CN101894242A - 移动电子设备信息安全保护***及方法 - Google Patents

Abstract

本发明揭示了一种移动电子设备信息安全保护***及方法，所述***包括管理中心、设置于所述移动电子设备中的加密认证单元、使用时与移动电子设备连接的身份验证工具。身份验证工具包含用户的身份信息、使用权限信息；管理中心用以设定各用户身份验证工具的使用权限，并将使用权限写入相应的身份验证工具中。加密认证单元包括文件加密模块、文件解密模块、内部认证模块；内部认证模块向管理中心或身份验证工具发送请求并获取命令，允许具有使用权限的用户使用加密文件。本发明提出的移动电子设备信息安全保护***及方法，既能方便员工在内网或脱离内网环境中正常加班，同时在一定条件下又能够正常使用笔记本电脑处理私人事务或享受娱乐功能。

Description

移动电子设备信息安全保护***及方法

技术领域

本发明属于信息安全技术领域，涉及一种信息安全保护***，尤其涉及一种移动电子设备信息安全保护***；同时，本发明还涉及一种移动电子设备信息安全保护方法。

背景技术

随着信息技术的发展，越来越多的企事业单位采用电子技术来处理日常事务，越来越多的文件以电子文档方式的存在。采用电子文档方式存储数据具有效率高、成本低、转移方便等优点。但同时，使用电子文档方式储存数据增大了信息被滥用的风险，例如员工跳槽、商业间谍等。

面对此类风险，企事业单位可以在内网内通过技术或制度手段来管理台式机器，比如封闭USB端口、内外网隔离、使用加密软件强制加密等。由于笔记本携带方便、移动办公方便的特点，决定了其在公司内部存在的必要性，但这也给内网管理带来了极为不便的方面：

如果采用类似台式电脑的管理方法，此时不存在信息流失的风险，但极大地限制了笔记本电脑的使用功能，扼杀了笔记本电脑存在的必要性；

如果针对笔记本电脑采用安装加密软件来进行强制加密，员工只能用来处理公司事务，那么笔记本的娱乐功能就丧失了而且员工不能用来处理私人事务；

如果对笔记本电脑安装加密软件并进行强制加密，如果用户在外使用时间超过其预设时间，那么用户不能够正常使用加密文件，此时也不能够正常获得新的授权(必须通过第三方工具等)；

如果采用只在公司内部加密而携带出去不加密(通过在内网环境中与管理中心的认证来实现)，此时又不方面员工使用加密文件，不便于员工在公司外面进行加班或操作。

发明内容

本发明所要解决的技术问题是：提供一种移动电子设备信息安全保护***，既能方便员工在内网或脱离内网环境中正常加班，同时在一定条件下又能够正常使用笔记本电脑处理私人事务或享受娱乐功能。

此外，本发明还提供一种移动电子设备信息安全保护方法，既能方便员工在内网或脱离内网环境中正常加班，同时在一定条件下又能够正常使用笔记本电脑处理私人事务或享受娱乐功能。

为解决上述技术问题，本发明采用如下技术方案：

一种移动电子设备信息安全保护***，所述***包括管理中心、设置于所述移动电子设备中的加密认证单元、使用时与移动电子设备连接的身份验证工具；

所述身份验证工具包含用户的身份信息、使用权限信息；

所述管理中心用以设定各用户身份验证工具的使用权限，并将使用权限写入相应的身份验证工具中；

所述加密认证单元包括：

-文件加密模块，用以强制执行文件加密操作，针对设定文件进行加密保护；

-文件解密模块，用以通过后台自动将文件解密到内存，不影响文件在磁盘上的加密状态；

-内部认证模块，用以向管理中心或身份验证工具发送请求并获取命令，允许具有使用权限的用户使用加密文件；若无使用权限，则无法使用加密文件，但可使用非加密文件。

作为本发明的一种优选方案，所述移动电子设备连接所述管理中心时，通过管理中心控制移动电子设备的加密认证单元；

所述移动电子设备未与所述管理中心连接时，所述信息安全保护***判断是否有有效的身份验证工具连接；若有，则通过身份验证工具控制移动电子设备的加密认证单元，允许对应用户使用加密文件；若无，则无法使用加密文件，但可使用非加密文件。

