企業(yè)該如何選擇加密軟件-幾點建議

選擇加密軟件的幾點建議隨著信息化的普及，企業(yè)數據的安全越來越受到重視，目前國內已有不少加密軟件，如何選擇加密軟件呢？這里參考一些廠家提供的文檔并結合自己的經驗，提供一些建議供大家參考。加密軟件按照實現的方法可劃分為被動加密和主動加密。被動加密：是指被加密的文件，在使用前需首先解密得到明文，然后才能使用。這類軟件主要適用于個人電腦數據的加密，防止存儲介質的丟失（比如硬盤被盜）導致數據的泄密；主動加密（或者說透明加密、自動加密）：是指在使用過程中自動對文件進行加密或解密操作，無需用戶的干預，合法用戶在使用加密文件前，不需要進行解密操作即可使用，表面看來，訪問加密的文件和訪問未加密的文件基本相同，對合法用戶來說，這些加密文件是“透明的”，即好像沒有加密一樣，但對于沒有訪問權限的用戶，即使通過其它非常規(guī)手段得到了這些文件，由于文件是加密的，因此也無法使用。由于動態(tài)加密技術不僅不改變用戶的使用習慣，而且無需用戶太多的干預操作即可實現文檔的安全，因而近年來得到了廣泛的應用。目前針對企業(yè)的防泄密軟件（企業(yè)內部的文件可以自由流通、閱讀，一旦拷貝出去或者脫離企業(yè)網絡環(huán)境，將無法閱讀），大多采用主動加密技術。由于主動加密要實時加密數據，必須動態(tài)跟蹤需要加密的數據流，而且其實現的層次一般位于系統(tǒng)內核中，因此，從實現的技術角度看，實現主動加密要比被動加密難的多，需要解決的技術難點也遠遠超過被動加密。這里說的加密軟件就是采用主動加密技術的軟件。下面說說在選擇加密軟件的時候，建議考查的幾個方面：加密軟件是否自動透明加密？何謂“透明”？“透明”應該就是指加密的動作不需要人工干預，是軟件自動完成的。比如：用WORD建立一個文檔的時候，軟件應該能自動把這個新建的文件加密，對用戶完全透明，不影響用戶的操作習慣。大部分加密軟件都是透明加密的，但是也有區(qū)別。很多應用軟件在編輯數據文件時，都會生成臨時文件。比如Word在編輯文檔時，會在同目錄下出現以“~$”開頭的文件和一個以“~”開頭并以tmp為后綴的文件。這些臨時文件在相應的數據文件被正常關閉后，會被刪除。由于這些臨時文件也存儲有企業(yè)的機密數據，因而這些臨時文件也應該是要能自動加密的。在測試的時候要特別注意。有些品牌的加密軟件，為了給自己圖方便，放棄對中間過程的文件進行加密。例如，業(yè)界有一個老牌的廠商便采取了這樣一種做法：①攔截程序對文件的打開操作；②把打開的文件隱蔽地解密到一個“秘密”的地方；③在后臺把應用程序對數據文件操作指針指向位于“秘密”之處的明文；④在關閉數據文件時，把隱藏的明文加密并替換原有的文件。這樣的設計，讓用戶看起來是能夠打開編輯密文，編輯保存后得到的還是密文。但是實際上應用軟件真實編輯的對象是一個不加密的明文文件。如果這個“秘密的地方”被知道了，完全可以打開密文時到那個“秘密的地方”去獲得明文。加密的算法及密鑰的安全性對于一個脫離了企業(yè)環(huán)境的密文來說，安全完全由算法和密鑰來決定。所以選擇加密軟件的時候，對其采用的算法和密鑰的安全性一定要了解。一般來說，加密算法基本都采用國際流行的算法：比如RSA、DES、RC、AES等，這些算法雖然是公開的，但根據現代密碼學的理論，加密算法的公開與否并不影響其安全性，一個好的加密算法的安全性只依賴于密鑰。因此對于脫離了企業(yè)環(huán)境的密文來說，密文的安全主要靠密鑰的安全來保證。一個加密軟件的密鑰是否安全應該主要要解決如下幾個問題：加密軟件的廠家如果獲取到企業(yè)的密文，廠家應該是不能解密的。很多加密軟件，密鑰是根據計算機的某些特征值由程序生成的，企業(yè)自己無法設置，這樣只要知道了硬件的特征碼，廠家就能輕松獲取到用戶的密鑰，那么企業(yè)的文件對廠家來說就是沒有保密可言了；還有些加密軟件的密鑰就是系統(tǒng)固定的，這樣廠家只要拿到密文，就能解密；企業(yè)內部的密文，拿到另外一個企業(yè)里面，應該是不能解密的：現在很多加密軟件的控制端都由企業(yè)的網絡管理人員在使用，那么一旦網管人員離職，重新安裝相同的加密軟件，應該保證原單位的文檔即使拷貝過去也不能閱讀。