CN110673911A - 一种数字文件的跨设备编辑系统 - Google Patents

Abstract

一种数字文件的跨设备编辑系统，在设备A通过该系统将unity3D模型，UE4场景，C4D设计文件等虚拟的数字文件发布上传到该系统的服务器，这部分数字文件通过系统提供给其它设备使用，比如设备B，当设备B下载时，下载的并不是原始的数字文件，而是变造后植入了编辑与使用权限控制机制的文件，其文件格式不变，B接收完成文件后，启动一种特殊的windocker桌面机制，然后在windocker全局桌面机制下，打开一个独立隔离的编辑环境，配合权限管理驱动将绑定了NTFS文件流的授权传递给相对应的应用程序以执行编辑操作，关闭文件后退出windocker桌面机制，返回用户的真实工作空间，并将该文件同步到真实用户空间。

Description

一种数字文件的跨设备编辑系统

技术领域

本发明属于计算机与网络领域，特别是数字文件编辑系统。

背景技术

在过去十年里，包括谷歌文档，石墨文档，腾讯文档在内的各种在线office软件获得了许多用户的欢迎，然而跨设备流转数字文件比如3D模型等则没有类似的技术方案。像一些EDA系统也局限于模块化组装而不是真正的编辑。

发明内容

本发明设计了一种数字文件的跨设备编辑系统，用于数字文件的多设备、多用户使用，尤其是数字文件在不可二次分发的情况下实现数字文件的重复利用、多次利用。在设备A通过该系统将unity3D模型，UE4场景，C4D设计文件等虚拟的数字文件发布上传到该系统的服务器之后，这部分数字文件通过系统提供给其它设备使用，比如设备B，当设备B下载时，首先下载的并不是原始的数字文件，而是变造后植入了编辑与使用权限控制机制的文件，其文件格式不变，然后当B接收完成文件后，开始编辑流程时，先启动一种特殊的独创的windocker桌面机制（具体在下文中介绍），然后在windocker全局桌面机制下，打开一个独立隔离的编辑环境，在该编辑环境下的文件实际上都经过了重定向的虚拟化映射，而后在该windocker全局桌面中启动权限管理驱动或相应的透明加解密驱动，配合驱动将下载的文件传递给相对应的应用程序以执行编辑操作，包括对透明加密的文件进行透明解密编辑、对携带NTFS流的文件进行标签控制下编辑等，关闭文件后，退出windocker桌面机制，返回普通用户空间, 并将该文件同步到普通用户空间。其中同步的时间是灵活的，既可以在关闭文件后同步而后退出，也可以是关闭文件后退出而后同步等形式。

具体地说，该系统包含有四个要素，分别是服务器，上传端处理软件，以及安装在客户端的编辑控制驱动软件与本发明所设计的windocker全局桌面机制：

a.上传端处理软件：数字文件从一个设备上经由该上传端上传其数字文件到服务器，并在上传的环节或存储的环节即对数字文件进行加密处理，包括但不限于绑定NTFS数据流、执行透明加解密等；

b.服务器：存储数字文件，分发数字文件，管理系统用户对各个数字文件的使用权限（如 不可分发，绑定特定设备，或者限定使用时长，等等）；

c. 客户端驱动软件：安装在使用用户的终端，用户登录后，可以下载存储在服务器的文件，但是当使用终端下载时，下载的并不是原始的数字文件，而是变造后植入了编辑与使用权限控制机制的文件，终端接收完成文件后，编辑时启动一种特殊的windocker桌面机制（具体内容见下段中描述），然后在该windocker全局桌面机制下，打开一个与原用户工作独立隔离的编辑环境，再由客户端驱动依据服务器权限控制机制授予的该用户对文件所具有的权限，基于相应的NTFS流进行标签控制、对关键进程注入DLL等方式，传递给相对应的应用程序以执行编辑操作，提供对应的半解密状态下的编辑功能与保持权限控制（在未安装权限控制器的设备则不能正常使用该数字文件）；

d. 这里所设计的windocker全局桌面机制，是一种全局服务重定向程序，对编辑操作相关的消息与进程进行拦截与路径重定向，将客户端的相关文件操作、注册表操作和程序进程操作的真实路径指向对应该windocker全局桌面的真实副本以及真实存储区；进入windocker全局桌面机制后，其explorer进程等也都应用于windocker全局桌面机制的映射重定向关系，从而其桌面实际上在windocker中，与windocker外的桌面不同，进入后通过其桌面快捷方式或开始菜单等打开任何程序，均通过windocker全局桌面机制打开，运行相关的程序文件组件、编辑、组合也实际上是创建了重定向的副本；

