企業(yè)該如何選擇加密軟件-幾點(diǎn)建議

選擇加密軟件的幾點(diǎn)建議隨著信息化的普及，企業(yè)數(shù)據(jù)的安全越來越受到重視，目前國內(nèi)已有不少加密軟件，如何選擇加密軟件呢？這里參考一些廠家提供的文檔并結(jié)合自己的經(jīng)驗(yàn)，提供一些建議供大家參考。加密軟件按照實(shí)現(xiàn)的方法可劃分為被動(dòng)加密和主動(dòng)加密。被動(dòng)加密：是指被加密的文件，在使用前需首先解密得到明文，然后才能使用。這類軟件主要適用于個(gè)人電腦數(shù)據(jù)的加密，防止存儲(chǔ)介質(zhì)的丟失（比如硬盤被盜）導(dǎo)致數(shù)據(jù)的泄密；主動(dòng)加密（或者說透明加密、自動(dòng)加密）：是指在使用過程中自動(dòng)對文件進(jìn)行加密或解密操作，無需用戶的干預(yù)，合法用戶在使用加密文件前，不需要進(jìn)行解密操作即可使用，表面看來，訪問加密的文件和訪問未加密的文件基本相同，對合法用戶來說，這些加密文件是“透明的”，即好像沒有加密一樣，但對于沒有訪問權(quán)限的用戶，即使通過其它非常規(guī)手段得到了這些文件，由于文件是加密的，因此也無法使用。由于動(dòng)態(tài)加密技術(shù)不僅不改變用戶的使用習(xí)慣，而且無需用戶太多的干預(yù)操作即可實(shí)現(xiàn)文檔的安全，因而近年來得到了廣泛的應(yīng)用。目前針對企業(yè)的防泄密軟件（企業(yè)內(nèi)部的文件可以自由流通、閱讀，一旦拷貝出去或者脫離企業(yè)網(wǎng)絡(luò)環(huán)境，將無法閱讀），大多采用主動(dòng)加密技術(shù)。由于主動(dòng)加密要實(shí)時(shí)加密數(shù)據(jù)，必須動(dòng)態(tài)跟蹤需要加密的數(shù)據(jù)流，而且其實(shí)現(xiàn)的層次一般位于系統(tǒng)內(nèi)核中，因此，從實(shí)現(xiàn)的技術(shù)角度看，實(shí)現(xiàn)主動(dòng)加密要比被動(dòng)加密難的多，需要解決的技術(shù)難點(diǎn)也遠(yuǎn)遠(yuǎn)超過被動(dòng)加密。這里說的加密軟件就是采用主動(dòng)加密技術(shù)的軟件。下面說說在選擇加密軟件的時(shí)候，建議考查的幾個(gè)方面：加密軟件是否自動(dòng)透明加密？何謂“透明”？“透明”應(yīng)該就是指加密的動(dòng)作不需要人工干預(yù)，是軟件自動(dòng)完成的。比如：用WORD建立一個(gè)文檔的時(shí)候，軟件應(yīng)該能自動(dòng)把這個(gè)新建的文件加密，對用戶完全透明，不影響用戶的操作習(xí)慣。大部分加密軟件都是透明加密的，但是也有區(qū)別。很多應(yīng)用軟件在編輯數(shù)據(jù)文件時(shí)，都會(huì)生成臨時(shí)文件。比如Word在編輯文檔時(shí)，會(huì)在同目錄下出現(xiàn)以“~$”開頭的文件和一個(gè)以“~”開頭并以tmp為后綴的文件。這些臨時(shí)文件在相應(yīng)的數(shù)據(jù)文件被正常關(guān)閉后，會(huì)被刪除。由于這些臨時(shí)文件也存儲(chǔ)有企業(yè)的機(jī)密數(shù)據(jù)，因而這些臨時(shí)文件也應(yīng)該是要能自動(dòng)加密的。在測試的時(shí)候要特別注意。有些品牌的加密軟件，為了給自己圖方便，放棄對中間過程的文件進(jìn)行加密。