一種面向中小企業(yè)的輕量級(jí)文件安全管理方案

解　暉,王國旗,雷　婉,鄭　濤

(1.陜西煤業(yè)化工技術(shù)研究院有限責(zé)任公司,陜西 西安　710077;2.西安電子科技大學(xué) 通信工程學(xué)院,陜西 西安　710071)

?

一種面向中小企業(yè)的輕量級(jí)文件安全管理方案

解暉1,王國旗1,雷婉2,鄭濤1

(1.陜西煤業(yè)化工技術(shù)研究院有限責(zé)任公司,陜西 西安710077;2.西安電子科技大學(xué) 通信工程學(xué)院,陜西 西安710071)

摘要企業(yè)信息化的發(fā)展給文件的安全管理帶來了新的挑戰(zhàn),然而傳統(tǒng)的文件安全管理方案只注重文件本身的安全,而忽略了使用文件人員身份認(rèn)證問題。文中提出一種基于身份認(rèn)證與文件加密技術(shù)的輕量級(jí)文件安全管理方案,該方案用以滿足中小型企業(yè)對(duì)文件安全存儲(chǔ)及使用的需求。通過對(duì)安全性及性能的分析,證明該方案可實(shí)現(xiàn)對(duì)文件安全、有效地存儲(chǔ)及使用。

關(guān)鍵詞文件安全;身份認(rèn)證;文件加密;文件共享

隨著企業(yè)信息化的不斷發(fā)展,大量敏感信息以電子文檔形式存在,而電子文檔易操作、易復(fù)制以及可重復(fù)使用等特點(diǎn)使得電子文檔容易擴(kuò)散,電子文檔的丟失成為企業(yè)數(shù)據(jù)安全的主要隱患。為保障企業(yè)敏感信息的安全,除了采用在網(wǎng)絡(luò)出入口部署防火墻、敏感區(qū)域進(jìn)行入侵檢測等網(wǎng)絡(luò)安全的手段以外,還有一些必要手段保障數(shù)據(jù)本身的安全,如基于物理隔離和規(guī)章制度的機(jī)制[1-3]、基于私有云的信息集中存儲(chǔ)處理機(jī)制[4-6]以及基于加密技術(shù)和密鑰管理的數(shù)據(jù)信息管理機(jī)制[7-9]。

基于物理隔離和規(guī)章制度的方案保證了涉密信息的安全存儲(chǔ),也為企業(yè)內(nèi)部網(wǎng)絡(luò)劃定了明確的安全邊界。但該方案部署成本高,對(duì)涉密信息的輸出管控嚴(yán)格,復(fù)雜的審批流程使得企業(yè)辦公極不靈活。對(duì)于基于私有云的信息集中存儲(chǔ)處理方案,大幅減少了企業(yè)維護(hù)人員的工作量,且安全性更高。但該方案由于必須保證私有云自身的可靠性,需要部署大量的容災(zāi)設(shè)備,基礎(chǔ)成本過高?；诩用芗夹g(shù)和密鑰管理的數(shù)據(jù)信息管理方案可通過軟件的形式來滿足數(shù)據(jù)存儲(chǔ)和傳輸?shù)谋Ｃ苄孕枨?易于部署;即使員工計(jì)算機(jī)被動(dòng)感染木馬等工具,也無法解密加密文件。但該方案無法防止攻擊刪除敏感數(shù)據(jù)。

綜上所述,現(xiàn)有數(shù)據(jù)安全保障機(jī)制并不能滿足中小企業(yè)人員少、安全成本低的現(xiàn)狀以及對(duì)數(shù)據(jù)安全存儲(chǔ)、訪問以及傳輸?shù)萚10-11]安全需求。為解決上述問題,本文提出一個(gè)統(tǒng)一、完善的文件安全管理體系方案,在不增加硬件設(shè)備的基礎(chǔ)上,為企業(yè)提供一個(gè)安全、有效的文件保護(hù)系統(tǒng),來保障企業(yè)內(nèi)部數(shù)據(jù)的保密性、完整性,并能防止企業(yè)員工的身份仿冒及抵賴。

1預(yù)備知識(shí)

1.1公鑰基礎(chǔ)設(shè)施

公鑰基礎(chǔ)設(shè)施(Public Key Infrastructure,PKI)[12],是一組由硬件、軟件、參與者、管理政策與流程組成的基礎(chǔ)架構(gòu),其目的在于創(chuàng)造、管理、分配、使用、存儲(chǔ)以及撤銷數(shù)字證書。

