EDRP产品技术白皮书1218.docx
- 文档编号:10084898
- 上传时间:2023-05-23
- 格式:DOCX
- 页数:19
- 大小:309.10KB
EDRP产品技术白皮书1218.docx
《EDRP产品技术白皮书1218.docx》由会员分享,可在线阅读,更多相关《EDRP产品技术白皮书1218.docx(19页珍藏版)》请在冰点文库上搜索。
EDRP产品技术白皮书1218
EDRP企业数字版权保护系统
技术白皮书
2007年12月
目录
1概述3
1.1系统简介3
1.2系统组成4
1)硬件4
2)软件4
3)体系结构4
2主要功能介绍5
2.1安全管理中心5
2.2令牌管理中心6
2.3U盘管理中心7
2.4策略编辑器8
2.5策略分配器9
2.6策略服务器12
2.7文档服务器13
2.8客户端14
3产品特点15
3.1基于PKI技术,双密钥设计15
3.2完全透明的过程加密15
3.3内核级加密,支持任意格式16
3.4复制粘贴拖放拷屏的处理16
3.5灵活的组策略16
3.6文档集中管理与分散管理16
4产品设计思想17
4.1目标17
4.2实现原理17
5系统要求18
6关键技术18
6.1内容识别,而非扩展识别18
6.2不依赖进程名来确定是否受控程序19
6.3人性化的复制粘贴拖放截屏控制19
7产品优势19
1概述
1.1系统简介
在当今信息社会中,商业间谍、黑客、不良员工对企业的信息安全形成了巨大的威胁。
而网络的普及和USB接口的大量使用给企业获取和交换信息带来巨大方便的同时,也给这些威胁大开方便之门。
如何来管理这些情况呢?
大多数企业是采用拆除光驱软驱,封掉USB接口。
限制上网等方法来尽可能的减少信息交换,以达到信息保密的目的。
或者安装一些监控软件。
监控员工的日常工作,使其不敢轻举妄动。
但这些方法都严重影响工作的方便性,并容易引起员工的抵触情绪,甚至可能会带来法律方面的问题。
并且现在大量事实证明这种方法效果不是很好,重要的文件往往依旧会泄漏。
2003年,美国的执法机构FBI和CSI对数百家企业进行了调查。
该调查结果认为绝大多数泄密事件是由内部人员所为,或者由内外勾结造成的。
IDC的报告也得出了类似的结论:
70%的安全损失是由内部造成的。
这些都印证了中国的一句古话“家贼难防”。
由于内部人员熟悉文件的存放,还可以接触到密级高、范围广的文件,所以一旦发生内部人员故意泄密事件,其危害程度是大大超过外部人员的盗取(例如黑客攻击行为)。
可见,从数据保密角度来讲,要内外兼防、甚至要防内终于防外。
EDRP企业数字版权保护系统正是为解决这个长期困扰企业的难题而开发的。
她集设备控制、文件强制加密等功能于一体,从信息的源头“文件”主动加密来解决。
EDRP采用“强制加密”技术和“文件数字水印”技术,从信息的源头“文件”主动加密来彻底解决文件的泄密问题。
其基本的前提和理念是:
1)所有指定的文件必须都加密保存;
2)加密文件的使用者感觉不到加密的存在,对用户完全透明;
3)加密文件的使用者永远不会拿到文件的解密密钥;
4)加密文件离开网络环境便无法打开。
EDRP可以确保企业的核心竞争力,是企业在信息化道路中的安全哨兵和必备助手。
应用EDRP可以实现下列两点基本目标:
1)切断途径,没法拿:
EDRP可以根据需要,可以禁止使用U盘等移动存储设备(其他USB设备不受影响)或设置其为只读模式,切断最主要的泄密途径。
对于打印机,也可以设置为禁用模式,当需要打印时,可允许其临时使用多少时间,当时间片用完后将会再次自动禁止。
2)实时加密,拿了也没用:
加密过后的文件在公司内部可以正常流通使用,但XX的文件拷贝到外面时将无法正常打开使用。
使得人家即使窃得文件,得到的也将是一堆乱码。
