解　暉,王國旗,雷　婉,鄭　濤

(1.陜西煤業(yè)化工技術研究院有限責任公司,陜西 西安　710077;2.西安電子科技大學 通信工程學院,陜西 西安　710071)

?

一種面向中小企業(yè)的輕量級文件安全管理方案

解暉1,王國旗1,雷婉2,鄭濤1

(1.陜西煤業(yè)化工技術研究院有限責任公司,陜西 西安710077;2.西安電子科技大學 通信工程學院,陜西 西安710071)

摘要企業(yè)信息化的發(fā)展給文件的安全管理帶來了新的挑戰(zhàn),然而傳統(tǒng)的文件安全管理方案只注重文件本身的安全,而忽略了使用文件人員身份認證問題。文中提出一種基于身份認證與文件加密技術的輕量級文件安全管理方案,該方案用以滿足中小型企業(yè)對文件安全存儲及使用的需求。通過對安全性及性能的分析,證明該方案可實現(xiàn)對文件安全、有效地存儲及使用。

關鍵詞文件安全;身份認證;文件加密;文件共享

隨著企業(yè)信息化的不斷發(fā)展,大量敏感信息以電子文檔形式存在,而電子文檔易操作、易復制以及可重復使用等特點使得電子文檔容易擴散,電子文檔的丟失成為企業(yè)數(shù)據(jù)安全的主要隱患。為保障企業(yè)敏感信息的安全,除了采用在網(wǎng)絡出入口部署防火墻、敏感區(qū)域進行入侵檢測等網(wǎng)絡安全的手段以外,還有一些必要手段保障數(shù)據(jù)本身的安全,如基于物理隔離和規(guī)章制度的機制[1-3]、基于私有云的信息集中存儲處理機制[4-6]以及基于加密技術和密鑰管理的數(shù)據(jù)信息管理機制[7-9]。

基于物理隔離和規(guī)章制度的方案保證了涉密信息的安全存儲,也為企業(yè)內(nèi)部網(wǎng)絡劃定了明確的安全邊界。但該方案部署成本高,對涉密信息的輸出管控嚴格,復雜的審批流程使得企業(yè)辦公極不靈活。對于基于私有云的信息集中存儲處理方案,大幅減少了企業(yè)維護人員的工作量,且安全性更高。但該方案由于必須保證私有云自身的可靠性,需要部署大量的容災設備,基礎成本過高?；诩用芗夹g和密鑰管理的數(shù)據(jù)信息管理方案可通過軟件的形式來滿足數(shù)據(jù)存儲和傳輸?shù)谋Ｃ苄孕枨?易于部署;即使員工計算機被動感染木馬等工具,也無法解密加密文件。但該方案無法防止攻擊刪除敏感數(shù)據(jù)。

綜上所述,現(xiàn)有數(shù)據(jù)安全保障機制并不能滿足中小企業(yè)人員少、安全成本低的現(xiàn)狀以及對數(shù)據(jù)安全存儲、訪問以及傳輸?shù)萚10-11]安全需求。為解決上述問題,本文提出一個統(tǒng)一、完善的文件安全管理體系方案,在不增加硬件設備的基礎上,為企業(yè)提供一個安全、有效的文件保護系統(tǒng),來保障企業(yè)內(nèi)部數(shù)據(jù)的保密性、完整性,并能防止企業(yè)員工的身份仿冒及抵賴。

1預備知識

1.1公鑰基礎設施

公鑰基礎設施(Public Key Infrastructure,PKI)[12],是一組由硬件、軟件、參與者、管理政策與流程組成的基礎架構,其目的在于創(chuàng)造、管理、分配、使用、存儲以及撤銷數(shù)字證書。

一個簡單的PKI系統(tǒng)包括證書機構(Certificate Authority,CA)、注冊機構(Register Authority,RA)和相應的PKI存儲庫。CA是PKI的核心,是負責發(fā)放和管理數(shù)字證書的權威機構,并作為電子商務交易中受信任的第三方,承擔公鑰體系中公鑰的合法性檢驗的責任。

1.2Ukey

UKey是一種具有密碼驗證功能、可靠高速的小型存儲設備,通過USB直接與計算機相連,基于可信計算機及智能卡技術把易用性、便攜性和最高級別的安全性帶給了在線交易、表單簽名、文件數(shù)字簽名等操作的用戶,保證用戶在Ukey下的操作不可篡改、抵賴。

