CN115168889B - 一种电子保密柜使用密件和保密室授权密件的方法 - Google Patents

一种电子保密柜使用密件和保密室授权密件的方法 Download PDF

Info

Publication number
CN115168889B
CN115168889B CN202211092258.XA CN202211092258A CN115168889B CN 115168889 B CN115168889 B CN 115168889B CN 202211092258 A CN202211092258 A CN 202211092258A CN 115168889 B CN115168889 B CN 115168889B
Authority
CN
China
Prior art keywords
confidential
user
secret
file
electronic
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202211092258.XA
Other languages
English (en)
Other versions
CN115168889A (zh
Inventor
王辉
黄锦阳
张朝壹
李维刚
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Leadal Technology Development Co ltd
Original Assignee
Beijing Leadal Technology Development Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Leadal Technology Development Co ltd filed Critical Beijing Leadal Technology Development Co ltd
Priority to CN202211092258.XA priority Critical patent/CN115168889B/zh
Publication of CN115168889A publication Critical patent/CN115168889A/zh
Application granted granted Critical
Publication of CN115168889B publication Critical patent/CN115168889B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/602—Providing cryptographic facilities or services
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/10—File systems; File servers
    • G06F16/18—File system types
    • G06F16/1805—Append-only file systems, e.g. using logs or journals to store data
    • G06F16/1815—Journaling file systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G06F21/53—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by executing in a restricted environment, e.g. sandbox or secure virtual machine
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/604—Tools and structures for managing or administering access control systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0435—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply symmetric encryption, i.e. same key used for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2107—File encryption
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2149—Restricted operating environment

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Computing Systems (AREA)
  • Databases & Information Systems (AREA)
  • Automation & Control Theory (AREA)
  • Data Mining & Analysis (AREA)
  • Storage Device Security (AREA)

Abstract

本发明涉及一种电子保密柜使用密件和保密室授权密件的方法，属于信息安全技术领域，解决了现有密件离线和外带使用过程中存在的安全隐患问题。包括电子保密柜在用户终端安装完成后，自动执行注册操作，获取用户注册信息上传至保密室，接收保密室发送的用户标识、用户私钥和公钥矩阵；接收用户申请的虚拟磁盘容量，根据用户标识、用户私钥和公钥矩阵，在用户终端的操作系统中按虚拟磁盘容量创建一个虚拟加密磁盘，作为电子保密柜的文件磁盘；发送密件外借请求至保密室，接收保密室根据密件外借请求发送的密文消息；根据用户私钥解密密文消息，将得到的外借密件存储至文件磁盘，并生成密件存储记录写入文件存储日志中。实现了密件的授权和离线使用。

