CN107332666A

CN107332666A - 终端文件加密方法

Info

Publication number: CN107332666A
Application number: CN201710709155.6A
Authority: CN
Inventors: 张少华; 申智灵
Original assignee: Create Internet Technology Co Ltd
Current assignee: Create Internet Technology Co Ltd
Priority date: 2017-08-17
Filing date: 2017-08-17
Publication date: 2017-11-07

Abstract

本发明涉及通讯技术领域，尤其涉及一种终端文件加密方法，首先、生成密钥种子，所述密钥种子包括固态码和动态码，对固态码和动态码部分进行混合编码，既得密钥种子；其次、明文加密，使用步骤A所生成的密钥种子与生成的随机索引Index I 进行密钥衍生计算，生成对称明文加密密钥，使用AES256/SM4对称加密算法对明文进行加密；然后、授权加密，文件宿主发起文件授权加密请求，QSS服务器获取所有被授权用户的信息，生产Secret s，文件宿主使用Secret s、密钥种子与index I 进行密钥衍生预算生成对称授权加密密钥，使用AES256/SM4对称加密算法加密文件，即完成授权加密，提高文件传输的安全性。

Description

终端文件加密方法

技术领域

本发明涉及通讯技术领域，尤其涉及一种终端文件加密方法。

背景技术

目前，电子商务和电子办公已变得越来越流行。对于企业或个人的一些重要文档的安全保存和传输，已变得尤为重要。在国内，基于软件的加密方式主要是电子授权技术，具体还分为注册码和许可证文件两种。然而，这些技术在安全性上仍存在很大漏洞。

1.难以实现灵活的授权控制和管理。

2.一些加密技术只是为了解决眼前的问题而推出的短期方案，对于加密技术的安全性、稳定性和扩展性尚不完善。

3.不能适应市场的快速变化所带来的对软件授权模式的新需求。

4.加密技术跨平台存在技术难题，在手机、PC、通信终端等设备上无法做到跨平台共享文件。

5.文件、数据的加密依靠密码、证书进行加密和保护，在共享过程中可能存在截取风险。

发明内容

本发明的目的在于克服现有技术中的不足，提供一种终端文件加密方法，提高文件传输的安全性。

本发明是通过以下技术方案实现的：一种终端文件加密方法，包括以下步骤，

步骤A：生成密钥种子，所述密钥种子包括固态码和动态码，对固态码和动态码部分进行混合编码，既得密钥种子；

步骤B：明文加密，使用步骤A所生成的密钥种子与生成的随机索引Index I 进行密钥衍生计算，生成对称明文加密密钥，使用AES256/SM4对称加密算法对明文进行加密；

步骤C：授权加密，文件宿主发起文件授权加密请求，QSS服务器获取所有被授权用户的信息，生产Secret s，文件宿主使用Secret s、密钥种子与index I 进行密钥衍生预算生成对称授权加密密钥，使用AES256/SM4对称加密算法加密文件，即完成授权加密；

其中，步骤A中固态码包括底码，所述底码包括用户注册时生成的随机码X、用户密码，通过用户密码，使用FIPS 140-2 认证的 HMAC/PKCS7/SHA256/AES256算法或国密算法，得到随机码加密算法PP，通过随机码加密算法PP对随机码X进行加密，得到加密后的E（X），所述加密后的E（X）通过HTTPS上传至QSS服务器进行备份，动态码为自用户动态信息域中随机提取的一个或多个数据信息，所述混合编码为使用FIPS 140-2 认证的 HMAC/PKCS7/SHA256/AES256算法或国密算法，生成密钥种子。