作为本发明的一种优选方案，所述加密认证单元进一步包括日志记录模块，用于记录用户在该移动电子设备上的文件操作，包括新建、拷贝、移动、改名以及删除操作。

作为本发明的一种优选方案，所述管理中心包括：

用户管理模块，用以针对用户或用户组进行不同的设置，通过集中式管理方便管理员制定实时、差异化的策略；

用户身份识别模块，用以通过在线搜集用户的信息，用于校验用户的身份并将策略信息下发到制定用户；

身份验证工具管理模块，针对用户设置身份验证工具使用权限，所述使用权限包括使用时间、解密，并将设置导出为结果文件；

日志查询和管理模块，查询管理员的***设置和用户管理操作、管理员授权操作，以及用户对移动电子设备的文件操作。

作为本发明的一种优选方案，所述用户验证工具包括：

身份识别模块，用以根据里面嵌入的用户名称和加密认证单元客户端的名称进行判断，实现一一对应；

权限控制模块，用以根据里面写入的周期和权限控制来控制客户端的使用。

一种上述信息安全保护***的信息安全保护方法，所述方法包括如下步骤：

文件加解密步骤：文件加密模块强制执行文件加密操作，针对设定文件进行加密保护；文件解密模块通过后台自动将文件解密到内存，不影响文件在磁盘上的加密状态；

权限设定步骤：所述管理中心设定各用户身份验证工具的使用权限，并将使用权限写入相应的身份验证工具中；

当所述移动电子设备连接所述管理中心时，通过管理中心控制移动电子设备的加密认证单元；

当所述移动电子设备未与所述管理中心连接时，所述信息安全保护***判断是否有有效的身份验证工具连接；若有，则通过身份验证工具控制移动电子设备的加密认证单元，允许对应用户使用加密文件；若无，则无法使用加密文件，但可使用非加密文件。

作为本发明的一种优选方案，当所述移动电子设备在局域网时，连接所述管理中心，只能执行强制加密操作，用户在设定局域网内处理的设定机密文件必须经过强制加密处理；所述管理中心设置在服务器中；其步骤如下：

所述移动电子设备通过合法方式正常接入到设定局域网，确保能够正常与服务器连通；

所述移动电子设备的加密认证单元通过向管理中心发送验证信息向服务器进行验证；

如果移动电子设备通过验证，此时能够正常使用设定局域网内的加密文件；如果验证不通过，不能使用设定局域网内的加密文件；

用户进行正常操作，在保存文件时文件被加密同时留下用户在设定局域网内操作文件的日志。

作为本发明的一种优选方案，管理员登录管理中心的控制台对需要进行授权的用户进行授权，其具体步骤如下：

管理员登录管理中心，***验证管理员身份的正确性和其授权的操作范围；

管理员选取需要授权的用户，设定其使用时间和操作权限；

***判定其用户是否正在使用身份验证工具，如果身份验证工具尚未过期则将设置信息导出为结果文件；如果身份验证工具过期或此用户未使用身份验证工具，则提示管理员接入身份验证工具并将设置信息写入到身份验证工具中；

管理员将结果文件或身份验证工具发送给移动电子设备使用者并留下授权的详细记录。

作为本发明的一种优选方案，当用户携带移动电子设备外出使用时，***会判断其预期操作目标并开放相应的权限，其具体步骤如下：

用户开启移动电子设备并正常打开加密软件(加密认证单元)客户端程序；

客户端判断移动电子设备上是否有正常使用的身份验证工具，如有则读取相应的信息；若无则不允许用户使用加密文件，并保证其操作的文件不被加密保护；

客户端根据读取的身份验证工具信息进行判断，如其周期和权限在允许范围内，则运行用户正常读取和操作机密文件；若不在其范围内，提示用户向管理员更新授权并进入无法使用加密文件的模式；

