CN1822014A - 协同工作环境下涉密文档的保护方法 - Google Patents

Abstract

本发明公开了一种协同工作环境下涉密文档的保护方法，该方法基于对网络化涉密文档加密，对加密文件的授权访问、保密状态下的使用和全程的审计管理模块及步骤，构建出一个涉密文档的协同工作应用环境，该涉密文档保护的步骤为：1.划定涉密文档应用的环境范围，对该环境内所有需要保护的涉密文档进行加密处理；2.根据文档的管理流程，对涉密文档的使用进行授权，用户对文件的访问根据授权进行验证，只有合法用户可以访问涉密文档；3.授权用户在保密状态下使用涉密文档，只能进行授权操作，禁止对文件内容的泄密操作；4.在进行涉密文档访问的同时进行完整的日志跟踪和审计，为涉密文档在使用过程中进行无泄密访问提供了一个良好的操作平台。

Description

协同工作环境下涉密文档的保护方法

技术领域

本发明属于计算机设计与应用技术领域，涉及电子文件的加密解密技术，特别涉及一种协同工作环境下涉密文档的保护方法。

背景技术

随着企业信息化的不断发展，企业的重要资料越来越多的以电子文档的形式进行保存，信息的交互也逐渐的采用电子文档来完成。如何保证含有企业重要信息的涉密电子文档在使用、传输、存储方面的安全问题，已经逐渐成为企业信息化过程中的关键问题。

传统的安全技术，包括防火墙、入侵检测、防病毒、信息审计等，分别在不同的层次上，对企业信息系统中的电子文档起到一定的保护作用，但是它们分别基于各自的子系统，独立运行，很难对电子文档形成系统化的防护体系。

基于数据加密实现电子文档的保护，成为目前电子文档保护的主要方法，应用数据加密技术对文件进行加密，同时结合其它技术，实现电子文档的安全管理。相关的专利查新结果如下：

①名称为：文件加密方法及装置，申请号为：CN961139110；发明人提出一种文件加密方法，是利用分层加密的方法确保文件的机密性。其特点是，先判断数据的型式，再以适当的运算逻辑做数据压缩后，将数据分成数个阶层，分层加密。在传送或存储此加密文件的同时，并将对应的解压缩和解密运算附加于加密文件的档案中，因此，接收端只要正确地输入密码即可得到正确的数据。

②名称为：一种保证电子文件安全的方法，申请号为：CN2004100392930；发明人公开了一种保证电子文件安全的方法，该方法的特点是：将电子文件转换为PDF文件后加密；客户端通过嵌入的文档权限管理模块实现电子文件的解密和权限管理。

③名称为：文件的保密管理系统和认证服务器、客户机及其程序，申请号为：CN2004100862635；发明人提出一种文件的保密管理系统，该系统主要由客户机和认证服务器组成；客户机具有专用的阅读器，实现具体的文件认证请求、文件加解密；认证服务器对客户机使用者进行认证，以及对该文件进行解密的信息管理。

④名称为：文件管理装置，申请号为：CN011169389；发明人提出了包括密钥登记、文件加密、文件解密的完整的文件加解密的管理装置，主要包括密钥的生成、文件加密密钥的加解密、文件的加解密。

⑤名称为：一种信息传递保密方法，申请号为：CN2004100279196。发明人提出了一种信息传递保密的方法，该方法利用机器特征码和/或信息传递路径双重唯一性的性质，运用加密算法对发送信息进行加密保护，有效控制信息传递，防止窃取，破译。

根据以上已公开专利的分析结果看，目前单纯的文件与解密技术，可以解决文件在加密传输、保密存储方面的问题。但是，在加密文件的使用管理方面，现有的文件保护方法还存在以下四方面的问题：

a、将电子文件转换为特定文件格式后进行加密，然后通过授权控制使用，这种方法对被保护文档的格式限制过于严格，如果文件格式无法转换则无法使用，不适应对一般文件的保护；

b、应用加密文件专用阅读器的方法，由于受阅读器的限制，不仅支持的文件格式会受到限制，加密文件使用的灵活性也会受到影响；

c、虽然在一些方法中也应用了文件的权限管理，但是权限管理的功能比较单一；

d、加密文件的使用方面，不完全支持加密编辑，即在编辑加密文件时，文件的操作无法控制，文件内容容易被泄露。

发明内容

本发明的目的是为了克服上述现有技术存在的不足，提出一种协同工作环境下保护涉密文档的方法，即基于对网络化涉密文档进行加密，对加密文件的访问进行授权、对加密文件在保密状态下的使用和对涉密文档的全程审计等管理模块，构建一个涉密文档的保密应用环境，在该环境内，授权用户可以在授权范围内对涉密文当进行正常操作访问，非授权用户禁止访问操作涉密文档，如脱离该环境，涉密文档的访问也被禁止。

