CN102761559B - 基于私密数据的网络安全共享方法及通信终端 - Google Patents

Abstract

本发明适用于计算机网络安全技术领域，提供了一种基于私密数据的网络安全共享方法及通信终端，所述方法包括步骤有：将文件虚拟为虚拟磁盘文件；通过预定的驱动和协议将虚拟磁盘文件存放到服务器；在通信终端对私密数据自动加密后，将加密的私密数据通过网络传输到服务器，再将加密的私密数据写入虚拟磁盘文件；从服务器的虚拟磁盘文件中读取加密的私密数据，将加密的私密数据通过网络传输到通信终端，再将加密的私密数据自动解密后传送给应用程序。借此，本发明实现了一种私密数据网络共享的立体防护体系，不仅保证了私密数据在网络共享时的存储安全和网络传输安全，而且方便易用、综合高效，同时实现了共享数据的实时同步。

Description

基于私密数据的网络安全共享方法及通信终端

技术领域

本发明涉及计算机网络安全技术领域，用于私密数据在网络共享时的安全性保护，尤其涉及一种基于私密数据的网络安全共享方法及通信终端。

背景技术

随着计算机和信息技术尤其是网络技术的飞速发展，数据信息已经成为整个社会最为关键的资源，企事业单位需要共享访问的数据信息越来越多，并且越来越重要。因此，如何保证私密数据在网络共享时的信息安全，已经成为亟待解决的重大问题。目前，为了保护基于网络共享的私密数据的安全，主要采用以下两种方法：一是对数据进行加密。采用加密算法对数据进行加密存储和传输，使得其难以分析破译，实现私密数据的保密和安全。二是对数据设置访问权限，进行访问控制。针对不同的用户设置不同的访问权限，并在其访问私密数据之前对其身份进行合法性验证。采用上述两种方法的实现***有很多，基本能部分解决数据安全问题，但也都存在不足：

1）采用加密技术，对存储在磁盘上的私密数据进行加密，当通过网络访问私密数据时进行解密。该方法保证了私密数据的存储安全性，但并没有对私密数据在网络传输中的安全性进行处理，因此，可能出现在网络传输过程中私密数据的泄漏问题。

2）采用加密技术，对网络传输的私密数据进行加密，从而保证私密数据在网络传输过程中的安全性。这种实现方法保证了私密数据的网络传输的安全性，但并没有对私密数据存储的安全性进行处理，因此，一旦存储私密数据的磁盘设备暴露，私密数据的泄漏是显而易见的。

3）采用加密技术，不仅对存储在磁盘设备上的私密数据加密，而且对网络传输中的私密数据加密。该方法虽然能保证私密数据的存储安全和网络传输安全，但由于对数据进行过多的加解密处理，***性能难以保证。

4）采用访问控制，针对不同用户的私密数据设置不同的访问权限，以保证每个用户只能访问自己的私密数据。显然，这种实现方法不能保证私密数据的存储安全和网络传输安全。

5）采用加密技术和访问控制，不仅把存储在磁盘设备上的私密数据加密，而且把网络传输中的私密数据加密，同时针对不同用户设置不同的访问权限，该方法能较好的解决私密数据的安全共享问题。然而，采用该方法的实现技术较多、种类繁杂，始终没有一个整套的解决方案。

综上可知，现有私密数据的网络共享技术，在实际使用上显然存在不便与缺陷，所以有必要加以改进。

发明内容

针对上述的缺陷，本发明的目的在于提供一种基于私密数据的网络安全共享方法及通信终端，其实现了一种私密数据网络共享的立体防护体系，不仅保证了私密数据在网络共享时的存储安全和网络传输安全，而且方便易用、综合高效，同时实现了共享数据的实时同步。