进入可使用加密文件的模式后，程序正常记录用户对文件的操作，并对文件进行加密保护。

本发明的有益效果在于：本发明提出的移动电子设备信息安全保护***及方法，既能方便员工在内网或脱离内网环境中正常加班，同时在一定条件下又能够正常使用笔记本电脑处理私人事务或享受娱乐功能。当用户在外使用加密软件的周期超过其预设周期，本发明还可以提供新授权的解决办法。

附图说明

图1为局域网内笔记本电脑客户端工作流程图。

图2为管理员授权笔记本外出使用流程图。

图3为笔记本在外使用模式选择流程图。

具体实施方式

下面结合附图详细说明本发明的优选实施例。

实施例一

请参阅图1，本发明揭示了一种移动电子设备信息安全保护***，所述***包括管理中心、设置于所述移动电子设备中的加密认证单元、使用时与移动电子设备连接的身份验证工具。所述移动电子设备可以为移动笔记本电脑，也可以为手机、PDA等电子设备。

所述移动电子设备连接所述管理中心时，通过管理中心控制移动电子设备的加密认证单元。

所述移动电子设备未与所述管理中心连接时，所述信息安全保护***判断是否有有效的身份验证工具连接；若有，则通过身份验证工具控制移动电子设备的加密认证单元，允许对应用户使用加密文件；若无，则无法使用加密文件，但可使用非加密文件。

以下分别介绍本发明各模块的组成。

【身份验证工具】

所述身份验证工具包含用户的身份信息、使用权限信息。本实施例中，所述用户验证工具包括：

身份识别模块，用以根据里面嵌入的用户名称和客户端的名称进行判断，实现一一对应；

权限控制模块，用以根据里面写入的周期和权限控制来控制客户端的使用。

【管理中心】

所述管理中心用以设定各用户身份验证工具的使用权限，并将使用权限写入相应的身份验证工具中。

本实施例中，所述管理中心包括：

用户管理模块，用以针对用户或用户组进行不同的设置，通过集中式管理方便管理员制定实时、差异化的策略；

用户身份识别模块，用以通过在线搜集用户的信息，用于校验用户的身份并将策略信息下发到制定用户；

身份验证工具管理模块，针对用户设置身份验证工具使用权限，所述使用权限包括使用时间、解密，并将设置导出为结果文件；

日志查询和管理模块，查询管理员的***设置和用户管理操作、管理员授权操作，以及用户对移动电子设备的文件操作。

【加密认证单元】

所述加密认证单元包括：

-文件加密模块，用以强制执行文件加密操作，针对设定文件进行加密保护；

-文件解密模块，用以通过后台自动将文件解密到内存，不影响文件在磁盘上的加密状态；

-内部认证模块，用以向管理中心或身份验证工具发送请求并获取命令，允许具有使用权限的用户使用加密文件；若无使用权限，则无法使用加密文件，但可使用非加密文件。

-日志记录模块，用于记录用户在该移动电子设备上的文件操作，包括新建、拷贝、移动、改名以及删除操作。

以上介绍了本发明移动电子设备信息安全保护***，本发明在揭示上述移动电子设备信息安全保护***的同时，还揭示上述信息安全保护***的信息安全保护方法，所述方法包括如下步骤：

-文件加解密步骤：文件加密模块强制执行文件加密操作，针对设定文件进行加密保护；文件解密模块通过后台自动将文件解密到内存，不影响文件在磁盘上的加密状态；

-权限设定步骤：所述管理中心设定各用户身份验证工具的使用权限，并将使用权限写入相应的身份验证工具中；

-当所述移动电子设备连接所述管理中心时，通过管理中心控制移动电子设备的加密认证单元；

-当所述移动电子设备未与所述管理中心连接时，所述信息安全保护***判断是否有有效的身份验证工具连接；若有，则通过身份验证工具控制移动电子设备的加密认证单元，允许对应用户使用加密文件；若无，则无法使用加密文件，但可使用非加密文件。