根据上述目的，本发明的技术解决方案是这样实现的：

协同工作环境下涉密文档的保护方法基于对网络化涉密文档进行加密，通过对加密文件的访问进行授权、对加密文件在保密状态下的使用控制和对涉密文档的全程审计四个管理模块，构建涉密文档的协同工作应用环境，该方法包括以下步骤：

a涉密文档的加密：使用涉密文档加密模块对涉密文档进行加密，生成统一格式的加密文件，文件加密同时支持手动和自动两种加密方式，可设置自动加密目录。

b加密文件的访问授权：通过访问控制模块对用户进行身份验证，使用加密文件之前下载文件权限策略；通过该身份验证，则由访问控制模块对用户进行授权验证，根据文件授权使用加密文件，若没有通过身份验证及授权，则禁止访问加密文件。

c加密文件的保密使用：当授权用户访问加密文件时，涉密访问模块自动进行透明解密，并启动相应打开程序打开文件；保证用户在无泄密状态下进行涉密文档的访问操作；访问结束后，文件自动加密保存。

d涉密文档日志审计：监控涉密文档的加密、授权认证和保密使用，对涉密文档日志进行全程跟踪和反馈。

所述的涉密文档加密模块是采用公知加密算法实现文件的数据加密。

所述的统一格式是对所要加密的文件格式没有限制，支持对任意格式文件进行加密。加密后的新文件为相同扩展名的统一格式，该文件格式与文件解密程序关联对应。

所述的自动加密目录是指涉密文档加密模块实时监测自动加密目录，对检测到的新文件进行实时加密。

所述的文件权限策略是指对一个文件或一组文件的访问权限定义为不同权限信息策略，应用文件权限策略的用户，将获得文件权限策略中定义的文件访问权限。

所述的涉密访问模块是指对已授权的用户，由自动解密模块打开该文件，由防护控制模块限制用户对涉密文档的泄密操作；当同时使用两个以上的加密文件进行内容交互时，由协同编辑模块负责实现协同文件编辑。

所述的全程日志跟踪是指对涉密文档访问进行全程日志审计；审计的内容包括：系统管理日志、用户认证、授权分配、客户端认证登录、退出操作日志，涉密文档的访问、操作日志以及相关的配置。

所述的自动解密模块是指采用公制的解密算法对加密文件进行解密然后打开，解密后使用的打开程序为操作系统中默认的打开程序。

所述防护控制模块是指限制用户对涉密文档的泄密操作，操作结束关闭文件；文件使用过程中产生的临时文件保存在临时目录中，禁止用户直接访问，加密文件使用结束后，自动删除临时文件；授权用户在保密状态下使用涉密文档，用户的文件操作接受防泄密监控的限制，用户只能进行授权操作，禁止对文件内容的泄密操作。

所述的协同编辑模块是指允许非加密文件内容复制到加密文件中，以及加密文件间的相互内容复制，禁止将加密文件内容复制到非加密文件中。

本发明所提出的在协同工作环境下保护涉密文档的方法，结合文件加密、访问授权、文件操作控制、日志审计，可实现一个涉密文档的保密应用环境，在该环境内，经过授权验证的用户可以在授权范围内对涉密文档进行正常的操作访问，而非授权用户则被禁止访问操作该涉密文档，如脱离该保密环境，涉密文档的访问也被禁止，为涉密文档在使用过程中进行无泄密访问提供了一个良好的操作平台。

附图说明

图1为涉密文档管理流程框图；

图2为涉密文档管理模块框图；

图3为加密文档的访问操作流程图；

图4为涉密文档的管理系统框架图；

具体实施方式

本发明的主要模块工作原理和工作过程如下：

文件加密模块是基于合法授权的用户，在加密算法本身之外，合理定义加密的信息、格式，加密流程，保障文档的基本安全所设计的模块。

本系统的文件加密采用公知加密算法对文件进行加密，加密完成后生成新的文件，文件头部附加加密的文件头信息，然后保存为统一格式的加密文件。加密文件格式为统一文件扩展名，该文件格式与本发明方法采用的文件解密对应。加密文件的文件头信息标识了加密文件的特征，包括：文件唯一标识、一致性校验标识、源文件名、编辑时间。支持文件加密的自动操作。

