CN106886709B - 一种文件加密中的应用程序动态授信方法 - Google Patents
一种文件加密中的应用程序动态授信方法 Download PDFInfo
- Publication number
- CN106886709B CN106886709B CN201710023514.2A CN201710023514A CN106886709B CN 106886709 B CN106886709 B CN 106886709B CN 201710023514 A CN201710023514 A CN 201710023514A CN 106886709 B CN106886709 B CN 106886709B
- Authority
- CN
- China
- Prior art keywords
- file
- application program
- judgment
- access
- dynamic trust
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000000034 method Methods 0.000 title claims abstract description 121
- 230000008569 process Effects 0.000 claims description 96
- 230000006855 networking Effects 0.000 claims description 6
- 230000006399 behavior Effects 0.000 claims description 5
- 230000006378 damage Effects 0.000 claims description 4
- 230000000694 effects Effects 0.000 abstract description 12
- 238000004393 prognosis Methods 0.000 abstract description 3
- 238000005516 engineering process Methods 0.000 description 6
- 230000006870 function Effects 0.000 description 6
- 230000000007 visual effect Effects 0.000 description 5
- 238000009825 accumulation Methods 0.000 description 2
- 238000011161 development Methods 0.000 description 2
- 238000012986 modification Methods 0.000 description 2
- 230000004048 modification Effects 0.000 description 2
- XAGFODPZIPBFFR-UHFFFAOYSA-N aluminium Chemical compound [Al] XAGFODPZIPBFFR-UHFFFAOYSA-N 0.000 description 1
- 229910052782 aluminium Inorganic materials 0.000 description 1
- 238000013475 authorization Methods 0.000 description 1
- 230000009286 beneficial effect Effects 0.000 description 1
- 230000005540 biological transmission Effects 0.000 description 1
- 230000008859 change Effects 0.000 description 1
- 230000006835 compression Effects 0.000 description 1
- 238000007906 compression Methods 0.000 description 1
- 230000007547 defect Effects 0.000 description 1
- 238000012217 deletion Methods 0.000 description 1
- 230000037430 deletion Effects 0.000 description 1
- 238000013461 design Methods 0.000 description 1
- 238000001514 detection method Methods 0.000 description 1
- 238000001914 filtration Methods 0.000 description 1
- 238000012544 monitoring process Methods 0.000 description 1
- 230000008520 organization Effects 0.000 description 1
- 238000012545 processing Methods 0.000 description 1
- 238000013468 resource allocation Methods 0.000 description 1
- 230000004044 response Effects 0.000 description 1
- 238000006467 substitution reaction Methods 0.000 description 1
- 230000001960 triggered effect Effects 0.000 description 1
- 238000012795 verification Methods 0.000 description 1
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
- G06F21/44—Program or device authentication
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
- G06F21/71—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/2145—Inheriting rights or properties, e.g., propagation of permissions or restrictions within a hierarchy
