动态加解密技术综述.docxVIP

PAGE 1 PAGE 1 动态加解密技术综述  数据加密技术根据实现的方法可划分为静态加密和动态加密，从实现的层次上则可分为文件级加密和存储设备级加密。  　　随着计算机和网络技术的飞速发展，越来越多的信息以电子形式存储在个人和商用电脑中，并且通过网络进行广泛地传递，在大量的信息存储和交换中，信息的安全问题越来越引起人们的重视。信息保密的理论基础是密码学，依据现代密码学的理论，一个好的加密算法的安全性只依靠于密钥，加密算法的公开与否不影响其安全性。现代密码学经过几十年的研究和发展，已经创造了很多安全性很高的加密算法，并且被广泛地应用在各种信息安全产品中，其中数据加密技术是密码学的一个重要应用领域。数据加密产品由于实现的方法和层次的不同，打算了其应用领域和范围。  　　数据加密技术根据实现的方法可划分为静态加密和动态加密，从实现的层次上则可分为文件级加密和存储设备级加密。  　　1.静态加密与动态加密  　　静态加密是指在加密期间，待加密的数据处于未使用状态，这些数据一旦加密，在使用前，需首先通过静态解密得到明文，然后才能使用。目前市场上很多加密软件产品就属于这种加密方式。  　　与静态加密不同，动态加密（也称实时加密，透明加密等，其英文名为encrypton-the-fly），是指数据在使用过程中自动对数据进行加密或解密操作，无需用户的干预，合法用户在使用加密的文件前，也不需要进行解密操作即可使用，表面看来，访问加密的文件和访问未加密的文件基本相同，对合法用户来说，这些加密文件是“透明的”，即似乎没有加密一样，但对于没有访问权限的用户，即使通过其它特别规手段得到了这些文件，由于文件是加密的，因此也无法使用。由于动态加密技术不仅不转变用户的使用习惯，而且无需用户太多的干预操作即可实现文档的安全，因而近年来得到了广泛的应用。  　　由于动态加密要实时加密数据，必需动态跟踪需要加密的数据流，而且其实现的层次一般位于系统内核中，因此，从实现的技术角度看，实现动态加密要比静态加密难的多，需要解决的技术难点也远远超过静态加密。  　　2.动态加密实现的层次级别  　　在不同的操作系中（如WINDOWS、LINUX、UNIX等），虽然数据的详细组织和存储结构会有所不同，但它们均可用图1的模型进行表示，即应用程序在访问存储设备数据时，一般都通过操作系统供应的API调用文件系统，然后文件系统通过存储介质的驱动程序访问详细的存储介质。其中层次I和II属于应用层；层次III和IV属于操作系统内核层。这种组织结构打算了加密系统的实现方式，在数据从存储介质到应用程序所经过的每个路径中，均可对访问的数据实施加密/解密操作，其中模型中的层次I只能捕获应用程序自身读写的数据，其他应用程序的数据不经过该层，因此，在层次I中只能实现静态加密，无法实现动态加密；即使是层次II，也并不是全部文件数据均通过该层，但在该层可以拦截到各种文件的打开、关闭等操作。因此，在应用层实现的动态加解密产品无法真正做到“实时”加密/解密操作，一般只能通过其他变相的方式进行实现（一般均在层次II进行实现）。例如，在应用程序打开文件时，先直接解密整个文件或解密整个文件到其他路径，然后让应用程序直接（重定向）访问这个完全解密的文件，而在应用程序关闭这个文件时，再将已解密的文件进行加密。其实质是静态加解密过程的自动化，并不属于严格意义上的动态加密。  　　由于目前的操作系统，如Windows/Linux/Unix等，只有在内核层才能拦截到各种文件或磁盘操作，因此，真正的动态加解密产品只能在内核层进行实现。在图1给出的模型中，在内核层中的文件系统可以拦截到全部的文件操作，但并不能拦截到全部的存储设备（在下面的叙述中，我们一般用磁盘来表示存储设备）操作，要拦截全部的存储设备操作，必需在存储设备驱动程序中进行拦截，操作系统的对存储设备的访问形式打算了动态加解密安全产品的两大种类：基于文件级的动态加解密产品和基于磁盘级的动态加解密产品。  图1.操作系统的存储设备访问模型  　　3.文件级动态加解密技术  　　在文件系统层，不仅能够获得文件的各种信息，而且能够获得访问这些文件的进程信息和用户信息等，因此，可以研制出功能特别强大的文档安全产品。就动态加解密产品而言，有些文件系统自身就支持文件的动态加解密，如Windows系统中的NTFS文件系统，其本身就供应了EFS（EncryptionFileSystem）支持，但作为一种通用的系统，虽然供应了细粒度的掌握能力（如可以掌握到每个文件），但在实际应用中，其加密对象一般以分区或目录为单位，难以做到满意各种用户个性化的要求，如自动加密某些