当所述移动电子设备在局域网时，连接所述管理中心，只能执行强制加密操作，用户在设定局域网内处理的设定机密文件必须经过强制加密处理；所述管理中心设置在服务器中；其步骤如下：

-所述移动电子设备通过合法方式正常接入到设定局域网，确保能够正常与服务器连通；

-所述移动电子设备的加密认证单元通过向管理中心发送验证信息向服务器进行验证；

-如果移动电子设备通过验证，此时能够正常使用设定局域网内的加密文件；如果验证不通过，不能使用设定局域网内的加密文件；

-用户进行正常操作，在保存文件时文件被加密同时留下用户在设定局域网内操作文件的日志。

所述方法进一步包括：管理员登录管理中心的控制台对需要进行授权的用户进行授权，其具体步骤如下：

-管理员登录管理中心，***验证管理员身份的正确性和其授权的操作范围；

-管理员选取需要授权的用户，设定其使用时间和操作权限；

-***判定其用户是否正在使用身份验证工具，如果身份验证工具尚未过期则将设置信息导出为结果文件；如果身份验证工具过期或此用户未使用身份验证工具，则提示管理员接入身份验证工具并将设置信息写入到身份验证工具中；

-管理员将结果文件或身份验证工具发送给移动电子设备使用者并留下授权的详细记录。

当用户携带移动电子设备外出使用时，***会判断其预期操作目标并开放相应的权限，其具体步骤如下：

-用户开启移动电子设备并正常打开加密软件客户端程序；

-客户端判断移动电子设备上是否有正常使用的身份验证工具，如有则读取相应的信息；若无则不允许用户使用加密文件，并保证其操作的文件不被加密保护；

-客户端根据读取的身份验证工具信息进行判断，如其周期和权限在允许范围内，则运行用户正常读取和操作机密文件；若不在其范围内，提示用户向管理员更新授权并进入无法使用加密文件的模式；

-进入可使用加密文件的模式后，程序正常记录用户对文件的操作，并对文件进行加密保护。

综上所述，本发明提出的移动电子设备信息安全保护***及方法，既能方便员工在内网或脱离内网环境中正常加班，同时在一定条件下又能够正常使用笔记本电脑处理私人事务或享受娱乐功能。当用户在外使用加密软件的周期超过其预设周期，本发明还可以提供新授权的解决办法。

实施例二

在公司内部，员工不能处理私人事务或使用笔记本进行娱乐，此时只能执行强制加密操作，员工在公司内部处理的涉及公司核心机密的文件必须经过强制加密处理，防止员工通过主动泄密方式将核心文件泄漏出去。其步骤如下：

1)员工通过合法方式正常接入到公司内网里面，确保能够正常与服务器ping通；

2)笔记本电脑上的客户端通过向管理中心发送用户名和密码等验证信息向服务器进行验证；

3)如果笔记本电脑通过验证，此时能够正常使用企业内部的加密文件；如果验证不通过，不能使用公司内部的受保护文件；

4)员工正常进行操作，在保存文件时文件被加密同时留下员工在公司内部操作文件的日志。

管理员可以登录控制台对需要进行加班的人员进行身份验证工具(EKEY)授权，其具体步骤如下：

1)管理员登录控制中心，***验证管理员身份的正确性和其授权的操作范围；

2)管理员选取需要在外使用EKEY的用户，设定其使用时间和操作权限；

3)***判定其用户是否正在使用EKEY(时间未过期)，如果EKEY尚未过期则将设置信息导出为结果文件；如果EKEY过期或此用户未使用EKEY，则提示管理员***EKEY并将设置信息写入到EKEY里面；

