企業(yè)信息安全管理中數(shù)據(jù)加密技術(shù)應(yīng)用

前言：想要寫出一篇引人入勝的文章？我們特意為您整理了企業(yè)信息安全管理中數(shù)據(jù)加密技術(shù)應(yīng)用范文，希望能給你帶來(lái)靈感和參考，敬請(qǐng)閱讀。

對(duì)于生產(chǎn)企業(yè)來(lái)說(shuō)，最為重要的無(wú)疑是設(shè)計(jì)文檔的安全。一個(gè)企業(yè)投入巨大的人力物力成本，產(chǎn)生了大量的無(wú)形資產(chǎn)和成果，而這些資產(chǎn)和成果與傳統(tǒng)的紙質(zhì)文檔、紙質(zhì)藍(lán)圖、固定資產(chǎn)不同的是，它們普遍以數(shù)字的形式保存在企業(yè)的各種信息載體中。而這些數(shù)字化的信息資源具有易復(fù)制和易傳播的弱點(diǎn)，很容易造成信息的流失。這些信息中包含的關(guān)鍵技術(shù)、核心工藝、研究成果關(guān)系整個(gè)企業(yè)的生存競(jìng)爭(zhēng)。除重要的設(shè)計(jì)文檔、文件外，企業(yè)的客戶資料、采購(gòu)成本、合同文書、商業(yè)計(jì)劃等也是承載著有關(guān)商業(yè)秘密的信息資料。

1單一文檔加密技術(shù)應(yīng)用的不足

國(guó)家干燥技術(shù)及裝備工程技術(shù)研究中心是由國(guó)家科技部批準(zhǔn)專門從事干燥技術(shù)及裝備工程化研發(fā)的國(guó)家級(jí)專業(yè)科研中心。該中心主要從事干燥、焙燒、粉塵回收、尾氣處理、重力摻混及氣力輸送、塔器、壓力容器、成套裝置的工程設(shè)計(jì)及制造。工程中心國(guó)產(chǎn)化大型干燥技術(shù)和裝備成功取代進(jìn)口設(shè)備，提升了我國(guó)干燥行業(yè)技術(shù)進(jìn)步。中心很早就采用了文檔加密系統(tǒng)用于保護(hù)自身的數(shù)據(jù)安全。該系統(tǒng)主要使用應(yīng)用層加密技術(shù)將重要的CAD、DOC、XLS、PPT、TXT等技術(shù)文檔進(jìn)行加密處理，保證了相關(guān)數(shù)據(jù)資源不被泄露。隨著時(shí)間的推移和技術(shù)的進(jìn)步，這一系統(tǒng)也暴露出了諸多問(wèn)題和不足。

（1）該系統(tǒng)嚴(yán)重依賴于應(yīng)用程序，保密策略必須區(qū)別不同的文檔類型、版本進(jìn)行逐一單獨(dú)加密，當(dāng)遇到應(yīng)用程序不斷增多或升級(jí)變化時(shí)，保密策略的二次開發(fā)性變得愈加復(fù)雜和不可控。

（2）當(dāng)用戶使用多種應(yīng)用程序交互工作（如在CAD和WORD文檔間進(jìn)行復(fù)制、粘貼操作）時(shí)，加密系統(tǒng)對(duì)不同文檔類型的強(qiáng)制保護(hù)阻止應(yīng)用程序間的聯(lián)系，從而進(jìn)一步妨礙了多個(gè)用戶（組）進(jìn)行協(xié)同工作的需求，而這種需求在近些年來(lái)變得日益頻繁。

（3）由于操作失誤、計(jì)算機(jī)錯(cuò)誤（如意外斷電）而造成的加密文檔錯(cuò)誤迫使管理人員投入大量的時(shí)間去處理加密系統(tǒng)的不穩(wěn)定和故障頻發(fā)。