加密过程的具体实现采用公知加密算法AES 256实现文件的数据加密。

加密文件的内容分为三部分：

①文件的版本数据：即生成加密文件的客户端程序的版本信息，用于识别加密文件是否是合法的加密文件格式，该部分数据为明文数据。

②文件的加密数据：这是加密文件内容的主体，是应用加密算法对原始文件进行加密后生成的文件数据，该部分数据为加密数据。

③文件的特征数据：这是加密文件的特征信息，包括加密文件的唯一ID，原始文件的文件名、大小、加密数据HMAC摘要，这些信息记录加密文件的基本特征，该部分数据为加密数据。

加密文件为统一文件格式，使用相同的文件扩展名SPM，该扩展名与本方法的文件解密程序相对应，使用其它程序打开加密文件，文件内容显示为乱码。

文件的自动加密即对在设定的自动加密目录内新生成的文件，实现文件加密过程的自动完成。具体实现如下：

1)通过两个模块来实现：自动加密管理模块，新文件监控模块。自动加密管理模块运行在系统的应用层，负责自动加密的管理、设置，以及加密操作的具体执行；新文件监控模块运行在系统的内核层，负责对自动加密目录内新建文件的操作进行实时监测。

2)自动加密目录设置：用户使用自动加密管理模块，在主机文件系统中选择某一文件夹，设定为自动加密目录，并将加密目录的路径信息通知内核的新文件监控模块。

3)新建文件操作监听：新文件监控模块，使用公知的文件系统操作过滤技术，在系统内核层对文件系统的操作活动进行监控，实时监测自动加密目录内的文件新建操作，对识别到的新建文件操作，实时通知应用层的监听程序。

4)新文件加密：自动加密管理模块对内核层监控模块检测到的新文件，进行实施加密操作。

文件访问控制模块主要是为限制外界用户非法使用内部文档，以及对内部环境不同部门间不同用户对文档的不同使用权限进行划分。

在本涉密文档安全管理方法的设计中，提出并实现了一种基于用户、文件、权限的访问授权机制，采用文件权限策略的方法，对一个或一组文件的访问权限进行定义。文件权限策略采用集中的管理方式：集中定义、集中分发、集中维护、集中保存。应用了文件权限策略的用户，将获得文件权限策略中定义的文件访问权限。文件权限采用文件权限策略的方法来实现：

文件权限策略：即对特定文件或文件组的访问权限的定义。首先选择策略的文件对象(文件或者文件组)，然后设定对文件对象的访问权限，同时设定策略的优先级，即完成一条文件权限策略的定义。

文件权限策略定义对象可以是一个文件或一个文件组，访问权限涵盖四种权限(只读、编辑、打印、解密)中的一个或是其组合，策略优先级表示一个策略的优先级别。当一个用户同时应用两条包含对相同文件访问权限定义的文件策略时，选择优先级高的策略中的权限定义。定义好的文件权限策略可以分发应用给指定用户、用户组，用户或者用户组在应用文件权限策略之后，将获得文件权限策略中定义的权限。文件权限策略的定义、分发和维护，采用集中的管理模式。

用户文件权限的获取：

一个用户可以同时应用多条文件权限策略，用户在同时应用多条权限策略时，先对权限策略进行合并处理。该合并包括：将文件权限策略中对文件组的权限定义，转换为具体文件的权限定义，同时，将重复的文件权限定义，根据权限策略的优先级，选择优先级高的权限定义。

对用户的文件权限策略进行合并后，用户的文件访问权限为一个对文件的访问控制列表(ACL)，包含了用户对所有拥有权限的文件的权限定义，其中对每一个文件的访问权限对应一个访问控制单元(ACU)<FileGUID，FileName，UserId，UserPrivilege，PRI>。

文件权限的管理过程：

管理员在管理中心定义各种管理文件权限的文件权限策略，定义好的权限策略集中保存在策略服务器。管理员在管理中心将定义好的文件权限策略分发给用户，策略的分发信息集中保存在策略服务器。用户通过客户端登录策略服务器，下载应用给自己的文件权限策略，通过合并得到自己的文件访问权限。用户的文件访问权限在用户使用加密过程中应用。

