CN103763313A - 一种文档保护方法和*** - Google Patents

Abstract

本发明公开了一种文档保护设备，驻留在客户端上，该客户端中具有操作***，该操作***划分为用户空间层和内核层，该文档保护设备包括：加解密模块，在用户空间层运行，监控在客户端上的应用对文档的操作，当应用读取文档内容时，从客户端中获取加密的文档内容并进行解密，将解密内容放置在临时存储空间中以供应用读取；当应用存储文档内容时，将临时存储空间中的内容进行加密，并存储加密的文档；以及自保护模块，在内核层中运行，监控临时存储空间，以防止除了该应用以外的其他应用访问该临时存储空间。本发明还公开了一种包括该文档保护设备的文档保护***和相对应的文档保护方法。

Description

一种文档保护方法和***

技术领域

本发明涉及计算机和互联网领域，尤其涉及一种防止文档被外泄的技术。

背景技术

随着计算机技术及网络技术的普及和发展，丰富的网络数据资源为人们的生活带来了极大的便利，同时也带来了诸多的困惑，例如，在企业中，员工很容易地将一些涉及企业秘密的文件发送到企业之外，从而导致文件泄密。因此，需要一种能够保护文档以防止文档内容外传的方案。

目前已经提供了各种方案来防止计算设备上的文档被泄密。一种方案是在计算设备上安装专门的软件来封堵硬件接口（如USB接口、红外接口等）和关闭网络协议（FTP、HTTP等）来阻止向外部传输电子文档。然而，这种方案上存在技术上的不足之外。首先，该方案需要封堵硬件接口和关闭网络协议，牺牲计算机的可用性。其次，随着计算机技术不断发展，新技术新协议不断更新，此种方案很难在第一时间防止通过新的存储介质和传输协议的文档泄密问题。

另外一种方案是在网络中部署权限管理软件，同时配置专用的阅读器来读取文档，从而防止电子文档被泄密。该方案可以设置用户处理电子文档的权限，这样有的用户只拥有读取的权限，而有的用户拥有读取、修改、打印等多种权限。这样既达到了防止文件被泄密，也达到了公司知识积累和文件的共享。管理者从使用者下载文档操作开始控制使用者的读取、存储、复制、输出等权限,使得每使用者只能接触到自己业务范围内的有限文档，防止使用者之间非法复制、拷贝、对外发行、光盘拷贝。这种方案虽然不会受存储介质和传输协议的影响，但该方式需要产生文件后将电子文档手动转换成专用阅读器的文件格式，因此操作繁琐。另外，这种方式由于需要使用者手动来转换格式，因此并不能防止使用者主动泄密。

因此，需要的是一种可以解决上述问题、并且对用户来说基本透明的文档保护方案。

发明内容

为此，本发明提供一种新的方案以力图解决或者至少缓解上面存在的问题。

根据本发明的一个方面，提供了一种文档保护设备，驻留在客户端上。该客户端中具有操作***，该操作***划分为用户空间层和内核层。该文档保护设备包括：加解密模块，在用户空间层运行，监控在客户端上的应用对文档的操作，当应用读取文档内容时，从客户端中获取加密的文档内容并进行解密，将解密内容放置在临时存储空间中以供应用读取；当应用存储文档内容时，将临时存储空间中的内容进行加密，并存储加密的文档；以及自保护模块，在内核层中运行，监控临时存储空间，以防止除了该应用以外的其他应用访问该临时存储空间。

可选地，在根据本发明的文档保护设备中，自保护模块还对所述加解密模块进行监控，当加解密模块停止工作时，所述自保护模块就会清空所述临时存储空间中的解密内容。

可选地，根据本发明的文档保护设备还包括规则管理器，耦接到加解密模块，该规则管理器包括各种应用进行各种文档操作的规则；以及加解密模板在监控到应用对文档的操作时，从规则管理器中获取与该应用相关联的文档操作规则，并确定该应用是否可以进行该文档操作。

可选地，根据本发明的文档保护设备还包括客户端代理模块，适于与文档保护服务器进行通信，并耦接到加解密模块，以将加解密模块所监控到的文档操作记录发送到文档保护服务器。客户端代理模块还包括身份认证部件，适于经由和文档保护服务器的通信来对客户端进行认证，并且只允许认证通过的客户端启动加解密模块进行文档操作。