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Physics & Mathematics (AREA)
- Software Systems (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Mathematical Physics (AREA)
- Storage Device Security (AREA)
Abstract
本发明公开一种文件加密中的应用程序动态授信方法，本方法使用动态授信的方式使不完全配置的策略能够发挥完全的作用，配置简便，且具备一定的智能特性，只要配置了主程序和主文件类型，再选择性的配置动态授信的规则，即可实现良好效果；预后性好，由于规则的存在，基本策略外的文件访问也能自动处理。
Description
技术领域
本发明涉及一种文件加密中的应用程序动态授权方法，属于信息安全技术领域。
背景技术
文件加密技术是很多用户用来保护自己敏感数据的常用技术，一般情况下，文件在存储介质上保持加密的状态，这些加密文件使用时因当前的使用环境而呈现不同的效果。授信程序可以正常访问、修改这些文件，非授信程序则无法访问或只能访问到加密后的数据。授信程序一般包括专用的绘图、编程、设计等类别的程序，其他所有程序尤其是邮件客户端、IM客户端、压缩工具等用于传播、外发方面的程序都属于非授信程序。通过这种方式，可以将所有的访问程序划分为两类来区别对待，达到防泄密的效果。
由于绘图、编程、设计等类别的程序种类繁多，有已知也有未知的，如果不能够正确的区分的话，就会给正常的工作带来不便，或者造成泄密事故。这就产生了动态对应用程序授信的需求。
现有的解决方案一般都是通过人为的、详尽的对涉密程序进行配置，以期得到正常的加密效果。一般的，其工作流程如附图1所示，传统方式的策略配置工作量巨大，且容易出错。针对传统的、常用的软件通过实践的积累还能够达到比较好的效果，但是遇到新软件，就会难以配置。就算一时配置好，但是如果某一天软件中的某个冷门功能被使用到，可能仍旧会产生问题。
发明内容
针对现有技术的缺陷，本发明提供一种文件加密中的应用程序动态授信方法，其可以对应用程序动态授信，策略配置工作量小，不易出错。
为了解决所述技术问题，本发明采用的技术方案是：一种文件加密中的应用程序动态授信方法，包括以下步骤：S01）、探测文件访问行为；S02）、判断文件访问是否应当授信，当未知进程访问涉密类型文件时，进入动态授信，动态授信包括以下步骤：a）、判断进程是否是涉密进程，如果是涉密进程，则授信；b）、如果进程本身不是涉密进程，那么判断它的父进程和更上级进程是否是涉密进程，如果不是，则不授信；c）、如果进程属于涉密进程的子孙进程，则进入安全判定环节，根据安全判定结果确认是否授信；S03）、将授信结果反馈给应用程序，进入应用程序自身逻辑。
本发明所述文件加密中的应用程序动态授信方法，安全判定环节包括联网能力判定、出品厂家判定、数字签名判定、进程所在位置和依赖项判定以及黑名单规定判定，当该子进程不具备联网能力、出品厂家和数字签名都和已授信的父进程保持一致、所在位置和父进程在相同或相近文件夹内、与父进程具备相似的库依赖关系以及不处于黑名单之内时，动态的自动授信。
本发明所述文件加密中的应用程序动态授信方法，探测文件访问行为时，通过在操作***底层的文件过滤驱动做到监视文件的访问，通过进程创建和销毁通知得到进程的生存周期，两者结合探测到每个进程对所有文件的访问请求。
本发明所述文件加密中的应用程序动态授信方法，步骤2中某进程被动态授信，将该进程的资料保存起来。
本发明的有益效果：本发明使用动态授信的方式使不完全配置的策略能够发挥完全的作用，配置简便，且具备一定的智能特性，只要配置了主程序和主文件类型，再选择性的配置动态授信的规则，即可实现良好效果；预后性好，由于规则的存在，基本策略外的文件访问也能自动处理。
附图说明
图1为现有加密文件的工作流程图；
图2为本发明所述文件加密中的应用程序动态授信方法的流程图。
具体实施方式
下面结合附图和具体实施例对本发明作进一步的说明。
首先对本实施例中出现的缩略语和关键术语进行说明。
文件加密：是一种根据要求在操作***层自动地对写入存储介质的数据进行加密的技术，目前主流的两种方式分别是磁盘加密和文件内容加密。磁盘加密的主要做法是将整个磁盘介质加密，内部的所有数据无论是否对应具体文件都加密，例如微软的Bitlocker技术。文件内容加密是依照具体文件的不同而选择性的加密，不同的文件可能具有不同的加密状态，例如NTFS文件***中含有的文件加密技术。
透明加密：透明加密技术是近年来针对企业文件保密需求应运而生的一种文件加密技术。它是指对使用者来说是无感知的。当使用者在打开或编辑指定文件时，***将自动对未加密的文件进行加密，对已加密的文件自动解密。文件在硬盘上是密文，在内存中是明文。一旦离开使用环境，由于应用程序无法得到自动解密的服务而无法打开，从而起来保护文件内容的效果。
进程：是计算机中的程序关于某数据集合上的一次运行活动，是***进行资源分配和调度的基本单位，是操作***结构的基础。在早期面向进程设计的计算机结构中，进程是程序的基本执行实体；在当代面向线程设计的计算机结构中，进程是线程的容器。程序是指令、数据及其组织形式的描述，进程是程序的实体。
IDE(集成开发环境)：是用于提供程序开发环境的应用程序，一般包括代码编辑器、编译器、调试器和图形用户界面等工具。集成了代码编写功能、分析功能、编译功能、调试功能等一体化的开发软件服务套。
授信访问：当进程访问磁盘上的加密数据的时候，依照进程的不同，对磁盘数据读取、更改的权限也不同。赋予一个进程访问加密数据的能力的过程就是授信访问过程。与之对应的是非授信访问，它具体表现为拒绝访问或只能访问到密文。
现在对程序的授信是通过人为的、详尽的对涉密程序进行配置，以期得到正常的加密效果。如图1所示，其工作流程为：未知程序访问涉密类型文件，如果程序未授信，则拒绝访问或者密文访问；如果程序已授信，则明文访问。现有方式的策略配置工作量巨大，且容易出错。针对传统的、常用的软件通过实践的积累还能够达到比较好的效果，但是遇到新软件，就会难以配置。就算一时配置好，但是如果某一天软件中的某个冷门功能被使用到，可能仍旧会产生问题。
本实施例所述文件加密中的应用程序动态授信方法使用动态授信的方式使不完全配置的策略能够发挥完全的作用，策略配置工作量较小，且具备一定的智能特性，只要配置了主程序和主文件类型，再选择性的配置一定的规则，即可实现良好效果。
