基于AES三层动态加密技术的研发数据安全与保密系统的制作方法

本发明涉及数据保密技术领域，具体地说是一种基于aes三层动态加密技术的研发数据安全与保密系统。

背景技术：

随着企业间的市场竞争不断加剧，技术创新、管理创新等理念使企业对信息化建设持续深入，各类应用软件和管理平台在企业内得到充分利用，企业的核心资产已逐渐向电子信息转变，而电子信息在日益发达的内外部信息网络以及充斥着各种传播数据途径的企业环境下存在着严重的安全隐患，在相关保护知识产权法规还待完善的今天,窃取和泄漏企业敏感数据的现象非常普遍，如何有效的控制这些关系着企业生存和发展的核心数据已成了企业新的挑战。

面对严峻现实，各企业也一直在寻求和探索着一个能够内外兼顾的完善的信息安全保障方案。通过网络安全防护技术如防火墙、入侵检测、反病毒软件应用、身份认证等技术应用，从一定程度上解决了企业外网如病毒和黑客等入侵，使通过外网来侵入企业内部进行窃密的行为得到一定遏制，但现实中企业内数据流失的现象却依然十分严重，这是因为对企业数据安全威胁最大的是企业内部管理，在企业内部存在着多种传播的途径，主要包括：(1)通过移动存储器可以复制、传播电子文件；(2)通过网络可以复制、传播电子文件；(3)通过电子邮件可以复制、传播电子文件；(4)硬件(电脑、硬盘)的丢失造成电子文件的流失；(5)员工离职带走重要的电子文件；(6)外公司人员到企业内接入电脑轻易拷走企业内数据；(7)公司人员带电脑出差将重要数据泄露或遗失。

为了解决这一棘手问题，很多企业采用了如设置上网权限、门禁、封计算机usb和光区等各类端口和设备、打印控制，采用监控软件对机器进行监察和控制以及设置计算机管理规范等各种手段，这些强制手段让内网安全得到一定保障，但由于各种限制降低了工作的效率，且没有从数据源头来根治问题，计算机易管理人却难管控，是很多企业在信息安全工作中遇到的共同问题，很多制定的规范和限制策略由于人的因素而成了空谈，所以如何从数据源头上杜绝数据的扩散成了数据安全的新思考。

技术实现要素：

本发明的目的在于提供一种基于aes三层动态加密技术的研发数据安全与保密系统，用于实现对数据的加密。

本发明解决其技术问题所采取的技术方案是：基于aes三层动态加密技术的研发数据安全与保密系统，其特征是，它包括内核模块、密钥管理模块、用户加解密管理模块、日志管理模块、配置管理模块、流程管理模块、服务器端模块和客户端模块，内核模块负责监控客户端应用程序的指定操作，使用从密钥服务器获得的信息自动完成文件的加/解密操作，并保证文件始终处于密文形式，降低信息流失的风险；密钥管理模块用于从加密锁加载并给客户端提供密钥；加解密管理模块用于查看加密和未加密文件的状态，对指定的文件进行加密解密操作；日志管理模块用于对各种操作提供日志审查功能；配置管理模块用于授权可被允许的操作；流程管理模块处理各种流程并管理、追踪各种操作的相关信息；服务器端模块包括(1)中心服务器：负责所有控制指令的上传下达、配置调度、信息数据存储；(2)web服务器：为web的各种功能提供应用，负责与数据库的通信；(3)锁服务器：负责锁管理，与智能ic卡直接通信，具体功能包括密钥控制和license控制功能；(4)管理控制台：通过浏览器访问实现对管辖的计算机和用户进行配置和管理，提供系统配置、日志查询、客户端状态监控、策略下发、权限控制等功能，便于系统管理员对系统进行全局管理；客户端模块包括(1)加密客户端模块：按照服务端设定的策略，对文件进行实时、动态加解密操作；(2)加解密模块：用于查看文件的加密或非加密状态，并可对指定的文件或文件夹进行加密、解密操作。

进一步地，密钥管理模块包括密钥服务管理器，密钥服务管理器随系统自启动，密钥信息存放于加密锁中，不可复制、修改。

本发明的有益效果是：本发明提供的基于aes三层动态加密技术的研发数据安全与保密系统，可以实现对数据的三层加密。架构上,顺应互联网+的时势，采用b/s模式(browser/server浏览器/服务器模式)架构，intekey已经由传统c/s架构软件转型为b/s架构互联网软件，支持在互联网上部署及移动设备(手机等)应用。只连接intekey服务端的网络通畅，就可以正常使用，省去因为出差而必须让笔记本电脑进行离线使用授权、离线解密授权的烦恼。技术上，采用“文件过滤驱动”的底层驱动技术和先进的流加密算法aes三层加密体系，1024位密钥及核心算法存放于硬件智能卡内，不可跟踪及复制。加密后的文件在企业内部可以正常使用，在企业外部则由于不能获得文件的密钥，无法解析文件的加密数据，文件打不开从而达到对重要核心数据进行保护的目的。系统更采用md5值校验方式，有效杜绝因更改进程名而引发的加密异常。各模块间通讯全部采用rpc的通讯方式，加密更加严谨安全。