可选地，在根据本发明的文档保护设备中，其中加解密模块在和自保护模块进行通信时，将自身的校验信息添加到通信数据中，以便自保护模块根据该信息确定加解密模块的身份。

根据本发明的另一个方面，提供了一种文档保护方法，适于在客户端上运行。客户端中具有操作***，该操作***划分为用户空间层和内核层。该文档保护方法包括步骤：在用户空间层监控在客户端上的应用对文档的操作，当应用读取文档内容时，从客户端中获取加密的文档内容并进行解密，将解密内容放置在临时存储空间中以供应用读取；当应用存储文档内容时，将临时存储空间中的内容进行加密，并存储加密的文档；以及在内核层中监控临时存储空间，防止除了该应用以外的其他应用访问该临时存储空间。

可选地，根据本发明的文档保护方法还包括步骤：在内核层监控用户空间层监控应用对文档的操作的步骤，当用户空间层的监控操作停止工作时，就会清空所述临时存储空间中的解密内容。

可选地，在根据本发明的文档保护方法中，在用户空间层监控在客户端上的应用对文档的操作的步骤还包括：在监控到应用对文档的操作时，获取与该应用相关联的文档操作规则，并确定该应用是否可以进行该文档操作。

可选地，根据本发明的文档保护方法还包括步骤：与文档保护服务器进行通信，以将在用户空间层所监控到的文档操作记录发送到文档保护服务器；以及经由和文档保护服务器的通信来对客户端进行认证，并且只允许认证通过的客户端启动所述在用户空间层监控在客户端上的应用对文档的操作的步骤。

根据本发明的还有一个方面，提供了一种文档保护***，包括文档保护服务器；以及一个或者多个客户端，与文档保护服务器通信连接，并且在客户端中驻留有根据本发明的文档保护设备。

根据本发明的文档保护方案，文档在计算设备的存储器中以密文方式存储，而在应用进行文档操作时，才会在应用层又加解密模块解密成明文由应用来操作，而当应用操作完成时，文档内容会在应用层就完成加密，并以密文方式存储到计算设备中。因此，在根据本发明的方案中，在文档内容在整个操作***中的处理期间，加密最早而解密最晚，最大限度缩短明文信息在存储空间中的可访问路径。另外，由于加解密模块在应用层利用应用层的HOOK技术完成，与在内核层进行HOOK相比，降低了程序实现的复杂性，避免了驱动层文件透明加解密的实现方案中，可能由于任何细节处理不当而导致***频繁蓝屏的现象发生。

另外，在根据本发明的文档保护方案中，由在内核层的自保护模块来维护存储解密后明文的临时存储空间，同时也由自保护模块来确保用户层的加解密模块正常工作，从而可以防止临时存储空间的明文被恶意窃取，其安全性和纯内核层的加解密方案基本相同。

此外，在根据本发明的文档保护方案中，会将在一个计算设备中的使用人员利用应用操作文档的记录会上传到本发明提供的文件保护服务器上，因此，管理人员可按要求生成报表来审计使用人员的文档操作情况，这样在文档被泄密时，可以追溯到文档泄密来源，从而进一步确保了文档的安全性。

附图说明

为了实现上述以及相关目的，本文结合下面的描述和附图来描述某些说明性方面，这些方面指示了可以实践本文所公开的原理的各种方式，并且所有方面及其等效方面旨在落入所要求保护的主题的范围内。通过结合附图阅读下面的详细描述，本公开的上述以及其它目的、特征和优势将变得更加明显。遍及本公开，相同的附图标记通常指代相同的部件或元素。

图1示出了根据本发明一个实施例的文档保护***的示意图；

图2示出了根据本发明一个实施例的文档保护设备的示意图；以及

图3示出了根据本发明一个实施例的文档保护方法的流程示意图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