Description

一种电子保密柜使用密件和保密室授权密件的方法
技术领域
本发明涉及信息安全技术领域，尤其涉及一种电子保密柜使用密件和保密室授权密件的方法。
背景技术
随着信息技术的快速发展,密件管理越来越受到各企事业单位部门的重视,但是各部门在进行密件管理的过程中,仍然存在密件管理的手工纸质管理极其繁琐；密件流通不畅,信息共享不便,密件的保密工作做得不严谨。涉密载体集中管控利用将密件集中存储的思想，通过网络形式授权用户访问的方法，在实践过程中受限于网络访问的条件，存在用户体验依赖于网络条件、服务器端负载重、终端文件使用失控等困难问题，导致在授权处理涉密文件的过程中存在失泄密的风险隐患。
当前，主流的用于企业文档数据防护及办公文件存储流转使用的方法有各种网盘、云盘，还有一种用于企业内部集中存储保证文档数据的安全的方案是网络虚拟磁盘技术，结合使用安全U盘实现数据的外带处理。
但是，安全U盘有效解决了数据使用过程中外带处理的问题，一旦文件授权某个用户的访问，文件的使用和流转的管理处于失控的状态，泄密后难以追查源头等困难问题；虚拟磁盘解决了本地文件存储加密，虽然实现了访问控制，但是没有实现授权管理的问题；网盘解决了文件集中存储，管控的问题，但是使用过程中受限于网络情况，无法解决离线和外带的场景。
发明内容
鉴于上述的分析，本发明实施例旨在提供一种基于电子保密柜的密件授权方法及系统，用以解决现有密件离线和外带使用过程中存在的安全隐患问题。
一方面，本发明实施例提供了一种电子保密柜使用密件的方法，包括如下步骤：
电子保密柜在用户终端安装完成后，自动执行注册操作，获取用户注册信息上传至保密室，接收保密室发送的用户标识、用户私钥和公钥矩阵；
接收用户申请的虚拟磁盘容量，根据用户标识、用户私钥和公钥矩阵，在用户终端的操作系统中按虚拟磁盘容量创建一个虚拟加密磁盘，作为电子保密柜的文件磁盘；
发送密件外借请求至保密室，接收保密室根据密件外借请求发送的密文消息；根据用户私钥解密密文消息，将得到的外借密件存储至文件磁盘，并生成密件存储记录写入文件存储日志中。
基于上述方法的进一步改进，电子保密柜接收到打开文件磁盘请求时，根据文件存储日志识别可访问的密件，清除授权过期的外借密件，解密获得可访问的密件。
基于上述方法的进一步改进，电子保密柜将接收到的用户标识、用户私钥和公钥矩阵存储在配置文件中，使用用户私钥和公钥矩阵前，根据用户注册信息中的加密口令进行对称解密。
基于上述方法的进一步改进，电子保密柜的文件磁盘，初始按虚拟磁盘容量利用随机数据进行填充，使用随机生成的存储密钥对文件磁盘进行加密，加密方式为XTS模式的对称加密算法；根据用户标识从公钥矩阵中计算出用户公钥，使用用户公钥对存储密钥进行非对称加密，得到存储密钥密文；将用户私钥、公钥矩阵和存储密钥密文作为磁盘文件密钥信息。
基于上述方法的进一步改进，根据用户私钥解密密文消息，得到外借密件及其密件编号、授权时间和过期时间；生成密件存储记录写入文件存储日志中，包括：
使用哈希算法，获取外借密件的哈希值；
合并外借密件的密件编号、授权时间和过期时间，以及哈希值，作为待校验信息，使用用户公钥对待校验信息使用非对称算法进行签名，得到待校验签名；
合并外借密件的密件编号、授权时间、过期时间、待校验签名和外借密件在文件磁盘的存储位置，得到密件存储记录，写入文件存储日志中。
基于上述方法的进一步改进，根据文件存储日志识别可访问的密件，包括：
从文件存储日志中获取标识不为已删除的密件存储记录，依次取出每条密件存储记录，如果当前密件存储记录的来源为本地密件，则将当前密件标识为可访问；如果当前密件存储记录的来源为外借密件，则对当前密件存储记录中的待校验签名进行如下识别：
使用用户私钥对当前待校验签名进行非对称解密，得到当前待校验信息；
判断当前待校验信息中的授权时间是否大于当前时间，如果大于，则将当前密件标识为授权未开始；如果不大于，则继续判断当前待校验信息中的过期时间是否小于当前时间，如果小于，则将当前密件标识为授权过期；如果不小于，则将当前密件标识为可访问。
基于上述方法的进一步改进，清除授权过期的外借密件，包括：
将每个标识为授权过期的外借密件，作为待清除密件；
获取磁盘文件密钥信息，使用用户私钥，对其中的存储密钥密文进行非对称解密，得到存储密钥；使用存储密钥通过XTS模式的对称解密算法对文件磁盘的头部信息进行解密，获取头部信息中每个待清除密件的存储位置和文件大小，按每个待清除密件的文件大小，使用随机数据覆盖至对应的存储位置后，从头部信息中删除每个待清除密件的信息；
在文件存储日志中将待清除密件的密件存储记录标识为已删除。
另一方面，本发明实施例提供了一种保密室授权密件的方法，包括如下步骤：