2文件安全管理體系方案

針對中小企業(yè)數(shù)據(jù)安全的現(xiàn)狀和需求,提出了一體化的文件安全管理體系方案,該方案依托PKI在用戶身份認證、保密通信方面的優(yōu)勢,并基于企業(yè)信息系統(tǒng)的使用現(xiàn)狀,采用CA構造的一個適合企業(yè)具體使用環(huán)境的方案,實現(xiàn)企業(yè)對用戶身份認證、安全文件存儲、共享及傳輸?shù)确矫娴陌踩枨?。并通過Ukey來進一步加強本方案的安全性,提供安全高效的數(shù)據(jù)加解密功能。

2.1系統(tǒng)初始化

本方案的初始化包括部署整個網(wǎng)絡的軟硬件環(huán)境以及方案中使用到的密鑰的生成算法。

2.1.1網(wǎng)絡軟硬件部署

本方案的安全管理體系包括文件安全管理平臺和員工客戶端。平臺的網(wǎng)絡部署如圖1所示。

圖1　平臺網(wǎng)絡部署圖

(1)統(tǒng)一認證及管理服務器由信息中心的管理員對整個平臺進行管理和監(jiān)控;(2)證書服務器CA負責審核員工的身份認證請求,決定是否為其提供數(shù)字證書以及數(shù)字證書的簽發(fā)、查詢、注銷以及更新等服務;(3)密鑰管理服務器集中管理系統(tǒng)中的所有密鑰,包括生成、撤銷或更新文件的對稱加密密鑰、員工數(shù)字證書的公私鑰對和員工通信時的臨時會話密鑰等;(4)文件共享服務器存儲系統(tǒng)中所有員工用于共享的文件。

客戶端是安裝在每個部門員工計算機上的軟件系統(tǒng),為每個員工分配對應的Ukey,存儲著員工的數(shù)字證書、公私鑰對、文件加密密鑰,用來對員工進行身份認證、文件加解密、數(shù)字簽名等。

2.1.2密鑰生成

整個文件安全管理體系在多項服務中都涉及密鑰的生成與保存,如所有員工U={u1,…,un}的公私鑰對{(sku1,pku1),…,(skun,pkun)}、加密密鑰{K1,…,Kn}以及共享密鑰{K’1,…,K’n}等。這些密鑰都存儲在員工的Ukey中,在使用時可以進行透明加解密。其中,(1)公私鑰對(skut,pkut)是CA審核員工ut身份后為ut分發(fā)的數(shù)字證書,用于對ut身份的驗證;(2)加密密鑰Kt是員工ut進行文件加密時的對稱加密密鑰庫,針對不同的文件Fi使用不同的密鑰kti;(3)共享密鑰K’t是員工ut進行文件共享時的共享密鑰庫,針對不同的文件Fi使用不同的密鑰k’ti。

2.2注冊與登陸

為防止企業(yè)系統(tǒng)內(nèi)部造成的安全事件,部門員工在注冊系統(tǒng)時,系統(tǒng)必須對員工身份進行認證。

2.2.1員工注冊

當員工ut進行注冊時,其流程如下:(1)首先,ut將自身的個人信息提交給CA;(2)申請信息存儲在CA服務器的RA模塊數(shù)據(jù)庫中,RA管理員審查ut的申請請求,若ut是合法的,則RA管理員將通過審核的申請信息發(fā)送到CA模塊;(3)CA將ut的個人信息發(fā)送給密鑰管理服務器申請為ut生成數(shù)字證書(skut,pkut)和個人密鑰Kt;(4)密鑰管理服務器調(diào)用相關算法為ut生成密鑰后,將(skut,pkut)添加到CA的目錄服務器中,并將加密的(skut,pkut)和Kt返回給CA,由CA分發(fā)給ut,存儲在ut的Ukey中。

2.2.2員工登陸

(1)當ut注冊成功后登陸信息系統(tǒng)時,輸入自身的用戶名和密碼,并用自身存儲在Ukey內(nèi)的skut對用戶名和密碼進行簽名,生成簽名數(shù)據(jù)Cs=Encskut(用戶名,密碼)再發(fā)送給CA;(2)CA收到登陸請求時,用ut的pkut驗證身份,即得到Decpkut(Cs)=(用戶名,密碼)后,通知ut系統(tǒng)登錄成功。