用户请求使用文件时，依据文件唯一标识及权限策略授予用户相应权限。这样不仅可以限制非法用户使用，而且还实现了内部用户对不同文件不同权限级别的划分，有效地对涉密文档进行访问管理。

文件授权与身份验证集成：只有通过身份验证的用户，才可以下载自己应用的权限策略。用户身份认证模块支持在线和离线两种认证：在线模式下，通过连接系统支持平台用户输入用户名，密码进行实时身份认证，离线模式下使用授权证书进行身份认证。通过定义用户列表三元组<id，username，password>，这里id唯一标识合法的用户，username和password分别表示用户的登录用户名和密码。用户登录时绑定登录IP、MAC设置，限定用户登录的地址范围，进行身份验证。认证失败则客户端状态为离线，禁止使用加密文件；认证成功，客户端将获得文件密钥，同时获得当前用户的文件访问授权信息。

离线模式下用户的身份认证管理用户授权证书的生成和查看：离线授权证书记录用户对加密文件访问的授权信息，限定用户可以访问的加密文件列表，以及对文件的访问权限。授权证书附加用户身份验证信息，用户使用证书需要输入正确的用户名和密码信息登录。授权证书包含有效时间区间，证书只在有效的时间范围内有效；同时授权证书硬件绑定，仅在绑定的主机上有效。离线用户在系统正式使用之前必须加载授权证书。

上述机制使得对文件的访问可以不受限于网络在线的情况，而仅受限于用户的身份、具体的文件和权限配置，从而有效地提高了系统的安全性。

文件涉密访问模块是在协同工作环境下，解决授权用户使用涉密文档时，加密文件自动打开，将文件类型与默认打开方式自动绑定的问题。以及保障用户操作涉密文档过程中防止文件内容泄密的问题，即解决编辑中复制、删除、截图等操作的控制问题。

在用户身份验证和访问授权验证之后，启用本发明的加密文件使用防护控制模块。若验证失败，则禁止打开加密文件；通过验证，自动对加密文件进行临时解密，解密产生的临时文件使用操作系统默认的打开程序自动打开，无需专用的阅读器，临时文件禁止用户直接访问。控制文件通过设置应用接口过滤，从操作系统层对加密文件的操作进行控制，对所有打开程序采用统一方式进行处理，限定默认功能项，以确保加密文件内容无法外泄。

加密文件在被打开之前首先通过公知解密算法的接口进行文件内容解密，解密产生的临时明文文件统一生成在指定的临时目录内，其属性为隐藏，并对该目录进行文件保护。采用Windows默认的打开程序打开临时解密文件。加密文件打开的同时，加载协同编辑模块对用户操作进行控制。打开之后，禁止将加密文件直接以明文形式另存到磁盘中，禁止将加密文件的内容复制到其它明文文件中；对加密文件的编辑和打印操作使用授权控制。拥有编辑权限的用户，在打开加密文件后，可以对文件内容进行编辑。文件访问结束后，如果用户对文件进行了修改并拥有编辑权限，则文件自动加密并保存，临时解密文件自动被删除。

本防护控制模块的自动解密模块在文件解密中使用与文件加密对应的解密算法程序。打开加密文件，读取文件中的版本信息，并与客户端版本进行兼容性验证，如果版本不兼容，则解密失败。版本验证通过后，使用解密算法程序解密文件的特征数据，得到文件的特征信息，即文件名称、加密数据HMAC摘要。对加密文件中的加密数据计算HMAC摘要，并将结果与特征数据中的HMAC摘要进行一致性验证，如果一致性验证失败，则解密失败。通过文件一致性验证后，使用特征数据中的文件名称，创建新文件。使用解密算法程序解密文件加密数据，将解密结果写入新创建的文件。文件解密操作完成。