同时此加密过程为全透明的。
用户(即员工)无需也无法干预。
也不会对用户的使用习惯有任何改变。
EDRP是一个向整个计算机系统提供安全、便捷、广泛的反商业泄密解决方案的信息安全产品。
在任何时间地点安全地保护计算机系统及文件数据不被侵犯,让机密文件得到最周全的保护并无缝地嵌入操作系统实现便捷、透明的安全保护。
EDRP的出现,为企业提供一个低应用成本、高可靠反商业泄密解决方案。
1.2系统组成
1)硬件
ePass1000ND电子钥匙。
2)软件
管理中心、客户端:
管理中心主要模块有:
安全管理中心、令牌管理中心、身份卡管理、U盘管理中心、策略编辑器、策略分配器以及策略服务器等。
客户端:
强制支持策略,指定类型的文档强制加密,为相关文件提供实时的加解密服务,此客户端不可见,用户不可手动停止及卸载。
3)体系结构
图1系统体系机构
2主要功能介绍
2.1安全管理中心
主要功能包括组织机构管理、证书管理、密钥管理、审计管理等。
安全管理中心按企业或组织的机构设置,以树型结构定义局域网内的计算机终端;并按企业或组织的人员设置,为用户分组,并使用户与计算机终端对应;可以对企业或组织内的个人数字证书进行管理,包括导入第三方可信CA分发的数字证书,或为内部人员制作个人数字证书;对企业或组织内部的对称密钥进行管理;具有为每个终端定制安全策略的功能。
图2安全管理中心
2.2令牌管理中心
主要功能是对用户的身份卡进行管理。
令牌管理中心,提供了对用户身份标识––令牌的管理,包括设置令牌类型管理和初始化,许可证管理,以及密钥信息的导入。
经过令牌管理中心分发的令牌才能分配到企业或组织内部的每个人手中,才能使用内网安全保密系统客户端提供的安全保密功能。
同时登记每个用户令牌的信息,并能打印出列表,方便企业内部令牌的安全保密管理。
图3令牌管理中心
2.3U盘管理中心
U盘管理中心可以为个人、组、机构制作加密或认证的U盘。
可以在安全管理中心设置安全策略,只有加密的U盘,才能在指定的计算机上使用,非加密U盘无法使用,或只能是只读状态;或只有经过认证的U盘,才能在企业内部局域网中的计算机上使用,未经过认证的U盘不能在局域网中的计算机上使用。
同时登记每个用户使用保密U盘的信息,并能打印出列表,方便企业内部移动介质的安全保密管理。
图4保密U盘管理中心
2.4策略编辑器
主要包括添加规则、删除规则、修改规则等功能。
策略编辑器提供企业或组织内部的文件加密策略的编辑功能,可以指定某种类型的应用软件产生的文档必须加密。
企业或组织可以根据实际情况设置文档加密策略。
图5策略编辑器
2.5策略分配器
策略分配器按企业或组织内部的编组,为每个组选择或分配安全策略,安全策略包括文件加密策略、USB及移动存储策略、I/O输入输出策略以及安全登录策略和剪切板策略等。
图6策略分配器
图7策略调整
图8USB及移动存储策略
图9I/O端口策略
2.6策略服务器
策略服务器为企业或组织内部的计算机终端提供密钥和策略服务,用户通过EDRP客户端登录到策略服务器进行身份认证,身份认证通过后,取回加密密钥和策略。
图10策略服务器
2.7文档服务器
为了在局域网内实现用户间信息的共享,以及对外信息交换,实现了文档服务器,主要解决以下4个问题:
1)用户个人资料信息的集中存储;
2)用户间资料信息的共享交换;
3)组织内文档的授权访问;
4)单位文档的授权访问;
文档服务器采用C/S/S(客户端/服务器/数据库)的方式实现。
即所有文档以密文的形态存储在数据库服务器中,文档服务器以服务进程的方式管理数据库中的文档,并接受客户端的请求。
客户端根据用户的操作上传或下载数据库中的文档。
图11文档服务器
2.8客户端
包括强制加密客户端和文档服务器客户端。