（4）由于文檔加密本身針對(duì)單一文檔進(jìn)行加密和解密，隨著技術(shù)文件數(shù)量呈指數(shù)性增長(zhǎng)，以上問(wèn)題和整個(gè)系統(tǒng)的維護(hù)工作量日漸龐雜。為解決以上問(wèn)題，工程中心于2014年采用了Chi－nasec（安元）可信網(wǎng)絡(luò)安全平臺(tái)，全面升級(jí)和改造了原有的單一文檔加密系統(tǒng)，有利的保障了關(guān)鍵信息數(shù)據(jù)和內(nèi)網(wǎng)安全，取得了良好的應(yīng)用效果。

2網(wǎng)絡(luò)安全平臺(tái)的技術(shù)特點(diǎn)

2.1系統(tǒng)的體系結(jié)構(gòu)

Chinasec（安元）可信網(wǎng)絡(luò)安全平臺(tái)，是基于內(nèi)網(wǎng)安全和可信計(jì)算理論研發(fā)的內(nèi)網(wǎng)安全管理產(chǎn)品，以密碼技術(shù)為支撐，以身份認(rèn)證為基礎(chǔ)，以數(shù)據(jù)安全為核心，以監(jiān)控審計(jì)為輔助，可靈活全面的定制并實(shí)施各種安全策略，實(shí)現(xiàn)對(duì)內(nèi)網(wǎng)中用戶、計(jì)算機(jī)和信息的安全管理，達(dá)到有效的用戶身份管理、計(jì)算機(jī)設(shè)備管理、數(shù)據(jù)安全保密存儲(chǔ)和防止機(jī)密信息泄漏等目標(biāo)。整個(gè)平臺(tái)體系包括網(wǎng)絡(luò)認(rèn)證系統(tǒng)（TIS）、網(wǎng)絡(luò)保密系統(tǒng)（VCN）、數(shù)據(jù)管理系統(tǒng)（DMS）、應(yīng)用保護(hù)系統(tǒng)（APS）和移動(dòng)存儲(chǔ)設(shè)備管理系統(tǒng)（RSM）六大子系統(tǒng)。這些子系統(tǒng)均采用模塊化設(shè)計(jì)，根據(jù)安全機(jī)制的需求既可以單獨(dú)使用，又可以靈活組合。國(guó)家干燥工程中心采用的該保密系統(tǒng)主要由兩個(gè)子系統(tǒng)，分別是可信網(wǎng)絡(luò)認(rèn)證系統(tǒng)（TIS）、可信網(wǎng)絡(luò)保密系統(tǒng)（VCN）。在該系統(tǒng)中，子系統(tǒng)擁有共同的工作平臺(tái)和基礎(chǔ)，其基本結(jié)構(gòu)分為服務(wù)器（Server）、客戶端（Agent）和控制臺(tái)（ManagementConsole）三部分，全部為軟件系統(tǒng)。其它各個(gè)子系統(tǒng)都運(yùn)行在這個(gè)共同的平臺(tái)上，使用共同的服務(wù)器、共同的控制臺(tái)和共同的核心客戶端。它們的通信體系和通道也是共同的，從而保證了占用最少的系統(tǒng)資源和網(wǎng)絡(luò)資源。Server是可信網(wǎng)絡(luò)安全平臺(tái)的核心組成部分，是所有策略的存儲(chǔ)中心，也是系統(tǒng)運(yùn)行和維護(hù)的中心。在Server上，存儲(chǔ)著用戶信息、計(jì)算機(jī)信息、組織體系、策略信息及日志信息。服務(wù)器軟件需要一個(gè)授權(quán)的硬件USB令牌，才能夠正常運(yùn)行。Agent運(yùn)行在可信網(wǎng)絡(luò)安全平臺(tái)需要控制的計(jì)算機(jī)終端上，該采用安全的方式接收服務(wù)器的統(tǒng)一管理，接收服務(wù)器下發(fā)的策略，并通知相應(yīng)的功能模塊執(zhí)行，其功能模塊都通過(guò)平臺(tái)的核心引擎與服務(wù)器進(jìn)行通信。Console是可信網(wǎng)絡(luò)安全平臺(tái)的用戶界面，用于實(shí)現(xiàn)對(duì)服務(wù)器端的遠(yuǎn)程管理，它是整個(gè)平臺(tái)的控制中心，平臺(tái)中的各個(gè)系統(tǒng)都可以集中體現(xiàn)在該控制臺(tái)中。網(wǎng)絡(luò)認(rèn)證子系統(tǒng)（TIS）是一套基于PKI技術(shù)和公開密鑰技術(shù)實(shí)現(xiàn)的網(wǎng)絡(luò)資源認(rèn)證的軟件機(jī)制，是整個(gè)系統(tǒng)中的安全管理機(jī)構(gòu)，其主體架構(gòu)與可信網(wǎng)絡(luò)安全平臺(tái)相似，其安全性也得到了該平臺(tái)的有力支撐。它主要采用口令（或USB令牌）的方式，對(duì)被控計(jì)算機(jī)終端的登錄和使用權(quán)限進(jìn)行“雙因素認(rèn)證”管理；可以對(duì)服務(wù)器進(jìn)行訪問(wèn)控制和保護(hù)，只有經(jīng)過(guò)授權(quán)的客戶端和用戶才能夠訪問(wèn)受保護(hù)的服務(wù)器。網(wǎng)絡(luò)保密子系統(tǒng)（VCN）是基于密碼技術(shù)、網(wǎng)絡(luò)驅(qū)動(dòng)技術(shù)和系統(tǒng)文件核心驅(qū)動(dòng)技術(shù)，針對(duì)內(nèi)部網(wǎng)絡(luò)和主機(jī)信息保密開發(fā)的軟件機(jī)制，也是整個(gè)系統(tǒng)中最重要的應(yīng)用和執(zhí)行機(jī)構(gòu)。同樣基于可信網(wǎng)絡(luò)安全平臺(tái)進(jìn)行開發(fā)，其主體架構(gòu)依賴安全平臺(tái)，主要用于構(gòu)造內(nèi)網(wǎng)保密網(wǎng)絡(luò)，隔離內(nèi)外網(wǎng)間的數(shù)據(jù)傳輸，對(duì)網(wǎng)絡(luò)傳輸和存儲(chǔ)設(shè)備兩個(gè)主要數(shù)據(jù)交換途徑進(jìn)行有效控制和管理。能夠提供網(wǎng)絡(luò)傳輸加密和控制、本地磁盤加密、外設(shè)控制和U盤管理等功能，并可以對(duì)需要外發(fā)的文件提供文件審批和本地終端的文件加密功能，從而防止機(jī)密信息從網(wǎng)絡(luò)途徑或者存儲(chǔ)設(shè)備的途徑泄漏出去，這里的存儲(chǔ)設(shè)備，包括移動(dòng)硬盤、固定硬盤、U盤和軟盤等。