也就是要保證不同企業(yè)能有不同的加密密鑰。在使用過程中，如果密鑰泄露，應該要有補救措施：比如說密鑰能支持更改，這樣密鑰泄露了，企業(yè)可以方便的更換。加密軟件是如何判斷一個文件是否需要加密的不同的企業(yè)，甚至同一個企業(yè)的不同部門，所要加密的文件有可能是不相同的。例如設計部需要對產品圖紙進行加密，辦公室需要對Office類文檔進行加密。所以，如何判斷某個文件是否應該加密，是加密軟件一個很重要的考查指標。一般來說，如何判斷某個文件是否需要加密，有兩種選擇方式：（1）指定受控路徑（目錄或者盤符）：即保存在指定目錄或者指定盤符中的文件一律加密。管理員可以為每一個客戶機指定一個或多個需要加密的受控路徑。用戶如果將文件保存到這個路徑下，那么文件就會被加密。這種方式帶來的問題就是：客戶端有可能將機密文件保存到非受控路徑下。廠商們?yōu)榱藨獙@個問題，通常會向用戶提供這樣的解決方案：①將所有的應用軟件全部安裝在C盤，然后對C盤做一個鏡像，其他盤（無論是邏輯盤還是物理盤）都只允許存放數據文件；②將除C盤以外的所有盤符都設定為受控路徑，以確保所有的數據文件都是密文存儲；③每次Windows啟動時，或者Windows關閉前，都會對C盤進行自動還原（這一點很像網吧和部分企業(yè)中采用的還原技術）。（2）指定受控程序和受控后綴方式：即由指定的應用軟件生成的指定后綴文件（或者所有文件）一律加密。系統(tǒng)管理員可以為每一個客戶機指定一個或多個受控程序?？蛻舳巳绻眠@些受控程序保存文件，那么文件就會被加密。例如，前文所列舉的例子，管理員就可以將CAD設置（同時CAD生成的所有文件設置為受控后綴）為設計部的受控程序，將Office設置為辦公室部門的受控程序。這兩種方式，各有優(yōu)缺點。第一種方式的優(yōu)點是易于實現，且不關心應用軟件是什么。但是弊端也非常明顯。主要表現為：①給日常的IT維護工作造成了很大的不便：殺毒軟件的特征庫升級、安裝新的應用軟件等工作，都會隨著C盤的還原而還原，除非先解除對C盤的保護，升級或者安裝結束后再恢復保護；②有著明顯的安全漏洞：普通用戶完全可以將文件先保存到C盤，然后關閉Windows，甚至強行突然斷電，使得C盤的還原機制還沒有來得及發(fā)揮作用就將硬盤拆卸帶走，從而將文件的明態(tài)數據帶走了。由于明顯地弊大于利，所以這種方式只被少數的廠商所采用。第二種方式的比較符合實際應用，因為用戶最關心的還是“由特定程序生成的文件”。這種方式易于用戶制定和維護規(guī)則。一般來說，采用了這種方式的加密軟件都會限定：只有受控程序才可以打開密文，非受控程序是不允許打開密文的。（這一限制很容易理解：如果非受控程序也能夠打開密文，那么它再將文件另存或者通過網絡傳送出去，密文就變成了明文了。）有些企業(yè)會有自己的業(yè)務系統(tǒng)，有可能需要閱讀加密文件，而且這些業(yè)務系統(tǒng)并不在加密軟件自帶的受控程序列表中，針對這個問題有些廠商提供了讓用戶自定義受控程序或者受控后綴的功能；有些廠商的解決方法就是讓客戶提供業(yè)務系統(tǒng)軟件，然后再幫助客戶加入。泄密途徑沒有通過授權，就可以獲取密文中的內容的方法，稱之為泄密途徑。加密軟件中如果不對這些途徑加以控制，那么加密軟件就形同虛設。泄密途徑眾多，每種途徑的控制是加密軟件的一個重要功能。泄密途徑控制的好壞，也是選擇加密軟件的一個重要考查點。1、網絡發(fā)送使用QQ、Foxmail、Outlook等網絡軟件把一個密文發(fā)送到沒有安裝加密軟件的電腦上，查看是否可以看到文件的內容。如果可以查看，說明存在泄密危險。在Office軟件里面，比如WORD，打開加密的文件，然后在WORD菜單中選擇“文件”－“發(fā)送”－“郵件接收人（以附件形式）”，此時如果安裝了Outlook，會使用Outlook發(fā)送郵件，如果沒有安裝Outlook，會打開OutlookExpress發(fā)送郵件。然后到一個沒有安裝加密軟件的電腦上，接收這個郵件，看是否可以打開附件，如果可以，說明存在泄密危險。2、剪貼板 查看是否可以使用Windows提供的復制-粘貼功能把密文內容發(fā)送出去。