接收并审核电子保密柜上传的用户注册信息，审核通过后，生成用户标识，并发送用户标识、用户私钥和公钥矩阵至电子保密柜；
接收密件外借请求，根据密件外借请求中的用户标识和密件编号，设置密件的授权时间和过期时间，将密件及其密件编号、授权时间和过期时间加密为密文消息发送至用户标识对应的电子保密柜。
基于上述方法的进一步改进，用户私钥和公钥矩阵由保密室根据用户标识获取，再使用用户注册信息中的加密口令进行对称加密后发送给电子保密柜。
基于上述方法的进一步改进，将密件及其密件编号、授权时间和过期时间加密为密文消息发送至用户标识对应的电子保密柜，包括：
随机生成密件加密密钥，对密件进行对称加密，得到密件密文；根据用户标识从公钥矩阵中计算出用户公钥，使用用户公钥对密件加密密钥进行非对称加密，得到密件密钥密文；
使用哈希算法，计算出密件的哈希值，作为消息摘要；使用保密室私钥，对密件编号、授权时间、过期时间和消息摘要使用非对称加密，得到数字签名；
合并密件密钥密文、密件密文和数字签名，作为加密后的密文消息发送至用户标识对应的电子保密柜。
与现有技术相比，本发明至少可实现如下有益效果之一：
1、按照磁盘数据加密标准，结合多种加密算法，通过保密室与电子保密柜之间的加密通信协议，实现密件的离线授权访问与防泄密的方法，有效弥补涉密文件集中在用户终端访问的缺陷，降低授权文件流转过程中的安全风险，在保证密件安全的条件下，拓展了用户密件离线授权访问的场景，同时也提升了用户授权访问密件的体验。
2、通过加密技术构建授权登记与检查机制，拓展了密件外借的使用场景，既保证了安全性，又保证了使用的便捷性，为涉密文件管控提供了一种新的技术方法。
本发明中，上述各技术方案之间还可以相互组合，以实现更多的优选组合方案。本发明的其他特征和优点将在随后的说明书中阐述，并且，部分优点可从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过说明书以及附图中所特别指出的内容中来实现和获得。
附图说明
附图仅用于示出具体实施例的目的，而并不认为是对本发明的限制，在整个附图中，相同的参考符号表示相同的部件；
图1为本发明电子保密柜使用密件的方法流程图；
图2为本发明密件外借时的加密和解密过程示意图；
图3为本发明电子保密柜的密件存储记录生成示意图；
图4为本发明保密室授权密件的方法流程图。
具体实施方式
下面结合附图来具体描述本发明的优选实施例，其中，附图构成本申请一部分，并与本发明的实施例一起用于阐释本发明的原理，并非用于限定本发明的范围。
实施例1
本发明的一个具体实施例，公开了一种电子保密柜使用密件的方法，如图1所示，包括如下步骤：
S11：电子保密柜在用户终端安装完成后，自动执行注册操作，获取用户注册信息上传至保密室，接收保密室发送的用户标识、用户私钥和公钥矩阵。
需要说明的是，电子保密柜是一个客户端程序，安装在每个用户终端，可远程连接保密室；保密室是后端服务，管理和授权每个电子保密柜的用户信息和外借密件信息。每个电子保密柜与保密室之间通过加密通信协议进行消息传输。根据实际应用中的安全级别，如果安全级别比较高，可以由专人为用户终端安装电子保密柜。
电子保密柜安装完成后，自动执行注册操作，获取用户输入的用户注册信息，包括：用户名、加密口令、单位、部门、MAC地址、IP地址、手机号码和邮箱地址，上传至保密室。
电子保密柜将接收到的用户标识、用户私钥和公钥矩阵存储在配置文件中，使用用户私钥和公钥矩阵前，根据用户注册信息中的加密口令进行对称解密。
需要说明的是，为防止私钥以明文的方式存储，电子保密柜接收到的用户私钥和公钥矩阵都是经过加密的，能保证即使设备遗失仍然能保证用户私钥的安全，从而保证电子保密柜中数据的安全。在使用加密口令对用户私钥和公钥矩阵进行解密时，可以由电子保密柜自动从本地配置文件中获取，也可以提示用户输入，从而提高安全控制级别，只有拥有用户终端设备及加密口令的人员才能使用用户私钥。
需要说明的是，本发明中的加密和解密算法，可以采用国密算法实现对文件的加密防护。国密算法中SM2算法是非对称加密算法，其加密强度为256位；SM3算法是密码杂凑算法，属于哈希（摘要）算法的一种，杂凑值为256位；SM4算法是对称加密算法，其加密强度为128位。
S12：接收用户申请的虚拟磁盘容量，根据用户标识、用户私钥和公钥矩阵，在用户终端的操作系统中按虚拟磁盘容量创建一个虚拟加密磁盘，作为电子保密柜的文件磁盘。
需要说明的是，为了保证加密速度和存储效率，固定用户终端的电子保密柜的存储容量，根据用户常规使用需求进行申请，比如提供2G、4G、8G和16G的虚拟磁盘容量选择，根据用户终端的操作系统，使用对应的文件格式，比如Windows系统使用ntfs格式，对于Linux系统使用ext3格式，生成虚拟加密磁盘，作为电子保密柜的文件磁盘。