2.2存儲(chǔ)加密技術(shù)特點(diǎn)

加密技術(shù)在該系統(tǒng)中占有重要的組成部分。其加密體系分為網(wǎng)絡(luò)加密體系和存儲(chǔ)加密體系，其中，網(wǎng)絡(luò)加密體系通過(guò)對(duì)IP層數(shù)據(jù)包的改造和特殊保密格式的封裝，實(shí)現(xiàn)了網(wǎng)絡(luò)途徑的保密，客戶端（Agent）對(duì)所有IP包采用特殊格式進(jìn)行封裝，然后才發(fā)送到網(wǎng)絡(luò)中進(jìn)行傳輸。而對(duì)于存儲(chǔ)加密體系考慮更加周全，采用了目前主流的驅(qū)動(dòng)級(jí)加密技術(shù)，很大程度上提高了系統(tǒng)的運(yùn)行效率。驅(qū)動(dòng)級(jí)技術(shù)與單一文檔加密技術(shù)的區(qū)別在于前者采用透明加解密技術(shù)，用戶感覺(jué)不到系統(tǒng)的存在，不改變用戶的操作習(xí)慣；而數(shù)據(jù)一旦脫離安全環(huán)境，則無(wú)法使用，有效的提高了數(shù)據(jù)的安全性。

2.3加密算法技術(shù)特點(diǎn)

