一种基于属性的安全沙盒内文件动态访问控制和加密方法技术

本发明专利技术面向安全沙盒文件，提供了一种基于属性的动态访问控制和加密方法。该方法收集当前运行环境的时间、文件操作路径、用户身份、文件关键字和文件权限字段等各类属性形成属性集合。从属性集合中提取动态属性，采用策略引擎实现文件的动态访问控制；从属性集合中提取静态属性实施文件的属性基加密，实现了对文件的双重保护。本发明专利技术使用动态属性，一方面管理员可以更改属性或策略，实现对文件权限的按需调整；另一方面动态属性有助于对当前运行环境进行实时判断，实现更灵活与安全的访问控制。本发明专利技术复用访问控制的属性集合对文件进行加密，在不共享密钥的情况下实现对加密文件的共享。享。享。

【技术实现步骤摘要】
一种基于属性的安全沙盒内文件动态访问控制和加密方法


[0001]本专利技术涉及信息安全领域中的电子文件保护，具体为电子文件的访问控制以及电子文件加密保护。

技术介绍

[0002]电子文件指终端上所有的企业、政府等组织单位内部流动的文件，内部文件会包含重要决策、机密信息等，一旦泄露会对相应组织造成不利影响。
[0003]现有的电子文件保护技术大多靠人工管理或者强制阻断的方式。人工方式依靠管理人员和内部相应政策来进行约束，一方面人工管理存在人员成本，另一方面存在很大主观因素，容易造成文件泄密。强制阻断的方式是指禁用终端上可能发生文件传播的途径如USB、网络设备等，这种方式在如今“互联网+办公”的模式下存在很大弊端，不利于文件在允许的范围内共享，大大降低了工作效率。
[0004]目前在部分组织中会实施数据防泄漏系统(Data Leakage Prevention，DLP)，DLP是应用在数据防泄漏场景下的一种系统架构。DLP在数据的生命周期中对数据分类划分和风险评估，同时也有对数据流向的管控。但是目前DLP着重点在于网络侧，主要检查不同网络通信协议中携带的敏感信息，其可以检测网络传输过程中的数据泄露，但是明显不足的是可以检测的泄露途径比较单一，且如果通过虚拟专用网络(Virtual Private Network，VPN)或者使用加密流量将难以检测，需要扩大检测的范围。而目前的终端DLP产品大多只具有加密的功能，缺少在终端上执行控制策略的能力，一旦加密方式被破解或泄露，仍存在有泄密的风险。本专利技术针对终端文件缺乏管控的问题，将沙盒和文件访问控制结合，在文件透明加解密操作前置访问控制策略引擎，为每个文件附加允许访问的条件如时间、操作路径、用户身份等。同时沙盒策略有效保护了文件不被非可信应用的非法读取和破坏。针对传统的加密方式密钥容易泄露的问题，本专利技术采用属性基加密的方式，避免了用户对密钥的记忆。
[0005]现有技术中，申请号202110739746.4的专利说明书中提出一种文件重定向加解密的系统及方法。该申请在Linux操作系统中通过对文件操作相关函数进行HOOK，在读写文件时在内存中进行加解密。与本专利技术显著区别在于：该申请应用于Linux操作系统，本专利技术针对Windows操作系统，其中相关文件操作API显著不同；该申请作用范围是进程内文件操作，本专利技术拥有对外部明文文件进行文件内容识别以及访问控制能力；该申请对于每个文件请求在内存中对文件解密，本专利技术基于缓冲区，对加解密进行性能优化；该申请对于文件的采用传统对称加密的方式进行加密，本专利技术基于属性基加密实现无需记忆密钥的文件加密方式与密文共享的方案。