例如，業(yè)界有一個(gè)老牌的廠商便采取了這樣一種做法：①攔截程序?qū)ξ募拇蜷_操作；②把打開的文件隱蔽地解密到一個(gè)“秘密”的地方；③在后臺(tái)把應(yīng)用程序?qū)?shù)據(jù)文件操作指針指向位于“秘密”之處的明文；④在關(guān)閉數(shù)據(jù)文件時(shí)，把隱藏的明文加密并替換原有的文件。這樣的設(shè)計(jì)，讓用戶看起來是能夠打開編輯密文，編輯保存后得到的還是密文。但是實(shí)際上應(yīng)用軟件真實(shí)編輯的對象是一個(gè)不加密的明文文件。如果這個(gè)“秘密的地方”被知道了，完全可以打開密文時(shí)到那個(gè)“秘密的地方”去獲得明文。加密的算法及密鑰的安全性對于一個(gè)脫離了企業(yè)環(huán)境的密文來說，安全完全由算法和密鑰來決定。所以選擇加密軟件的時(shí)候，對其采用的算法和密鑰的安全性一定要了解。一般來說，加密算法基本都采用國際流行的算法：比如RSA、DES、RC、AES等，這些算法雖然是公開的，但根據(jù)現(xiàn)代密碼學(xué)的理論，加密算法的公開與否并不影響其安全性，一個(gè)好的加密算法的安全性只依賴于密鑰。因此對于脫離了企業(yè)環(huán)境的密文來說，密文的安全主要靠密鑰的安全來保證。一個(gè)加密軟件的密鑰是否安全應(yīng)該主要要解決如下幾個(gè)問題：加密軟件的廠家如果獲取到企業(yè)的密文，廠家應(yīng)該是不能解密的。很多加密軟件，密鑰是根據(jù)計(jì)算機(jī)的某些特征值由程序生成的，企業(yè)自己無法設(shè)置，這樣只要知道了硬件的特征碼，廠家就能輕松獲取到用戶的密鑰，那么企業(yè)的文件對廠家來說就是沒有保密可言了；還有些加密軟件的密鑰就是系統(tǒng)固定的，這樣廠家只要拿到密文，就能解密；企業(yè)內(nèi)部的密文，拿到另外一個(gè)企業(yè)里面，應(yīng)該是不能解密的：現(xiàn)在很多加密軟件的控制端都由企業(yè)的網(wǎng)絡(luò)管理人員在使用，那么一旦網(wǎng)管人員離職，重新安裝相同的加密軟件，應(yīng)該保證原單位的文檔即使拷貝過去也不能閱讀。也就是要保證不同企業(yè)能有不同的加密密鑰。在使用過程中，如果密鑰泄露，應(yīng)該要有補(bǔ)救措施：比如說密鑰能支持更改，這樣密鑰泄露了，企業(yè)可以方便的更換。加密軟件是如何判斷一個(gè)文件是否需要加密的不同的企業(yè)，甚至同一個(gè)企業(yè)的不同部門，所要加密的文件有可能是不相同的。例如設(shè)計(jì)部需要對產(chǎn)品圖紙進(jìn)行加密，辦公室需要對Office類文檔進(jìn)行加密。所以，如何判斷某個(gè)文件是否應(yīng)該加密，是加密軟件一個(gè)很重要的考查指標(biāo)。一般來說，如何判斷某個(gè)文件是否需要加密，有兩種選擇方式：（1）指定受控路徑（目錄或者盤符）：即保存在指定目錄或者指定盤符中的文件一律加密。管理員可以為每一個(gè)客戶機(jī)指定一個(gè)或多個(gè)需要加密的受控路徑。用戶如果將文件保存到這個(gè)路徑下，那么文件就會(huì)被加密。這種方式帶來的問題就是：客戶端有可能將機(jī)密文件保存到非受控路徑下。廠商們?yōu)榱藨?yīng)對這個(gè)問題，通常會(huì)向用戶提供這樣的解決方案：①將所有的應(yīng)用軟件全部安裝在C盤，然后對C盤做一個(gè)鏡像，其他盤（無論是邏輯盤還是物理盤）都只允許存放數(shù)據(jù)文件；②將除C盤以外的所有盤符都設(shè)定為受控路徑，以確保所有的數(shù)據(jù)文件都是密文存儲(chǔ)；③每次Windows啟動(dòng)時(shí)，或者Windows關(guān)閉前，都會(huì)對C盤進(jìn)行自動(dòng)還原（這一點(diǎn)很像網(wǎng)吧和部分企業(yè)中采用的還原技術(shù)）。