图1示出了根据本发明一个实施例的文档保护***100的示意图。如图1所示，文档保护***100包括文档保护服务器110以及一个或者多个通过网络与文档保护服务器110通信相连的客户端120-140。每个客户端120-140中均驻留有文档保护设备200。客户端120-140可以是本领域任何可以处理电子数据的设备，包括但不限于桌面型计算机、笔记本式计算机、个人数字助理、智能移动终端、平板电脑等。客户端110和120中通常运行现代的操作***，利用操作***来管理计算设备中的硬件资源。一般来说，现代的操作***会划分为用户空间层和内核层。内核层处理和客户端120-140中各个硬件部件的接口，从而向用户空间层提供了一个统一的处理接口。一般而言，在内核层，并不会关注用户权限等问题，而是关注如何高效地和各种硬件进行接口，例如收发网络数据等。用户空间层向客户端的用户或者应用提供了例如用户管理、进程调度、和内存管理等功能，从而方便各种应用在客户端120-140上运行。文档保护设备200不仅仅在用户空间层运行，而且其还有一部分部件在操作***的内核层中运行。

文档保护服务器110和各个客户端120-140，尤其是客户端中的文档保护设备200进行通信，从而可以确保在客户端中的文档不能在客户端之外的其它设备上被查看、修改等。根据一个实施方式，未安装有文档保护设备200的客户端不能打开文档。另外，文档保护服务器110还包括日志存储器112。各个客户端中文档保护设备200所监测到的、各个应用对文档的操作记录都会发送到文档保护服务器110并存储到日志存储器112中。这样，当发现某个文档被外泄时，可以根据日志存储器112中存储的操作记录来确定有可能是哪个客户端发生了外泄。此外还可以通过对日志存储器112中存储的操作记录进行统计分析来确定文档被外泄的风险性。

可选地，文档保护服务器110还包括身份认证部件114，适于对各个客户端处的用户进行身份认证，从而确保只有认证通过的用户才可以使用客户端来进行文档操作。

另外，文档保护服务器110还可以包括规则存储器116，其中存储了不同用户使用各种应用来进行文档操作的规则，例如对于一般用户来说，可以使用word字处理软件来浏览和修改word文档，但是不能打印文档。而对于一般财务人员来说，则可以利用Exel表格处理软件来打开、浏览财务文档，但是不能浏览开发文档。而对于公司的财务总监来说，对于财务文档具有全部权限。文档保护服务器110可以根据需要更新规则存储器116中存储的规则，并发送给相应的客户端，以便文档保护设备200可以根据该规则来确定文档操作的权限等。

图2示出了根据本发明一个实施例的文档保护设备200的示意图。如图2所示，文档保护设备200包括加解密模块210和自保护模块220。

加解密模块210在客户端120-140中的操作***的用户空间层中运行，监控在客户端上的应用对文档的操作。当应用要读取文档内容时，加解密模块210从客户端中、例如客户端的存储器中获取加密的文档内容并进行解密，将解密内容放置在临时存储空间中以供应用读取。而当应用要存储文档内容时，加解密模块210将临时存储空间中的内容进行加密，并将加密的文档存储到客户端的存储器中。

加解密模块210的加解密操作对于上层应用来说是不可见的，或者说是透明的。当应用在打开或编辑指定文档时，加解密模块将自动对未加密的文件进行加密，对已加密的文件自动解密。文档在客户端的永久存储器上以密文方式存储，而在应用操作时，在临时存储空间中以明文方式存在。一旦该文档离开文档保护***的环境，由于应用无法获得自动解密的服务而无法打开这些文档，从而起到保护文档内容的效果。

加解密模块210需要和操作***紧密结合。一般来说，这种加解密技术可分为内核级加密和应用级加密两类。内核级通常采用文件过滤驱动技术，应用级通常采用应用层API HOOK（俗称钩子）技术，其理都是接管文件IO（读写）操作，通过监视应用的读写操作，对文档进行动态的加密和解密。由于这些操作都在底层自动完成，除了速度可能稍有降低外，用户在使用方式上与平时没有差异。

加解密处理的一个基本原则是加密时机应尽可能早，而解密时机应尽可能晚。只有当应用刚产生机密数据的时候就立即加密，而直到应用需要使用数据的前一刻才解密它，才能最大程度地降低机密信息被中途截取的可能。基于上述考虑，加解密模块210在用户空间层即应用层中运行，并采用应用层APIHOOK技术。当各种应用对文档进行操作时，加解密模块210利用API HOOK在应用层的***API处可以提前截获包括文档修改、剪贴、截屏、打印等操作请求，从而可以提前完成文档内容的加解密处理。

