的是：以上所述仅为本发明的优选实施例而已，并不用于限制本发明，尽管参照前述实施例对本发明进行了详细的说明，对于本领域的技术人员来说，其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种外发文档加密保护方法，其特征在于，包括：

步骤2)将打包的外发外壳程序发送给接收计算机；

2.根据权利要求1所述的外发文档加密保护方法，其特征在于，所述外发外壳程序被做成可执行应用程序的格式。

3.根据权利要求1或2所述的外发文档加密保护方法，其特征在于，所述沙箱环境下启动的应用程序为一沙箱进程，由该应用程序启动的其他应用程序也都为沙箱进程。

4.根据权利要求1或2所述的外发文档加密保护方法，其特征在于，所述CFP文件的结构包括：包头、文件偏移表、文件块结构，其中，包头包含全局信息，且包头为自检验；

5.根据权利要求4所述的外发文档加密保护方法，其特征在于，所述文件头中，具体包括：本包中包含的文件个数、是否需要密码打开、是否绑定机器、是否使用网络时间。

6.根据权利要求1所述的外发文档加密保护方法，其特征在于，本地生成CFP文件，具体包括：

建一个空白的CFP文件，生成包头，并将包头写入CFP文件；

将文件指针调整到文件偏移表的开始处，写入文件偏移表。

7.根据权利要求1所述的外发文档加密保护方法，其特征在于，所述沙箱环境采取DLL注入和API HOOK方式构建，具体包括：

Cfp浏览器加载proclimit.dll使自己成为沙箱；

其中，CreateProcessInternalW的HOOK处理如下：

1)修改进程创建参数，使创建的进程是挂起状态的。

3)让挂起的程序重新跑起来；

其中，如果当前进程是CfpViewer.exe，则不再HOOK别的API。

8.根据权利要求1所述的外发文档加密保护方法，其特征在于，基于文件权限控制所述HOOK API CreateProcessInternalW启动的API进程。