强制加密客户端:
强制支持策略,指定类型的文档强制加密,为相关文件提供实时的加解密服务,此客户端不可见,用户不可手动停止及卸载。
图12客户端登录
文档服务器客户端:
图12文档服务器客户端
3产品特点
3.1基于PKI技术,双密钥设计
每个用户有一个电子钥匙,其上有数字证书、用户密钥等元素。
3.2完全透明的过程加密
当用Word打开一个DOC文档,用AutoCAD打开一个DWG文件时,EDRP会自动监测到此操作,并进行相关的解密工作,当要保存此文件时,又会进行相关的加密工作。
所有的这些动作都是EDRP在背后默默的完成的,用户根本无需也无法进行干预。
这些被加密过的文件无论采用何种方式——用U盘拷贝、用光盘刻录、发邮件、用Ftp上传、用QQ等P2P工具上传——泄漏出去的文件均无法打开。
3.3内核级加密,支持任意格式
EDRP采用驱动技术,工作于系统的最底层。
同ApiHook技术相比,其有加解密速度更快、难以被追踪破解的特点。
并且没有ApiHook技术的天生缺陷。
如ApiHook技术必须要DLL注入到相关进程才能进行加解密控制。
但有些程序是控制台程序,无法进行注入。
所以,这也是为什么有些自动加密软件会导致部分功能(如导入导出等)无法正常使用的原因,而内核级加密则可以让任何软件均正常运行,做到真正的不影响用户使用习惯。
3.4复制粘贴拖放拷屏的处理
若采用复制粘贴可将加密的内容拷贝至非加密内容中,即可导致信息的泄密。
但若限制复制粘贴等功能,则用户的日常工作将会受到影响。
EDRP设计的初衷是在提供信息保密的同时又不能影响用户的使用习惯。
对此EDRP采用的策略是:
加密文件之间可以互相复制粘贴,非加密文件之间也可互相复制粘贴,非加密文件的内容可粘贴至加密文件,但加密文件的内容不可粘贴至非加密文件中。
对于拖放,EDRP也采用同样的策略。
对于拷屏的策略是,如果有加密的文件处在打开状态,则禁止拷屏,否则允许。
3.5灵活的组策略
根据用户的工作需要,可以将工作内容相似的电脑编至一组,如技术组、财务组、销售组。
可以对整个工作组进行设置,同时也可对某台电脑进行单独的设置。
也可以指定某台电脑同时在几个不同的组中。
3.6文档集中管理与分散管理
根据实际的工作需要,企业或组织可以把机密文档存放到文档服务器上,授权用户可以访问下载机密文件;机密文件下载到客户端是以密文的形式存在,并受强制加密客户端的保护。
文档集中管理与分散管理的策略保证了文档的全程受控与安全。
4产品设计思想
4.1目标
EDRP总的目标是:
统一安全性和方便性的矛盾,即在保障数据严密的安全性的前提下,充分保留数据使用的方便性。
具体地可以细化为以下几条:
⏹特定的文件(并非所有的文件)在生成(或保存)之时,就应该被加密,且加密要由计算机自动地进行,不能依靠人工执行;
⏹文件的加密和解密,不能依赖人工设定的密码或口令;
⏹被加密的文件在被涉密计算机打开之时,就应该被解密,且解密要由计算机自动地进行,无需人工操作,文件的使用者也无需知道“密码”;
⏹被加密的文件在被非涉密计算机私自打开之时,应该报错、显示乱码或者其他方式以阻止文件内容被传播;
⏹文件如果要被外部人员(或非涉密计算机)所读取,应该由专人来审查并解除其保密状态;
⏹集中管理的文件应该集中加密保存。
4.2实现原理
在操作系统中,I/O(输入输出)管理器负责处理所有设备的I/O操作。
I/O管理器通过设备驱动程序、中间驱动程序、过滤驱动程序、文件系统驱动程序等完成I/O操作,见图:
图13强制加密内核原理
我们的驱动程序位于图中红色部分。
当有需要受控的软件在运行时,驱动程序将会监视该程序的I/O动作,当要写文件时,将会将其自动加密,然后交给下层设备驱动程序来完成真正的磁盘写入动作。