根据本发明的一个实施例，加解密模块210可以采用本领域的任何加解密技术来进行文档加解密操作，而不脱离本发明的保护范围。

另外，在加解密模块210内部，加解密操作被设计成不可拆分，如果加密操作失效或者被恶意禁用，则解密操作也同时失效，从而确保了无法单独绕过加密流程。由此可保证若能读取加密文档，则产生的所有文档均强制被加密；若产生的文档不加密，则无法读取任何被加密的文档。

自保护模块220在操作***的内核层中运行。每当加解密模块210监测到应用对文档的操作时，就会将存储文档内容明文的存储空间位置通知给自保护模块220，自保护模块220会监控该临时存储空间，以防止除了该应用以外的其他应用访问该临时存储空间，从而确保临时存储空间中的明文不会被非法访问。例如，当非法用户试图通过非受保护应用来访问临时存储空间中的明文时，自我保护模块216马上判断该应用是否为受保护的应用，如果是不是受保护的应用就禁止该引用来访问该临时存储空间。

另外，由于加解密模块210处于用户空间即应用层中，因此难以保证自身的进程或进程内线程不被强行终止，也难以保证自身模块不被恶意用户强行摘除或替换。这将导致恶意用户有可能通过内核驱动级的特殊工具，强行终止该模块，降低加解密***的抗攻击强度。而内核层的防护程序难以被绕过，抗攻击强度远高于应用层，因此根据本发明的一个实施例，还可以由自保护模块220来对加解密模块210进行监控，当加解密模块210由于各种原因，例如被强行删除或者被强行终止停止工作时，自保护模块220就会立即清空临时存储空间中的明文内容，从而防止文档外泄。

利用这种方式，由在内核层的自保护模块220和在用户空间层的加解密模块210之间的相互协作，既可以保证加解密处理的基本原则可以实现，同时还可以保证这些模块在操作***中的安全性。

根据本发明的一个实施例，自保护模块220由加解密模块210启动。加解密模块210会将相关信息，例如临时存储空间位置等信息发送给自保护模块220。为了确保自保护模块220收到的信息是来自加解密模块210的，可选地，加解密模块210在和自保护模块220进行通信时，将自身的校验信息添加到通信数据中，以便自保护模块220根据该信息确定加解密模块210的身份，从而防止恶意用户伪造加解密模块的身份来对自保护模块220进行控制。

根据本发明的一个实施例，文档保护设备200还可以包括规则管理器230。规则管理器230耦接到加解密模块210，并且其中存储有各种应用进行文档操作的规则。例如规则管理器230可以维护一个受保护应用列表，这样加解密模块210在监测到应用进行文档读写操作时，可以根据规则管理器230来确定该应用是否在受保护应用列表中，并仅仅在应用在该受保护应用列表中时，才允许该应用进行文档操作。规则管理器230中还可以包括各应用能进行文档操作的方式，例如，一些应用只能打开文档而不能编辑等。加解密模块210可以根据规则管理器中的规则来控制应用的文档操作权限。

为了和文档保护服务器110进行通信，可选地，文档保护设备200还包括客户端代理模块240。该代理模块240耦接到加解密模块210并且与文档保护服务器110进行通信，以便将加解密模块210所监控到的文档操作记录发送到文档保护服务器110，例如存储到日志存储器112中，从而可以后续对该操作记录进行分析，来确定文档泄密路径和可能被泄密的文档。

规则管理器230也可以耦接到客户端代理模块240，从而从文档保护服务器110，尤其是规则存储器116获取最新的应用操作文档的规则并对规则管理器230中的规则进行更新。

客户端代理模块240还包括身份认证部件242，其利用文档保护服务器110中的身份认证部件114进行交互，从而对客户端，尤其是客户端上的用户进行认证，并且只允许认证通过的客户端启动加解密模块210来进行文档操作。另外，规则管理器230还经由客户端代理模块240从文档保护服务器110获取与认证通过的用户相关联的应用文档操作规则。这样，加解密模块210在监测到应用的文档操作时，可以首先确定客户端上进行操作的用户，并根据规则管理器230中与该用户有关的规则，来确定该文档操作是否具有权限，如果没有权限，则拒绝该操作。