临时文件的保护使用Windows提供的文件属性管理，设置临时目录的文件属性为隐藏，对用户隐藏临时目录。基于公知的文件系统IRP(I/O Request Package，输入输出请求包)过滤技术，实现对临时目录内的文件访问操作的控制。通过加载内核文件过滤驱动，在操作系统内核设置IRP监控，对每一个IRP请求，检查其对应的文件路径和进程信息，如果文件路径为临时目录IRP请求，则应用过滤规则进行判断，并应用判断的结果决定是否禁止IRP请求。IRP过滤的判断规则为：允许文件解密进程访问临时目录内的文件；其它进程对临时目录内文件的访问权限，通过应用层动态控制。由解密进程启动的应用进程，在第一次文件过程打开之前，授予访问临时目录的权限，文件打开完成之后，取消其访问临时目录的权限。非解密进程、同时也非解密进程启动的应用进程，禁止访问临时目录。

文件保护实现包括两个模块：应用层管理模块，内核层实施模块。管理模块运行在操作系统的应用层，负责通知内核实施模块对IRP过滤的启动、关闭，临时目录文件路径的设置，免过滤进程(即不受进行IRP过滤控制的进程)信息的设置。实施模块运行在操作系同的内核层，负责应用定义好的IRP过滤规则，结合管理模块设置的路径和进程信息，实施具体的IRP过滤操作，允许免过滤进程对临时目录的访问，禁止一般进程对临时目录的访问。

协同编辑模块监控应用程序的菜单、工具条、快捷键、鼠标及屏幕打印操作。对加密文件操作进行监控主要是应用公知的Windows API Hook技术来实现。WindowsAPI提供应用程序调用操作系统功能的接口，所有应用程序功能的实现都通过Windows API调用来实现。应用Windows API Hook，可以修改应用程序运行中WindowsAPI函数的功能模块定义，改变程序的内部运行结构来实现对加密文件操作的监控。在真实Windows API函数调用运行之前，增加加密文件操作的规则检验模块，对具体的文件操作进行规则检查，根据检查结果决定允许操作或者禁止操作。WindowsAPI对于所有的应用程序都是相同的，通过采用Windows API Hook，可以实现同时对所有应用程序的统一控制。需要Hook的Windows API函数：菜单操作API函数，工具条操作API函数，快捷键菜单API函数，鼠标菜单API函数。

应用Windows API Hook进行文件操作监控的实现主要包括两部分：Hook的定义，Hook的加载。Hook的定义负责为需要Hook的Windows API函数定义和实现新的API Hook函数，在API Hook函数中实现具体的进程操作控制规则。Hook的加载负责向访问加密文件的进程加载具体的Hook模块。Hook定义中操作控制的规则为：对于文件另存、导出、发送操作等将文件转换为其它普通文件操作的函数，在APIHook函数中直接进行返回处理，不执行真实的Windows API调用；对于打印操作函数，在API Hook函数中进行用户权限的判断，如果用户拥有打印权限，则允许真实Windows API的调用，否则取消真实Windows API的调用，返回函数调用。Hook定义将增加了操作检查的API Hook函数封装为DLL可执行模块；Hook实施应用CreateRemoteThread接口，在打开加密文件的进程中注入包含有Hook定义的DLL模块。在加载了包含Hook定义的DLL模块的进程中，当用户调用具体的文件操作，例如文件打印操作，就会调用包含有操作检验的API Hook函数，应用操作控制的规则进行判断，如果允许则API Hook函数继续文件的正常打印，否则打印失败。

以下结合附图对本发明的技术解决方案作详细的解释，并以实施例来说明实现本发明的目的的操作过程。

参照图1的涉密文档管理流程示意图，本发明是在协同工作环境下，基于网络化用户认证，融合文件加密、访问控制、保密使用、信息审计这四种管理机制，构建一个涉密文档的应用环境，确保在该环境下涉密文档正常使用的同时，防止内部信息的非法泄密而设计的一种使用方法。该方法包含四个模块及操作步骤：

1、涉密文档的加密：采用公知技术加密接口对涉密文档实施加密管理，原始明文文件统一备份，常规文件在应用过程中为密文文件，且格式统一。加密支持手动和自动两种方式；

2、加密文件访问控制：即对加密文件的访问授权。用户通过访问控制模块进行身份验证，根据文件授权使用加密文件。加密文件采用集中权限管理模式，统一定义用户的文件使用权限。用户使用加密文件之前下载文件权限策略，若未通过验证及授权，则禁止访问加密文件。

3、加密文件涉密使用：即加密文件的保密使用。授权用户访问加密文件时，由自动解密模块自动进行透明解密，并启动相应打开程序打开文件；在防护控制模块的监控下，用户进行对涉密文档的访问操作；访问结束后，文件自动加密保存。