并且该系统的工作流程为：

数字文件经a上传，在经过处理后，被c从b下载之后，需要编辑时，先由c启动上述独创的windocker桌面机制d，然后在该windocker全局桌面机制d下，打开一个独立隔离的编辑环境，配合编辑与使用权限控制驱动c将权限传递给相对应的应用程序或机密进程，以执行相应的透明加解密（保持加密状态但是用户不察觉、可编辑）、授权编辑、保存、结果生成操作，并继续由权限管理器对相对应的文件提供相关的权限保障操作，如动态的透明加解密等，而后编辑完成，同步到用户的真实工作空间，并最终退出windocker全局桌面机制。

所述的windocker全局桌面机制是一种全局的重定向机制，启动后将explorer进程、用户的各种文件夹（桌面、我的文档）等，都设置为自动进入windocker全局桌面机制（即hook这些进程、强制注入），则编辑实际上是三步，第一步启动windocker，创建隔离的安全环境，第二步加载权限控制加密驱动，第三步启动编辑软件编辑，实际上存入了windocker，其所看到的桌面、文件、应用程序，实际上都是经过了重定向的虚拟化映射，真实的存储位置位于windocker专门的存储位置，在这种模式下，用户打开任何程序，相关的程序文件组件也实际上是创建了重定向的副本，在windocker全局桌面机制内的程序或文件夹而引申打开的程序、文件夹也自然在windocker全局桌面机制内（全局设计），生成的是一个副本，然后再在之后比如编辑完成退出windocker时手动或自动复制或同步到用户原来的系统空间。本发明将这样的一种机制命名为windocker机制，是因为它在一些效果上与近年发展起来的linux平台上的容器有类似，但是技术路线完全不同，而且我们的机制可以支持windows平台，这是过去的容器docker技术所做不到的，我们的应用也不仅仅是linux平台上的容器那样用于应用分发，由于我们是内核层面的技术框架，能实现更加底层的各类文件与程序的全局隔离保护，与加密控制。

本发明的具体实施案例

本发明已经有了其具体实施案例，其客户端也做好，见附图2。在该系统中，被编辑的文件是由其创作者通过客户端上传到系统服务器端的，在上传的时候文件即被处理变造，作为一个具体实施案例，在上述基本架构的基础上，实施案例还做了如下的设置：

服务端选用分布式服务器，为每个上传用户创建一个隔离的用户空间沙箱，以及每个用户可以自行上传、管理、分发、控制内容的管理系统。

而后使用者也安装客户端，并将该文件下载，见附图3。

下载之后要编辑的时候，启动全局重定向模式，也就是我们命名为windocker的模式，客户端的驱动负责windocker全局桌面机制DLL的自动注入，在内核中使用PsSetLoadImageNotifyRoutine，即注册模块加载回调来获取进程启动时的DLL注入时机，当模块回调被调用时，这时候进程exe模块已被加载到内存中，但其所依赖的DLL尚未被加载，可以通过修改内存中的exe模块的输入表，在输入表靠前位置中额外加入一个windocker全局桌面机制DLL，这样达到了在进程启动时自动加载windocker全局桌面机制DLL的目的。

在本发明的具体实施案例中，所设计的windocker全局桌面机制在应用层Hook以如下方式启动：当进程初次加载本客户端驱动DLL时，此时只有ntdll,user32,kernel32等少数几个DLL已完成初始化，在此时修改所需要管控的底层api入口，跳转到windocker全局桌面机制DLL中相关入口；DLL中接管的入口函数会作一些判断修改，或调用原有的底层功能，或直接作一番处理而不调用原底层功能，最终返回到用户模块，对用户来说是透明的。