根据本发明的文档保护设备220，通过在操作***的应用层部署加解密模块，而在内核层部署自保护模块来监控加解密模块和存放明文的临时存储空间，从而可以在确保明文数据在整个***中存放的路径最短的同时，还可以保证整个文档保护设备的安全和可靠性。

图3示出了根据本发明一个实施例的文档保护方法300的流程示意图。文档保护方法300适于在图1所述的客户端中执行，尤其适于在图2所示的文档保护设备200中执行，从而可以保护在客户端上的各种文档以防止外泄。

文档保护方法300始于步骤S310。在步骤S310中，在客户端上运行的操作***的用户空间层监控在客户端上的应用对文档的操作。当应用要读取文档内容时，从客户端中、例如客户端的存储器中获取加密的文档内容并进行解密，将解密内容放置在临时存储空间中以供应用读取。而当应用要存储文档内容时，将临时存储空间中的内容进行加密，并将加密的文档存储到客户端的存储器中。

步骤S310中的加解密操作对于上层应用来说是不可见的，或者说是透明的。当应用在打开或编辑指定文档时，将自动对未加密的文件进行加密，对已加密的文件自动解密。文档在客户端的永久存储器上以密文方式存储，而在应用操作时，在临时存储空间中以明文方式存在。一旦该文档离开文档保护***的环境，由于应用无法获得自动解密的服务而无法打开这些文档，从而起到保护文档内容的效果。

步骤S310中的加解密操作需要和操作***紧密结合。一般来说，这种加解密技术可分为内核级加密和应用级加密两类。内核级通常采用文件过滤驱动技术，应用级通常采用应用层API HOOK（俗称钩子）技术，其理都是接管文件IO（读写）操作，通过监视应用的读写操作，对文档进行动态的加密和解密。由于这些操作都在底层自动完成，除了速度可能稍有降低外，用户在使用方式上与平时没有差异。

加解密处理的一个基本原则是加密时机应尽可能早，而解密时机应尽可能晚。只有当应用刚产生机密数据的时候就立即加密，而直到应用需要使用数据的前一刻才解密它，才能最大程度地降低机密信息被中途截取的可能。基于上述考虑，步骤S310在在用户空间层即应用层中运行，并采用应用层API HOOK技术。当各种应用对文档进行操作时，步骤S310可以利用API HOOK在应用层的***API处可以提前截获包括文档修改、剪贴、截屏、打印等操作请求，从而可以提前完成文档内容的加解密处理。

根据本发明的一个实施例，步骤S310可以采用本领域的任何加解密技术来进行文档加解密操作，而不脱离本发明的保护范围。

另外，在步骤S310中，加解密操作被设计成不可拆分，如果加密操作失效或者被恶意禁用，则解密操作也同时失效，从而确保了无法单独绕过加密流程。由此可保证若能读取加密文档，则产生的所有文档均强制被加密；若产生的文档不加密，则无法读取任何被加密的文档。

同时，在步骤S320中，在内核层中监控临时存储空间，防止除了该应用以外的其他应用访问该临时存储空间。每当在步骤S310中监测到应用对文档的操作时，就会获取存储文档内容明文的存储空间位置，在步骤S320中会监控该临时存储空间，以防止除了该应用以外的其他应用访问该临时存储空间，从而确保临时存储空间中的明文不会被非法访问。例如，当非法用户试图通过非受保护应用来访问临时存储空间中的明文时，在步骤S320中会马上判断该应用是否为受保护的应用，如果是不是受保护的应用就禁止该引用来访问该临时存储空间。

另外，由于步骤S310中的加解密操作在用户空间即应用层中进行，因此难以保证自身的进程或进程内线程不被强行终止，也难以保证该操作不被恶意用户强行摘除或替换。这将导致恶意用户有可能通过内核驱动级的特殊工具，强行终止该操作。而内核层的防护程序难以被绕过，抗攻击强度远高于应用层，因此根据本发明的一个实施例，还可以包括步骤330。在步骤S330中，在内核层对所述步骤S310进行监控，当步骤S310由于各种原因，例如被强行删除或者被强行终止停止工作时，就会立即清空临时存储空间中的明文内容，从而防止文档外泄。