測試方法：用WORD打開一個密文，用鼠標選擇一些文字，復制（或CTRL+C），切換到QQ聊天窗口中，粘貼(或者CTRL+V)，查看是否可以粘貼出明文。剪貼板是個非常常用的功能，禁止使用剪貼板會使客戶端的使用者受到很多限制。加密軟件不應該只使用禁止的方法來控制剪貼板。比較好的處理辦法是將剪貼板的內容加密，使得復制的內容在受控程序（如WORD）上可以粘貼出明文，而在非受控程序（如QQ）上貼出的就是亂碼。另外還應注意一點，就是剪貼板的控制在360保險箱下是否生效。因為360保險箱是免費軟件安裝量非常大，如果360保險箱下就會使剪貼板控制失效，那么就存在非常大的漏洞。測試方法很簡單：安裝360保險箱，將WORD用保險箱保護，然后在有360保險箱保護下開啟WORD，查看是否可以打開密文，是否可以把內容復制到QQ的聊天窗口上。3、屏幕拷貝查看是否可以通過屏幕拷貝的方法將文檔內容泄露。屏幕拷貝有兩種常用方法，一種是使用Windows快捷鍵PrtScr或者ALT+PrtScr，另一種是使用一些可以捕捉屏幕的軟件，比如QQ。測試方法：針對第一種方法：用WORD打開一個密文，打開看到明文后，按一次PrtScr鍵，打開Windows自帶的畫圖軟件（開始所有程序附件畫圖），按CTRL+V，查看是否可以貼出帶有文件內容的圖片。針對第二種方法：使用QQ作為測試軟件，查看QQ屏幕截圖功能是否可以使用。另外，QQ也是360保險箱默認保護的軟件之一，所以應該測試一下，用360保險箱保護QQ的情況下，禁止截屏是否生效。4、OLE插入OLE插入是打開密文的另一種方法。支持OLE插入技術的軟件有很多，比如Windows自帶的寫字板（可執(zhí)行文件名為wordpad.exe）。測試方法：打開一個寫字板，將一個加密的WORD文檔用鼠標拖動到寫字板內（或者在寫字板菜單“插入”“對象”，并選擇“由文件創(chuàng)建”，選擇加密的WORD文檔），如果可以以明文方式打開，那么說明存在OLE泄密的漏洞。也應該測試一下在360保險箱保護寫字板的情況下，是否存在這個漏洞。5、拖拽用WORD打開一個密文，拖動鼠標左鍵選中一些文字，在選中的文字上用鼠標拖動數據，查看是否可以將這些文件拖動到QQ聊天窗口上。如果可以，就存在拖拽泄密的風險。同樣也應該測試一下在360保險箱保護WORD的情況下，打開加密文件，然后拖動選中的文字，看是否存在泄密風險。6、進程識別大多加密軟件都是根據程序名和文件的后綴（擴展名）來決定哪個文件需要加密的。比如使用WORD生成的擴展名為“.DOC”的文檔會被自動加密，而用WORD打開密文可以自動解密。如果有其他程序可以冒充是WORD，那么就可以打開加密的Doc文檔了。所以，加密軟件都需要有一套機制來識別受控程序，防止非受控程序假冒。非受控程序冒充受控程序最簡單的辦法就是修改可執(zhí)行文件名。比如把FoxMail的文件名（foxmail.exe）修改成winword.exe，就用Foxmail冒充了WORD。把Foxmail.exe修改成Winword.exe，然后執(zhí)行，寫郵件并選擇一個加密的WORD文件作為附件，從另一個沒有安裝加密軟件的電腦接收下這個郵件，如果可以看到明文，那么說明進程識別上存在漏洞。進程識別的另一個問題是，將可信進程冒充不可信進程。比如WORD生成的文檔是需要加密的，如果把Winword.exe修改成111.exe，執(zhí)行這個111.exe可以創(chuàng)建明文的文檔的話，那么存在漏加密的情況。極端情況下，所有安裝了加密系統(tǒng)的人把電腦上的Winword.exe都修改成111.exe，那么所有人的DOC文檔都不會被加密了，那么加密軟件就跟沒有安裝一樣了。在進程識別上，大部分加密軟件都解決的不是很好。有些用文件指紋庫；有些用可執(zhí)行文件名+窗口標題結合來識別進程；還有些廠家干脆就禁止修改受控程序的文件名，甚至有些廠家不僅禁止修改受控程序名，也禁止拷貝新建與受控程序文件名一樣的文件。但采用禁止改名的方法本身也存在很大的漏洞，比如先把受控程序的可執(zhí)行文件改名，然后再安裝受控程序，或者從網絡共享執(zhí)行運行改名后的假冒程序，都可能導致密文的泄露。