4、涉密文档日志审计：该步骤全程监控涉密文档的加密、加密文件访问授权认证和加密文件的保密使用等，进行完整的日志跟踪和反馈。

基于以上四个模块的组合，实现协同环境下涉密文档保护需要进行如下工作：

A、划定涉密文档应用的环境范围，对环境内所有需要保护的涉密文档进行加密处理；

B、根据文档的管理流程，对涉密文档的使用进行授权，用户对文件的访问根据授权进行验证，只有合法用户可以访问涉密文档；

C、授权用户在保密状态下使用涉密文档，用户的文件操作接受防泄密监控的限制，用户只能进行授权操作，禁止会导致文件内容外泄的操作；

D、在前三个步骤中，同时进行日志审计，完整记录在涉密环境内，涉密文档的访问过程。

参照图2涉密文档管理模块框图，其工作机制如下：

文档加密模块：该模块包含自动加密管理模块和新文件监控模块。文件加密的工作机制是基于公知加密算法，通过自动加密管理模块对需要保护的涉密文档进行文件加密。所有涉密文档的存储、传输、使用，均以密文的形式进行操作。其中的加密操作可选择手动加密或自动加密，对文件的格式不作限制，支持对任意文件进行加密。

在同一涉密文档保护系统内，所有的文件加解密均使用相同的密钥，该密钥与系统支持平台捆绑，在系统初始化过程中自动生成，保存在系统支持平台的服务器上。

手工实现加密文件时，认证用户需获得文件加密所需的密钥，选择需要加密的文件或文件夹，由加密程序对选定的文件依次进行加密；自动实现加密时，认证用户需获得文件加密所需的密钥，选择文件系统中一个现有的文件夹，并将其设置为自动加密目录。自动加密通过文件监控的内核驱动来实现，内核驱动监控自动加密目录内的文件变化，该新文件监控模块检测到新文件时立即通知上层应用程序进行加密操作。

涉密文档加密过程中生成一个唯一的ID，与对应加密文件关联捆绑，在加密文件之后的使用过程中保持不变，该ID唯一标识一个加密文件。

文件访问控制模块：文件访问控制分为文件授权、身份验证和授权验证三部分。首先由管理员或用户对需涉密的文件进行授权，将加密文件和授权信息集中上传。一般用户请求使用文件时，应首先通过身份验证，然后根据文件授权使用加密文件，即只有在认证网络内、通过授权的合法用户，才可以对加密文件进行访问。

文件授权的主要功能是针对加密文件的使用权限给特定用户授权。加密文件采用集中的权限管理模式，统一定义用户的文件使用权限，用户请求使用加密文件前下载文件权限策略。若没有通过验证及授权，则禁止访问加密文件。

身份验证的主要功能是对涉密文档的合法用户使用时登录的身份进行检验。若用户在该协同办公环境内，启动客户端程序进行系统登录，输入用户名，密码。后台程序匹配用户访问控制列表进行认证服务器的身份认证或离线证书的身份认证。未安装、未运行该客户端，或没有通过认证则验证失败。离线证书为特殊用户需要脱离涉密环境离线使用涉密文档时，管理中心颁发的认证授权证书。

授权验证的主要功能是对合法的内部用户进行文件权限策略的检验。若用户身份合法，则继续进行授权验证。通过匹配对应的文件权限策略：文件名，用户名，操作权限，判别该用户是否具有打开该文件的权限。若有，则调用默认打开程序打开；否则，禁止访问该文件，打开为乱码。

文档涉密访问模块：该模块分为自动解密模块、防护控制模块和协同编辑模块。加密文件的保密使用过程基于公知加密算法的对应解密接口，由自动解密模块对文件透明解密，解密后启动临时文件的默认打开程序打开该文件。防护控制模块和协同编辑模块限制用户对涉密文档的泄密操作。操作结束关闭文件：若文件已修改、且用户具备修改权限，则自动加密新文件、覆盖原文件、删除临时文件。文件使用过程中产生的临时文件保存在设定的临时目录中，禁止用户直接访问，加密文件使用结束后，文件被自动删除。

日志审计模块：对涉密文档资源访问全程进行日志审计，审计的内容包括：系统管理日志，包括用户的认证、授权分配及相关配置；客户端认证登录、退出操作日志；涉密资源的访问、操作日志。