一個(gè)簡單的PKI系統(tǒng)包括證書機(jī)構(gòu)(Certificate Authority,CA)、注冊機(jī)構(gòu)(Register Authority,RA)和相應(yīng)的PKI存儲(chǔ)庫。CA是PKI的核心,是負(fù)責(zé)發(fā)放和管理數(shù)字證書的權(quán)威機(jī)構(gòu),并作為電子商務(wù)交易中受信任的第三方,承擔(dān)公鑰體系中公鑰的合法性檢驗(yàn)的責(zé)任。

1.2Ukey

UKey是一種具有密碼驗(yàn)證功能、可靠高速的小型存儲(chǔ)設(shè)備,通過USB直接與計(jì)算機(jī)相連,基于可信計(jì)算機(jī)及智能卡技術(shù)把易用性、便攜性和最高級(jí)別的安全性帶給了在線交易、表單簽名、文件數(shù)字簽名等操作的用戶,保證用戶在Ukey下的操作不可篡改、抵賴。

2文件安全管理體系方案

針對(duì)中小企業(yè)數(shù)據(jù)安全的現(xiàn)狀和需求,提出了一體化的文件安全管理體系方案,該方案依托PKI在用戶身份認(rèn)證、保密通信方面的優(yōu)勢,并基于企業(yè)信息系統(tǒng)的使用現(xiàn)狀,采用CA構(gòu)造的一個(gè)適合企業(yè)具體使用環(huán)境的方案,實(shí)現(xiàn)企業(yè)對(duì)用戶身份認(rèn)證、安全文件存儲(chǔ)、共享及傳輸?shù)确矫娴陌踩枨蟆２⑼ㄟ^Ukey來進(jìn)一步加強(qiáng)本方案的安全性,提供安全高效的數(shù)據(jù)加解密功能。

2.1系統(tǒng)初始化

本方案的初始化包括部署整個(gè)網(wǎng)絡(luò)的軟硬件環(huán)境以及方案中使用到的密鑰的生成算法。

2.1.1網(wǎng)絡(luò)軟硬件部署

本方案的安全管理體系包括文件安全管理平臺(tái)和員工客戶端。平臺(tái)的網(wǎng)絡(luò)部署如圖1所示。

圖1　平臺(tái)網(wǎng)絡(luò)部署圖

(1)統(tǒng)一認(rèn)證及管理服務(wù)器由信息中心的管理員對(duì)整個(gè)平臺(tái)進(jìn)行管理和監(jiān)控;(2)證書服務(wù)器CA負(fù)責(zé)審核員工的身份認(rèn)證請(qǐng)求,決定是否為其提供數(shù)字證書以及數(shù)字證書的簽發(fā)、查詢、注銷以及更新等服務(wù);(3)密鑰管理服務(wù)器集中管理系統(tǒng)中的所有密鑰,包括生成、撤銷或更新文件的對(duì)稱加密密鑰、員工數(shù)字證書的公私鑰對(duì)和員工通信時(shí)的臨時(shí)會(huì)話密鑰等;(4)文件共享服務(wù)器存儲(chǔ)系統(tǒng)中所有員工用于共享的文件。

客戶端是安裝在每個(gè)部門員工計(jì)算機(jī)上的軟件系統(tǒng),為每個(gè)員工分配對(duì)應(yīng)的Ukey,存儲(chǔ)著員工的數(shù)字證書、公私鑰對(duì)、文件加密密鑰,用來對(duì)員工進(jìn)行身份認(rèn)證、文件加解密、數(shù)字簽名等。

2.1.2密鑰生成

整個(gè)文件安全管理體系在多項(xiàng)服務(wù)中都涉及密鑰的生成與保存,如所有員工U={u1,…,un}的公私鑰對(duì){(sku1,pku1),…,(skun,pkun)}、加密密鑰{K1,…,Kn}以及共享密鑰{K’1,…,K’n}等。這些密鑰都存儲(chǔ)在員工的Ukey中,在使用時(shí)可以進(jìn)行透明加解密。其中,(1)公私鑰對(duì)(skut,pkut)是CA審核員工ut身份后為ut分發(fā)的數(shù)字證書,用于對(duì)ut身份的驗(yàn)證;(2)加密密鑰Kt是員工ut進(jìn)行文件加密時(shí)的對(duì)稱加密密鑰庫,針對(duì)不同的文件Fi使用不同的密鑰kti;(3)共享密鑰K’t是員工ut進(jìn)行文件共享時(shí)的共享密鑰庫,針對(duì)不同的文件Fi使用不同的密鑰k’ti。