4)管理员将结果文件或EKEY发送给笔记本电脑使用者并留下授权的详细记录。

当用户携带笔记本电脑外出使用时，***会判断其预期操作目标并开放相应的权限，其具体步骤如下：

1)用户开启电脑并正常打开加密软件客户端程序；

2)客户端判断笔记本电脑上是否有正常使用的EKEY，如有则读取相应的信息；若无则进行娱乐模式，不允许用户使用加密文件并保证其操作的文件不被加密保护；

3)客户端根据读取的EKEY信息进行判断，如其周期和权限在允许范围内，则运行用户正常读取和操作受保护文件；若不在其范围内，提示用户向管理员更新授权并进入娱乐模式；

4)进入工作模式后，程序正常记录用户对文件的操作，并对文件进行加密保护。

本发明在揭示上述方法的同时，还揭示了移动电子设备信息安全保护***，该***包括加密软件程序、管理中心、用户身份识别工具(即身份验证工具)。以下分别揭示各组成部分。

其中，加密软件程序包括：

I、文件加密模块：电脑安装加密软件后强制执行文件加密操作，针对公司内部的核心文件进行保护；

II、文件解密模块：通过后台自动将文件解密到内存，不影响用户的使用，同时不影响文件在磁盘上的加密状态；

III、内部认证模块：用于向管理中心或其他身份验证工具(EKEY等)发送请求并获取管理中心的命令等；

IV、日志记录模块：用于记录用户在此电脑上的文件操作(新建、拷贝、移动、改名以及删除等操作)。

其中，管理中心包括：

I、用户管理模块：针对用户或组进行不同的设置，通过集中式管理方便管理员制定实时、差异化的策略；

II、用户身份识别模块：通过在线搜集用户的信息，用于校验用户的身份并将策略信息下发到制定用户；

III、EKEY管理模块：可以针对用户设置EKEY使用权限，如时间、解密等，并可以将设置导出为结果文件；

IV、日志查询和管理模块：查询管理员的***设置和用户管理操作，管理员EKEY授权操作，以及用户对客户端笔记本电脑的文件操作等。

其中，用户身份识别工具包括：

I、身份识别模块：能够根据里面嵌入的用户名称和客户端的名称进行判断，实现一一对应；

II、权限控制模块：能够根据里面写入的周期和权限控制来控制客户端的使用。

这里本发明的描述和应用是说明性的，并非想将本发明的范围限制在上述实施例中。这里所披露的实施例的变形和改变是可能的，对于那些本领域的普通技术人员来说实施例的替换和等效的各种部件是公知的。本领域技术人员应该清楚的是，在不脱离本发明的精神或本质特征的情况下，本发明可以以其它形式、结构、布置、比例，以及用其它组件、材料和部件来实现。在不脱离本发明范围和精神的情况下，可以对这里所披露的实施例进行其它变形和改变。

Claims (9)

1.一种移动电子设备信息安全保护***，其特征在于：所述***包括管理中心、设置于所述移动电子设备中的加密认证单元、使用时与移动电子设备连接的身份验证工具；

所述身份验证工具包含用户的身份信息、使用权限信息；

所述管理中心用以设定各用户身份验证工具的使用权限，并将使用权限写入相应的身份验证工具中；

所述加密认证单元包括：

-文件加密模块，用以强制执行文件加密操作，针对设定文件进行加密保护；

-文件解密模块，用以通过后台自动将文件解密到内存，不影响文件在磁盘上的加密状态；

-内部认证模块，用以向管理中心或身份验证工具发送请求并获取命令，允许具有使用权限的用户使用加密文件；若无使用权限，则无法使用加密文件，但可使用非加密文件。

2.根据权利要求1所述的移动电子设备信息安全保护***，其特征在于：

所述移动电子设备连接所述管理中心时，通过管理中心控制移动电子设备的加密认证单元；

所述移动电子设备未与所述管理中心连接时，所述信息安全保护***判断是否有有效的身份验证工具连接；若有，则通过身份验证工具控制移动电子设备的加密认证单元，允许对应用户使用加密文件；若无，则无法使用加密文件，但可使用非加密文件。