实施例

为了更清楚的理解本发明，以下通过具体的实施例结合附图对本发明作进一步的详细描述。

参照图1涉密文档管理流程图和图2涉密文档管理模块框图，本发明对涉密文档的保护主要通过四个步骤来实现，各模块的相互关系对应图2：

首先通过涉密文档加密模块对涉密文档加密：对需要保护的涉密文档进行文件加密，所有涉密文档的存储、传输、使用，都以密文的形式进行操作；同时加密文件的过程通过日志审计模块进行审计，审计的内容包括加密文件的名称，以及进行加密操作的用户和时间。

然后通过涉密文档访问控制模块对涉密文档的访问进行控制：即采用集中式认证管理，对涉密文档的使用进行授权验证。用户使用加密文件之前，需要通过身份认证和权限验证，只有在认证网络内、通过授权的用户，才可以对加密文件进行访问。同时涉密文档访问控制的过程通过日志审计模块进行审计，审计的内容包括用户登录的认证信息，如用户名、密码、登录时间等；请求访问的文件的名称及授权分配信息。

通过授权的用户，启动涉密访问模块对加密文件进行保密访问。授权用户根据相应授权使用文件，在加密文件使用过程中，为防止涉密文档内容的泄密，用户对文件的操作受到限制，用户可以根据授权浏览、打印、编辑文件内容，除拥有解密权限，禁止用户将文件内容导出、复制到其它非加密文件之中。同时加密文件通过涉密文档的日志审计模块进行审计，审计的内容包括：涉密资源信息，即涉密操作涉及的文件的访问、操作记录日志，及退出操作日志。

最后，通过涉密文档日志审计模块进行审计。文件的加密过程、授权认证过程、文件保密使用过程等要在该模块下进行全程并完整的日志跟踪，对用户的正常的文件操作和异常操作请求都进行日志记录，完整监控涉密文档的使用。

参照图3的加密文件访问操作流程图，授权用户请求使用文件，客户端启动自动解密模块，判断用户是否通过访问控制模块的验证。若通过，则自动解密请求的文件，以默认打开程序打开，由用户进行相应权限的操作。在文件操作的过程中，由防护控制模块和协同编辑模块监控，防止任何会导致文件内容泄露的情况发生。操作完毕，关闭文件。对该文件的内容是否经过改动及用户的编辑权限进行判断，决定是否保存经改动的文件。若文件内容未经修改或用户无该编辑权限，则不予保存，程序直接结束。

图4为涉密文档的管理系统框架图。该文档保护系统的结构框架由涉密客户端、系统支持平台、管理中心和文件服务器组成。

(1)涉密客户端：负责涉密文档使用的申请和具体的使用过程，主要包含认证模块、文件加解密模块、文件保密使用监控模块、日志模块。

认证模块负责向系统支持平台请求身份认证和访授权验证；文件加解密负责实现基本的文件加解密操作，其中集成了部分权限验证的功能，只有授权的用户才可以进行加解密操作，加解密过程中同时需要请求服务器，获得加解密需要的密钥信息，该密钥信息在整个系统中相同；文件保密使用监控模块，负责在用户使用加密文件过程中，应用程序操作过滤技术，对用户的操作活动进行监控，禁止用户的异常文件泄密操作；日志模块负责对用户在客户端的文件加解密、文件保密使用等，进行详细的日止记录，并将日志信息发送至日志服务器。

(2)系统支持平台：负责系统的认证授权、日志管理、文档访问权限管理的后台支持，主要包括管理模块、认证模块，用户模块，LDAP模块。

管理模块负责接收并处理来管理中心的命令，并调用其它模块执行该命令；认证模块负责对所管辖范围内的管理中心、客户端以进行认证和授权；用户模块负责与客户端进行交互，获取客户端的各项信息，并将这些信息反馈给其它模块；LDAP模块负责本系统的配置和数据的后台保存和查询。

(3)管理中心：负责组织机构管理、用户管理、文档授权定义和应用、系统监控、系统设置、日志查询、报表分析，提供一个统一的管理平台。主要包括系统管理模块、用户管理模块、文档授权管理模块和日志管理模块。

系统管理模块提供对整个系统全局参数的配置管理；用户管理模块负责用户的查询、设置等；文档权限管理模块负责加密文件授权的查询、设置等；日志管理负责对整个系统的日志进行查询、报表处理等。