2.2注冊與登陸

為防止企業(yè)系統(tǒng)內(nèi)部造成的安全事件,部門員工在注冊系統(tǒng)時(shí),系統(tǒng)必須對(duì)員工身份進(jìn)行認(rèn)證。

2.2.1員工注冊

當(dāng)員工ut進(jìn)行注冊時(shí),其流程如下:(1)首先,ut將自身的個(gè)人信息提交給CA;(2)申請(qǐng)信息存儲(chǔ)在CA服務(wù)器的RA模塊數(shù)據(jù)庫中,RA管理員審查ut的申請(qǐng)請(qǐng)求,若ut是合法的,則RA管理員將通過審核的申請(qǐng)信息發(fā)送到CA模塊;(3)CA將ut的個(gè)人信息發(fā)送給密鑰管理服務(wù)器申請(qǐng)為ut生成數(shù)字證書(skut,pkut)和個(gè)人密鑰Kt;(4)密鑰管理服務(wù)器調(diào)用相關(guān)算法為ut生成密鑰后,將(skut,pkut)添加到CA的目錄服務(wù)器中,并將加密的(skut,pkut)和Kt返回給CA,由CA分發(fā)給ut,存儲(chǔ)在ut的Ukey中。

2.2.2員工登陸

(1)當(dāng)ut注冊成功后登陸信息系統(tǒng)時(shí),輸入自身的用戶名和密碼,并用自身存儲(chǔ)在Ukey內(nèi)的skut對(duì)用戶名和密碼進(jìn)行簽名,生成簽名數(shù)據(jù)Cs=Encskut(用戶名,密碼)再發(fā)送給CA;(2)CA收到登陸請(qǐng)求時(shí),用ut的pkut驗(yàn)證身份,即得到Decpkut(Cs)=(用戶名,密碼)后,通知ut系統(tǒng)登錄成功。

2.3文件加密與共享

2.3.1本地文件加密

為減小客戶端的計(jì)算壓力和資源浪費(fèi),針對(duì)企業(yè)各部門對(duì)不同數(shù)據(jù)的重視程度,本文設(shè)計(jì)了一個(gè)自定義的文件密級(jí)分級(jí)方案。自定義的文件密級(jí)分級(jí)方案要求各部門將本部門重要的、需要保密的文件進(jìn)行加密存儲(chǔ),而對(duì)于一般可公開的文件,則直接明文存儲(chǔ)在本地。

當(dāng)ut需要對(duì)本地文件Fi進(jìn)行處理時(shí),流程如下:(1)首先按照自己部門的工作性質(zhì)將Fi進(jìn)行分類:保密文件還是可公開文件;(2)若是可公開文件,ut直接將Fi存放在本地計(jì)算機(jī)上;而若是需要保密的文件,ut在本地加密存儲(chǔ)Fi;(3)當(dāng)進(jìn)行本地加密存儲(chǔ)時(shí),用Ukey中存儲(chǔ)的個(gè)人文件密鑰kti加密Fi得到密文C=Ekti(Fi)并存儲(chǔ)在本地計(jì)算機(jī)。

2.3.2文件共享

當(dāng)ut需要將Fi共享給領(lǐng)導(dǎo)或其他員工時(shí),流程如下:(1)ut首先向密鑰管理服務(wù)器提出共享申請(qǐng),服務(wù)器會(huì)根據(jù)企業(yè)制定的安全策略審核共享申請(qǐng),如ut是否有相應(yīng)的安全權(quán)限;(2)一旦共享申請(qǐng)通過,ut會(huì)用密鑰管理服務(wù)器返回的共享密鑰k’ti加密Fi得到密文C’=Ek’ti(Fi),并將需要共享的員工列表上傳到文件共享服務(wù)器,再由服務(wù)器加密存儲(chǔ)來實(shí)現(xiàn)文件共享。