为了实现上述目的，本发明提供一种基于私密数据的网络安全共享方法，应用于通信终端，所述方法包括步骤有：

将文件虚拟为虚拟磁盘文件；

通过预定的驱动和协议将所述虚拟磁盘文件存放到服务器；

在通信终端对私密数据自动加密后，将加密的所述私密数据通过网络传输到所述服务器，再将加密的所述私密数据写入所述虚拟磁盘文件；

从所述服务器的所述虚拟磁盘文件中读取加密的所述私密数据，将加密的所述私密数据通过所述网络传输到所述通信终端，再将加密的所述私密数据自动解密后传送给应用程序。

根据本发明所述的网络安全共享方法，所述驱动是文件重定向器驱动，所述协议是服务器信息块协议。

根据本发明所述的网络安全共享方法，还包括：

通过身份认证对所述虚拟磁盘文件进行访问控制。

根据本发明所述的网络安全共享方法，所述通过身份认证对所述虚拟磁盘文件进行访问控制的步骤还包括：

通过所述身份认证并结合应用程序接口内联HOOK和可二次开发的插件技术，对所述虚拟磁盘文件进行细粒度访问控制。

根据本发明所述的网络安全共享方法，所述身份认证为USBKey的双因素认证。

本发明还提供一种通信终端，包括有：

虚拟磁盘模块，用于将文件虚拟为虚拟磁盘文件；

文件存放模块，用于通过预定的驱动和协议将所述虚拟磁盘文件存放到服务器；

数据写入模块，用于在通信终端对私密数据自动加密后，将加密的所述私密数据通过网络传输到所述服务器，再将加密的所述私密数据写入所述虚拟磁盘文件；

数据读取模块，用于从所述服务器的所述虚拟磁盘文件中读取加密的所述私密数据，将加密的所述私密数据通过所述网络传输到所述通信终端，再将加密的所述私密数据自动解密后传送给应用程序。

根据本发明所述的通信终端，所述驱动是文件重定向器驱动，所述协议是服务器信息块协议。

根据本发明所述的通信终端，还包括：

访问控制模块，用于通过身份认证对所述虚拟磁盘文件进行访问控制。

根据本发明所述的通信终端，所述访问控制模块还用于通过所述身份认证并结合应用程序接口内联HOOK和可二次开发的插件技术，对所述虚拟磁盘文件进行细粒度访问控制。

根据本发明所述的通信终端，所述身份认证为USBKey的双因素认证。

本发明属于计算机网络安全领域，用于私密数据在网络共享时的安全性保护。本发明先将某文件虚拟为虚拟磁盘文件，再通过预定的驱动和协议将虚拟磁盘文件存放到服务器；所述私密数据的写入过程是：在通信终端对需要网络共享的私密数据自动加密后，将加密的私密数据通过网络传输到服务器并写入虚拟磁盘文件；所述私密数据的读取过程是：从服务器的虚拟磁盘文件中读取加密的私密数据，通过网络传输到通信终端，再将加密的私密数据自动解密后传送给应用程序，应用程序即可对解密后的私密数据进行正常操作。本发明对私密数据采用透明的加解密方法，并结合虚拟磁盘、相关协议以及驱动技术实现了一种私密数据网络共享的立体防护体系，其不仅保证了私密数据在网络共享时的存储安全和网络传输安全，而且方便易用、综合高效。另外，由于虚拟磁盘文件的读取和写入都是针对网络的私密数据文件进行的，从而很容易实现私密数据的实时同步。优选的是，本发明还需要要对访问私密数据的用户进行身份认证，并结合API内联HOOK和可二次开发的插件技术，不仅能保证访问数据的用户身份的合法性，而且实现了用户操作文件权限的细粒度控制，从而更好地保护了文件的安全。

附图说明

图1是本发明通信终端的结构示意图。

图2是本发明私密数据加解密的原理框图。

图3是本发明基于私密数据的网络安全共享方法的流程图。

图4是本发明基于私密数据的网络安全共享方法的优选流程图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

图1是本发明通信终端的结构示意图，所述通信终端100与服务器200之间通信连接，所述通信终端100可以是计算机、手机、PDA（PersonalDigitalAssistant，个人数字助理）、平板电脑等，并且所述通信终端100包括虚拟磁盘模块10、文件存放模块20、数据写入模块30以及数据读取模块40，其中：

虚拟磁盘模块10，用于将某文件虚拟为虚拟磁盘文件。

文件存放模块20，用于通过预定的驱动和协议将虚拟磁盘文件存放到服务器200。优选的是，所述驱动是LanmanRedirector（文件重定向器）驱动等，LanmanRedirector驱动用于将访问的文件重定向到文件所在网络的具***置。所述协议是SMB（ServerMessageBlock，服务器信息块协议）协议，所述SMB协议用于传输文件内容。

数据写入模块30，用于在通信终端100对私密数据自动加密后，将加密的私密数据通过网络传输到服务器200，再将加密的私密数据写入虚拟磁盘文件。优选的是，对私密数据的加密采用256位高强度的AES（AdvancedEncryptionStandard，高级加密标准）加密算法。

数据读取模块40，用于从服务器200的虚拟磁盘文件中读取加密的私密数据，将加密的私密数据通过网络传输到通信终端100，再将加密的私密数据自动解密后传送给应用程序，所述应用程序即可对解密后的私密数据进行正常操作。

虚拟磁盘是一种把文件虚拟为磁盘的技术，再通过LanmanRedirector驱动以及SMB协议等，可以把虚拟磁盘文件存放在网络中的服务器200上，并结合加解密技术，可以实现虚拟磁盘文件的透明加解密，不仅保证了私密数据在网络共享时的存储安全和网络传输安全，而且实现起来方便易用、综合高效。

要***解决私密数据的网络共享安全问题，不仅要保证私密数据的存储安全和网络传输安全，而且要对访问该私密数据的用户进行身份认证（即访问控制），因此，所述通信终端100优选还包括：