具体来说，电子保密柜的文件磁盘，初始按虚拟磁盘容量利用随机数据进行填充，使用随机生成的存储密钥对文件磁盘进行加密，加密方式为XTS模式的对称加密算法；根据用户标识从公钥矩阵中计算出用户公钥，使用用户公钥对存储密钥进行非对称加密，比如国密SM2，得到存储密钥密文；将用户私钥、公钥矩阵和存储密钥密文作为磁盘文件密钥信息。
需要说明的是，XTS模式的对称加密算法包括XTS-AES加密算法和XTS-SM4加密算法。XTS-AES加密算法是IEEE组织于2008年发布了基于块存储设备的数据保护加密标准IEEE Std 1619™-2007中提出的一种可以随机访问加/解密的模式。XTS-AES加密算法的核心是采用两组密钥，一组密钥用于加密磁盘扇区号，生成扇区加密后的密文，作为初始计数器，根据不同的明文位置对AES加密的明文数据按计数器方式处理。各块之间的加解密没有依赖关系，因此XTS-AES是可以随机访问的，其加密解密也可以并行化处理。将AES算法替换为SM4算法，就是XTS-SM4加密算法。
对于磁盘文件密钥信息，可以保存在电子保密柜的配置文件中，也可以保存在文件磁盘的头部信息中。
本步骤中对文件加密的存储密钥使用非对称加密算法进行保护，对文件本身使用对称加密算法进行保护，加密模式采用XTS模式，保证了磁盘文件加/解密的效率。
S13：发送密件外借请求至保密室，接收保密室根据密件外借请求发送的密文消息；根据用户私钥解密密文消息，将得到的外借密件存储至文件磁盘，并生成密件存储记录写入文件存储日志中。
需要说明的是，用户可以在终端的电子保密柜中存储本地文件，也可以申请外借密件，在授权期限内使用，到期后电子保密柜会自动清除，即定期归还密件。因此，根据用户需求，通过电子保密柜向保密室提出针对某涉密文件的外借申请，经过相关责任人在保密室中进行审批，若审批通过，则电子保密柜解收到密文消息，解密后存储在电子保密柜的文件磁盘中，若审批不通过，则电子保密柜接收到审批未通过的消息。
电子保密柜根据用户私钥解密密文消息的过程是加密过程的逆过程，解密过程如图2右侧电子保密柜部分，说明如下：
使用用户私钥对密件加密密钥进行非对称解密，得到密件加密密钥；
使用密件加密密钥，对密件密文进行对称解密，得到待校验密件，并使用哈希算法，获取待校验密件的哈希值，作为待校验的消息摘要；
使用保密室公钥对数字签名进行非对称解密，得到解密后的密件编号、授权时间、过期时间和消息摘要；
将解密后的消息摘要与待校验的消息摘要进行比较，如果一致，则数字签名有效，解密成功；否则，数字签名无效，电子保密柜发送密件解密失败的消息至保密室。
解密成功得到外借密件及其密件编号、授权时间和过期时间，将外借密件存储至电子保密的文件磁盘中，从文件磁盘的头部信息中获取外借密件存储位置，生成密件存储记录写入文件存储日志中。
具体来说，如图3所示，生成密件存储记录写入文件存储日志中，包括：
使用哈希算法，计算出外借密件的哈希值；
合并外借密件的密件编号、授权时间和过期时间，以及哈希值，作为待校验信息，使用用户公钥对待校验信息使用非对称算法进行签名，得到待校验签名；
合并外借密件的密件编号、授权时间、过期时间、待校验签名和外借密件在文件磁盘的存储位置，得到密件存储记录，写入文件存储日志中。
需要说明的是，文件存储日志中包括从保密室外借的密件存储记录，和用户终端本地的密件存储记录，因此可以通过增加来源标识进行区分；另外对于密件是否可访问、是否被删除，都可以增加相应标识便于判断。通过电子保密柜本地的文件存储日志，实现密件授权情况的离线检测，确保密件授权的合规性，提高了密件访问的安全性。
进一步地，每当用户在终端的电子保密柜中打开文件磁盘时，电子保密柜接收到打开文件磁盘请求时，根据文件存储日志识别可访问的密件，清除授权过期的外借密件，解密获得可访问的密件。
优选地，当用户打开文件磁盘时，提示用户输入加密口令，输入正确口令后，即可解密出存储在配置文件中的用户私钥和公钥矩阵，用于后续解密出可访问的密件，以及打开密件。
考虑到电子保密柜中文件磁盘可访问的密件包括：本地密件，以及处于授权期限内的外借密件，而且由于外借密件的授权期限包括授权时间和过期时间，授权时间是密件可访问的开始时间，过期时间是密件可访问的最后时间，因此，只有在授权时间和过期时间范围内的外借密件是处于授权期限内的外借密件。
具体来说，根据文件存储日志识别可访问的密件，包括：
从文件存储日志中获取标识不为已删除的密件存储记录，依次取出每条密件存储记录，如果当前密件存储记录的来源为本地密件，则将当前密件标识为可访问；如果当前密件存储记录的来源为外借密件，则对当前密件存储记录中的待校验签名进行如下识别：