进一步地，所述用户动态信息域包括用户名、账号、头像、声音、时间、ID。

进一步地，所述随机码加密算法PP占用4096字节。

进一步地，所述被授权用户数为1时，即默认授权人为文件宿主，加密完成后明文格式后缀增加“.bqd”，仅文件宿主能够还原明文；所述被授权用户数大于1时，QSS服务器获取所有被授权用户的信息，生产Secret s，文件宿主使用Secret s、密钥种子与index I 进行密钥衍生预算生成对称加密密钥，使用AES256/SM4对称加密算法加密文件，即完成授权加密,仅有文件宿主与被授权人才能进行解密操作。

进一步地，所述Index I 被植入明文起始端，Secret s与密钥种子从服务器端获取。

进一步地，所述密钥种子在申请对明文加密时，与Index 和Secret s生成唯一编码，用于加解密操作。

本发明的有益效果在于：明文加密和授权加密，通过两次加密能够提高安全性能；密钥种子包括固态码和动态码，针对明文生成单一密钥种子，进一步提高安全性能；设置授权加密，保证加密文件只在授权用户之间共享。

具体实施方式

以下通过具体实施例对本发明的技术方案进行具体说明。

实施例1

终端文件加密方法，其中文件加密过程，

步骤A：生成密钥种子，用户登记信息进行注册，生成随机码X，同时通过Vcode设置用户密码，通过用户密码，使用AES256算法，得到4096字节的随机码加密算法PP，通过随机码加密算法PP对随机码X进行加密，得到加密后的E（X），加密后的E（X）通过HTTPS上传至QSS服务器进行备份，通过用户信息或者用户授权能够调用E（X），进而解密得到随机码X，将用户密码和随机码X经AES256算法生成固态码，另在注册用户申请对明文加密时，随机提取用户户名、账号、头像、声音、时间、ID等信息中的两个，通过SHA256算法，生成动态码，将固态码和动态码合并，生成唯一秘钥种子；

步骤B：明文加密，使用步骤A所生成的密钥种子与生成的随机索引Index I 进行密钥衍生计算，生成对称明文加密密钥，使用AES256对称加密算法对明文进行加密；

步骤C：授权加密，文件宿主发起文件授权加密请求，QSS服务器获取所有被授权用户的信息，生产Secret s，文件宿主使用Secret s、密钥种子与index I 进行密钥衍生预算生成对称授权加密密钥，使用SM4对称加密算法加密文件，即完成授权加密，被授权用户数为1时，即默认授权人为文件宿主，加密完成后明文格式后缀增加“.bqd”，仅文件宿主能够还原明文；所述被授权用户数大于1时，QSS服务器获取所有被授权用户的信息，生产Secret s，文件宿主使用Secret s、密钥种子与index I 进行密钥衍生预算生成对称加密密钥，使用AES256/SM4对称加密算法加密文件，即完成授权加密,仅有文件宿主与被授权人才能进行解密操作。

实施例2

终端文件加密方法，其中文件加密过程，

步骤A：生成密钥种子，用户登记信息进行注册，生成随机码X，同时通过Vcode设置用户密码，通过用户密码，使用AES256算法，得到4096字节的随机码加密算法PP，通过随机码加密算法PP对随机码X进行加密，得到加密后的E（X），加密后的E（X）通过HTTPS上传至QSS服务器进行备份，通过用户信息或者用户授权能够调用E（X），进而解密得到随机码X，将用户密码和随机码X经HMAC算法生成固态码，另在注册用户申请对明文加密时，随机提取用户户名、账号、头像、声音、时间、ID等信息中的一个，通过HMAC算法，生成动态码，将固态码和动态码合并，生成唯一秘钥种子；

实施例3

终端文件加密方法，其中文件加密过程，

步骤A：生成密钥种子，用户登记信息进行注册，生成随机码X，同时通过Vcode设置用户密码，通过用户密码，使用AES256算法，得到4096字节的随机码加密算法PP，通过随机码加密算法PP对随机码X进行加密，得到加密后的E（X），加密后的E（X）通过HTTPS上传至QSS服务器进行备份，通过用户信息或者用户授权能够调用E（X），进而解密得到随机码X，将用户密码和随机码X经SHA256算法生成固态码，另在注册用户申请对明文加密时，随机提取用户户名、账号、头像、声音、时间、ID等信息中的三个，通过PKCS7算法，生成动态码，将固态码和动态码合并，生成唯一秘钥种子；