访问控制模块50，用于通过身份认证对虚拟磁盘文件进行访问控制。所述身份认证优选为USBKey认证，基于USBKey的身份认证技术，是近些年发展起来的一种既方便又安全的身份认证技术，采用软硬件相结合，很好地解决了安全性与易用性之间的矛盾。更好的是，所述身份认证为USBKey的双因素认证，用户若要通过基于USBKey的双因素认证，不仅要拥有USBKey的硬件（例如U盘等）而且需要知道USBKey的密码（PIN值），从而有效地确保了用户身份的合法性。

更好的是，访问控制模块50还用于通过身份认证并结合API（ApplicationProgrammingInterface，应用程序接口）内联HOOK（钩子）和可二次开发的插件技术，以实现对虚拟磁盘文件进行细粒度访问控制。基于API内联HOOK和二次开发的插件技术，可以实现对虚拟磁盘文件的整个操作过程进行监控，即虚拟磁盘文件的全生命周期监控，包括虚拟磁盘文件的创建、读取、修改、另存、复制、打印和删除等。该技术不仅能保证访问数据的用户身份的合法性，而且实现了用户操作文件权限的细粒度控制，比如：用户只能读取文件A，修改文件B，复制和打印文件C等，从而更好地保护文件的安全。

本实施例采用了数据加密和身份认证方法，结合虚拟磁盘、SMB协议、API内联HOOK机制和可二次开发的插件技术，实现了一套易于管理、易于使用、防控粒度细且高效的基于网络私密数据共享的立体式安全保护***。

所述通信终端100中的虚拟磁盘模块10、文件存放模块20、数据写入模块30、数据读取模块40以及访问控制模块50可以是内置于通信终端100的软件单元，硬件单元或者软硬件结合单元。所述服务器200优选为文件服务器。

图2是本发明私密数据加解密的原理框图，其中：

私密数据写入虚拟磁盘文件的过程是，通信终端100的记事本、办公软件、制图软件等应用程序中生成私密数据，将所述私密数据进行加密以进行数据保护，然后将加密后的私密数据通过网络传输到服务器200并写入虚拟磁盘文件。

从虚拟磁盘文件中读取私密数据的过程是，从服务器200的虚拟磁盘文件中读取加密的私密数据，通过网络传输到通信终端100，再将加密的私密数据自动解密后传送给记事本、办公软件、制图软件等应用程序。

由于私密数据加密的过程是在私密数据传输到网络之前进行的，而私密数据解密的过程是在私密数据传输到通信终端100之后进行的，因此在整个网络传输的过程中，私密数据都是处于加密状态的；再结合加解密处理，可以方便高效地保护私密数据在网络共享时的存储安全和网络传输安全。并且，整个私密数据的加解密过程无需用户干预，实现了虚拟磁盘文件的透明加解密，增强了用户的使用体验。

图3是本发明基于私密数据的网络安全共享方法的流程图，其可通过如图1所示的通信终端100实现，包括步骤如下：

步骤S301，将文件虚拟为虚拟磁盘文件。

步骤S302，通过预定的驱动和协议将虚拟磁盘文件存放到服务器200。优选的是，所述驱动是LanmanRedirector驱动；所述LanmanRedirector驱动用于将访问的文件重定向到文件所在网络的具***置。所述协议是SMB协议，所述SMB协议用于传输文件内容。

步骤S303，私密数据的写入步骤：在通信终端100对私密数据自动加密后，将加密的私密数据通过网络传输到服务器200，再将加密的私密数据写入虚拟磁盘文件。优选的是，对私密数据的加密采用256位高强度的AES加密算法。

步骤S304，私密数据的读取步骤：从服务器200的虚拟磁盘文件中读取加密的私密数据，将加密的私密数据通过网络传输到通信终端100，再将加密的私密数据自动解密后传送给应用程序，所述应用程序即可对解密后的私密数据进行正常操作。