使用用户私钥对当前待校验签名进行非对称解密，得到当前待校验信息；
判断当前待校验信息中的授权时间是否大于当前时间，如果大于，则将当前密件标识为授权未开始；如果不大于，则继续判断当前待校验信息中的过期时间是否小于当前时间，如果小于，则将当前密件标识为授权过期；如果不小于，则将当前密件标识为可访问。
优选地，设置到期天数阈值，当密件的过期时间与当前时间相比，达到到期天数阈值，提醒用户终端的电子保密柜连接保密室，申请授权延期，待接收到授权延期消息后，解密后更新密件存储记录。
识别结束后，将标识为授权过期的外借密件作为待清除密件进行清除，记录清除日志。清除步骤如下：
获取磁盘文件密钥信息，使用用户私钥，对其中的存储密钥密文进行非对称解密，得到存储密钥；使用存储密钥通过XTS模式的对称解密算法对文件磁盘的头部信息进行解密，获取头部信息中每个待清除密件的存储位置和文件大小，按每个待清除密件的文件大小，使用随机数据覆盖至对应的存储位置后，从头部信息中删除每个待清除密件的信息；
在文件存储日志中将待清除密件的密件存储记录标识为已删除。
对授权过期的密件除了进行删除和标识操作外，还使用随机数据覆盖密件密文的存储区域，保证其他文件使用时不会解密清除文件区域的文件内容。当电子保密柜再次连接到保密室，将对密件的清除日志同步至保密室，便于在保密室中删除对应密件的外借记录，实现完整的清除过程。
基于标识为可访问的密件存储记录，从解密后的文件磁盘头部信息中，获取并展示可访问的密件。当访问所选择的密件时，获取该密件在头部信息中的存储位置，解密在文件磁盘中对应的扇区，完成对密件的解密。无需对整个文件磁盘解密，提高了处理性能和用户使用体验。解密后的密件可供用户操作系统中的应用软件透明使用。
优选地，在电子保密柜中还利用磁盘文件过滤驱动，监听文件磁盘中密件操作，禁止文件拷贝、剪切板拷贝、拖放和屏幕截取，实时对文件操作进行报警跟踪，详细记录文件操作，保护文件安全；也可以在密件中添加明文提示水印和隐形水印，预防泄密事件的发生。
与现有技术相比，本实施例提供的一种电子保密柜使用密件的方法，相比安全U盘，有更加严格的使用限制，能避免文件的使用和流转的管理处于失控的状态，相比于网盘或则私有云盘等集中管控系统，避免集中访问中网络和存储容量的限制，实现了密件本地使用，及密件离线使用的困难问题，提升了用户体验。本实施例的方法按照磁盘数据加密标准，结合多种加密算法，有效弥补涉密文件集中在用户终端访问的缺陷，降低授权文件流转过程中的安全风险，在保证密件安全的条件下，拓展了用户密件离线使用的场景，提升了使用的便捷性。
实施例2
本发明的另一个实施例，公开了一种保密室授权密件的方法，如图4所示，包括如下步骤：
S21：接收并审核电子保密柜上传的用户注册信息，审核通过后，生成用户标识，并发送用户标识、用户私钥和公钥矩阵至电子保密柜。
需要说明的是，保密室接收到用户注册信息后，对用户注册信息进行审核，考虑到安全密级比较高的情况，通知该用户拿证件信息进行现场验证，采用人工方式复核用户信息，通过后，由保密室根据用户注册信息生成唯一的用户标识，并通过保密室中的密钥管理中心，根据用户标识生成用户私钥和公钥矩阵。
需要说明的是，本实施例使用的非对称加密算法为基于椭圆曲线公钥密码体制ECC算法，密钥管理中心主要负责ECC算法密钥的生成、分发、保存、备份、恢复、更新、归档等管理。本实施例不限制密钥管理中心的实现方式。基于密钥管理中心，采用SM9算法的标识密钥体系，根据用户标识生成用户私钥和公钥矩阵，保密室也具有自身的公钥和私钥。
示例性地，保密室的密钥管理中心将私钥矩阵和公钥矩阵设置为32×32，生成的用户私钥为32字节，最多使用的用户数量达到2^160。
进一步地，保密室下发用户标识、用户私钥和公钥矩阵至电子保密柜，其中用户私钥和公钥矩阵根据用户注册信息中的加密口令进行对称加密，避免明文传输和明文存储，提高数据安全性。
需要说明的是，本实施例中的加密和解密算法，可以采用国密算法实现对文件的加密防护。国密算法中SM2算法是非对称加密算法，其加密强度为256位；SM3算法是密码杂凑算法，属于哈希（摘要）算法的一种，杂凑值为256位；SM4算法是对称加密算法，其加密强度为128位。
S22：接收密件外借请求，根据密件外借请求中的用户标识和密件编号，设置密件的授权时间和过期时间，将密件及其密件编号、授权时间和过期时间加密为密文消息发送至用户标识对应的电子保密柜。