7、打印 使用WORD打開密文后，使用打印機可以把文檔打印出來，這就存在泄密的危險。所以加密系統(tǒng)都應提供可以控制打印的功能，應該可以控制那些人可以打印，哪些人不能打印。以上這些方法都是只需要簡單操作就有可能導致密文泄露的途徑，選擇加密軟件的時候，這些途徑都應該有效的被阻止。離線策略1、服務器電腦故障，或者網絡故障的處理方法服務器電腦故障或者網絡故障，此時所有的客戶端電腦或者網絡故障的客戶機都處于離線狀態(tài)，而且是不可預知的，被迫處于離線狀態(tài)。加密系統(tǒng)應提供一種措施，在突發(fā)這種情況時，客戶機應可以像正常離線一樣工作一段時間，以等待服務器或者網絡的恢復。2、筆記本電腦脫機的處理方法一些企業(yè)的員工上班時使用的是筆記本電腦，尤其中高層管理者。這部分員工大多晚上或者周末需要把電腦帶回家，有時要在家里加班。加密軟件應該有辦法讓這些電腦可以在離開網絡的情況下依然能使用被加密的文檔。對于有這種情況的客戶，因為這種情況非常經常發(fā)生，基本上每天都發(fā)生，所以在選擇加密軟件的時候也應該考慮加密軟件在處理這種情況的方法應該非常便捷才行。最好可以做到客戶機不需要任何操作，和平常一樣，拔下電腦網線直接帶走，回家后開機即可使用。另外使用公司電腦出差的員工，首先出差離開公司前，肯定要設置好出差天數等。出差的天數一般是由出差者的上級直接指定。所以出差應該可以向直接上級申請，直接上級同意即可完成離線的設置。一些加密系統(tǒng)的實現方式是讓管理員來設置出差的天數，這是比較不妥的實現方式。因為出差者被批準出差后，還需要到管理員處讓管理員設置一下加密系統(tǒng)，操作上麻煩很多。其次應該考慮出差有可能會超過預定天數。比如出差前設置離線15天，結果15天后發(fā)現還不能回來，還要繼續(xù)呆一段時間。這個時候應該有一種措施，能在不把電腦搬回公司設置的情況下，延長出差的天數。離線策略有些廠家采用USBKey的方式，有些采用導入離線文件的方式。相比之下，USBKey安全性更好，但使用比較不方便，而且需要在采購加密軟件的同時還需要額外采購USBKey。解密文件的方法由于企業(yè)的運轉大部分都難免與其他關聯企業(yè)有文檔交互（比如報價單、項目投標書等），而這些關聯企業(yè)沒有安裝加密軟件或者沒有安裝相同的加密軟件，這就意味著密文需要解密才能外發(fā)。解密管理上，不同加密軟件采用的方法不同。所有需要解密的文件，要拷貝到特定的電腦上，使用特定的解密工具進行解密；可以向管理員或者有權解密的操作員申請解密。這兩種方法都可以滿足日常應用，相對來說，第二種方法在實際使用會更為方便些。當然不管哪種辦法，對解密的文檔都應該有日志記錄。除了上面說的申請解密外，加密軟件還應該提供一種可以讓終端操作員自由解密的方法，稱為授權解密。授權解密應是一種權限，這種權限可以由管理員靈活地授予客戶端。客戶端擁有這個權限后，可以自由解密自己電腦上的加密文件。一般這種權限被授予高級管理人員，比如企業(yè)的總經理等。這些人員可以自由地決定自己電腦上的文件哪些需要密文方式存放，哪些需要明文方式存放。文件權限文件權限指可以指定加密文檔誰可以閱讀，誰不能閱讀等。文件權限的設置有可能會給內部的文檔交流帶來一些不便，所以該設置應該具有很高的靈活性。加密軟件起碼應該可以實現相同部門的人編寫的文檔可以無障礙交流；部門與部門之間的文檔交流可以通過一些權限的設置了進行受控的交流。日志記錄日志記錄是一個必不可少的功能，無論哪個應用系統(tǒng)都有一套自己的日志記錄功能。對于加密軟件而言，包含兩種日志：（1）操作員的文件操作日志，比如新建文件、刪除文件、編輯文件、解密文件、外發(fā)文件等；（2）管理員的日志審計，比如什么時間設置了什么規(guī)則等。日志應該能準確無誤地記錄哪個管理員什么時候做了什么操作。日志記錄上，不同加密軟件各不相同，根據自己需要進行選擇。擴展功能：文件備份由于透明加密需要涉及文件的讀寫操作，這樣就帶來一個基本問題：就是加密文件時有可能導致文件的損壞，雖然一個成熟的軟件，損壞文件的概率會很低，但對這種極端情況的處理也是應該考慮的。導致這種極端情況出現的原因還是有很多，比如操作系統(tǒng)受到干擾、內存數據被篡改，這些可能