技术实现思路

[0006]本专利技术针对文件安全沙盒，提供了一种基于属性的文件动态访问控制和加密方法。针对文件安全沙盒环境缺乏策略管控的问题，将动态访问控制与加密结合，在安全隔离
环境中提供一套动态保护文件系统。管理人员可以即时调整访问对象的属性，通过终端上策略引擎，实现对文件的权限进行动态调整。在内核层实现属性基加密，用户操作文件时进行无感知的加解密操作，同时避免了文件在分享过程密钥泄露问题。旨在解决文件在组织内部访问时文件控制策略生效存在延时、文件不易共享以及文件易泄密等问题。
[0007]为达到上述目的，本专利技术方案如下：参阅图1，用户通过所支持的认证方式授权后，在终端为用户建立安全沙盒；捕获用户终端上的文件操作，通过判断文件操作是否处于沙盒环境以及对文件数据进行解析来判断文件是否处于受保护状态；如果文件属于不受保护文件，则仅对文件做隔离保护，如果文件属于受保护文件，则送入访问控制策略引擎中进行处理，来判断用户是否具有此文件对应的操作权限；如果不具备对应权限将会对文件操作进行拦截并记录；如果具备文件对应权限，对文件进行透明加解密，划分文件的读写操作，写入时加密并嵌入用户的属性信息，读取时基于用户的密钥进行解密，基于双缓冲实现透明访问。
[0008]具体包括如下步骤：
[0009]步骤S1：进行系统初始化，包括系统主密钥和公钥生成、用户身份注册；
[0010]步骤S2：用户在终端使用所支持的认证方式登录，获得授权认证后为用户建立安全沙盒环境；
[0011]所支持认证方式包括：密码认证、USB
‑
Key认证、证书认证。
[0012]步骤S3：在终端安全沙盒中拦截文件操作；
[0013]步骤S4：判断一个文件操作所对应的文件是否属于当前安全沙盒；
[0014]如果文件属于安全沙盒，则进行步骤6操作；
[0015]如果文件不属于安全沙盒，则进行步骤5操作；
[0016]步骤S5：文件自识别过程，对文件进行解析，基于文件名称、文件格式以及文件内容进行匹配。如果属性库中存在对应的文件，则将文件通过属性库中属性进行加密，移入沙盒中；如果不存在对应文件则放行文件操作；
[0017]步骤S6：收集当前运行环境，具体的，包括时间，文件操作路径，用户身份信息，文件关键字和文件权限字段，通过访问控制策略引擎来得出文件操作是否允许；
[0018]如果策略引擎结果为拒绝访问，则丢弃该文件操作；
[0019]如果策略引擎结果为允许访问，则对文件读写操作进行区分，进入文件的透明加解密流程；
[0020]步骤S7：根据文件操作类型进行加解密操作。
[0021]对于文件读操作，读取文件加密标志位；
[0022]若为加密文件，则判断是否存在解密缓存，存在缓存的文件直接返回明文文件句柄，如果不存在缓存，使用当前用户属性进行解密，解密成功则返回明文文件句柄并加入缓存中；
[0023]若为非加密文件，则返回用户明文文件句柄；
[0024]对于文件写操作，在缓存中更新明文，依照相应属性加密文件。
[0025]本专利技术的有益效果包括：
[0026](1)对于文件设计两层保护机制
[0027]在现有安全沙盒文件隔离的基础上,引入动态访问控制系统与内核层透明加解
密，用户必须同时具有访问权限和解密密钥才能访问文件,任一层无法通过即无法获取对应权限。
[0028](2)管理人员可动态调整文件权限
[0029]管理人员可对访问对象(环境、人员)属性进行修改，通过终端侧的策略引擎可实时修改文件的访问权限，即时回收或授权用户权限。整个过程用户无感知。
[0030](3)提升加密文件共享过程中的安全性
[0031]传统加密文件共享过程中涉及到密钥的共享，本专利技术摆脱一文件一密钥的限制，多用户可使用多份密钥解密同一文件，提高加密文件分享过程中的安全性。
附图说明
[0032]图1为实施例中的授权用户沙盒环境下发的流程示意图；
[0033]图2为实施例中Windows文件操作重定向的示意图；
[0034]图3为实施例中对相似文件管控策略定义的示意图；
[0035]图4为实施例中终端侧访问控制实现的示意图；
[0036]本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种基于属性的安全沙盒内文件动态访问控制和加密方法，其特征在于，包括如下步骤：步骤S1：进行系统初始化，包括系统主密钥和公钥生成、用户身份注册；步骤S2：用户在终端使用所支持的认证方式登录，获得授权认证后为用户建立安全沙盒环境；所支持认证方式包括：密码认证、USB
‑
Key认证、证书认证；步骤S3：在终端安全沙盒中拦截文件操作；步骤S4：判断一个文件操作所对应的文件是否属于当前安全沙盒；如果文件属于安全沙盒，则进行步骤6操作；如果文件不属于安全沙盒，则进行步骤5操作；步骤S5：文件自识别过程，对文件进行解析，基于文件名称、文件格式以及文件内容进行匹配；如果属性库中存在对应的文件，则将文件通过属性库中属性进行加密，移入...

【专利技术属性】
技术研发人员：张慧翔，李晓辉，冯春，廖凯华，路高乐，
申请(专利权)人：西北工业大学，
类型：发明
国别省市：