在这个状态下，我们有一个标记，这时候运行的所有程序打开的所有文件，标题中都有标记，见附图4和附图5。进入windocker机制之后，系统还通过对客户端设备minifilter处理IRP_READ以及IRP_WRITE等请求，来实现对文件的动态加解密，加密相关数据存储于对应的文件流中,而实现对文件绑定到本地的目的，这一操作是在内核中执行的。比如，系统对数字文件绑定一个或多个数据流，这个数据流通常是看不到的，并且每个数据流都可以有一个名称，不受文件复制，删除，移动重命名等操作影响．标识正好可以作为一个ＮＴＦＳ流存在于文件中．在打开文件时就可以判断是否存在一个指定的数据流，不存在就是非本系统控制的文件．存在的话可以读取这个数据流，获取与给予的权限相关更多的信息．并执行控制，而非授权的应用打开文件得到的是无效的数据。（对于NT架构的基础服务器，NTFS文件系统有一个特性，就是可以对文件绑定一个或多个数据流，这个数据流通常是看不到的，并且每个数据流都可以有一个名称，不受文件复制，删除，移动重命名等操作影响．从本系统下载的文件带有一个权限标识，该权限标识正好可以作为一个ＮＴＦＳ流存在于文件中．在打开文件时就可以判断是否存在一个指定的数据流，不存在就是非从本系统下载的．存在的话可以读取这个数据流，获取相关更多的信息．）

安装在客户器上的程序在客户端的驱动中做了一个文件过滤系统，可以在配置文件中设置指定的进程名作为机密进程，机密进程能打开正常文件或从本系统下载的文件，当机密进程输出了一个新文件，那这个文件会被自动加密．当把新文件复制到一个没有客户端环境的系统中，文件从二进制级别看来就是一堆，即通常所称的“乱码”。

所以，一旦将该文件外发出去，则由于数据流丢失，该文件将无法被正确打开。外发前如附图6所示，外发后如附图7所示。

当驱动过滤到文件打开请求时，判断请求进程是否为机密进程．若是普通进程则不需要去处理文件有没有被加密，若是机密进程则需要判断文件是否是从本系统下载文件，普通文件直接打开，从本系统下载文件则将文件解密让应用层打开，并限制此文件让非机密进程打开．这样不管从本系统下载的还是普通的文件都能被机密进程打开，而非机密进程打开从本系统下载文件得到的是加密的数据(乱码)．当驱动过滤到文件关闭请求时，若请求是机密进程，且按照设置该文件名是源自从本系统下载的母文件，并且对文件作了修改，则需要把文件加密，写入标识到指定数据流中, 以表示此文件为权限管控的文件。

在本发明的具体实施案例中，为了windocker机制的运行需要，客户端驱动软件运行后hook了如下函数：NtCreateFile，NtOpenFile，NtQueryAttributesFile，NtQueryFullAttributesFile，NtQueryInformationFile，NtQueryDirectoryFile，NtSetInformationFile，NtDeleteFile，NtClose，NtQueryVolumeInformationFile，NtQueryObject，NtQuerySecurityObject。

对于部分需要启动多重windocker的设备，客户端驱动软件运行后还hook了如下函数：NtOpenEvent，NtCreateEvent，NtOpenMutant，NtCreateMutant，NtCreateMailslotFile，NtCreatePort，NtConnectPort，NtCreateSemaphore，NtOpenSemaphore，NtOpenProcess，SendMessageA，SendMessageW，PostMessageA，PostMessageW，NtQuerySystemInformation 。

当编辑完成后，会退出windocker机制，并将该文件保存到用户的本地真实存储目录，如附图8所示。

除了文档类，我们还测试了unity 3D开发场景，在windocker下经验证授权，给与了动态使用权限的情况下，见说明书附图9的效果，成果输出了场景，而授权过期后，或者外发后，见说明书附图10效果.

用户完成工作输出后，工作被同步到真实空间并退出windocker全局重定向。并且由于windocker全局桌面机制的保护，用户自身的工作空间完全不受影响。

本系统的意义在于：让创作者的创作成果可以被安全快捷地二次利用、二次开发。

附图说明

附图1. 流程图。

附图2.客户端效果图，左侧是等待被租借使用的工作成果。

附图3.文件下载与管理效果图。

附图4.文件在机制内的标记情况图，顶部都出现windocker的标记记号。

附图5.应用程序在机制内的标记情况图，顶部都出现windocker的标记记号。

附图6. 文件编辑具体实施实例效果图——授权机制内情况，正确显示内容0001。

附图7. 文件编辑具体实施实例效果图——授权机制外情况，显示乱码。

附图8. Windocker自动同步效果，将编辑好的文件转存回真实用户空间。

附图9. Unity游戏开发具体实施实例效果图——授权windocker机制内正常可用。

附图10. Unity游戏开发具体实施实例效果图——授权windocker机制外或者授权过期，直接变成一个加密盒子。

Claims (10)