本方法有两个关键点，一是未知进程的动态授信，二是未知类型文档的动态授信。其中对未知进程的动态授信本质上是在未知的软件进程试图访问涉密类型文件时给予或拒绝访问权限。对未知类型文档的动态授信本质上是对未知类型文档被访问时的访问程序给予或拒绝访问权限。这两个关键点体现在本方法的流程图中，如图2所示，该过程本质是在未知的软件进程试图访问涉密类型文件时给予或拒绝访问权限，具体为：
S01）、探测文件访问行为。通过在操作***底层的文件过滤驱动可以做到监视文件的访问，通过进程创建和销毁通知可以得到进程的生存周期，两者结合可以探测到每个进程针对所有的文件的访问请求，包括新建、读取、修改、删除等操作。
S02）、判断文件访问是否应当授信。这里主要根据策略配置来运算处理结果，当进程试图访问涉密类型文件时按以下步骤依次处理：
a）、判断进程是否是涉密进程，如果是涉密进程，则授信；
b）、如果进程本身不是涉密进程，那么判断它的父进程和更上级进程是否是涉密进程，如果不是，则不授信；
c）、如果进程属于涉密进程的子孙进程，则进入安全判定环节；
d）、安全判定中要判断该进程是否是安全的子进程，主要通过如下几点来做判断：
联网能力，如果进程具备联网能力，则可能导致文件的外发，则不予以自动授信；
出品厂家，看进程对应可执行文件中的厂家信息，看是否同已授信的父进程属于同一厂家；
数字签名，看进程对应可执行文件中的数字签名信息，看是否同已授信的父进程属于同一证书链签名的；
进程所在位置和依赖项，看进程是否和父进程在相同或相近文件夹内，是否具备相似的库依赖关系；
黑名单规则，看该进程是否在策略中已经明确归属于不可授信进程；
如果该子进程不具备联网能力、出品厂家和数字签名都和已授信的父进程保持一致、所在位置和父进程在相同或相近文件夹内、与父进程具备相似的库依赖关系以及不处于黑名单之内时，则动态的自动授信。
e）、如果进程被动态授信，则将该进程的资料保存起来，这样下次再触发访问检测时，不必重复整个验证过程。
S03）、将授信结果反馈给应用程序，进入应用程序自身逻辑。应用程序对文件的访问请求被允许或拒绝，进入自身程序逻辑继续运行。如果是授信访问，那么它将能够访问到明文的文件内容。
下面以两个实际应用场景为例说下该方法能达到的效果：
有一款著名的PCB设计软件Altium designer，它所处理的文件类型是PcbDoc、SchDoc、PrjPcb，但是，在一些使用场景中，此软件会调用子程序来处理这些文件类型。而这些子程序是插件式的，往往不可预知。此时，我们配置上允许Altium designer主程序访问这些文件类型，并且开启动态授信，则Altium designer的子进程也能够处理这些文件类型，达到正常使用的效果。
著名的程序设计软件Visual Studio是Windows平台上使用C#、C++等程序设计语言开发软件的首选IDE，是Microsoft在生成C++软件的时候，Visual Studio会将所有生成任务做成一个任务委托给MSBuild这个程序来执行，MSBuild又针对各个源代码文件执行cl、mt、link等软件来具体完成编译、链接等任务。这时，可以开启针对Visual Studio开启动态授信，自动授信这一族构建软件。由于动态授信规则的存在，Visual Studio在使用C#、F#、Visual Basic等程序设计语言的时候也能够自动授信。
本方法的关键点在于使用动态授信的方式使不完全配置的策略能够发挥完全的作用，使配置简便，只需要配置主程序、主类型和一定的规则就能对程序动态授权，并且预后性好，由于规则的存在，基本策略外的文件访问也能自动处理。
以上描述的仅是本发明的基本原理和优选实施例，本领域技术人员根据本发明做出的改进和替换，属于本发明的保护范围。
Claims (3)
1.一种文件加密中的应用程序动态授信方法，其特征在于：包括以下步骤：S01）、探测文件访问行为；S02）、判断文件访问是否应当授信，当未知进程访问涉密类型文件时，进入动态授信，动态授信包括以下步骤：a）、判断进程是否是涉密进程，如果是涉密进程，则授信；b）、如果进程本身不是涉密进程，那么判断它的父进程和更上级进程是否是涉密进程，如果不是，则不授信；c）、如果进程属于涉密进程的子孙进程，则进入安全判定环节，根据安全判定结果确认是否授信，安全判定环节包括联网能力判定、出品厂家判定、数字签名判定、进程所在位置和依赖项判定以及黑名单规定判定，当该子孙进程不具备联网能力、出品厂家和数字签名都和已授信的父进程保持一致、所在位置和父进程在相同或相近文件夹内、与父进程具备相似的库依赖关系以及不处于黑名单之内时，动态的自动授信；S03）、将授信结果反馈给应用程序，进入应用程序自身逻辑。
2.根据权利要求1所述的文件加密中的应用程序动态授信方法，其特征在于：探测文件访问行为时，通过在操作***底层的文件过滤驱动做到监视文件的访问，通过进程创建和销毁通知得到进程的生存周期，两者结合探测到每个进程对所有文件的访问请求。
3.根据权利要求1所述的文件加密中的应用程序动态授信方法，其特征在于：步骤S02中某进程被动态授信，将该进程的资料保存起来。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201710023514.2A CN106886709B (zh) | 2017-01-13 | 2017-01-13 | 一种文件加密中的应用程序动态授信方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201710023514.2A CN106886709B (zh) | 2017-01-13 | 2017-01-13 | 一种文件加密中的应用程序动态授信方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN106886709A CN106886709A (zh) | 2017-06-23 |
| CN106886709B true CN106886709B (zh) | 2020-06-09 |
Family
ID=59176219
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201710023514.2A Active CN106886709B (zh) | 2017-01-13 | 2017-01-13 | 一种文件加密中的应用程序动态授信方法 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN106886709B (zh) |