步骤C：授权加密，文件宿主发起文件授权加密请求，QSS服务器获取所有被授权用户的信息，生产Secret s，文件宿主使用Secret s、密钥种子与index I 进行密钥衍生预算生成对称授权加密密钥，使用AES256对称加密算法加密文件，即完成授权加密，被授权用户数为1时，即默认授权人为文件宿主，加密完成后明文格式后缀增加“.bqd”，仅文件宿主能够还原明文；所述被授权用户数大于1时，QSS服务器获取所有被授权用户的信息，生产Secrets，文件宿主使用Secret s、密钥种子与index I 进行密钥衍生预算生成对称加密密钥，使用AES256/SM4对称加密算法加密文件，即完成授权加密,仅有文件宿主与被授权人才能进行解密操作。

对于实施例1-3任一项的终端文件加密方法，对明文的加密和授权加密，通过两次加密能够提高安全性能；密钥种子包括固态码和动态码，针对明文生成单一密钥种子，进一步提高安全性能；设置授权加密，保证加密文件只在授权用户之间共享。

基于实施例1-3任一项的终端文件加密方法的软件产品，主要包含以下功能用户注册、软件登录、VCode管理、主窗体、文件加密、文件授权、安全分享、软件设置、操作日志。

一、用户注册

新用户注册可通过网站、PC客户端、移动客户端的注册功能完成注册。用户名可支持有效邮箱地址、手机号进行注册。注册时仅填写邮箱、登录密码即可完成注册活动，系统会向该邮箱中推送激活邮件，打开激活邮件，触发激活网页链接，即可正式激活该邮箱用户。手机注册的用户需要通过收到的短信验证码进行注册验证。

二、软件登录

当用户打开客户端首次登录软件时，用户需要输入已激活的邮箱、登录密码进行身份验证，身份验证将与云端服务器进行数据交互验证身份，验证通过后软件将判断该用户是否为首次登录的新用户，若为新用户，软件将弹出“安全口令”(VCode)的设置窗体，提示用户设置属于自己的“安全口令”，安全口令一般不小于8位字符，字符中必须包含数字、大写字母、小写字母，也可包含特殊字符以提高安全口令的安全系数。此外，该口令也是软件窗口锁定、解锁的重要验证方式。

三、登录密码重置

在本软件中，为了简化软件登录和验证过程，用户只需要登录验证一次身份即可，下次进入软件不需要进行登录验证，只需验证VCode即可(VCode的验证也可通过设备的TouchID完成)。但是如果用户忘记登录密码，在软件中也是可以对登录密码重置的，用户通过验证注册时候填写的邮箱或者手机号收到的验证码，服务器进行比对，通过验证后，用户可以重置自己的登录密码，从而进行软件的登录。

四、明文文件导入

在本软件中，主要是对用户的文件进行保护，加密、授权加密、分享等对文件的操作，所以对文件的来源也有区分的。在软件中对文件的导入主要分四种方式。

在iPhone中，由于沙盒机制的限制，在应用中不能直接访问其他应用，也不能直接获取其他应用中的文件。所以对相册中的照片进行导入，成为软件中文件的主要来源。选择文件导入方式为相册，后进入相册选择照片。导入的文件在文件中转站中临时存储，用户可按照文件分类进行文件的移动。

在应用中，可以利用手机的摄像头拍照导入应用。在软件中打开摄像头，进行拍照。

为了满足广大用户的需求和方便用户使用，在应用中提供了WIFI远程导入功能，用户可以在PC上把需要加密的文件上传到手机客户端中，在客户端中进行加密、解密等操作。但是要求用户的电脑和手机在同一个无线局域网下，才可以上传文件。只要在电脑浏览器中输入WIFI功能中提示的访问地址，就可以通过电脑浏览器向手机传输文件。