3.根据权利要求1所述的移动电子设备信息安全保护***，其特征在于：

所述加密认证单元进一步包括日志记录模块，用于记录用户在该移动电子设备上的文件操作，包括新建、拷贝、移动、改名以及删除操作。

4.根据权利要求1所述的移动电子设备信息安全保护***，其特征在于：

所述管理中心包括：

用户管理模块，用以针对用户或用户组进行不同的设置，通过集中式管理方便管理员制定实时、差异化的策略；

用户身份识别模块，用以通过在线搜集用户的信息，用于校验用户的身份并将策略信息下发到制定用户；

身份验证工具管理模块，针对用户设置身份验证工具使用权限，所述使用权限包括使用时间、解密，并将设置导出为结果文件；

日志查询和管理模块，查询管理员的***设置和用户管理操作、管理员授权操作，以及用户对移动电子设备的文件操作。

5.根据权利要求1所述的移动电子设备信息安全保护***，其特征在于：

所述用户验证工具包括：

身份识别模块，用以根据里面嵌入的用户名称和加密认证单元客户端的名称进行判断，实现一一对应；

权限控制模块，用以根据里面写入的周期和权限控制来控制客户端的使用。

6.一种权利要求1至5之一所述信息安全保护***的信息安全保护方法，其特征在于，所述方法包括如下步骤：

文件加解密步骤：文件加密模块强制执行文件加密操作，针对设定文件进行加密保护；文件解密模块通过后台自动将文件解密到内存，不影响文件在磁盘上的加密状态；

权限设定步骤：所述管理中心设定各用户身份验证工具的使用权限，并将使用权限写入相应的身份验证工具中；

当所述移动电子设备连接所述管理中心时，通过管理中心控制移动电子设备的加密认证单元；

当所述移动电子设备未与所述管理中心连接时，所述信息安全保护***判断是否有有效的身份验证工具连接；若有，则通过身份验证工具控制移动电子设备的加密认证单元，允许对应用户使用加密文件；若无，则无法使用加密文件，但可使用非加密文件。

7.根据权利要求6所述的信息安全保护方法，其特征在于：

当所述移动电子设备在局域网时，连接所述管理中心，只能执行强制加密操作，用户在设定局域网内处理的设定机密文件必须经过强制加密处理；所述管理中心设置在服务器中；其步骤如下：

所述移动电子设备通过合法方式正常接入到设定局域网，确保能够正常与服务器连通；

所述移动电子设备的加密认证单元通过向管理中心发送验证信息向服务器进行验证；

如果移动电子设备通过验证，此时能够正常使用设定局域网内的加密文件；如果验证不通过，不能使用设定局域网内的加密文件；

用户进行正常操作，在保存文件时文件被加密同时留下用户在设定局域网内操作文件的日志。

8.根据权利要求6所述的信息安全保护方法，其特征在于：

管理员登录管理中心的控制台对需要进行授权的用户进行授权，其具体步骤如下：

管理员登录管理中心，***验证管理员身份的正确性和其授权的操作范围；

管理员选取需要授权的用户，设定其使用时间和操作权限；

***判定其用户是否正在使用身份验证工具，如果身份验证工具尚未过期则将设置信息导出为结果文件；如果身份验证工具过期或此用户未使用身份验证工具，则提示管理员接入身份验证工具并将设置信息写入到身份验证工具中；

管理员将结果文件或身份验证工具发送给移动电子设备使用者并留下授权的详细记录。

9.根据权利要求6所述的信息安全保护方法，其特征在于：

当用户携带移动电子设备外出使用时，***会判断其预期操作目标并开放相应的权限，其具体步骤如下：

用户开启移动电子设备并正常打开加密软件客户端程序；

客户端判断移动电子设备上是否有正常使用的身份验证工具，如有则读取相应的信息；若无则不允许用户使用加密文件，并保证其操作的文件不被加密保护；

客户端根据读取的身份验证工具信息进行判断，如其周期和权限在允许范围内，则运行用户正常读取和操作机密文件；若不在其范围内，提示用户向管理员更新授权并进入无法使用加密文件的模式；

进入可使用加密文件的模式后，程序正常记录用户对文件的操作，并对文件进行加密保护。

Images