1.一种数字文件的跨设备编辑系统，该系统包含有四个要素，分别是服务器，上传端处理软件，以及安装在客户端的编辑控制驱动软件与本发明所设计的windocker全局桌面机制：

a.上传端处理软件：数字文件从一个设备上经由该上传端上传其数字文件到服务器，并在上传的环节或存储的环节即对数字文件进行加密处理，包括但不限于绑定NTFS数据流等；

b.服务器：存储数字文件，分发数字文件，管理系统用户对各个数字文件的使用权限（如 不可二次分发，或者限定使用时长，等等）；

c.客户端驱动软件：安装在使用用户的终端，用户登录后，可以下载存储在服务器的文件，但是当使用终端下载时，下载的并不是原始的数字文件，而是变造后植入了编辑与使用权限控制机制的文件，终端接收完成文件后，编辑时启动一种特殊的windocker桌面机制（具体内容见下段中描述），然后在该windocker全局桌面机制下，打开一个与原用户工作独立隔离的编辑环境，再由客户端驱动依据服务器权限控制机制授予的该用户对文件所具有的权限，基于相应的NTFS流进行标签控制、对关键进程注入DLL等方式，传递给相对应的应用程序以执行编辑操作，提供对应的半解密状态下的编辑功能与保持权限控制（在未安装权限控制器的设备则不能正常使用该数字文件）；

d.这里所设计的windocker全局桌面机制，是一种全局服务重定向程序，对编辑操作相关的消息与进程进行拦截与路径重定向，将客户端的相关文件操作、注册表操作和程序进程操作的真实路径指向对应该windocker全局桌面的真实副本以及真实存储区；进入windocker全局桌面机制后，其explorer进程等也都应用于windocker全局桌面机制的映射重定向关系，从而其桌面实际上在windocker中，与windocker外的桌面不同，进入后通过其桌面快捷方式或开始菜单等打开任何程序，均通过windocker全局桌面机制打开，运行相关的程序文件组件、编辑、组合也实际上是创建了重定向的副本；

并且该系统的工作流程为：

数字文件经a上传，在经过处理后，被c从b下载之后，需要编辑时，先由c启动上述独创的windocker桌面机制d，然后在该windocker全局桌面机制d下，打开一个独立隔离的编辑环境，配合编辑与使用权限控制驱动c将权限传递给相对应的应用程序或机密进程，以执行相应的透明加解密（保持加密状态但是用户不察觉、可编辑）、授权编辑、保存、结果生成操作，并继续由权限管理器对相对应的文件提供相关的权限保障操作，如动态的透明加解密等，而后编辑完成，同步到用户的真实工作空间，并最终退出windocker全局桌面机制。

2.根据权利要求1的一种系统，其特征在于，所述的windocker全局桌面机制是一种全局的重定向机制，在该机制下编辑实际上是三步，第一步启动windocker，启动后将explorer进程、用户的各种文件夹（桌面、我的文档）等，都设置为自动进入windocker全局桌面机制（即hook这些进程、强制注入），从而创建与原工作空间隔离的安全环境，第二步加载权限控制加密驱动，按照分配权限与绑定的NTFS文件流等，执行动态透明加解密，第三步启动编辑软件编辑，实际上存入了windocker，其所看到的桌面、文件、应用程序，实际上都是经过了重定向的虚拟化映射，真实的存储位置位于windocker专门的存储位置，在这种模式下，用户打开任何程序，相关的程序文件组件也实际上是创建了重定向的副本，在windocker全局桌面机制内的程序或文件夹而引申打开的程序、文件夹也自然在windocker全局桌面机制内（全局设计），生成的是一个副本，然后再在之后比如编辑完成退出windocker时手动或自动复制该副本到用户原来的系统空间，或同步该副本到用户原来的系统空间。

3.根据权利要求1的一种系统，其特征在于，客户端的驱动负责windocker全局桌面机制DLL的自动注入，在内核中使用PsSetLoadImageNotifyRoutine，即注册模块加载回调来获取进程启动时的DLL注入时机，当模块回调被调用时，这时候进程exe模块已被加载到内存中，但其所依赖的DLL尚未被加载，可以通过修改内存中的exe模块的输入表，在输入表靠前位置中额外加入一个windocker全局桌面机制DLL，这样达到了在进程启动时自动加载windocker全局桌面机制DLL的目的。