（2）指定受控程序和受控后綴方式：即由指定的應(yīng)用軟件生成的指定后綴文件（或者所有文件）一律加密。系統(tǒng)管理員可以為每一個(gè)客戶機(jī)指定一個(gè)或多個(gè)受控程序?？蛻舳巳绻眠@些受控程序保存文件，那么文件就會(huì)被加密。例如，前文所列舉的例子，管理員就可以將CAD設(shè)置（同時(shí)CAD生成的所有文件設(shè)置為受控后綴）為設(shè)計(jì)部的受控程序，將Office設(shè)置為辦公室部門的受控程序。這兩種方式，各有優(yōu)缺點(diǎn)。第一種方式的優(yōu)點(diǎn)是易于實(shí)現(xiàn)，且不關(guān)心應(yīng)用軟件是什么。但是弊端也非常明顯。主要表現(xiàn)為：①給日常的IT維護(hù)工作造成了很大的不便：殺毒軟件的特征庫升級(jí)、安裝新的應(yīng)用軟件等工作，都會(huì)隨著C盤的還原而還原，除非先解除對C盤的保護(hù)，升級(jí)或者安裝結(jié)束后再恢復(fù)保護(hù)；②有著明顯的安全漏洞：普通用戶完全可以將文件先保存到C盤，然后關(guān)閉Windows，甚至強(qiáng)行突然斷電，使得C盤的還原機(jī)制還沒有來得及發(fā)揮作用就將硬盤拆卸帶走，從而將文件的明態(tài)數(shù)據(jù)帶走了。由于明顯地弊大于利，所以這種方式只被少數(shù)的廠商所采用。第二種方式的比較符合實(shí)際應(yīng)用，因?yàn)橛脩糇铌P(guān)心的還是“由特定程序生成的文件”。這種方式易于用戶制定和維護(hù)規(guī)則。一般來說，采用了這種方式的加密軟件都會(huì)限定：只有受控程序才可以打開密文，非受控程序是不允許打開密文的。（這一限制很容易理解：如果非受控程序也能夠打開密文，那么它再將文件另存或者通過網(wǎng)絡(luò)傳送出去，密文就變成了明文了。）有些企業(yè)會(huì)有自己的業(yè)務(wù)系統(tǒng)，有可能需要閱讀加密文件，而且這些業(yè)務(wù)系統(tǒng)并不在加密軟件自帶的受控程序列表中，針對這個(gè)問題有些廠商提供了讓用戶自定義受控程序或者受控后綴的功能；有些廠商的解決方法就是讓客戶提供業(yè)務(wù)系統(tǒng)軟件，然后再幫助客戶加入。泄密途徑?jīng)]有通過授權(quán)，就可以獲取密文中的內(nèi)容的方法，稱之為泄密途徑。加密軟件中如果不對這些途徑加以控制，那么加密軟件就形同虛設(shè)。泄密途徑眾多，每種途徑的控制是加密軟件的一個(gè)重要功能。泄密途徑控制的好壞，也是選擇加密軟件的一個(gè)重要考查點(diǎn)。1、網(wǎng)絡(luò)發(fā)送使用QQ、Foxmail、Outlook等網(wǎng)絡(luò)軟件把一個(gè)密文發(fā)送到?jīng)]有安裝加密軟件的電腦上，查看是否可以看到文件的內(nèi)容。如果可以查看，說明存在泄密危險(xiǎn)。在Office軟件里面，比如WORD，打開加密的文件，然后在WORD菜單中選擇“文件”－“發(fā)送”－“郵件接收人（以附件形式）”，此時(shí)如果安裝了Outlook，會(huì)使用Outlook發(fā)送郵件，如果沒有安裝Outlook，會(huì)打開OutlookExpress發(fā)送郵件。然后到一個(gè)沒有安裝加密軟件的電腦上，接收這個(gè)郵件，看是否可以打開附件，如果可以，說明存在泄密危險(xiǎn)。