在用户的手机中，类似微信、邮箱大师、QQ等一些应用中也会有用户需要加密保护的文件，当用户需要对这些文件通过软件进行加密保护的时候，用户可以选择对这些文件的打开方式，选择其他应用-软件云盾，会自动进入到软件中，软件会自动对这些文件进行加密保护。或者当用户对文件加密之后通过主流通讯软件进行分享的时候，接收方也可以通过选择其他应用打开，进行加密或者解密等操作，极大地提高了软件的可用性。

Android客户端与iOS客户端的明文文件导入方式相似。PC端可以直接通过鼠标右键打开的方式，将明文文件导入到软件云盾软件中，也可以通过鼠标框选批量导入明文文件。

五、文件操作

1、文件加密

对文件的加密是本软件的主要业务也是核心业务。文件的加密技术采用AES256对称加密算法，实现对文件的加密，每一个加密过的文件都会有.bqd的后缀标识。对文件的加密方式主要分为两种：

用户对文件加密仅授权自己：用户可在软件中，点击需要加密的文件，软件会自动对文件加密，默认授权人为用户自己。加密完成后文件格式后缀增加“.bqd”，该格式文件无法直接打开查看，只有文件宿主可查看原文。对文件进行加密操作，最后为生成的加密文件。

2、授权用户加密

用户选择授权的用户加密：当用户选择授权加密的时候，软件会提示用户添加授权人账号，用户选择需要进行授权的用户之后，软件将根据用户选择的授权人生成加密文件。此加密文件只有文件宿主和文件的被授权人才可以进行解密操作并查看。其他人截取到也无法解密和查看，保证了加密文件在传输过程中的安全性。选择一个文件，进行授权加密，提示用户填写授权人列表，当用户勾选之后，加密。最后为生成的加密文件。

3、文件解密

当用户需要对加密过的文件进行查看预览时，需要对加密文件进行解密（由于目前QDocument直接查看文件是将密文文件释放到一个随机路径中，存在安全隐患，所以软件暂时未提供密文环境下的功能）解密后在进行阅读，对加密文件进行解密操作时，软件会判断用户是否对此加密文件有无解密权限，只有文件的宿主和文件的被授权人才可以解密，解密之后，文件就成为明文，可以查看。对加密过的文件进行解密，点击解密，如果用户有权限，则直接脱密为明文。

4、文件分享

文件的分享是文件传输的媒介。所以在本软件中对文件的分享方式有两种主流分享媒介，邮件分享和其他应用分享。当文件加密完成之后，就会出现分享界面，让用户自己选择分享方式。

5、文件预览

在软件中可以对常用的文件进行查看，例如doc、ppt、excel、txt、pdf、MP4等常用的文件类型。对加密文件的查看需要先进行解密，脱密为明文才可以查看。点击分享按钮，可以将文件分享到其他应用，方便用户操作和传输。

6、文件移动

对于移动客户端，在软件内部可以实现对文件的移动操作，当用户需要对文件进行分类管理时，用户可以选择文件进行移动，可以随意移动到应用中的其他文件夹中。

导出密钥后，客户端使用FIPS140-2认证的AES256算法对文件加解密。

六、我的好友

我的好友为用户提供了更为便捷的文件分享支持，该功能包含：添加好友、好友查询、好友分组、好友邀请等功能。

用户只有有了好友之后，才能对文件进行授权操作。

1、添加好友

需输入对方的邮件ID、手机号或软件用户ID即可添加对方为好友，添加对方为好友后，默认添加至我的好友分组中，该分组为默认分组，不可删除，不可重命名。软件将自动下载该用户的公钥信息到本地软件数据库中。

2、好友查询

好友查询是对本地好友数据进行检索，可根据键盘输入的字符进行自动联想查询，查询结果显示在所在分组中。单击用户名称可查看该用户的基本注册信息，也可为该用户快捷分享文件。