需要说明的是，按照保密规定，涉密文件统一在保密室存储和管理。保密室在接收到对某些密件的外借请求后，在授权期限内将密件外借给用户使用。因此，密件外借是根据用户需求，经过相关责任人在保密室中对密件外借请求进行审批，若审批通过，由保密室管理人员根据申请设置密件的授权时间和过期时间，由保密室将密件信息加密后发送至用户的电子保密柜，否则，由保密室管理人员通过保密室发送审批未通过的消息至用户的电子保密柜。
需要说明的是，授权时间是密件可访问的开始时间，过期时间是密件可访问的最后时间，因此，对于外借密件，未到授权时间无法访问，超过过期时间将归还保密室。
外借密件请求审批通过后，如图2左侧保密室部分，将密件及其密件编号、授权时间和过期时间加密为密文消息发送至用户标识对应的电子保密柜。加密过程包括：
随机生成密件加密密钥，对密件进行对称加密，得到密件密文；根据用户标识从公钥矩阵中计算出用户公钥，使用用户公钥对密件加密密钥进行非对称加密，得到密件密钥密文；
使用哈希算法，计算出密件的哈希值，作为消息摘要；使用保密室私钥，对密件编号、授权时间、过期时间和消息摘要使用非对称加密，得到数字签名；
合并密件密钥密文、密件密文和数字签名，作为加密后的密文消息发送至对应的电子保密柜。
同时，保密室保存密件外借记录，包括：用户标识、密件编号、授权时间、过期时间和密件的数字签名。
整个加密过程，用到多种加密算法，确保了密件传输过程中的安全性，以及传输过程的完整性和不可否认性。
进一步地，保密室接收到电子保密柜同步的清除日志，删除对应密件的外借记录，实现完整的清除过程，确保信息一致。
优选地，保密室根据密件外借记录，定期检测过期时间，对授权已到期，但未接收到电子保密柜的清除日志或清除日志中未删除的外借密件，通知保密室管理人员；另外，对于已达到设置的到期天数阈值，发送提醒消息至对应的电子保密柜，便于电子保密柜提出授权延期申请；保密室接收到授权延期请求后，通知保密室管理人员设置新的到期时间，更新密件外借记录，再次将用户标识、密件编号、新的到期时间加密后发送给电子保密柜，便于电子保密柜解密后更新密件存储记录，实现授权延期。
与现有技术相比，本实施例提供的一种保密室授权密件的方法，避免集中访问中网络和存储容量的限制，结合多种加密算法，通过保密室与电子保密柜之间的加密通信协议，实现密件的离线授权访问与防泄密的方法，有效弥补涉密文件集中在保密室访问的缺陷，在保证密件安全的条件下，拓展了用户密件离线授权访问的场景，同时也提升了用户授权访问密件的体验；通过加密技术构建授权登记与检查机制，拓展了密件外借的使用场景，既保证了安全性，又保证了使用的便捷性，为涉密文件管控提供了一种新的技术方法。
实施例3
本发明的另一个实施例，基于实施例1和实施例2，公开了保密室与电子保密柜的交互方法，从而实现密件在线授权、离线使用和本地存储。交互过程中各步骤的实现方式参照实施例1和实施例2中的相应描述。该交互方法包括：
S31：电子保密柜安装完成后，自动执行注册操作，获取用户注册信息上传至保密室；
S32：保密室接收并审核电子保密柜上传的用户注册信息，审核通过后，生成用户标识，根据用户注册信息中的加密口令，加密用户私钥和公钥矩阵后，发送用户标识、用户私钥和公钥矩阵至电子保密柜；
S33：电子保密柜接收保密室发送的用户标识、用户私钥和公钥矩阵，存储在配置文件中；接收用户申请的虚拟磁盘容量，根据用户标识、用户私钥和公钥矩阵，在用户终端的操作系统中按虚拟磁盘容量创建一个虚拟加密磁盘，作为电子保密柜的文件磁盘；
S34：电子保密柜发送密件外借请求至保密室；
S35：保密室接收密件外借请求，根据密件外借请求中的用户标识和密件编号，设置密件的授权时间和过期时间，将密件及其密件编号、授权时间和过期时间加密为密文消息发送至用户标识对应的电子保密柜；
S36：电子保密柜接收保密室根据密件外借请求发送的密文消息；根据用户私钥解密密文消息，将得到的外借密件存储至文件磁盘，并生成密件存储记录写入文件存储日志中；
S37：电子保密柜接收到打开文件磁盘请求时，根据文件存储日志识别可访问的密件，清除授权过期的外借密件，解密获得可访问的密件。
由于本实施例的交互方法是基于实施例1的电子保密柜使用密件的方法和实施例2的保密室授权密件的方法，相关之处可相互借鉴，此处为重复描述，故这里不再赘述。由于本实施例与上述实施例1和实施例2的原理相同，所以本实施例也具有上述实施例1和实施例2相应的技术效果。
本领域技术人员可以理解，实现上述实施例方法的全部或部分流程，可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于计算机可读存储介质中。其中，所述计算机可读存储介质为磁盘、光盘、只读存储记忆体或随机存储记忆体等。
以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。