對(duì)于加密技術(shù)來(lái)說(shuō)，加密算法是整個(gè)技術(shù)體系賴以運(yùn)作的關(guān)鍵核心。Chinasec可信網(wǎng)絡(luò)平臺(tái)在數(shù)據(jù)存儲(chǔ)控制中支持DES、3DES、AES和SMS4多種算法。DES算法是分組密碼的典型代表，也是第一個(gè)被公布出來(lái)的加密標(biāo)準(zhǔn)算法。在1976年11月被美國(guó)國(guó)家標(biāo)準(zhǔn)和技術(shù)研究所（NIST）采納為美國(guó)聯(lián)邦標(biāo)準(zhǔn)，并被批準(zhǔn)用于非軍事場(chǎng)合的各個(gè)政府機(jī)構(gòu)。DES同時(shí)采用了代換和置換兩種技巧，用56位密鑰加密64位明文，最后輸出64位密文，整個(gè)過(guò)程由兩大部分組成，一個(gè)是加密過(guò)程，另一個(gè)是子密鑰產(chǎn)生過(guò)程，見圖1所示。DES加密過(guò)程共迭代16輪，每輪用一個(gè)不同的48位子密鑰。這些子密鑰由算法的56位密鑰產(chǎn)生。DES算法的輸入密鑰長(zhǎng)度是64位，但只用了其中的56位，其余位數(shù)主要用于奇偶校驗(yàn)。由于DES將Lucifer算法作為基礎(chǔ)，而Lucifer算法的密鑰長(zhǎng)度為128位，但DES將密鑰長(zhǎng)度改為56位，因此密鑰共有256=7.2×1016個(gè)可能值，這不能抵抗窮盡密鑰搜索攻擊和破解。由于DES算法本身的缺陷和安全問(wèn)題，NIST在1999年了新版本的DES標(biāo)準(zhǔn)（FIPSPUB46-3），即通常所說(shuō)的三重DES（3DES）標(biāo)準(zhǔn)。3DES的密鑰長(zhǎng)度是128位，足以抵抗窮舉攻擊和破解。其次，3DES的底層加密算法與DES的加密算法相同，該加密算法比任何其他加密算法受到分析的時(shí)間要長(zhǎng)得多，但迄今為止卻沒(méi)有發(fā)現(xiàn)有比窮舉攻擊更有效的密碼分析方法。當(dāng)然，由于3DES迭代的輪數(shù)是DES的3倍，因此運(yùn)行速度要慢很多。為了彌補(bǔ)DES在安全性上的不足和3DES的運(yùn)行效率問(wèn)題，NIST在2000年公布了新的高級(jí)加密標(biāo)準(zhǔn)（AdvancedEncryptionStandards，AES）。AES標(biāo)準(zhǔn)支持新的準(zhǔn)則：

（1）安全性：由于AES最短的密鑰長(zhǎng)度是128位，在現(xiàn)有技術(shù)條件下，窮舉攻擊和破解是無(wú)法實(shí)現(xiàn)的；

（2）代價(jià)：由于AES具有很高的計(jì)算效率，因此可以廣泛應(yīng)用于各種實(shí)際應(yīng)用中；

（3）算法和執(zhí)行特征：算法的靈活性、簡(jiǎn)潔性以及硬件與軟件平臺(tái)的適應(yīng)性方面遠(yuǎn)比DES和3DES更高。SMS4算法是中國(guó)國(guó)家商用密碼管理辦公室于2006年公布的用于無(wú)線局域網(wǎng)的分組對(duì)稱密碼算法，是國(guó)內(nèi)官方公布的第一個(gè)商用密碼算法，具有較好的抗破解能力。它的分組長(zhǎng)度和密鑰長(zhǎng)度為128Bit，具有較好的平衡性和非線性。

3應(yīng)用中的安全特性和優(yōu)點(diǎn)

