----文档安全技术之防主动泄密
防泄密，是信息安全行业中的一个重要领域。随着各行业信息化的深入，数字化的机密信息已经成为企业和机构的核心资产，具有极高的价值。机密数据外泄，不外乎两种情况。一种是位于企业和机构网络外部的黑客，通过各种攻击和破坏手段，非法窃取到内部资料；一种是内部有权调取和查阅资料的人员，主动将资料外发或携出。
近年，内外网边界的安全防护措施受到前所未有的重视，防火墙、入侵检测、访问控制技术得到较大发展并广泛应用，从外部突破窃取资料的难度已经越来越大。相比之下，内部人员的主动泄密成为重灾区。内部泄密者作案难度更低，由于大多企业内部没有任何防主动泄密的措施，他们可以随时准确地得到企业最有价值的信息资料，并轻易通过网络外发或移动存储介质携出。据调查，仅2008年，内部人员泄密使美国商业损失额超过2500亿美元。前不久闹得沸沸扬扬的力拓商业间谍案，就是公司内部高层管理人员泄密。该事件导致我国在钢铁业的重大谈判中处于被动，保密局透露，此事对中国造成的损失，高达惊人的7000亿人民币，相当于澳大利亚国内生产总值的10%。
为了防止内部主动泄密，经过长期的探索，目前信息安全业界已经拥有了较为成熟的技术应对手段。这些手段归结起来，主要有两种思路：一类是封堵的思路，一类是加密的思路。
封堵的思路
这种思路，我们可以理解为传统生活中实物防盗抢思路的移植。现实中，以现金防盗抢为例：现金需要存放，则存放在坚固的金库中，四周有重兵把守。现金需要运送，则用装甲的运钞车押运，保安荷枪实弹。有大量现金需要交易，则放在银行柜台这样的地方进行，四周布满摄像头，时刻处于警惕和监督之下。其思路总而言之，就是在被保护的物品与外部之间，形成屏障，使盗抢者无法靠近和触及。
相应地，封堵的防泄密方法：在存放数据的服务器或终端，用软件控制或改造机箱的办法，封锁所有可能造成泄密的对外接口。数据在内网之间的传送，则封锁所有可能造成泄密的有线、无线的网络设备接口，甚至在人员进出大门时，也对是否携带存储介质进行检查。限制对外网的访问，在内外网间设置过滤网关，当数据必须要带出到外部时，则在专门的办公地点，由专门的人员进行监督和审核。
加密的思路
这种思路，充分考虑了数字信息本身固有的特点。数字信息的加密变形，与传统实物相比成本更低，容易实现。加密后的信息，即使流出到外部，仍无法打开。但这里有两个问题，一是每次进行手动加解密，使人们的操作负荷大大增加；二是需要查询或编辑文档的人员，仍能获得文档的明文，如果这些人要主动泄密，仍然非常容易。为了解决这两个问题，一种叫做“透明加解密”的技术应运而生。透明加解密技术，有三个特点：
1．无手动加解密操作。每次需要打开文档时，自动解密，呈现在界面上；需要保存时，自动加密，保存到介质上。加解密对用户来说，是透明不可见的。
2．集群化密钥环境。文档在指定集群的范围内，可以正常打开和编辑，一旦流出这个范围，不管是通过网络外发，还是用移动存储介质拷贝携出，都不再可以打开。请注意，这是一个本质的改进，其原理是，文档使用者并不拥有加解密的密钥，权限较高的密钥管理者，却不拥有文档使用权限，这自然形成了一种相互制约的关系。作为补充，密钥管理可以使用二次加密变换机制，加之USBKey防分析自定义加解密算法的应用，即使同时拥有了密钥与文档的人，要在外部环境打开已加密的文件也变得极其困难。当然，如果确有文档外发需要，可以建立一定审批机制在内部解密成明文之后再发出。
3．防泄密的控制，细化到文档。这种加解密，不是针对整个机器进行，而是有选择地针对某些类或某些个文档进行。
比较与结合
比较这两种思路，可以发现它们各有优劣。随着新技术不断出现，数据传输方式和存储手段呈多样化的趋势，封堵的思路受到严峻的挑战，可谓堵不胜堵，防不胜防。对正常的数据传送，处处封堵设防，也会严重地牺牲操作方便性。而加密的思路，多少会带来一些性能影响，并且打印、防界面拷贝等方面加密比较困难。
基于这两种思路，市面上的防主动泄密产品（加密软件）可以分为两类。传统的防水墙产品，主要采用封堵的技术路线，而新型防主动泄密产品则主要采用透明加解密的技术路线。但它们同时又是两种技术思路结合的产物，比如一些防水墙产品在网络传输过程中也采用了加解密机制；而透明加解密产品，在控制打印和界面拷贝时也采用了封堵的技术。在产品的实际运用中，一般还会加入记录文档操作日志进行事后审计的功能。
（作者：刘兆兵 深圳市大成天下信息技术有限公司 研发部经理）
［完］
您现在浏览的是大成天下安全专刊《大成视界》新春贺岁版文章，欢迎浏览该版其他内容！
|