Claims (10)

1.一种电子保密柜使用密件的方法，其特征在于，包括如下步骤：
电子保密柜在用户终端安装完成后，自动执行注册操作，获取用户注册信息上传至保密室，接收保密室发送的用户标识、用户私钥和公钥矩阵；所述保密室是后端服务，管理和授权每个电子保密柜的用户信息和外借密件信息；
接收用户申请的虚拟磁盘容量，根据用户标识、用户私钥和公钥矩阵，在用户终端的操作系统中按虚拟磁盘容量创建一个虚拟加密磁盘，作为电子保密柜的文件磁盘；
发送密件外借请求至保密室，接收保密室根据密件外借请求发送的密文消息；根据用户私钥解密密文消息，将得到的外借密件存储至文件磁盘，并生成密件存储记录写入文件存储日志中；所述外借是根据用户需求通过电子保密柜向保密室提出针对密件的外借申请，经过相关责任人在保密室中进行审批，若审批通过，则电子保密柜接收到密文消息，在授权期限内使用外借密件，到期后电子保密柜自动清除外借密件。
2.根据权利要求1所述的电子保密柜使用密件的方法，其特征在于，所述电子保密柜接收到打开文件磁盘请求时，根据文件存储日志识别可访问的密件，清除授权过期的外借密件，解密获得可访问的密件。
3.根据权利要求1所述的电子保密柜使用密件的方法，其特征在于，所述电子保密柜将接收到的用户标识、用户私钥和公钥矩阵存储在配置文件中，使用用户私钥和公钥矩阵前，根据用户注册信息中的加密口令进行对称解密。
4.根据权利要求1所述的电子保密柜使用密件的方法，其特征在于，所述电子保密柜的文件磁盘，初始按虚拟磁盘容量利用随机数据进行填充，使用随机生成的存储密钥对文件磁盘进行加密，加密方式为XTS模式的对称加密算法；根据用户标识从公钥矩阵中计算出用户公钥，使用用户公钥对所述存储密钥进行非对称加密，得到存储密钥密文；将用户私钥、公钥矩阵和存储密钥密文作为磁盘文件密钥信息。
5.根据权利要求1所述的电子保密柜使用密件的方法，其特征在于，根据用户私钥解密密文消息，得到外借密件及其密件编号、授权时间和过期时间；所述生成密件存储记录写入文件存储日志中，包括：
使用哈希算法，计算出外借密件的哈希值；
合并外借密件的密件编号、授权时间和过期时间，以及哈希值，作为待校验信息，使用用户公钥对所述待校验信息使用非对称算法进行签名，得到待校验签名；
合并外借密件的密件编号、授权时间、过期时间、待校验签名和外借密件在文件磁盘的存储位置，得到密件存储记录，写入文件存储日志中。
6.根据权利要求2所述的电子保密柜使用密件的方法，其特征在于，所述根据文件存储日志识别可访问的密件，包括：
从文件存储日志中获取标识不为已删除的密件存储记录，依次取出每条密件存储记录，如果当前密件存储记录的来源为本地密件，则将当前密件标识为可访问；如果当前密件存储记录的来源为外借密件，则对当前密件存储记录中的待校验签名进行如下识别：
使用用户私钥对当前待校验签名进行非对称解密，得到当前待校验信息；
判断当前待校验信息中的授权时间是否大于当前时间，如果大于，则将当前密件标识为授权未开始；如果不大于，则继续判断当前待校验信息中的过期时间是否小于当前时间，如果小于，则将当前密件标识为授权过期；如果不小于，则将当前密件标识为可访问。
7.根据权利要求6所述的电子保密柜使用密件的方法，其特征在于，所述清除授权过期的外借密件，包括：
将每个标识为授权过期的外借密件，作为待清除密件；
获取磁盘文件密钥信息，使用用户私钥，对其中的存储密钥密文进行非对称解密，得到存储密钥；使用存储密钥通过XTS模式的对称解密算法对文件磁盘的头部信息进行解密，获取头部信息中每个待清除密件的存储位置和文件大小，按每个待清除密件的文件大小，使用随机数据覆盖至对应的存储位置后，从头部信息中删除每个待清除密件的信息；
在文件存储日志中将待清除密件的密件存储记录标识为已删除。
8.一种保密室授权密件的方法，其特征在于，所述保密室是后端服务，管理和授权每个电子保密柜的用户信息和外借密件信息，包括如下步骤：
接收并审核电子保密柜上传的用户注册信息，审核通过后，生成用户标识，并发送用户标识、用户私钥和公钥矩阵至电子保密柜；
接收密件外借请求，根据所述密件外借请求中的用户标识和密件编号，设置密件的授权时间和过期时间，将密件及其密件编号、授权时间和过期时间加密为密文消息发送至所述用户标识对应的电子保密柜；所述外借是根据用户需求通过电子保密柜向保密室提出针对密件的外借申请，经过相关责任人在保密室中进行审批，若审批通过，则保密室发送对应的密文消息。
9.根据权利要求8所述的保密室授权密件的方法，其特征在于，所述用户私钥和公钥矩阵由保密室根据用户标识获取，再使用用户注册信息中的加密口令进行对称加密后发送给电子保密柜。
10.根据权利要求8所述的保密室授权密件的方法，其特征在于，所述将密件及其密件编号、授权时间和过期时间加密为密文消息发送至所述用户标识对应的电子保密柜，包括：
随机生成密件加密密钥，对密件进行对称加密，得到密件密文；根据用户标识从公钥矩阵中计算出用户公钥，使用用户公钥对密件加密密钥进行非对称加密，得到密件密钥密文；
使用哈希算法，计算出密件的哈希值，作为消息摘要；使用保密室私钥，对密件编号、授权时间、过期时间和消息摘要使用非对称加密，得到数字签名；
合并所述密件密钥密文、密件密文和数字签名，作为加密后的密文消息发送至所述用户标识对应的电子保密柜。
CN202211092258.XA 2022-09-08 2022-09-08 一种电子保密柜使用密件和保密室授权密件的方法 Active CN115168889B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202211092258.XA CN115168889B (zh) 2022-09-08 2022-09-08 一种电子保密柜使用密件和保密室授权密件的方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202211092258.XA CN115168889B (zh) 2022-09-08 2022-09-08 一种电子保密柜使用密件和保密室授权密件的方法