当监视到有读的动作时,首先识别此文件是否是已经加密的文件,如果是加密文件,则在读取时自动对读取到内存的数据进行解密。
这样在应用程序看起来,就像是什么事都没有发生。
用户所有的使用习惯都不会受到影响。
5系统要求
硬件要求:
最低配置CPUPII400、内存64M、硬盘20M可用空间。
推荐配置CPUPIII800以上、内存128M以上、硬盘20M以上可用空间。
软件要求:
操作系统Windows2000、WindowsXP、Windows2003的各个版本。
6关键技术
6.1内容识别,而非扩展识别
根据文件内容而不是文件扩展名来识别文件是否要加密。
如果采用扩展名来决定文件是否要加密,则有可能导致泄密事件的发生。
比如有些软件安装某些插件后,可以导出新的文件格式,比如安装Acrobat后,可在MSOffice、AutoCAD中形成插件。
直接导出PDF格式的文件。
当然我们也可以将以PDF为扩展名的文件也加密,但我们终究无法穷举所有插件。
另外还有一个更严重的问题是:
当我们保存文件时,可以将文件的扩展名强制用双引号更改,比如当出现保存对话框时,我们输入”c:
\a.abc”,则此时将会在C盘根目录下生成一个a.abc文件,当然如果用扩展名识别技术,此文件将会逃过加密。
6.2不依赖进程名来确定是否受控程序
如果依赖进程名来确定该程序是否是要受控的程序,则当用户手工修改程序名时,如将EXCEL.EXE改成abc.exe。
就将会绕过加密软件的控制。
导致明文的产生。
而EDRP采用了更为智能的识别机制。
无论如何修改名称,都能够被正确的识别出来。
6.3人性化的复制粘贴拖放截屏控制
EDRP认为:
一方面要限制通过这些途径将明文泄漏,而另一方面又不能对用户的使用习惯造成不便。
所以EDRP禁止了从加密文件向非加密粘贴或拖放内容,以免造成泄密,而其他形式的粘贴拖放则不受影响。
对于截屏的处理,则只有在有加密文件被打开时才禁止。
其他时候截屏功能依旧可以正常使用。
7产品优势
目前常见的反商业泄密解决方案有以下几种:
●物理隔离:
拆除光驱软驱、塞住USB端口、机箱上封条、内外网断开等
分析:
此方法简单易行,无需第三方厂商介入即可完成。
但同时给员工的工作带来严重的影响。
并且其效果差强人意,因为员工还可以通过PS2、串口、并口来传输文件。
●端口封锁:
安装专用的软件来替代物理方式。
用软件方式来禁用相关的端口。
分析:
与物理方式不同的是其不具有破坏性,可在员工需要时解锁相关端口。
但一旦将软件卸载或重装系统即所有防护均失效。
●实时监控:
安装专用软件,监控员工用电脑做的事情。
分析:
此方法可对员工形成强大的心理震慑,使其不敢轻举妄动。
但此方法会导致员工的忠诚度大大降低,甚至有可能会引起法律方面的问题。
而且同端口封锁软件一样,一旦软件被卸载或重装系统,则所有防护均失效。
●文件强制加密:
安装EDRP,对相关重要文件进行实时加密。
分析:
安装EDRP客户端,不会对员工的使用习惯造成任何的改变。
甚至员工都不知道自己机器上安装有EDRP客户端。
无论用何种方式传出去的文件,其内容都会自动损毁。
用户卸载或重装系统后,其硬盘中的文件依旧是加密的。
●文档集中存储:
安装EDRP文档服务器,对相关重要文件进行集中存储加密。
分析:
企业或组织的机密文档可以通过文档服务器,事先集中存储加密,确保了文档的安全性。
通过以上分析可以看出,EDRP采用透明加密方式对于目前的反商业泄密是最有效且应用成本最低的一种方式。
并且配合其辅助功能,可为企业提供一个全方位、一体化的解决方案。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- EDRP 产品 技术 白皮书 1218