利用这种方式，内核层的监控机制和在用户空间层的加解密操作之间的相互协作，既可以保证加解密处理的基本原则可以实现，同时还可以保证这些模块在操作***中的安全性。

根据本发明的一个实施例，内核层的监控操作由步骤S310启动。在步骤S310中，会将相关信息，例如临时存储空间位置等信息发送给内核层。为了确保内核层收到的信息是来自加解密操作的，可选地，在步骤S310中和内核层进行通信时，将自身的校验信息添加到通信数据中，以便内核层根据该信息确定这些请求来自步骤S310，从而防止恶意用户伪造加解密操作的身份来欺骗内核层。

根据本发明的一个实施例，在步骤S310中在用户空间层监控在客户端上的应用对文档的操作的步骤还包括，在监控到应用对文档的操作时，获取与该应用相关联的文档操作规则，并确定该应用是否可以进行该文档操作。在客户端，尤其是文档保护设备（尤其是图2的规则管理器230）中存储有各种应用进行文档操作的规则。例如文档保护设备可以维护一个受保护应用列表，这样在步骤S310中监测到应用进行文档读写操作时，可以确定该应用是否在受保护应用列表中，并仅仅在应用在该受保护应用列表中时，才允许该应用进行文档操作。文档保护设备中还可以包括各应用能进行文档操作的方式，例如，一些应用只能打开文档而不能编辑等。在步骤S310中可以根据规则管理器中的规则来控制应用的文档操作权限。

为了和文档保护服务器110进行通信，可选地，文档保护方法300还包括步骤S340，在步骤S340中，与文档保护服务器进行通信，以将在用户空间层所监控到的文档操作记录发送到文档保护服务器，例如存储到日志存储器112中，从而可以后续对该操作记录进行分析，来确定文档泄密路径和可能被泄密的文档。

此外，还可以从文档保护服务器110，尤其是规则存储器116获取最新的应用操作文档的规则并对文档保护设备中的规则进行更新。

可选地，文档保护方法300还包括步骤S350。在步骤S350中，经由和文档保护服务器的通信来对客户端进行认证，并且只允许认证通过的客户端启动步骤S310中的操作。在步骤S350中，与文档保护服务器110中的身份认证部件114进行交互，从而对客户端，尤其是客户端上的用户进行认证，并且只允许认证通过的客户端来进行文档操作。另外，还可以从文档保护服务器110获取与认证通过的用户相关联的应用文档操作规则。这样，在步骤S310中在监测到应用的文档操作时，可以首先确定客户端上进行操作的用户，并根据与该用户有关的规则，来确定该文档操作是否具有权限，如果没有权限，则拒绝该操作。

根据本发明的文档保护方法300，通过在操作***的应用层进行加解密操作，而在内核层监控加解密操作和存放明文的临时存储空间，从而可以在确保明文数据在整个***中存放的路径最短的同时，还可以保证整个文档保护设备的安全和可靠性。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下被实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

B10、如B8或者9所述的文档保护方法，其中所述在用户空间层监控在客户端上的应用对文档的操作的步骤还包括：在监控到应用对文档的操作时，获取与该应用相关联的文档操作规则，并确定该应用是否可以进行该文档操作。B11、如B8-10中任一个所述的文档保护方法，还包括步骤：与文档保护服务器进行通信，以将在用户空间层所监控到的文档操作记录发送到文档保护服务器。B12、如B11所述的文档保护方法，还包括步骤：经由和文档保护服务器的通信来对客户端进行认证，并且只允许认证通过的客户端启动所述在用户空间层监控在客户端上的应用对文档的操作的步骤。

类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。

本领域那些技术人员应当理解在本文所公开的示例中的设备的模块或单元或组件可以布置在如该实施例中所描述的设备中，或者可替换地可以定位在与该示例中的设备不同的一个或多个设备中。前述示例中的模块可以组合为一个模块或者此外可以分成多个子模块。

本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书（包括伴随的权利要求、摘要和附图）中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书（包括伴随的权利要求、摘要和附图）中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。