4.根据权利要求1的一种系统，其特征在于，所设计的windocker全局桌面机制在应用层Hook以如下方式启动：当进程初次加载本客户端驱动DLL时，此时只有ntdll,user32,kernel32等少数几个DLL已完成初始化，在此时修改所需要管控的底层api入口，跳转到windocker全局桌面机制DLL中相关入口；DLL中接管的入口函数会作一些判断修改，或调用原有的底层功能，或直接作一番处理而不调用原底层功能，最终返回到用户模块，对用户来说是透明的。

5.根据权利要求1的一种系统，其特征在于，上传端对数字文件进行加密上传到服务器，并且把文件和key及相关数据上传到网络中，当用户尝试用相应软件打开修改后另存时，权限控制器将对生成出的文件进行加密，形成类似于本机绑定的一个效果。

6.根据权利要求1的一种系统，其特征在于，系统还通过对客户端设备minifilter处理IRP_READ以及IRP_WRITE等请求，来实现对文件的动态加解密，加密相关数据存储于对应的文件流中,从而实现对文件绑定到本地的目的。

7.根据权利要求1的一种系统，其特征在于，系统对数字文件绑定一个或多个数据流，这个数据流通常是看不到的，并且每个数据流都可以有一个名称，不受文件复制，删除，移动重命名等操作影响．标识正好可以作为一个ＮＴＦＳ流存在于文件中．在打开文件时就可以判断是否存在一个指定的数据流，不存在就是非本系统控制的文件．存在的话可以读取这个数据流，获取与给予的权限相关更多的信息．并执行控制，而非授权的应用打开文件得到的是无效的数据。

8.根据权利要求1 的一种系统，其特征在于， 安装在客户器上的程序在客户端的驱动中做了一个文件过滤系统，可以在配置文件中设置指定的进程名作为机密进程，机密进程能打开正常文件或从本系统下载的文件，当机密进程输出了一个新文件，那这个文件会被自动加密．当把新文件复制到一个没有客户端环境的系统中，文件从二进制级别看来就是一堆，即通常所称的“乱码”： 对于NTFS文件系统下的文件，对文件绑定一个或多个数据流，这个数据流通常是看不到的，并且每个数据流都可以有一个名称，不受文件复制，删除，移动重命名等操作影响．从本系统下载的文件带有一个权限标识，该权限标识正好可以作为一个ＮＴＦＳ流存在于文件中．在打开文件时就可以判断是否存在一个指定的数据流，不存在就是非从本系统下载的．存在的话可以读取这个数据流，获取相关更多的信息．当驱动过滤到文件打开请求时，判断请求进程是否为机密进程．若是普通进程则不需要去处理文件有没有被加密，若是机密进程则需要判断文件是否是从本系统下载文件，普通文件直接打开，从本系统下载文件则将文件解密让应用层打开，并限制此文件让非机密进程打开．这样不管从本系统下载的还是普通的文件都能被机密进程打开，而非机密进程打开从本系统下载文件得到的是加密的数据(乱码)．当驱动过滤到文件关闭请求时，若请求是机密进程，且按照设置该文件名是源自从本系统下载的母文件，并且对文件作了修改，则需要把文件加密，写入标识到指定数据流中, 以表示此文件为本系统管控下的文件。

9.根据权利要求1的一种系统，其特征在于，客户端驱动软件运行后hook如下函数：NtCreateFile，NtOpenFile，NtQueryAttributesFile，NtQueryFullAttributesFile，NtQueryInformationFile，NtQueryDirectoryFile，NtSetInformationFile，NtDeleteFile，NtClose，NtQueryVolumeInformationFile，NtQueryObject，NtQuerySecurityObject。

10.根据权利要求1 的一种系统，其特征在于，对于开启多个工作编辑空间的情景，客户端驱动软件运行后还应hook如下函数中的子集，从而实现多个工作编辑空间的不同场景需求：NtOpenEvent，NtCreateEvent，NtOpenMutant，NtCreateMutant，NtCreateMailslotFile，NtCreatePort，NtConnectPort，NtCreateSemaphore，NtOpenSemaphore，NtOpenProcess，SendMessageA，SendMessageW，PostMessageA，PostMessageW，NtQuerySystemInformation 。

Images