3、好友邀请

该功能可直接调用系统的通讯录列表（仅限移动客户端），由用户选择被邀请对象，复选确定后，软件将采集被邀请人的手机号（固话号码自动过滤）调用由软件云盾提供的短信接口进行短信的下行操作，不会产生用户手机的短信费用。当然，也可以通过手动输入被邀请人邮箱的方式，进行邀请注册。

七、软件设置

在软件设置中主要是对用户个人信息的管理，VCode管理、安全锁定时间及操作记录等设置信息。

在软件中，用户可以对个人信息进行设置，例如个人头像、昵称、性别、年龄、签名栏等，用户的别名添加，用户的操作记录等。

软件为用户提供了用户对文件的所有操作记录，主要包括用户对文件的加密、解密、加密分享、删除等操作方式的记录，并且还记录了用户对哪个文件、什么时间进行的操作。这样可以为用户提供文件的历史操作记录。操作记录可以由用户自己选择删除，软件不会主动对用户的操作日志进行删除，只会记录，其他操作由用户自己决定。

密钥锁码(简称VCode)是用来保护用户的密钥种子和私钥，是验证用户身份的证据。所以在软件中会强制要求用户为自己设置一个VCode，每一次用户使用软件就会要求输入VCode来验证身份，以此来保护用户的信息安全。

(1)设置VCode

用户注册完成，首次登录成功后就会要求用户为自己设置一个VCode，并且对VCode的设置有要求，必须含有大小写字母和数字，且最低八位有效字符。以此来保护用户信息的安全。

(2)验证VCode

当用户设置完VCode后，每次使用本软件就需要验证VCode来核实用户身份，只有验证成功后才可以进入软件的主界面进行使用。

(3)修改VCode

如果用户设置过VCode，需要更换一个新的VCode，在软件中提供为用户修改VCode功能，用户只需填写老的VCode和需要改的新VCode，提交后即可为用户修改VCode。

VCode修改后，当前登录状态无需重新登录/验证。但在下次打开客户端时，需要使用新的VCode进行验证。

为了更为周全的保护用户文件隐私，软件在闲置状态下（PC端进入睡眠状态下）可完成自动锁定，防止他人盗用用户手机，窃取被保护的文件。

在软件中，用户可以设置软件自动锁定时间。移动端当软件进入后台或者手机锁屏之后，再次启动软件时，如果超过用户自己设置的安全锁定时间，会要求用户验证VCode解锁或者进行指纹验证解锁。PC端会从屏幕保护开始时，进行计时安全锁定时间。这样更好的保护用户的个人信息。

Claims

1.一种终端文件加密方法，其特征在于，包括以下步骤，

2.根据权利要求1所述的终端文件加密方法，其特征在于，所述用户动态信息域包括用户名、账号、头像、声音、时间、ID。

3.根据权利要求1所述的终端文件加密方法，其特征在于，所述随机码加密算法PP占用4096字节。

4.根据权利要求1所述的终端文件加密方法，其特征在于，所述被授权用户数为1时，即默认授权人为文件宿主，加密完成后明文格式后缀增加“.bqd”，仅文件宿主能够还原明文；所述被授权用户数大于1时，QSS服务器获取所有被授权用户的信息，生产Secret s，文件宿主使用Secret s、密钥种子与index I 进行密钥衍生预算生成对称加密密钥，使用AES256/SM4对称加密算法加密文件，即完成授权加密,仅有文件宿主与被授权人才能进行解密操作。

5.根据权利要求1所述的终端文件加密方法，其特征在于，所述Index I 被植入明文起始端，Secret s与密钥种子从服务器端获取。

6.根据权利要求1所述的终端文件加密方法，其特征在于，所述密钥种子在申请对明文加密时，与Index 和Secret s生成唯一编码，用于加解密操作。