此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

此外，所述实施例中的一些在此被描述成可以由计算机***的处理器或者由执行所述功能的其它装置实施的方法或方法元素的组合。因此，具有用于实施所述方法或方法元素的必要指令的处理器形成用于实施该方法或方法元素的装置。此外，装置实施例的在此所述的元素是如下装置的例子：该装置用于实施由为了实施该发明的目的的元素所执行的功能。

如在此所使用的那样，除非另行规定，使用序数词“第一”、“第二”、“第三”等等来描述普通对象仅仅表示涉及类似对象的不同实例，并且并不意图暗示这样被描述的对象必须具有时间上、空间上、排序方面或者以任意其它方式的给定顺序。

尽管根据有限数量的实施例描述了本发明，但是受益于上面的描述，本技术领域内的技术人员明白，在由此描述的本发明的范围内，可以设想其它实施例。此外，应当注意，本说明书中使用的语言主要是为了可读性和教导的目的而选择的，而不是为了解释或者限定本发明的主题而选择的。因此，在不偏离所附权利要求书的范围和精神的情况下，对于本技术领域的普通技术人员来说许多修改和变更都是显而易见的。对于本发明的范围，对本发明所做的公开是说明性的，而非限制性的，本发明的范围由所附权利要求书限定。

Claims (10)

1.一种文档保护设备，驻留在客户端上，该客户端中具有操作***，该操作***划分为用户空间层和内核层，该文档保护设备包括：

加解密模块，在用户空间层运行，监控在客户端上的应用对文档的操作，当应用读取文档内容时，从客户端中获取加密的文档内容并进行解密，将解密内容放置在临时存储空间中以供应用读取；当应用存储文档内容时，将临时存储空间中的内容进行加密，并存储加密的文档；以及

自保护模块，在内核层中运行，监控临时存储空间，以防止除了该应用以外的其他应用访问该临时存储空间。

2.如权利要求1所述的文档保护设备，其中所述自保护模块还对所述加解密模块进行监控，当加解密模块停止工作时，所述自保护模块就会清空所述临时存储空间中的解密内容。

3.如权利要求1或者2所述的文档保护设备，还包括规则管理器，耦接到加解密模块，并包括各种应用进行各种文档操作的规则；以及

所述加解密模板在监控到应用对文档的操作时，从所述规则管理器中获取与该应用相关联的文档操作规则，并确定该应用是否可以进行该文档操作。

4.如权利要求1-3中任一个所述的文档保护设备，还包括客户端代理模块，适于与文档保护服务器进行通信，并耦接到所述加解密模块，以将所述加解密模块所监控到的文档操作记录发送到文档保护服务器。

5.如权利要求4所述的文档保护设备，所述客户端代理模块还包括身份认证部件，适于经由和文档保护服务器的通信来对客户端进行认证，并且只允许认证通过的客户端启动加解密模块进行文档操作。

6.如权利要求5所述的文档保护设备，所述客户端代理模块还从所述文档保护服务器获取与该客户端相关联的文档操作规则，并存储到所述规则管理器。

7.如权利要求1-6中任一个所述的文档保护设备，其中所述加解密模块在和自保护模块进行通信时，将自身的校验信息添加到通信数据中，以便自保护模块根据该信息确定加解密模块的身份。

8.一种文档保护方法，适于在客户端上运行，该客户端中具有操作***，该操作***划分为用户空间层和内核层，该文档保护方法包括步骤：

在用户空间层监控在客户端上的应用对文档的操作，当应用读取文档内容时，从客户端中获取加密的文档内容并进行解密，将解密内容放置在临时存储空间中以供应用读取；当应用存储文档内容时，将临时存储空间中的内容进行加密，并存储加密的文档；以及

在内核层中监控临时存储空间，防止除了该应用以外的其他应用访问该临时存储空间。

9.如权利要求8所述的文档保护方法，还包括步骤：在内核层监控所述用户空间层监控应用对文档的操作的步骤，当所述用户空间层的监控操作停止工作时，就会清空所述临时存储空间中的解密内容。

10.一种文档保护***，包括

文档保护服务器；以及

一个或者多个客户端，与所述文档保护服务器通信连接，并且在客户端中驻留有如权利要求1-7中任一个所述的文档保护设备。

Images