附图说明

图1为本发明的结构示意图。

具体实施方式

下面结合附图对本发明进行详细描述。

如图1所示，本发明主要包括内核模块、密钥管理模块、用户加解密管理模块、日志管理模块、配置管理模块、流程管理模块、服务器端模块和客户端模块。

内核模块

内核模块负责监控客户端应用程序的指定操作，使用从密钥服务器获得的信息自动完成文件的加/解密操作，并保证文件始终处于密文形式，降低信息流失的风险。

密钥管理模块

密钥管理模块用于从加密锁加载并给客户端提供密钥。密钥管理模块包括密钥服务管理器，密钥服务管理器随系统自启动，密钥信息存放于加密锁中，不可复制、修改。

加解密管理模块

加解密管理模块用于查看加密和未加密文件的状态，可对指定的文件进行加密解密操作。由于该程序具有解密功能，应严格控制该程序的使用权限。

日志管理模块

日志管理模块用于对各种操作提供日志审查功能。

配置管理模块

管理人员可对每台客户机的加密功能进行订制，所有的配置操作均可在服务端实时完成，这些配置操作包括：是否允许打印，是否允许拷贝，是否允许拖拽，是否允许拷屏，是否允许usb设备接入，以及更新客户端加密软件等。

流程管理模块

当用户需要将已加密文件提交给企业外部人员，或启用了打印流程策略，需要经过审批才能打印文档时，流程管理模块处理各种流程的同时，亦可用于管理、追踪各种操作的相关信息。

服务器端模块是搭建系统服务器端时所需部署的模块，这些模块可完全部署于同一台服务器上，也可按需分离部署。

服务器端模块具体包括：(1)中心服务器(centerserver)：负责所有控制指令的上传下达、配置调度、信息数据存储。(2)web服务器：为web的各种功能提供应用，负责与数据库的通信。(3)锁服务器(lockserver)：负责锁管理，与智能ic卡直接通信，具体功能包括密钥控制和license控制功能。(4)管理控制台(manager)：通过浏览器访问实现对管辖的计算机和用户进行配置和管理。提供系统配置、日志查询、客户端状态监控、策略下发、权限控制等功能，便于系统管理员对系统进行全局管理。

客户端模块包括：(1)加密客户端模块：按照服务端设定的策略，对文件进行实时、动态加解密操作。同时，接收服务端的指令，执行策略管控、扫描加解密处理、客户端实效控制等功能。(2)加解密模块：加解密模块用于查看文件的加密或非加密状态，并可对指定的文件或文件夹进行加密、解密操作。

本发明通过以下三层加密体系保护，保障了数据的绝对安全性。a：外部存储层采用基于智能卡的密钥存储机制，难以非法获取；b:传输层采用基于3des的加密传输机制，难以破解；c：数据加密采用基于高级加密标准算法aes算法，并采用了高加密强度的全文加密的方式,支持aes1024加密算法；数据高强度加密后，在未获得密钥和未经授权的前提下流出企业，将自动不可用，未经授权的第三方用户无法破译或打开。

加密方式有以下三种：客户端动态加密：客户端涉密程序新建、编辑、保存一个涉密文件后，文件自动以密文形式存放于存储介质中。手动加密：具备权限的用户可以使用文件加解密模块对数据进行手动、批量加密。后台扫描加密：支持后台扫描加密功能，便于管理人员通过后台对客户端文件按照类型进行批量扫描加密。

密钥的产生、计算过程均采用随机算法。程序密钥为256位密钥，可破解性极低。产品密钥存放于硬件智能卡(硬件锁)中，不可追踪、不可复制、不可反编译。密钥的获取过程、传输过程、使用过程均再次加密处理，杜绝密钥的非法获取，通过以上措施保障密钥的绝对安全。

涉密数据一旦产生，即刻被高效、快速加密处理。加密后的文件在内部(安装有intekey客户端的用户)的交流不受影响；加密后的文件流出后(或在非授权的机器上)，将无法正常使用；加密后的文件若需提供至外部，必须通过授权解密、审核解密或进行外发权限限制后才能提供。

泄密途径控制：

本系统对所有可能造成信息流失的方式都提供了完备的解决方案，尽量考虑到所有可能造成信息流失的途径，屏蔽了诸如另存输出、剪贴板、打印机、截屏等各种高危操作，涉密数据将始终以密文形式存储在物理介质上，从而能够有效的防止内部涉密信息的流失。系统屏蔽的可泄密途径列举如下：(支持但不仅限于)

解密方式包括：客户端授权解密:拥有“直接解密”权限的用户可直接执行解密操作；后台扫描解密：支持后台扫描解密功能，便于管理人员通过后台对客户端的文件按照类型进行批量扫描解密。流程解密：提供流程审核解密功能，管理员可设置相关解密流程，用户必须提出解密申请，由相关领导审核通过后，方可获取解密后的文件。