3.1系統(tǒng)的安全特性

整個(gè)系統(tǒng)總的來(lái)說(shuō)就是提供了一種有效的資源控制手段，根據(jù)管理需要和規(guī)則對(duì)內(nèi)部網(wǎng)絡(luò)信息系統(tǒng)的各種資源進(jìn)行有效的控制。具體來(lái)說(shuō)，計(jì)算機(jī)系統(tǒng)本身就是一種資源，計(jì)算機(jī)里面的各種外設(shè)、硬盤空間、應(yīng)用程序、網(wǎng)絡(luò)端口、網(wǎng)絡(luò)連接和文件等，而服務(wù)器系統(tǒng)本身也是資源。系統(tǒng)對(duì)所有這些有價(jià)值的資源都進(jìn)行控制，采用了授權(quán)使用、違規(guī)記錄及審計(jì)等多種手段結(jié)合，確保了所有資源的可控性，從而提高了內(nèi)網(wǎng)信息系統(tǒng)的安全性和可管理性。授權(quán)使用是指所有資源必須是經(jīng)過(guò)管理員授權(quán)的用戶在指定的狀態(tài)下才能使用。例如，要使用某臺(tái)計(jì)算機(jī)，必須是經(jīng)過(guò)管理員授權(quán)的用戶才能進(jìn)入該計(jì)算機(jī)操作系統(tǒng)；又如要使用一臺(tái)計(jì)算機(jī)上的USB端口，那么也只有經(jīng)過(guò)管理員授權(quán)。違規(guī)記錄則是將用戶違反管理規(guī)則，試圖使用沒(méi)經(jīng)過(guò)授權(quán)的資源。比如一個(gè)用戶在一臺(tái)計(jì)算機(jī)上沒(méi)有被授權(quán)使用光驅(qū)，該計(jì)算機(jī)上的光驅(qū)在該用戶登錄系統(tǒng)后會(huì)被禁用，如果用戶試圖從設(shè)備管理器強(qiáng)行啟用該設(shè)備（當(dāng)然其行為會(huì)失?。?，保密系統(tǒng)將記錄該用戶的違規(guī)行為。審計(jì)則是對(duì)用戶行為和信息系統(tǒng)的一些重要信息進(jìn)行記錄。記錄的信息包括了詳細(xì)描述、用戶、計(jì)算機(jī)及時(shí)間等要素，可以作為以后查證使用。整個(gè)系統(tǒng)資源控制，都以策略的方式實(shí)現(xiàn)，包括了用戶、計(jì)算機(jī)、資源授權(quán)內(nèi)容和狀態(tài)幾個(gè)要素。尤其是可信網(wǎng)絡(luò)保密子系統(tǒng)（VCN）由于同時(shí)使用了存儲(chǔ)加密和網(wǎng)絡(luò)加密傳輸，部署VCN的所有計(jì)算機(jī)，啟用網(wǎng)絡(luò)策略后，其傳輸?shù)臄?shù)據(jù)都經(jīng)過(guò)加密，且每?jī)膳_(tái)計(jì)算機(jī)使用的通信密鑰都不一樣，從而有效防止了網(wǎng)內(nèi)使用惡意偵聽軟件的行為。網(wǎng)絡(luò)加密的密鑰由VCN服務(wù)器統(tǒng)一管理。VCN強(qiáng)制加密所有本地磁盤保存的文件，只能在VCN系統(tǒng)啟動(dòng)的情況下才能正常使用本地磁盤，有效防止了因?yàn)橛脖P丟失、多操作系統(tǒng)和光盤啟動(dòng)等造成的數(shù)據(jù)泄密事件的發(fā)生。有效防止了非法外連和非法接入，VCN內(nèi)的計(jì)算機(jī)不能與VCN外的計(jì)算機(jī)進(jìn)行網(wǎng)絡(luò)通信，阻止了各種形式的非法接入。

3.2實(shí)際應(yīng)用中的優(yōu)點(diǎn)

3.2.1開機(jī)認(rèn)證保護(hù)即用戶和安全平臺(tái)之間的認(rèn)證是優(yōu)先于操作系統(tǒng)啟動(dòng)之前發(fā)生。在BIOS啟動(dòng)后通過(guò)密碼進(jìn)行認(rèn)證，合法授權(quán)才能啟動(dòng)您的電腦正常使用本地磁盤數(shù)據(jù)，等于是在底層控制，確保硬盤數(shù)據(jù)的安全性是萬(wàn)無(wú)一失。

