基于Windows系统透明加密解技术设计与实现.docVIP

基于Windows系统透明加密解技术设计与实现 　　【 摘 要 】 随着信息时代的到来，信息安全问题越来越引起人们的重视。除了要抵御来自外界的攻击和破坏，还要防止来自内部的有意或无意的信息泄漏。为解决日益突出的信息安全问题。本文在分析Windows平台下几种文件透明加密技术的基础上，设计并实现了一种基于文件过滤驱动技术文件透明加密系统。 　　【 关键词 】 信息安全；透明加解密；过滤驱动 　　1 引言 　　随着计算机的普及和企事业单位信息化应用的深入，电子文档成为企业信息交换的重要载体。但是由于其容易被复制、修改和传播等特点，可能会面临着巨大的安全风险。因此很多公司在办公室电脑上封闭USB口来防止员工将重要文件拷贝出去，还有的禁止办公电脑接入互联网。这些做法在一定程度上降低了内部泄密风险，但也给日常化办公带来了很大的不便。如何在网络办公带来高效便捷的同时，又保护了数据信息的安全，在此种情况下一种全新的电子文档安全技术应运而生，即透明加解密技术。 　　2 透明加密相关技术 　　透明加密技术是与操作系统紧密结合的一种技术，工作于操作系统底层。通过监控应用程序对文件的操作，在读写文件时进行相应的加解密操作，从而达到有效保护文件的目的。透明加密技术分为用户级的HOOK技术与内核级的WDM（Windows Driver Model）内核设备驱动两种方式。 　　HOOK透明加密技术，即俗称的“钩子”，主要通过HOOK API的方式来实现。HOOK API的基本原理就是修改一些API的入口地址，使所有对这些API的调用都先跳转到事先定义的函数中去，因此，通过HOOK一些常用的文件访问函数就可以事先捕获文件的读写操作从而完成加解密操作。驱动加密技术是基于Windows文件系统（过滤）驱动（IFS）技术，工作在操作系统的内核层。其实现方式主要是当应用程序对目标文件进行操作时，文件系统驱动会监控到应用程序的操作请求，并改变其操作方式，从而达到透明加密的效果。 　　3 透明加密系统设计与实现 　　系统的开发目的是为了保护用户的文件数据安全。系统开发主要依托现有的透明加密技术，同时结合其他技术手段，根据用户需求来实现这一目的??在系统的开发过程中主要考虑数据的安全性和系统的易用性。 　　3.1 系统框架设计 　　本系统由三部分组成：USBKey、过滤驱动以及联系两者以上应用程序。其中应用程序以及USBKey配套的管理程序位于Windows的用户层，文件过滤驱动在内核层工作，而USBKey设备本身及计算机的磁盘设备位于系统最下面的硬件层。因此，整个系统的架构图如图1所示。 　　3.1.1 USBKey 　　USBKey是一个集身份认证、密钥安全存储、对称密钥与非对称密钥等安全功能于一体的安全硬件设备。USBKey内部提供的各种加解密算法用户可以直接调用，也可以根据自身的需要选择不同的加密算法，而修改过程对驱动层不需要改动，只是在应用层进行少量修改即可。这样，在使用的安全性和系统的应用范围方面也有了很大的提高。 　　1）身份认证 操作系统在启动后，如果想要启动本系统提供的服务，首先要经过USBKey的验证来登录系统。输入与该USBKey相适应的PIN码（个人识别密码），登录成功后，才能以合法的用户身份访问那些受保护的信息。 　　2）密钥存储 在加解密文件的过程中，系统会使用USBKey内部产生的密钥。 　　3）加密算法调用 上层应用程序获取到过滤驱动捕获的数据内容后直接调用USBKey进行对数据的加解密工作，在充分应用了USBKey功能的同时，大大提高了系统整体的加解密效率。 　　3.1.2过滤驱动系统 　　文件系统过滤驱动是一种内核模式驱动，它依靠拦截发往已存在的内核模式驱动的请求来提供新的功能。所谓的过滤，即在不影响上层和下层的软件或下层的驱动程序的情况下，在Windows系统内核中加入新的层，从而不需要修改上层的软件或下层的驱动程序，就可添加新功能。文件驱动的目标就是捕获Windows系统对文件的各种操作行为，如文件的创建、打开、改名、读写等。过虑驱动是整个系统实现的主体部分，文件系统过滤驱动叠加在文件系统驱动之上。当应用程序对文件进行保存时，数据首先被驱动截获，将要保存的内容进行加密操作后向下传递到底层文件系统驱动，这样最终写入磁盘的就是密文。同样，当应用程序读取文件时，在数据向上传递到应用程序之前过滤驱动截取到数据并对其进行解密操作，然后向上层传递，这样来确保用户所见的是明文。 　　3.1.3应用程序 　　上层应用程序是整个系统的组织者。该模块主要包括三个方面的设计：提供用户操作界面，实现应用程序与USBKey之间的交互以及应用程序与过滤驱动的交互。用户通过上层应用程序提供的用户界面来操作本系统。应用程