Families Citing this family (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN109672526B (zh) * | 2018-12-17 | 2021-11-09 | 福建联迪商用设备有限公司 | 一种管控可执行程序的方法及*** |
Family Cites Families (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN102495987B (zh) * | 2011-12-18 | 2015-08-19 | 西安安智科技有限公司 | 一种电子信息本地防泄密访问的方法和*** |
| CN103218575A (zh) * | 2013-04-17 | 2013-07-24 | 武汉元昊科技有限公司 | 一种主机文件安全监控方法 |
| CN104680079A (zh) * | 2015-02-04 | 2015-06-03 | 上海信息安全工程技术研究中心 | 一种电子文档安全管理***及方法 |
-
2017
- 2017-01-13 CN CN201710023514.2A patent/CN106886709B/zh active Active
Also Published As
| Publication number | Publication date |
|---|---|
| CN106886709A (zh) | 2017-06-23 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN109923548B (zh) | 通过监管进程访问加密数据实现数据保护的方法、***及计算机程序产品 | |
| EP1612666B1 (en) | System and method for protected operating systems boot using state validation | |
| US7698744B2 (en) | Secure system for allowing the execution of authorized computer program code | |
| JP5203969B2 (ja) | ネットワーク化環境におけるデータの安全保護 | |
| WO2021045832A1 (en) | Hardening based on access capability exercise sufficiency | |
| US10033743B2 (en) | Methods and systems for a portable data locker | |
| US7971017B1 (en) | Memory card with embedded identifier | |
| US20090307783A1 (en) | Data processing device, method, program, integrated circuit, and program generating device | |
| US7890756B2 (en) | Verification system and method for accessing resources in a computing environment | |
| US11074323B2 (en) | Method and system for persisting files | |
| US9460305B2 (en) | System and method for controlling access to encrypted files | |
| CN105447397A (zh) | 一种基于内核模块的文件密级标识的方法 | |
| US20020144121A1 (en) | Checking file integrity using signature generated in isolated execution | |
| Hunger et al. | DATS-data containers for web applications | |
| EP3779747B1 (en) | Methods and systems to identify a compromised device through active testing | |
| JP6256781B2 (ja) | システムを保護するためのファイルセキュリティ用の管理装置 | |
| CN106886709B (zh) | 一种文件加密中的应用程序动态授信方法 | |
| EP2835758B1 (en) | System and method for controlling access to encrypted files | |
| Birnstill et al. | Building blocks for identity management and protection for smart environments and interactive assistance systems | |
| Chen et al. | Towards analyzing complex operating system access control configurations | |
| US11132437B2 (en) | Secure computer operating system through interpreted user applications | |
| Venelle et al. | Security enhanced java: Mandatory access control for the java virtual machine | |
| Rueda et al. | Analysis of virtual machine system policies | |
| US11354407B2 (en) | Techniques for library behavior verification | |
| CN109522734B (zh) | 一种安全应用商店*** |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant | ||
| PP01 | Preservation of patent right | ||
| PP01 | Preservation of patent right |
Effective date of registration: 20231113 Granted publication date: 20200609 |