每次加密文件使用新的個(gè)人文件密鑰和共享密鑰,Ukey和密鑰管理服務(wù)器同時(shí)更新員工的密鑰庫。

2.4文件訪問

2.4.1本地文件訪問

當(dāng)ut需要訪問自身存儲(chǔ)在本地的加密文件C=Ekti(Fi)時(shí),插上Ukey,打開自身計(jì)算機(jī)上的安全文件管理客戶端軟件。然后打開需要訪問的文件Fi,客戶端會(huì)自動(dòng)將員工Ukey中的kti與C進(jìn)行匹配;匹配成功,則可計(jì)算得到Ekti(C)=Fi,ut將可看到文件明文Fi,而無kti的員工不能看到正確的Fi。

2.4.2共享文件訪問

(1)當(dāng)ut需要訪問自身的共享文件C’=Ek’ti(Fi)時(shí),在登陸安全文件管理客戶端后通過查詢共享列表即可看到自己的所有共享文件;(2)ut用自身Ukey中已有的共享密鑰K’t去解密C’,若無法解密,則提取文檔之間的共享密鑰哈希值,并將其發(fā)送給密鑰管理服務(wù)器申請(qǐng)共享密鑰k’ti;(3)密鑰管理服務(wù)器根據(jù)接收到的哈希值匹配ut密鑰列表K’t中的每一個(gè)密鑰k’ti的哈希值,匹配成功后,將k’ti以密文形式發(fā)送到ut的Ukey中;(4)Ukey會(huì)在后臺(tái)透明解密C’,得到Ek’ti(C’)=Fi,ut即可看到共享文件Fi。

3安全性分析

3.1身份認(rèn)證的安全性

該文件安全管理方案采用基于CA的認(rèn)證機(jī)制來保證企業(yè)員工在進(jìn)入系統(tǒng)時(shí)的身份認(rèn)證,CA的安全性保證了每個(gè)員工的數(shù)字證書不可被隨意偽造,只有信息中心才能生成可被系統(tǒng)驗(yàn)證的數(shù)字證書。其次,數(shù)字證書的私鑰可用于進(jìn)行數(shù)字簽名,其他人或機(jī)構(gòu)可通過公開的公鑰對(duì)員工身份進(jìn)行認(rèn)證,保證了員工在通信中的不可否認(rèn)性。

3.2文件加密的安全性

文件在本地加密存儲(chǔ)或共享給其他員工時(shí),需要對(duì)文件進(jìn)行對(duì)稱加密。安全的對(duì)稱加密算法保證了加密文件只能被擁有相應(yīng)密鑰的員工解密,保證了文件的安全性。

4性能分析

本小節(jié)將對(duì)所提方案在員工注冊與登陸、文件加密、共享與訪問操作的計(jì)算開銷進(jìn)行性能評(píng)估,利用Openssl工具來對(duì)各個(gè)操作進(jìn)行基本的計(jì)算開銷測試。測試環(huán)境為一臺(tái)2.4 GHz雙核處理器和4 GB內(nèi)存的計(jì)算機(jī),安全文件管理服務(wù)器和客戶端安裝在一臺(tái)計(jì)算機(jī)上,測試鏈接通過后,安裝一款Ukey驅(qū)動(dòng)程序,每個(gè)員工配備唯一的Ukey來存儲(chǔ)數(shù)字證書、個(gè)人密鑰及共享密鑰等。

用一個(gè)1 kB的文件進(jìn)行測試,期間產(chǎn)生的通信開銷可忽略不計(jì),只計(jì)算文件進(jìn)行對(duì)稱加解密(AES)的開銷。具體的計(jì)算開銷如表1所示。

表1　各項(xiàng)操作的計(jì)算開銷

隨著員工需要處理的文件數(shù)目增多,文件加密和共享的開銷也會(huì)增大,選取每個(gè)文件大小為1 kB進(jìn)行測試,結(jié)果如圖2所示。

圖2　文件加密和共享開銷

圖3　文件訪問開銷

而相應(yīng)的,對(duì)加密文件和共享文件的訪問時(shí)間也會(huì)增大,選取同樣大小的文件進(jìn)行測試,結(jié)果如圖3所示。可見本方案在處理文件加密、共享及訪問操作的計(jì)算開銷較小、效率較高,完全能滿足中小型企業(yè)的需要。