2.3文件加密與共享

2.3.1本地文件加密

為減小客戶端的計算壓力和資源浪費,針對企業(yè)各部門對不同數(shù)據(jù)的重視程度,本文設計了一個自定義的文件密級分級方案。自定義的文件密級分級方案要求各部門將本部門重要的、需要保密的文件進行加密存儲,而對于一般可公開的文件,則直接明文存儲在本地。

當ut需要對本地文件Fi進行處理時,流程如下:(1)首先按照自己部門的工作性質(zhì)將Fi進行分類:保密文件還是可公開文件;(2)若是可公開文件,ut直接將Fi存放在本地計算機上;而若是需要保密的文件,ut在本地加密存儲Fi;(3)當進行本地加密存儲時,用Ukey中存儲的個人文件密鑰kti加密Fi得到密文C=Ekti(Fi)并存儲在本地計算機。

2.3.2文件共享

當ut需要將Fi共享給領導或其他員工時,流程如下:(1)ut首先向密鑰管理服務器提出共享申請,服務器會根據(jù)企業(yè)制定的安全策略審核共享申請,如ut是否有相應的安全權限;(2)一旦共享申請通過,ut會用密鑰管理服務器返回的共享密鑰k’ti加密Fi得到密文C’=Ek’ti(Fi),并將需要共享的員工列表上傳到文件共享服務器,再由服務器加密存儲來實現(xiàn)文件共享。

每次加密文件使用新的個人文件密鑰和共享密鑰,Ukey和密鑰管理服務器同時更新員工的密鑰庫。

2.4文件訪問

2.4.1本地文件訪問

當ut需要訪問自身存儲在本地的加密文件C=Ekti(Fi)時,插上Ukey,打開自身計算機上的安全文件管理客戶端軟件。然后打開需要訪問的文件Fi,客戶端會自動將員工Ukey中的kti與C進行匹配;匹配成功,則可計算得到Ekti(C)=Fi,ut將可看到文件明文Fi,而無kti的員工不能看到正確的Fi。

2.4.2共享文件訪問

(1)當ut需要訪問自身的共享文件C’=Ek’ti(Fi)時,在登陸安全文件管理客戶端后通過查詢共享列表即可看到自己的所有共享文件;(2)ut用自身Ukey中已有的共享密鑰K’t去解密C’,若無法解密,則提取文檔之間的共享密鑰哈希值,并將其發(fā)送給密鑰管理服務器申請共享密鑰k’ti;(3)密鑰管理服務器根據(jù)接收到的哈希值匹配ut密鑰列表K’t中的每一個密鑰k’ti的哈希值,匹配成功后,將k’ti以密文形式發(fā)送到ut的Ukey中;(4)Ukey會在后臺透明解密C’,得到Ek’ti(C’)=Fi,ut即可看到共享文件Fi。

3安全性分析

3.1身份認證的安全性

該文件安全管理方案采用基于CA的認證機制來保證企業(yè)員工在進入系統(tǒng)時的身份認證,CA的安全性保證了每個員工的數(shù)字證書不可被隨意偽造,只有信息中心才能生成可被系統(tǒng)驗證的數(shù)字證書。其次,數(shù)字證書的私鑰可用于進行數(shù)字簽名,其他人或機構可通過公開的公鑰對員工身份進行認證,保證了員工在通信中的不可否認性。

3.2文件加密的安全性

文件在本地加密存儲或共享給其他員工時,需要對文件進行對稱加密。安全的對稱加密算法保證了加密文件只能被擁有相應密鑰的員工解密,保證了文件的安全性。

4性能分析

本小節(jié)將對所提方案在員工注冊與登陸、文件加密、共享與訪問操作的計算開銷進行性能評估,利用Openssl工具來對各個操作進行基本的計算開銷測試。測試環(huán)境為一臺2.4 GHz雙核處理器和4 GB內(nèi)存的計算機,安全文件管理服務器和客戶端安裝在一臺計算機上,測試鏈接通過后,安裝一款Ukey驅動程序,每個員工配備唯一的Ukey來存儲數(shù)字證書、個人密鑰及共享密鑰等。