2、剪貼板 查看是否可以使用Windows提供的復(fù)制-粘貼功能把密文內(nèi)容發(fā)送出去。測試方法：用WORD打開一個(gè)密文，用鼠標(biāo)選擇一些文字，復(fù)制（或CTRL+C），切換到QQ聊天窗口中，粘貼(或者CTRL+V)，查看是否可以粘貼出明文。剪貼板是個(gè)非常常用的功能，禁止使用剪貼板會(huì)使客戶端的使用者受到很多限制。加密軟件不應(yīng)該只使用禁止的方法來控制剪貼板。比較好的處理辦法是將剪貼板的內(nèi)容加密，使得復(fù)制的內(nèi)容在受控程序（如WORD）上可以粘貼出明文，而在非受控程序（如QQ）上貼出的就是亂碼。另外還應(yīng)注意一點(diǎn)，就是剪貼板的控制在360保險(xiǎn)箱下是否生效。因?yàn)?60保險(xiǎn)箱是免費(fèi)軟件安裝量非常大，如果360保險(xiǎn)箱下就會(huì)使剪貼板控制失效，那么就存在非常大的漏洞。測試方法很簡單：安裝360保險(xiǎn)箱，將WORD用保險(xiǎn)箱保護(hù)，然后在有360保險(xiǎn)箱保護(hù)下開啟WORD，查看是否可以打開密文，是否可以把內(nèi)容復(fù)制到QQ的聊天窗口上。3、屏幕拷貝查看是否可以通過屏幕拷貝的方法將文檔內(nèi)容泄露。屏幕拷貝有兩種常用方法，一種是使用Windows快捷鍵PrtScr或者ALT+PrtScr，另一種是使用一些可以捕捉屏幕的軟件，比如QQ。測試方法：針對第一種方法：用WORD打開一個(gè)密文，打開看到明文后，按一次PrtScr鍵，打開Windows自帶的畫圖軟件（開始所有程序附件畫圖），按CTRL+V，查看是否可以貼出帶有文件內(nèi)容的圖片。針對第二種方法：使用QQ作為測試軟件，查看QQ屏幕截圖功能是否可以使用。另外，QQ也是360保險(xiǎn)箱默認(rèn)保護(hù)的軟件之一，所以應(yīng)該測試一下，用360保險(xiǎn)箱保護(hù)QQ的情況下，禁止截屏是否生效。4、OLE插入OLE插入是打開密文的另一種方法。支持OLE插入技術(shù)的軟件有很多，比如Windows自帶的寫字板（可執(zhí)行文件名為wordpad.exe）。測試方法：打開一個(gè)寫字板，將一個(gè)加密的WORD文檔用鼠標(biāo)拖動(dòng)到寫字板內(nèi)（或者在寫字板菜單“插入”“對象”，并選擇“由文件創(chuàng)建”，選擇加密的WORD文檔），如果可以以明文方式打開，那么說明存在OLE泄密的漏洞。也應(yīng)該測試一下在360保險(xiǎn)箱保護(hù)寫字板的情況下，是否存在這個(gè)漏洞。5、拖拽用WORD打開一個(gè)密文，拖動(dòng)鼠標(biāo)左鍵選中一些文字，在選中的文字上用鼠標(biāo)拖動(dòng)數(shù)據(jù)，查看是否可以將這些文件拖動(dòng)到QQ聊天窗口上。如果可以，就存在拖拽泄密的風(fēng)險(xiǎn)。同樣也應(yīng)該測試一下在360保險(xiǎn)箱保護(hù)WORD的情況下，打開加密文件，然后拖動(dòng)選中的文字，看是否存在泄密風(fēng)險(xiǎn)。6、進(jìn)程識(shí)別大多加密軟件都是根據(jù)程序名和文件的后綴（擴(kuò)展名）來決定哪個(gè)文件需要加密的。比如使用WORD生成的擴(kuò)展名為“.DOC”的文檔會(huì)被自動(dòng)加密，而用WORD打開密文可以自動(dòng)解密。如果有其他程序可以冒充是WORD，那么就可以打開加密的Doc文檔了。所以，加密軟件都需要有一套機(jī)制來識(shí)別受控程序，防止非受控程序假冒。非受控程序冒充受控程序最簡單的辦法就是修改可執(zhí)行文件名。