5結(jié)束語

本文提出的基于CA的文件安全管理體系有效地解決了中小型企業(yè)文件安全系統(tǒng)中用戶身份認(rèn)證、文件保密、共享以及安全通信等問題,分析了方案的安全性,并對(duì)系統(tǒng)進(jìn)行了相應(yīng)的性能測試。結(jié)果證明,該文件安全體系能可防范內(nèi)部攻擊和泄密的威脅,滿足了企業(yè)網(wǎng)絡(luò)內(nèi)部安全使用的需求,且相較于同類文件安全管理方案具有更貼近實(shí)際環(huán)境、更靈活安全的優(yōu)勢[13-14]。

參考文獻(xiàn)

[1]李瑋.涉密信息系統(tǒng)物理隔離防護(hù)的設(shè)計(jì)與實(shí)現(xiàn)[D].杭州:浙江工業(yè)大學(xué),2013.

[2]王朝陽.內(nèi)部網(wǎng)安全解決方案[J].計(jì)算機(jī)安全,2008(7):66-67.

[3]林朝愛,傅鸝.網(wǎng)絡(luò)物理隔離體系結(jié)構(gòu)的研究[J].現(xiàn)代計(jì)算機(jī),2007(7):105-107.

[4]鮑愛華,袁曉萍,陳鋒,等.一種基于虛擬隔離機(jī)制的安全私有云存儲(chǔ)系統(tǒng)[J].計(jì)算機(jī)科學(xué),2014,41(1):202-207,216.

[5]錢進(jìn)進(jìn).私有云安全存儲(chǔ)技術(shù)的研究與實(shí)現(xiàn)[D].廣州:廣東工業(yè)大學(xué),2013.

[6]胡海飛.“私有云”架構(gòu)下終端安防體系的變革[J].信息安全與通信保密,2013(11):111-114.

[7]范秋生.數(shù)據(jù)加密技術(shù)在計(jì)算機(jī)安全中的應(yīng)用[J].煤炭技術(shù),2013,32(7):171-172.

[8]顧欣.文件透明加密保護(hù)系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)[D].西安:西安電子科技大學(xué),2012.

[9]李世富.基于透明加密的文件保密技術(shù)研究[D].武漢:武漢理工大學(xué),2012.

[10]趙宇波.陜西煤業(yè)化工集團(tuán)公司信息化管理體系研究[D].西安:西安科技大學(xué),2013.

[11]孫學(xué)軍.信息化對(duì)資源型企業(yè)經(jīng)營績效影響評(píng)價(jià)研究[J].資源與產(chǎn)業(yè),2013,15(6):125-129.

[12]王健.基于PKI的數(shù)字證書統(tǒng)一管理平臺(tái)[D].太原:太原理工大學(xué),2013.

[13]趙泰,于文文,王新茹.企業(yè)交互中的數(shù)據(jù)安全管理方案分析[J].計(jì)算機(jī)安全,2010(9):83-84.

[14]張健.電子文件信息安全技術(shù)體系研究[J].檔案與建設(shè),2013(2):4-7.

A Lightweight File Secure Management Scheme for Small and Middle Enterprise

XIE Hui1,WANG Guoqi1,LEI Wan2,ZHENG Tao1

(1.Shaanxi Coal and Chemical Technology Institute Co.,Ltd.,Xi’an 710077,China;

2.School of Communications Engineering,Xidian University,Xi’an 710071,China)

AbstractThe development of enterprise informatization brings new challenges to the secure files management,but traditional file security management schemes only pay attention to the file security and ignore the identity authentication for the person who uses the file.Based on identity authentication and file encryption technology,a lightweight file secure management scheme is proposed to meet the demands of file storage protection for small and middle enterprise.The scheme has been proved to be able to offer secure,efficient storage and usage through detailed analyses of security and performance.

Keywordsfile security;identity authentication;file encryption;file sharing

中圖分類號(hào)TN918.4;TP309

文獻(xiàn)標(biāo)識(shí)碼A

文章編號(hào)1007-7820(2016)02-169-04

doi:10.16180/j.cnki.issn1007-7820.2016.02.046

作者簡介:解暉(1983—),男,碩士,工程師。研究方向:信息技術(shù)管理。王國旗(1964—),男,碩士研究生,高級(jí)工程師。研究方向:安全技術(shù)及工程。

基金項(xiàng)目:國家自然科學(xué)基金資助項(xiàng)目(61303218)

收稿日期:2015- 07- 02