用一個1 kB的文件進行測試,期間產(chǎn)生的通信開銷可忽略不計,只計算文件進行對稱加解密(AES)的開銷。具體的計算開銷如表1所示。

表1　各項操作的計算開銷

隨著員工需要處理的文件數(shù)目增多,文件加密和共享的開銷也會增大,選取每個文件大小為1 kB進行測試,結果如圖2所示。

圖2　文件加密和共享開銷

圖3　文件訪問開銷

而相應的,對加密文件和共享文件的訪問時間也會增大,選取同樣大小的文件進行測試,結果如圖3所示?？梢姳痉桨冈谔幚砦募用堋⒐蚕砑霸L問操作的計算開銷較小、效率較高,完全能滿足中小型企業(yè)的需要。

5結束語

本文提出的基于CA的文件安全管理體系有效地解決了中小型企業(yè)文件安全系統(tǒng)中用戶身份認證、文件保密、共享以及安全通信等問題,分析了方案的安全性,并對系統(tǒng)進行了相應的性能測試。結果證明,該文件安全體系能可防范內(nèi)部攻擊和泄密的威脅,滿足了企業(yè)網(wǎng)絡內(nèi)部安全使用的需求,且相較于同類文件安全管理方案具有更貼近實際環(huán)境、更靈活安全的優(yōu)勢[13-14]。

參考文獻

[1]李瑋.涉密信息系統(tǒng)物理隔離防護的設計與實現(xiàn)[D].杭州:浙江工業(yè)大學,2013.

[2]王朝陽.內(nèi)部網(wǎng)安全解決方案[J].計算機安全,2008(7):66-67.

[3]林朝愛,傅鸝.網(wǎng)絡物理隔離體系結構的研究[J].現(xiàn)代計算機,2007(7):105-107.

[4]鮑愛華,袁曉萍,陳鋒,等.一種基于虛擬隔離機制的安全私有云存儲系統(tǒng)[J].計算機科學,2014,41(1):202-207,216.

[5]錢進進.私有云安全存儲技術的研究與實現(xiàn)[D].廣州:廣東工業(yè)大學,2013.

[6]胡海飛.“私有云”架構下終端安防體系的變革[J].信息安全與通信保密,2013(11):111-114.

[7]范秋生.數(shù)據(jù)加密技術在計算機安全中的應用[J].煤炭技術,2013,32(7):171-172.

[8]顧欣.文件透明加密保護系統(tǒng)的設計與實現(xiàn)[D].西安:西安電子科技大學,2012.

[9]李世富.基于透明加密的文件保密技術研究[D].武漢:武漢理工大學,2012.

[10]趙宇波.陜西煤業(yè)化工集團公司信息化管理體系研究[D].西安:西安科技大學,2013.

[11]孫學軍.信息化對資源型企業(yè)經(jīng)營績效影響評價研究[J].資源與產(chǎn)業(yè),2013,15(6):125-129.

[12]王健.基于PKI的數(shù)字證書統(tǒng)一管理平臺[D].太原:太原理工大學,2013.

[13]趙泰,于文文,王新茹.企業(yè)交互中的數(shù)據(jù)安全管理方案分析[J].計算機安全,2010(9):83-84.

[14]張健.電子文件信息安全技術體系研究[J].檔案與建設,2013(2):4-7.

A Lightweight File Secure Management Scheme for Small and Middle Enterprise

XIE Hui1,WANG Guoqi1,LEI Wan2,ZHENG Tao1

(1.Shaanxi Coal and Chemical Technology Institute Co.,Ltd.,Xi’an 710077,China;

2.School of Communications Engineering,Xidian University,Xi’an 710071,China)

AbstractThe development of enterprise informatization brings new challenges to the secure files management,but traditional file security management schemes only pay attention to the file security and ignore the identity authentication for the person who uses the file.Based on identity authentication and file encryption technology,a lightweight file secure management scheme is proposed to meet the demands of file storage protection for small and middle enterprise.The scheme has been proved to be able to offer secure,efficient storage and usage through detailed analyses of security and performance.

Keywordsfile security;identity authentication;file encryption;file sharing

中圖分類號TN918.4;TP309

文獻標識碼A

文章編號1007-7820(2016)02-169-04

doi:10.16180/j.cnki.issn1007-7820.2016.02.046

作者簡介:解暉(1983—),男,碩士,工程師。研究方向:信息技術管理。王國旗(1964—),男,碩士研究生,高級工程師。研究方向:安全技術及工程。

基金項目:國家自然科學基金資助項目(61303218)

收稿日期:2015- 07- 02