文档安全加密系统实现方式详解

加密技术，本质上是一种通过数学或物理手段，为传输或存储中的电子数据提供保护，防止信息泄露的技术手段。在整个信息安全体系中，加密技术占据着核心地位，无论是保密通信、数据安全，还是软件加密，几乎都离不开它的支撑。常见的加密算法主要分为几类：对称加密算法中，有经典的DES系列（包括DES和3DES）、RC系列（如RC4和RC6）以及AES；非对称加密的代表则是RSA。此外，还有专门用于信息摘要的MD5。需要指出的是，这些算法本身，只要设置了足够强度的密码，在当前计算机技术条件下，基本都能满足安全需求。但不同算法之间，计算量的差异可谓天壤之别。对于文档安全加密系统而言，加密算法是其核心组件，选择依据需要根据系统的具体安全要求来确定。在满足安全性的前提下，应优先选择速度较快的算法；条件允许时，甚至可以借助硬件来实现加密，例如直接调用安全芯片内置的加密功能。

文档安全中的加密技术

加密算法虽然至关重要，但它的落地实现方式，才是决定系统成败的关键。目前文档安全系统中，主要有两种实现方式：静态加密和动态加密。静态加密的实现方式相对简单，主要针对处于“静止”状态的数据——例如尚未被使用、存储于硬盘中的文件——进行加密。使用时，需要先将文件解密为明文，然后再打开。市面上很多早期的加密软件产品，都采用这种模式。这就像给文件贴上了一道封条，每次使用前都需要先揭开封条。

动态加密则有所不同，它也被称为实时加密或透明加密（英文名称为encrypt on-the-fly）。其优势在于，数据在使用的过程中，系统会自动执行加密或解密操作，完全无需用户干预。合法用户打开加密文件时，就像打开普通文件一样顺畅，文件彷彿是“透明”的，仿佛从未被加密。但对于没有权限的用户，即便通过非正常手段获取了文件，看到的也只是一堆乱码。动态加密近年来之所以广受欢迎，核心原因在于它不改变用户的操作习惯，既省心又安全。

当然，动态加密需要实时处理数据，必须动态跟踪需要保护的数据流，而且实现层次通常需要深入系统内核。从技术角度而言，实现动态加密的难度远高于静态加密，需要解决的技术难点也更为复杂。

文档安全加密系统的实现层次

在当代操作系统中，所有文件操作均需通过文件系统来完成。不同操作系统支持的文件系统可能有所差异，但访问文件的基本方式大致相同。在Windows系统中，文件系统以设备驱动程序的形式存在。Windows的设备驱动采用分层结构，应用程序与硬件之间可能存在多个驱动程序层级。其中，过滤驱动是一种特殊类型的中间驱动，它位于其他驱动的上层或下层，能够截获发送给下层驱动的请求。在下层驱动完全不知情的情况下，过滤驱动可以修改或拦截这些请求。图1展示了Windows系统中的文件操作流程，层次I和II属于应用层，层次III和IV属于操作系统内核层。应用程序从I层发起文件操作请求，需要依次经过API层（II层）、文件过滤驱动层（III层）和实际文件系统层（IV层），才能最终访问到文件。因此，文档安全加密系统也只能在这四个层次中寻找合适的实现位置。

文件系统的这种分层结构，决定了文档安全加密系统的实现方式。在数据流经的每一个层次，理论上都可以执行加解密操作。但问题在于，层次I只能获取当前应用程序的读写数据，无法管理其他应用的数据，因此层次I只能实现静态加密，无法实现动态加密。即便是层次II，也并非所有文件数据都会经过这一层，不过它能够拦截到文件的打开、关闭等操作。正因如此，在应用层实现的动态加解密产品，很难真正做到“实时”，通常只能通过变通方式实现（基本都卡在层次II）。例如，当应用程序打开文件时，系统先将文件整个解密到另一个路径，然后让应用程序访问这个已解密的副本；等程序关闭文件时，再把副本加密回去。说白了，这只是将静态加解密的过程自动化了，从严格意义上讲，并不算真正的动态加密。

只有在层次III和IV，才能截获所有的文件操作。因此，真正的动态加解密产品，必须在系统内核层实现。这才是关键所在。

500)this.width=500" title="点击这里用新窗口浏览图片" />

图1 展示了Windows系统中文件的操作流程