3.2.2加密方式靈活存儲(chǔ)磁盤加密的實(shí)際運(yùn)用手段分為快速加密和深度加密?？焖偌用芊绞絻H加密磁盤分區(qū)表，特點(diǎn)是部署時(shí)間短；深度加密方式加密全盤數(shù)據(jù)，特點(diǎn)是安全性高。企業(yè)可根據(jù)自身的實(shí)際情況來(lái)采取更合理的加密方式。

3.2.3后臺(tái)無(wú)感知自動(dòng)加解密所有加密過(guò)程均在后臺(tái)全自動(dòng)完成，對(duì)硬盤的每一個(gè)扇區(qū)加密，全面而徹底；而對(duì)用戶完全透明，整個(gè)過(guò)程用戶毫無(wú)感知。用戶查看文件時(shí)將不會(huì)看到文件帶有任何與“加密”有關(guān)的屬性；但如果換個(gè)角度，將裝有系統(tǒng)的硬盤拆掉，連接到其他計(jì)算機(jī)上，在試圖訪問(wèn)應(yīng)用了硬盤加密的系統(tǒng)所在的分區(qū)時(shí)，則只能看到未經(jīng)格式化的硬盤分區(qū)信息。

3.2.4支持?jǐn)帱c(diǎn)加解密客戶端在加密或解密過(guò)程中，發(fā)生系統(tǒng)關(guān)機(jī)、斷電等異常操作后，重啟計(jì)算機(jī)，客戶端仍繼續(xù)執(zhí)行相應(yīng)的加解密動(dòng)作。

3.2.5集中部署，統(tǒng)一安全的策略系統(tǒng)集中下發(fā)安全策略，客戶端統(tǒng)一受控于管理端。策略在運(yùn)行時(shí)，使用者沒(méi)有修改安全策略的控制權(quán)限，在客戶端強(qiáng)制性設(shè)置安全策略變得更容易，后期維護(hù)更簡(jiǎn)單方便。

3.2.6數(shù)據(jù)恢復(fù)措施完善服務(wù)器會(huì)實(shí)時(shí)記錄當(dāng)前客戶端狀態(tài)，當(dāng)發(fā)生客戶端斷電、使用者忘記密碼、遺失或者離開本單位后，客戶端都能安全的恢復(fù)到當(dāng)前狀態(tài)；還可建立網(wǎng)上恢復(fù)工具的幫助桌面，通過(guò)幫助桌面遠(yuǎn)程重新設(shè)定使用者密碼。

4結(jié)束語(yǔ)

大數(shù)據(jù)時(shí)代，無(wú)論是政府還是企業(yè)都離不開數(shù)據(jù)的采集、存儲(chǔ)和使用，數(shù)據(jù)資產(chǎn)是企業(yè)發(fā)展的生命線，捍衛(wèi)數(shù)據(jù)安全成為企業(yè)的重要任務(wù)。網(wǎng)絡(luò)安全平臺(tái)的投入使用，通過(guò)存儲(chǔ)強(qiáng)制加密、保護(hù)控制策略、記錄審計(jì)等多種手段相結(jié)合，可以達(dá)到外部入侵進(jìn)不來(lái)、非法外接出不去、內(nèi)外勾結(jié)拿不走、拿走東西看不懂的效果，有效防止機(jī)密敏感信息的泄漏。它的投入使用，全面提升了國(guó)家干燥技術(shù)及裝備工程技術(shù)研究中心的數(shù)據(jù)安全性和綜合信息管理的水平，保護(hù)了企業(yè)的智力資產(chǎn)。這一系統(tǒng)的成功應(yīng)用，為其他企業(yè)的信息數(shù)據(jù)安全管理也有很好的借鑒。

作者：張睿 李雪梅 岳永飛 單位：天華化工機(jī)械及自動(dòng)化研究設(shè)計(jì)院有限公司