Publications (2)

Publication Number Publication Date
CN115168889A CN115168889A (zh) 2022-10-11
CN115168889B true CN115168889B (zh) 2022-11-29

Family

ID=83481329

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202211092258.XA Active CN115168889B (zh) 2022-09-08 2022-09-08 一种电子保密柜使用密件和保密室授权密件的方法

Country Status (1)

Country Link
CN (1) CN115168889B (zh)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101079008A (zh) * 2006-05-22 2007-11-28 中国软件与技术服务股份有限公司 移动存储器失泄密防护的方法和系统
US7395436B1 (en) * 2002-01-31 2008-07-01 Kerry Nemovicher Methods, software programs, and systems for electronic information security
CN103065102A (zh) * 2012-12-26 2013-04-24 中国人民解放军国防科学技术大学 基于虚拟磁盘的数据加密移动存储管理方法
CN107368747A (zh) * 2016-05-11 2017-11-21 中兴通讯股份有限公司 一种移动办公方法、服务端、客户端及系统
CN114756841A (zh) * 2022-04-02 2022-07-15 上海上讯信息技术股份有限公司 一种基于Windows虚拟文件夹技术的个人私密盘系统与管理方法

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101819618A (zh) * 2010-03-19 2010-09-01 杨筑平 文件保密方法
CN103955654A (zh) * 2014-04-02 2014-07-30 西北工业大学 基于虚拟文件系统的u盘安全存储方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7395436B1 (en) * 2002-01-31 2008-07-01 Kerry Nemovicher Methods, software programs, and systems for electronic information security
CN101079008A (zh) * 2006-05-22 2007-11-28 中国软件与技术服务股份有限公司 移动存储器失泄密防护的方法和系统
CN103065102A (zh) * 2012-12-26 2013-04-24 中国人民解放军国防科学技术大学 基于虚拟磁盘的数据加密移动存储管理方法
CN107368747A (zh) * 2016-05-11 2017-11-21 中兴通讯股份有限公司 一种移动办公方法、服务端、客户端及系统
CN114756841A (zh) * 2022-04-02 2022-07-15 上海上讯信息技术股份有限公司 一种基于Windows虚拟文件夹技术的个人私密盘系统与管理方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
基于网络文件保险柜的终端数据安全保护解决方案;吴运晶;《海峡科学》;20120815(第08期);62-64 *

Also Published As

Publication number Publication date
CN115168889A (zh) 2022-10-11

Similar Documents

Publication Publication Date Title
JP3820777B2 (ja) 秘密鍵寄託システムおよび方法
US9722977B2 (en) Secure host authentication using symmetric key crytography
JP5210376B2 (ja) 固定コンテンツ分散型データ記憶システムにおけるデータ機密保持方法
CN101779209B (zh) 用于保护存储在存储设备中的内容的系统和方法
CN106330868A (zh) 一种高速网络加密存贮密钥管理系统及方法
KR20210066867A (ko) 암호화된 자산 암호화 키 부분의 서브세트를 사용하여 자산 암호화 키의 어셈블리를 허용하는 암호화된 자산 암호화 키 부분
CN105681031B (zh) 一种存储加密网关密钥管理系统及方法
CN106104562A (zh) 机密数据安全储存和恢复系统及方法
CN101159556A (zh) 基于组密钥服务器的共享加密文件系统中的密钥管理方法
CN112800439B (zh) 一种面向安全存储的密钥管理协议设计方法及系统
JP2009103774A (ja) 秘密分散システム
CN107154848A (zh) 一种基于cpk认证的数据加密与存储方法及装置
US10762235B2 (en) Methods, systems, and media for storing and retrieving data from distributed vaults
CN104811941B (zh) 离线虚拟机安全管理方法和装置
CN113824551B (zh) 一种应用于安全存储系统的量子密钥分发方法
CN115913560B (zh) 一种密件授权和使用的系统
US11734446B2 (en) Secret distribution system and secret distribution method of files
CN113626859B (zh) 支持密钥托管个人文件加密保护方法、系统、设备、介质
CN112787996B (zh) 一种密码设备管理方法及系统
WO2016052959A1 (ko) 온라인 시크릿 데이터 관리시스템 및 그 방법
CN115168889B (zh) 一种电子保密柜使用密件和保密室授权密件的方法
CN102761559B (zh) 基于私密数据的网络安全共享方法及通信终端
CN108173880B (zh) 一种基于第三方密钥管理的文件加密系统
CN113342896B (zh) 一种基于云端融合的科研数据安全保护系统及其工作方法
CN115412236A (zh) 一种密钥管理和密码计算的方法、加密方法及装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant