本發明屬于信息技術領域，涉及數字文件內容保護技術，特別涉及一種能夠跨設備使用和保護文件信息的基于安全目錄的文件保護方法和裝置。

背景技術：

隨著信息技術的快速發展，文件數字化已經變得越來越普及，隨之而來的還有存儲在文件中信息的安全問題。大型公司和機構往往會購買專用的文件保護系統來對公司的機密文件進行管理和保護，然而，該類文件保護系統因其昂貴的價格和部署需求等方面的原因，并不適用于個人信息的保護。另外，除了專門的文件保護系統之外，各種文件保護工具也被越來越多地開發和使用，然而，這些被廣泛使用的文件保護工具默認當前安裝工具的設備為唯一的受保護信息的載體。這種以設備而非用戶為單位管理和保護文件的方法不支持用戶在多個設備上共享和保護文件。事實上，隨著科技的發展和用戶需求的提高，移動設備如平板、手機等也成為用戶使用其敏感信息的平臺。隨著用戶擁有的設備的增加，現有的各種單機文件保護工具已經不能滿足用戶的需求。對于擁有多個設備的用戶而言，更需要一種能夠以用戶為單位，適用于同一用戶的多個設備的文件保護裝置。而現有的文件保護技術只能在用戶的一個設備上進行文件保護，難以滿足擁有多個設備的用戶的文件保護需求，無法為用戶提供高效便攜的跨設備文件保護支持。

技術實現要素：

為了克服上述現有技術的不足，本發明提供一種高效的基于安全目錄的多設備文件保護方法與裝置，為用戶提供安全透明的敏感文件保護，可自動地探測用戶行為達到實時自動保護文件的目的，還能夠為用戶提供高效便攜的跨設備文件保護支持。

本發明的原理是：安全目錄是一個存儲敏感文件并提供自動保護功能的目錄。本發明基于安全目錄設計了一種高效的多設備共享文件保護方法與裝置，克服現有文件保護技術只能在用戶的一個設備上進行文件保護的不足，實現為用戶提供安全透明的敏感文件保護功能，并且能夠自動地探測用戶行為使得實時自動保護文件，還能夠為用戶提供高效便攜的跨設備文件保護支持。同時，為了克服現存文件保護軟件只能保護特定格式的文件這一缺陷，本發明定義了一種新的統一的安全文件結構，擴展了文件的保護范圍，使得任意格式的文件都能夠按照該結構被封裝和保護，為持有多設備的用戶提供了一種跨設備的文件保護方式，使得用戶能夠透明便利地操作被保護的文件。為了保證文件的安全性，任何在安全目錄中的文件都能夠被實時動態的保護，防止由于用戶遺忘對文件進行加密而帶來的文件信息泄露。

本發明提供的技術方案是：

一種基于安全目錄的多設備文件保護方法，創建設備管理模塊、文件夾監視器和文件保護模塊，通過定義新的統一安全文件結構和創建安全目錄，使得任意格式的文件都能夠按照所述安全文件結構被封裝，再基于安全目錄，實現多設備共享文件保護；包括如下步驟：

A)通過設備管理模塊管理多設備信息，包括管理設備信息表、生成設備密鑰、生成設備驗證碼、返回設備密鑰等；

B)通過文件保護模塊，定義統一的安全文件結構，將原文件按照安全文件結構重新封裝，生成新文件為安全結構文件；具體包括：

B1)生成文件加密密鑰

生成文件加密密鑰具體是：文件保護模塊使用每一個設備密鑰遍歷加密文件加密密鑰CEK(Content Encryption Key)后，生成與授權設備綁定的文件加密密鑰密文，使用系統密鑰產生密鑰認證碼，進而根據設備密鑰數量、與各設備綁定的文件密鑰密文和對應的設備驗證碼等信息，生成受保護文件的文件密鑰密文項；

B2)生成安全結構文件

在接收到文件加密密鑰之后，對敏感文件的內容信息進行加密(使用對稱加密算法)，并將文件加密密鑰、原始文件名等信息作為文件頭，封裝為安全文件結構；

本發明中，統一安全文件結構包括文件頭和文件內容；文件內容為原文件加密后的密文，文件頭包括文件總長度、文件名長度、用于防止文本猜測攻擊的隨機鹽R、文件密鑰密文、初始文件的消息認證碼、初始文件長度以及文件頭的消息摘要；其中，文件密鑰密文包括密文總長度、密文信息總項數、文件密鑰密文信息和密鑰認證碼；密文總長度記錄文件密鑰密文的總長度；密文信息總項數記錄與各授權設備綁定的密文信息總數(與當前總授權設備個數)一致；密鑰認證碼由公式產生，用于驗證文件解密過程中設備恢復的文件密鑰的正確性；

C)通過安全目錄存儲敏感文件，授權用戶可進入安全目錄進行文件操作；

D)當用戶進入安全目錄進行文件操作時，通過調用文件監視器的內部函數，實時監控安全目錄中的用戶行為；再基于安全目錄，進行多設備共享文件保護；

D1)當用戶進行文件編輯操作(例如，打開一個被保護文件)時，文件監視器檢測到用戶的打開操作，對文件保護模塊發出對文件實施解密以供用戶使用的請求；

D2)文件保護模塊接收到文件監視器發送的文件查看請求后，首先驗證請求打開文件的完整性，具體地：獲取文件頭的內容；生成當前文件頭內容的消息摘要并和存儲于文件頭中的文件頭摘要進行對比；以驗證文件頭中存儲的信息的完整性，保證文件頭中存儲的相關信息沒有被篡改；再生成設備解密密鑰，具體地：讀取受保護文件頭中記錄的鹽R，發送給設備管理模塊；

D3)設備管理模塊獲取本設備的硬件信息Dev_info，使用加密函數G^a，以系統密鑰K_s和鹽R為參數產生該設備的設備密鑰K_D＝G^a({Dev_info,R,K_s})，同時生成硬件信息Dev_info的單向Hash值，一并發送給文件保護模塊；

D4)文件保護模塊生成文件解密密鑰并檢驗其完整性，具體地：讀取文件頭中的文件密鑰密文，遍歷所有文件密鑰密文信息項<ECKⁱ,HDⁱ>，并讀取出每一項中的設備驗證碼HDⁱ，與設備管理模塊生成的本機設備硬件信息的單向Hash值進行逐一對比，若某一項編號為i的文件密鑰密文信息的設備驗證碼與當前設備的硬件信息的單向Hash值完全相同，說明該項密文信息對應于該設備，若沒有一項能夠匹配，說明該設備非法或已經被刪除，終止文件查看過程；對于匹配上的文件密鑰密文信息項，使用設備密鑰解密該密文信息項中的文件密鑰密文獲取文件內容密鑰CEK，檢驗與文件密鑰密文中存儲的密鑰認證碼是否相等，不相等則解密失敗，終止文件查看過程；

D5)文件保護模塊恢復被保護文件，具體地：文件保護模塊使用文件內容密鑰CEK對被該保護的文件進行解密，并恢復為原始文件，供用戶使用。

當用戶進行的文件操作為修改文件時，用戶修改了一個敏感文件后，文件的摘要信息發生了變化，文件監視器檢測到用戶的修改行為，通知文件保護模塊對文件進行重新加密封裝。文件保護模塊生成新的文件加密密鑰對原文件的內容從新加密并且封裝成新的安全文件結構保存在安全目錄中。

本發明還提供一種實現上述多設備文件保護方法的基于安全目錄的多設備文件保護裝置，包括設備管理模塊、文件夾監視器和文件保護模塊；

設備管理模塊：設備管理模塊包括用戶注冊與驗證單元、設備管理單元以及設備密鑰生成單元；其中，用戶注冊與驗證用于實現對請求訪問安全目錄的用戶的訪問控制與安全目錄信息初始化；設備管理用于管理一個合法用戶的所有注冊設備，包括設備的添加和刪除；考慮到用戶擁有的設備的可變性，定義用戶創建被保護的敏感文件的設備為該文件的源設備，源設備能夠將被保護的敏感文件分享給其他設備，被分享被保護文件的用戶設備(如筆記本，平板)為共享設備；本發明使用了自定義的用戶ticket來進行用戶身份的驗證，用戶ticket對于用戶是透明的；設備密鑰生成單元使用系統密鑰K_s和鹽R產生設備的設備密鑰；

文件夾監視器：文件夾監視器作為一個后臺一直運行的進程，持續的檢測安全目錄中的用戶操作并實時的作出響應，作為用戶和受保護文件的交互橋梁；一旦用戶在安全目錄中進行了影響文件安全性的操作，文件監視器能夠實時探測到這些操作并通知文件保護模塊對文件進行保護；用戶無需手動對文件進行加密操作，所有的加密封裝過程都會在用戶創建或修改文件后自動完成；

文件保護模塊：文件保護模塊是本裝置的核心模塊，負責對文件提供安全保護；本發明在提供保護服務的過程中，不考慮文件的原有格式，而是提取出文件內容進行加密之后重新封裝為安全文件結構；安全文件結構包括文件頭和文件內容兩大部分，文件內容為原文件加密后的密文，文件頭包括文件總長度、文件名長度、用于防止文本猜測攻擊的隨機鹽R、文件密鑰密文、初始文件的消息認證碼、初始文件長度以及文件頭的消息摘要；其中，文件密鑰密文(見圖4)包括密文總長度、密文信息總項數、文件密鑰密文信息和密鑰認證碼；密文總長度記錄文件密鑰密文的總長度；密文信息總項數記錄與各授權設備綁定的密文信息總數(與當前總授權設備個數一致)；密鑰認證碼由公式產生，用于驗證文件解密過程中設備恢復的文件密鑰的正確性；并且提供了一種跨設備的文件保護方式，使得文件能夠在合法設備的安全目錄間共享。這樣的一種與文件格式無關的文件保護裝置能夠最大程度的滿足用戶需求，而不是只能對特定的文件進行加密，增加了該發明的實用性。

與現有技術相比，本發明的有益效果是：

本發明提供一種高效的基于安全目錄的多設備文件保護方法與裝置，為用戶提供安全透明的敏感文件保護，可自動地探測用戶行為達到實時自動保護文件的目的，還能夠為用戶提供高效便攜的跨設備文件保護支持。具體地，本發明具有以下優點：

首先，用戶可以根據需要在權限范圍操作文件。對于任何進入安全目錄的用戶而言，使用本裝置自定義的用戶ticket而不是直接使用用戶輸入的密碼來對用戶進行驗證，能夠在保證用戶的密碼的安全性情況下正確的驗證用戶的身份；

其次，考慮到用戶的使用方便性，同時實現對于敏感文件實時全面的保護，該發明設計了一個文件監視器。監視器作為后臺守護進程一直監控安全目錄的文件操作行為，當用戶在安全目錄新建一個文件，或者從其他文件夾拷貝目錄到安全目錄中，文件監視器能夠立即檢測并通知文件管理組件進行文件加密保護。當用戶對敏感文件進行修改后，文件監視器也能夠監視到該行為并通知文件管理組件對修改后的文件進行重新加密。文件監視器使得用戶的行為能夠被持續和實時的檢測到，用戶無需特別的選擇某些文件來加密，能夠有效防止用戶在新建敏感文件之后由于疏忽而遺忘加密的情況；

再次，該發明自定義了一種新文件格式，將原始敏感文件封裝在統一格式文件內，使得任意格式的文件都能在該裝置下被加密保護。最后，針對現存文件保護工具只能在用戶的一個設備上進行文件保護的不足，該發明還通過將設備信息作為設備密鑰一部分的方式，為用戶提供高效便攜的跨設備文件保護支持。

附圖說明

圖1為本發明提供的多設備文件保護裝置的系統結構框圖。

圖2為本發明提供的多設備文件保護方法的流程框圖。

圖3為本發明實施例中用戶訪問控制的流程示意圖。

圖4為本發明安全文件結構中包括的文件密鑰密文的組成結構圖。

具體實施方式

下面結合附圖，通過實施例進一步描述本發明，但不以任何方式限制本發明的范圍。

本發明提供一種高效的基于安全目錄的多設備文件保護方法與裝置，為用戶提供安全透明的敏感文件保護，可自動地探測用戶行為達到實時自動保護文件的目的，還能夠為用戶提供高效便攜的跨設備文件保護支持。

圖1為本發明提供的多設備文件保護裝置的系統結構框圖，包括設備管理模塊、文件夾監視器和文件保護模塊；實現了基于安全目錄的多設備文件保護。

圖2為本發明提供的多設備文件保護方法的流程框圖。以下實施例中，用戶在其安裝了文件保護裝置的設備端創建了一個共享的安全目錄，在此基礎上實現了基于安全目錄的多設備文件保護，具體包括以下步驟：

1)用戶創建安全目錄

用戶進入安裝了文件保護裝置的設備，在設備端選擇一個安裝路徑，向文件保護裝置申請創建一個安全目錄。

用戶選擇的安全目錄路徑將被處理和存儲在裝置中，同時用戶管理模塊在接收到用戶信息之后會生成其ID和ticket，用戶ticket由公式(1)所述生成：

其中，password_u是用戶密碼，ID指的是該用戶的用戶名，也是該用戶在裝置中的唯一標識。H(·)代表單向哈希函數，確保即使ticket被泄露，攻擊者也無法通過ticket來反向計算出用戶密碼等信息。

2)用戶注冊與驗證

用戶在任一安裝了文件保護裝置的設備端內操作安全目錄的文件之前，首先需要輸入賬號密碼進行身份認證。裝置不直接驗證用戶的賬號密碼，目的是在不揭露用戶密碼的情況下驗證用戶身份的合法性。用戶認證的詳細過程見圖2，當一個用戶輸入用戶名密碼進行登錄時，設備管理模塊會自動為他生成臨時ticket，同時解密獲取該用戶對應于該安全目錄的正確ticket并進行對比，當且僅當兩者完全一致時用戶才被認證為合法并允許進入安全目錄進行文件操作。

3)合法用戶新建文件

合法用戶使用該發明在安全目錄內新建一個文件。該發明所設計的文件監視器將會調用內部函數實時的監控安全目錄中的用戶行為，當探測到用戶的這一“新建文件”操作時，文件監視器立即通知文件保護模塊對文件進行保護。文件保護模塊接收到文件監視器的文件保護請求。

4)文件保護模塊請求設備密鑰

設備管理模塊獲取本設備的設備硬件信息，解密設備信息表，檢驗設備信息表的完整性后，獲取所有相關授權設備的設備唯一標識，設備信息摘要，設備信息三元組信息集合根據設備密鑰生成方法K_D＝G^a({Dev_info,R,K_s})產生各授權設備的設備密鑰生成設備密鑰。

5)返回設備密鑰

設備管理模塊將產生的設備密鑰和對應的設備驗證碼返回給文件保護模塊。

6)生成文件加密密鑰

文件保護模塊使用每一個設備密鑰遍歷加密CEK生成與該授權設備綁定的文件密鑰(文件加密密鑰)，使用系統密鑰產生密鑰認證碼，進而根據設備密鑰數量、與各設備綁定的文件密鑰密文和對應的設備驗證碼等信息，生成受保護文件的文件密鑰密文項。

7)生成安全結構文件

文件保護模塊在接收到文件加密密鑰之后，使用對稱加密算法對敏感文件的內容信息進行加密，并將文件加密密鑰，原始文件名等信息作為文件頭，封裝為一種安全文件結構。

8)用戶打開一個被保護文件

用戶打開閱讀一個被保護的文件。文件監視器檢測到用戶的打開操作，通知文件保護模塊對文件實施解密以供用戶使用。

9)驗證打開文件完整性

文件保護模塊接收到文件監視器發送的文件查看請求后，獲取文件頭的內容，生成當前文件頭內容的消息摘要并和存儲于文件頭中的文件頭摘要進行對比，以驗證文件頭中存儲的信息的完整性，保證文件頭中存儲的相關信息沒有被篡改

10)生成設備解密密鑰

文件保護模塊讀取受保護文件頭中記錄的鹽R，發送給設備管理模塊。設備管理模塊獲取本設備的硬件信息Dev_info，使用系統密鑰K_s和鹽R產生該設備的設備解密密鑰K_D＝G^a({Dev_info,R,K_s})，同時生成Dev_info的單向Hash值，一并發送給文件保護模塊。

由于采用對稱加密，加密密鑰和解密密鑰是一個密鑰。

11)生成文件解密密鑰并檢驗其完整性

文件保護模塊讀取文件頭中的文件密鑰密文，遍歷所有文件密鑰密文信息項<ECKⁱ,HDⁱ>，并讀取出每一項中的設備驗證碼HDⁱ，與設備管理模塊生成的本機設備硬件信息的單向Hash值進行逐一對比，若某一項編號為i的密文信息的設備驗證碼與當前設備的硬件信息的單向Hash值完全相同，說明該項密文信息對應于該設備，若沒有一項能夠匹配，說明該設備非法或已經被刪除，終止文件查看過程。對于匹配上的文件密鑰密文信息項，使用設備密鑰解密該密文信息項中的文件密鑰密文獲取文件內容密鑰CEK，檢驗與文件密鑰密文中存儲的密鑰認證碼是否相等，不相等則解密失敗，終止文件查看過程。

12)文件保護模塊恢復被保護文件

文件保護模塊使用文件內容密鑰CEK對被該保護的文件進行解密，并恢復為原始文件，供用戶使用。

13)用戶修改文件

用戶修改了一個敏感文件后，文件的摘要信息發生了變化，文件監視器檢測到用戶的修改行為，通知文件保護模塊對文件進行重新加密封裝。文件保護模塊生成新的文件加密密鑰對原文件的內容從新加密并且封裝成新的安全文件結構保存在安全目錄中。

從上述實施例中可以看出，本發明具有如下效果：

流行的文件保護軟件對于文件的保護都是基于特定的格式的。對于一些非軟件指定的格式，無法使用軟件來進行保護。而現實的小型企業在管理敏感文件時，文件的種類往往是非常多且難以預知的，在這樣的情況下，文件保護軟件就不能對企業敏感文件提供全面可靠的保護措施。該發明提出的文件保護裝置是一種文件格式無關的裝置，無論原始文件的格式是什么，都會被加密封裝為一種統一的格式，克服了現存的文件加密軟件只能加密特定格式的文件的缺陷；

對于大型公司而言，一般使用一些價格昂貴的專用系統來保護文件信息的安全性。然而對于同樣擁有文件保護需求的個人用戶而言，一些基于設備的本地文件系統是更合適的選擇。近年來，各種針對計算機文件系統的數據加密保護技術不斷發展完善，其中，加密文件系統(EFS)以其較高的易用性和安全性被廣泛關注。EFS基于操作系統的用戶賬號和權限管理，與文件系統集成在一起，對用戶完全透明。EFS認為設備間相互獨立，即使對不同的設備使用相同的管理員密碼，也不能在設備間進行機密文件的安全共享。特別的，只有NTFS格式的windows分區才可以使用EFS加密技術。并且，將敏感文件從具有加密屬性的文件夾中復制到非加密文件夾中，文件會自動解密，意味著將敏感文件在不同設備中傳輸將會使得文件被自動解密和暴露，因此EFS不能滿足用戶跨設備管理、保護敏感文件的需求，而本發明恰恰彌補了這一缺陷，針對現存文件保護工具只能在用戶的一個設備上進行文件保護的不足，本發明還能夠為用戶提供高效便攜的跨設備文件保護支持。

需要注意的是，公布實施例的目的在于幫助進一步理解本發明，但是本領域的技術人員可以理解：在不脫離本發明及所附權利要求的精神和范圍內，各種替換和修改都是可能的。因此，本發明不應局限于實施例所公開的內容，本發明要求保護的范圍以權利要求書界定的范圍為準。