比如把FoxMail的文件名（foxmail.exe）修改成winword.exe，就用Foxmail冒充了WORD。把Foxmail.exe修改成Winword.exe，然后執(zhí)行，寫郵件并選擇一個(gè)加密的WORD文件作為附件，從另一個(gè)沒有安裝加密軟件的電腦接收下這個(gè)郵件，如果可以看到明文，那么說明進(jìn)程識(shí)別上存在漏洞。進(jìn)程識(shí)別的另一個(gè)問題是，將可信進(jìn)程冒充不可信進(jìn)程。比如WORD生成的文檔是需要加密的，如果把Winword.exe修改成111.exe，執(zhí)行這個(gè)111.exe可以創(chuàng)建明文的文檔的話，那么存在漏加密的情況。極端情況下，所有安裝了加密系統(tǒng)的人把電腦上的Winword.exe都修改成111.exe，那么所有人的DOC文檔都不會(huì)被加密了，那么加密軟件就跟沒有安裝一樣了。在進(jìn)程識(shí)別上，大部分加密軟件都解決的不是很好。有些用文件指紋庫；有些用可執(zhí)行文件名+窗口標(biāo)題結(jié)合來識(shí)別進(jìn)程；還有些廠家干脆就禁止修改受控程序的文件名，甚至有些廠家不僅禁止修改受控程序名，也禁止拷貝新建與受控程序文件名一樣的文件。但采用禁止改名的方法本身也存在很大的漏洞，比如先把受控程序的可執(zhí)行文件改名，然后再安裝受控程序，或者從網(wǎng)絡(luò)共享執(zhí)行運(yùn)行改名后的假冒程序，都可能導(dǎo)致密文的泄露。7、打印 使用WORD打開密文后，使用打印機(jī)可以把文檔打印出來，這就存在泄密的危險(xiǎn)。所以加密系統(tǒng)都應(yīng)提供可以控制打印的功能，應(yīng)該可以控制那些人可以打印，哪些人不能打印。以上這些方法都是只需要簡單操作就有可能導(dǎo)致密文泄露的途徑，選擇加密軟件的時(shí)候，這些途徑都應(yīng)該有效的被阻止。離線策略1、服務(wù)器電腦故障，或者網(wǎng)絡(luò)故障的處理方法服務(wù)器電腦故障或者網(wǎng)絡(luò)故障，此時(shí)所有的客戶端電腦或者網(wǎng)絡(luò)故障的客戶機(jī)都處于離線狀態(tài)，而且是不可預(yù)知的，被迫處于離線狀態(tài)。加密系統(tǒng)應(yīng)提供一種措施，在突發(fā)這種情況時(shí)，客戶機(jī)應(yīng)可以像正常離線一樣工作一段時(shí)間，以等待服務(wù)器或者網(wǎng)絡(luò)的恢復(fù)。2、筆記本電腦脫機(jī)的處理方法一些企業(yè)的員工上班時(shí)使用的是筆記本電腦，尤其中高層管理者。這部分員工大多晚上或者周末需要把電腦帶回家，有時(shí)要在家里加班。加密軟件應(yīng)該有辦法讓這些電腦可以在離開網(wǎng)絡(luò)的情況下依然能使用被加密的文檔。對于有這種情況的客戶，因?yàn)檫@種情況非常經(jīng)常發(fā)生，基本上每天都發(fā)生，所以在選擇加密軟件的時(shí)候也應(yīng)該考慮加密軟件在處理這種情況的方法應(yīng)該非常便捷才行。最好可以做到客戶機(jī)不需要任何操作，和平常一樣，拔下電腦網(wǎng)線直接帶走，回家后開機(jī)即可使用。另外使用公司電腦出差的員工，首先出差離開公司前，肯定要設(shè)置好出差天數(shù)等。出差的天數(shù)一般是由出差者的上級(jí)直接指定。所以出差應(yīng)該可以向直接上級(jí)申請，直接上級(jí)同意即可完成離線的設(shè)置。一些加密系統(tǒng)的實(shí)現(xiàn)方式是讓管理員來設(shè)置出差的天數(shù)，這是比較不妥的實(shí)現(xiàn)方式。