图4是本发明基于私密数据的网络安全共享方法的优选流程图，其可通过如图1所示的通信终端100实现，包括步骤如下：

步骤S401，将文件虚拟为虚拟磁盘文件。

步骤S402，通过预定的驱动和协议将虚拟磁盘文件存放到服务器200。优选的是，所述驱动是LanmanRedirector驱动，所述协议是服务器200信息块协议。

步骤S403，通过身份认证对虚拟磁盘文件进行访问控制。所述身份认证优选为USBKey认证，基于USBKey的身份认证技术，是近些年发展起来的一种既方便又安全的身份认证技术，采用软硬件相结合，很好地解决了安全性与易用性之间的矛盾。更好的是，所述身份认证为USBKey的双因素认证，用户若要通过基于USBKey的双因素认证，不仅要拥有USBKey的硬件（例如U盘等）而且需要知道USBKey的密码（PIN值），从而有效地确保了用户身份的合法性。更好的是，通过身份认证并结合API内联HOOK（钩子）和可二次开发的插件技术，对虚拟磁盘文件进行细粒度访问控制。基于API内联HOOK和二次开发的插件技术，可以实现对虚拟磁盘文件的整个操作过程进行监控，即虚拟磁盘文件的全生命周期监控，包括虚拟磁盘文件的创建、读取、修改、另存、复制、打印和删除等。该技术不仅能保证访问数据的用户身份的合法性，而且实现了用户操作文件权限的细粒度控制，比如：用户只能读取文件A，修改文件B，复制和打印文件C等，从而更好地保护文件的安全。

步骤S404，在通信终端100对私密数据自动加密后，将加密的私密数据通过网络传输到服务器200，再将加密的私密数据写入虚拟磁盘文件。

步骤S405，从服务器200的虚拟磁盘文件中读取加密的私密数据，将加密的私密数据通过网络传输到通信终端100，再将加密的私密数据自动解密后传送给应用程序，所述应用程序即可对解密后的私密数据进行正常操作。

综上所述，本发明属于计算机网络安全领域，用于私密数据在网络共享时的安全性保护。本发明先将某文件虚拟为虚拟磁盘文件，再通过预定的驱动和协议将虚拟磁盘文件存放到服务器；所述私密数据的写入过程是：在通信终端对需要网络共享的私密数据自动加密后，将加密的私密数据通过网络传输到服务器并写入虚拟磁盘文件；所述私密数据的读取过程是：从服务器的虚拟磁盘文件中读取加密的私密数据，通过网络传输到通信终端，再将加密的私密数据自动解密后传送给应用程序，应用程序即可对解密后的私密数据进行正常操作。本发明对私密数据采用透明的加解密方法，并结合虚拟磁盘、相关协议以及驱动技术实现了一种私密数据网络共享的立体防护体系，其不仅保证了私密数据在网络共享时的存储安全和网络传输安全，而且方便易用、综合高效。另外，由于虚拟磁盘文件的读取和写入都是针对网络的私密数据文件进行的，从而很容易实现私密数据的实时同步。优选的是，本发明还需要要对访问私密数据的用户进行身份认证，并结合API内联HOOK和可二次开发的插件技术，不仅能保证访问数据的用户身份的合法性，而且实现了用户操作文件权限的细粒度控制，从而更好地保护了文件的安全。

当然，本发明还可有其它多种实施例，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员当可根据本发明作出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。

Claims (4)

1.一种基于私密数据的网络安全共享方法，其特征在于，应用于通信终端，所述方法包括步骤有：

将文件虚拟为虚拟磁盘文件；

通过预定的驱动和协议将所述虚拟磁盘文件存放到服务器；

在通信终端对私密数据自动加密后，将加密的所述私密数据通过网络传输到所述服务器，再将加密的所述私密数据写入所述虚拟磁盘文件；

从所述服务器的所述虚拟磁盘文件中读取加密的所述私密数据，将加密的所述私密数据通过所述网络传输到所述通信终端，再将加密的所述私密数据自动解密后传送给应用程序；

还包括：通过身份认证对所述虚拟磁盘文件进行访问控制；

所述身份认证为USBKey的双因素认证；

所述通过身份认证对所述虚拟磁盘文件进行访问控制的步骤还包括：

通过所述身份认证并结合应用程序接口内联HOOK和可二次开发的插件技术，对所述虚拟磁盘文件进行细粒度访问控制。

2.根据权利要求1所述的网络安全共享方法，其特征在于，所述驱动是文件重定向器驱动，所述协议是服务器信息块协议。

3.一种通信终端，其特征在于，包括有：

虚拟磁盘模块，用于将文件虚拟为虚拟磁盘文件；

文件存放模块，用于通过预定的驱动和协议将所述虚拟磁盘文件存放到服务器；

数据写入模块，用于在通信终端对私密数据自动加密后，将加密的所述私密数据通过网络传输到所述服务器，再将加密的所述私密数据写入所述虚拟磁盘文件；

数据读取模块，用于从所述服务器的所述虚拟磁盘文件中读取加密的所述私密数据，将加密的所述私密数据通过所述网络传输到所述通信终端，再将加密的所述私密数据自动解密后传送给应用程序；

还包括：访问控制模块，用于通过身份认证对所述虚拟磁盘文件进行访问控制；

所述身份认证为USBKey的双因素认证；

所述访问控制模块还用于通过所述身份认证并结合应用程序接口内联HOOK和可二次开发的插件技术，对所述虚拟磁盘文件进行细粒度访问控制。

4.根据权利要求3所述的通信终端，其特征在于，所述驱动是文件重定向器驱动，所述协议是服务器信息块协议。