(4)文件服务器：负责涉密文档的集中保存和管理，通过文件服务器，实现协同工作环境下，涉密文档的集中管理。

文档保护系统的工作流程如下：

a)拥有加密权限的用户在使用涉密客户端的加密程序，对涉密的文档统一进行加密，加密后的文件上传至文件服务器；

b)负责授权的管理员在管理中心对存放在文件服务器上的加密文件进行集中授权，授予不同用户访问加密文件的权限；

c)用户对涉密文档的使用在客户端进行，登录认证服务器、用户身份认证、下载文件授权、访问授权验证；

d)拥有访问权限的用户保密使用涉密文档，使用过程中文件的加解密过程自动、透明，用户文件操作过程防泄密限制；

e)涉密客户端和管理中心自动生成日志信息，通过管理中心的日志模块，可以对整个系统的日志进行审计查看。

Claims (10)

1、一种协同工作环境下涉密文档的保护方法，其特征在于：基于对网络化涉密文档进行加密，通过对加密文件的访问进行授权、对加密文件在保密状态下的使用控制和对涉密文档的全程审计四个管理模块，构建涉密文档的协同工作应用环境，该方法包括以下步骤：

a涉密文档的加密：使用涉密文档加密模块对涉密文档进行加密，生成统一格式的加密文件，文件加密同时支持手动和自动两种加密方式，可设置自动加密目录；

b加密文件的访问授权：通过访问控制模块对用户进行身份验证，使用加密文件之前下载文件权限策略；通过该身份验证，则由访问控制模块对用户进行授权验证，根据文件授权使用加密文件，若没有通过身份验证及授权，则禁止访问加密文件；

c加密文件的保密使用：当授权用户访问加密文件时，涉密访问模块自动进行透明解密，并启动相应打开程序打开文件；保证用户在无泄密状态下进行涉密文档的访问操作；访问结束后，文件自动加密保存；

d涉密文档日志审计：监控涉密文档的加密、授权认证和保密使用，对涉密文档日志进行全程跟踪和反馈。

2、根据权利要求1所述的保护方法，其特征在于：所述的涉密文档加密模块是采用公知加密算法实现文件的数据加密。

3、根据权利要求1所述的保护方法，其特征在于：所述的统一格式是对所要加密的文件格式没有限制，支持对任意格式文件进行加密；加密后的新文件为相同扩展名的统一格式，该文件格式与文件解密程序关联对应。

4、根据权利要求1所述的保护方法，其特征在于：所述的自动加密目录是指涉密文档加密模块实时监测自动加密目录，对检测到的新文件进行实时加密。

5、根据权利要求1所述的保护方法，其特征在于：所述的文件权限策略是指对一个文件或一组文件的访问权限定义不同权限信息策略，应用文件权限策略的用户，将获得文件权限策略中定义的文件访问权限。

6、根据权利要求1所述的保护方法，其特征在于：所述的涉密访问模块是指对已授权的用户，由自动解密模块打开该文件，由防护控制模块限制用户对涉密文档的泄密操作；当同时使用两个以上的加密文件进行内容交互时，由协同编辑模块负责实现协同文件编辑。

7、根据权利要求1所述的保护方法，其特征在于：所述的全程日志跟踪是指对涉密文档访问进行全程日志审计；审计的内容包括：系统管理日志、用户认证、授权分配、客户端认证登录、退出操作日志，涉密文档的访问、操作日志以及相关的配置。

8、根据权利要求5所述的保护方法，其特征在于，所述的自动解密模块是指采用公知的解密算法对加密文件进行解密然后打开，解密后使用的打开程序为操作系统默认的打开程序。

9、根据权利要求5所述的保护方法，其特征在于，所述防护控制模块是指限制用户对涉密文档的泄密操作，操作结束关闭文件；文件使用过程中产生的临时文件保存在临时目录中，禁止用户直接访问，加密文件使用结束后，自动删除临时文件；授权用户在保密状态下使用涉密文档，用户的文件操作接受防泄密监控的限制，用户只能进行授权操作，禁止对文件内容的泄密操作。

10、根据权利要求5所述的保护方法，其特征在于，所述的协同编辑模块是指允许非加密文件内容复制到加密文件中，以及加密文件间的相互内容复制，禁止将加密文件内容复制到非加密文件中。

Images