因?yàn)槌霾钫弑慌鷾?zhǔn)出差后，還需要到管理員處讓管理員設(shè)置一下加密系統(tǒng)，操作上麻煩很多。其次應(yīng)該考慮出差有可能會(huì)超過預(yù)定天數(shù)。比如出差前設(shè)置離線15天，結(jié)果15天后發(fā)現(xiàn)還不能回來，還要繼續(xù)呆一段時(shí)間。這個(gè)時(shí)候應(yīng)該有一種措施，能在不把電腦搬回公司設(shè)置的情況下，延長出差的天數(shù)。離線策略有些廠家采用USBKey的方式，有些采用導(dǎo)入離線文件的方式。相比之下，USBKey安全性更好，但使用比較不方便，而且需要在采購加密軟件的同時(shí)還需要額外采購USBKey。解密文件的方法由于企業(yè)的運(yùn)轉(zhuǎn)大部分都難免與其他關(guān)聯(lián)企業(yè)有文檔交互（比如報(bào)價(jià)單、項(xiàng)目投標(biāo)書等），而這些關(guān)聯(lián)企業(yè)沒有安裝加密軟件或者沒有安裝相同的加密軟件，這就意味著密文需要解密才能外發(fā)。解密管理上，不同加密軟件采用的方法不同。所有需要解密的文件，要拷貝到特定的電腦上，使用特定的解密工具進(jìn)行解密；可以向管理員或者有權(quán)解密的操作員申請解密。這兩種方法都可以滿足日常應(yīng)用，相對來說，第二種方法在實(shí)際使用會(huì)更為方便些。當(dāng)然不管哪種辦法，對解密的文檔都應(yīng)該有日志記錄。除了上面說的申請解密外，加密軟件還應(yīng)該提供一種可以讓終端操作員自由解密的方法，稱為授權(quán)解密。授權(quán)解密應(yīng)是一種權(quán)限，這種權(quán)限可以由管理員靈活地授予客戶端。客戶端擁有這個(gè)權(quán)限后，可以自由解密自己電腦上的加密文件。一般這種權(quán)限被授予高級(jí)管理人員，比如企業(yè)的總經(jīng)理等。這些人員可以自由地決定自己電腦上的文件哪些需要密文方式存放，哪些需要明文方式存放。文件權(quán)限文件權(quán)限指可以指定加密文檔誰可以閱讀，誰不能閱讀等。文件權(quán)限的設(shè)置有可能會(huì)給內(nèi)部的文檔交流帶來一些不便，所以該設(shè)置應(yīng)該具有很高的靈活性。加密軟件起碼應(yīng)該可以實(shí)現(xiàn)相同部門的人編寫的文檔可以無障礙交流；部門與部門之間的文檔交流可以通過一些權(quán)限的設(shè)置了進(jìn)行受控的交流。日志記錄日志記錄是一個(gè)必不可少的功能，無論哪個(gè)應(yīng)用系統(tǒng)都有一套自己的日志記錄功能。對于加密軟件而言，包含兩種日志：（1）操作員的文件操作日志，比如新建文件、刪除文件、編輯文件、解密文件、外發(fā)文件等；（2）管理員的日志審計(jì)，比如什么時(shí)間設(shè)置了什么規(guī)則等。日志應(yīng)該能準(zhǔn)確無誤地記錄哪個(gè)管理員什么時(shí)候做了什么操作。日志記錄上，不同加密軟件各不相同，根據(jù)自己需要進(jìn)行選擇。擴(kuò)展功能：文件備份由于透明加密需要涉及文件的讀寫操作，這樣就帶來一個(gè)基本問題：就是加密文件時(shí)有可能導(dǎo)致文件的損壞，雖然一個(gè)成熟的軟件，損壞文件的概率會(huì)很低，但對這種極端情況的處理也是應(yīng)該考慮的。導(dǎo)致這種極端情況出現(xiàn)的原因還是有很多，比如操作系統(tǒng)受到干擾、內(nèi)存數(shù)據(jù)被篡改，這些可能