信息安然事務(wù)愈來愈多，收集犯法已上升到了國度層面。確切，有時(shí)辰就是如許嘲諷，小我做一件事，那叫犯法，國度做一件事，那叫為了國度好處，叫愛國。
降落泄密信息安然事務(wù)產(chǎn)生的底子編制只有一條：數(shù)據(jù)加密。加密是信息安然的根本。
當(dāng)然我相信所有的加密軟件最后必定能被破解(大年夜不了一個(gè)國度組織全國的力量來破解，就看值得不值得了)。
但我更確信：
此刻已不是選擇不選擇加密軟件的時(shí)辰，而是選擇甚么樣加密軟件的時(shí)辰了。
清算了幾項(xiàng)選擇加密軟件需要查核的方面，拋磚引玉。
1、 加密軟件是不是主動(dòng)透明加密？
何謂“透明”？“透明”應(yīng)當(dāng)就是指加密的動(dòng)作不需要人工干涉干與，是軟件主動(dòng)完成的。好比：用WORD成立一個(gè)文檔的時(shí)辰，軟件應(yīng)當(dāng)能主動(dòng)把這個(gè)新建的文件加密，對(duì)用戶完全透明，不影響用戶的把持習(xí)慣。
大年夜部門加密軟件都是透明加密的，可是也有辨別。良多利用軟件在編纂數(shù)據(jù)文件時(shí)，城市生成姑且文件。好比Word在編纂文檔時(shí)，會(huì)在同目次下呈現(xiàn)以“~$”開首的文件和一個(gè)以“~”開首并以tmp為后綴的文件。這些姑且文件在響應(yīng)的數(shù)據(jù)文件被正常封鎖后，會(huì)主動(dòng)被刪除。因?yàn)檫@些姑且文件也存儲(chǔ)有企業(yè)的奧秘?cái)?shù)據(jù)，因此這些姑且文件也應(yīng)當(dāng)是要能主動(dòng)加密的。
在測試的時(shí)辰要出格寄望。有些品牌的加密軟件，為了給本身圖便利，拋卻對(duì)中間過程的文件進(jìn)行加密。例如，業(yè)界有一個(gè)老牌的廠商便采納了如許一種做法：①反對(duì)法度對(duì)文件的打開把持;② 把打開的文件埋沒地解密到一個(gè)“奧秘”的處所;③ 在后臺(tái)把利用法度對(duì)數(shù)據(jù)文件把持指針指向位于“奧秘”的地方的明文;④ 在封鎖數(shù)據(jù)文件時(shí)，把隱躲的明文加密并替代原本的文件。如許的設(shè)計(jì)，讓用戶看起來是可以或許打開編纂密文，編纂保留后獲得的仍是密文?？墒菍?shí)際上利用軟件真實(shí)編纂的對(duì)象是一個(gè)不加密的明文文件。假定這個(gè)“奧秘的處所”被知道了，完全可以打開密文時(shí)到阿誰“奧秘的處所”往獲得明文。
顛末端多年的成長，加密軟件的透明加密手藝已有了明白的汗青階段劃分，一般覺得，加密1.0手藝是環(huán)境加密手藝，其特點(diǎn)是其實(shí)不進(jìn)行文件內(nèi)容的加密，只是對(duì)硬盤指導(dǎo)區(qū)(扇區(qū))進(jìn)行加密和供給部門收集加密功能;加密2.0手藝是格局加密手藝，其特點(diǎn)是對(duì)治理人員設(shè)置的部門特定格局文件進(jìn)行加密，未設(shè)置或健忘設(shè)置的則沒法進(jìn)行加密，跟著利用軟件的進(jìn)級(jí)，格局加密需同步進(jìn)級(jí);加密3.0手藝是多模加密，其特點(diǎn)是按照設(shè)置策略不合，可以實(shí)現(xiàn)全盤加密，目次加密，格局加密，手動(dòng)加密，空加密等等功能，多模加密是下一帶加密手藝的成長標(biāo)的目標(biāo)。一般集體型公司為了知足內(nèi)部加密策略按照部門、人員不合而設(shè)置不合，已將多模加密作為選擇加密軟件的需要前提。
一般來講，多模加密起碼可以實(shí)現(xiàn)：
全盤加密，目次加密，格局加密，反格局加密，手動(dòng)加密，空加密，收集加密，靜態(tài)加密等多種加密;
不管采取哪一種加密模式，寄望姑且文件也需如果加密的，這一點(diǎn)也很是要命，別讓利用人員簡簡單單將姑且文件復(fù)制出來就解密了，那就沒有涓滴的安然性可言了。
2、 加密的算法及密鑰的安然性
對(duì)一個(gè)離開了企業(yè)環(huán)境的密文來講，安然完全由算法和密鑰來決定。所以選擇加密軟件的時(shí)辰，對(duì)其采取的算法和密鑰的安然性必然要體味。一般來講，加密算法根基都采取國際風(fēng)行的算法：好比RSA、DES、RC、AES等，這些算法當(dāng)然是公開的，但按照現(xiàn)代暗碼學(xué)的理論，加密算法的公開與否其實(shí)不影響其安然性，一個(gè)好的加密算法的安然性只依托于密鑰。是以對(duì)離開了企業(yè)環(huán)境的密文來講，密文的安然首要靠密鑰的安然來包管。
一個(gè)加密軟件的密鑰是不是安然應(yīng)當(dāng)首要要解決以下幾個(gè)標(biāo)題問題：
1，加密軟件的廠家假定獲得到企業(yè)的密文，廠家應(yīng)當(dāng)是不克不及解密的。良多加密軟件，密鑰是按照計(jì)較機(jī)的某些特點(diǎn)值由法度生成的，企業(yè)本身沒法設(shè)置，如許只要知道了硬件的特點(diǎn)碼，廠家就可以輕松獲得到用戶的密鑰，那么企業(yè)的文件對(duì)廠家來講就是沒有保密可言了;還有些加密軟件的密鑰就是系統(tǒng)固定的，如許廠家只要拿到密文，就可以解密;
2，企業(yè)內(nèi)部的密文，拿到別的一個(gè)企業(yè)里面，應(yīng)當(dāng)是不克不及解密的：此刻良多加密軟件的節(jié)制端都由企業(yè)的收集治理人員在利用，那么一旦網(wǎng)管人員離職，從頭安裝不異的加密軟件，應(yīng)當(dāng)包管原單位的文檔即便拷貝過往也不克不及瀏覽。也就是要包管不合企業(yè)能有不合的加密密鑰。
3，在利用過程中，假定密鑰泄漏，應(yīng)當(dāng)要有解救辦法：好比說密鑰能撐持更改，如許密鑰泄漏了，企業(yè)可以便利的改換，可是，改換密鑰的前提是采取老密鑰對(duì)本來的密文全數(shù)解密，這個(gè)其實(shí)是一個(gè)浩大的工程。是以，選擇改換密鑰生怕只能說對(duì)后續(xù)的文件安然性有幫忙。
今朝，在我們國度，對(duì)加密產(chǎn)品采取的算法履行的是強(qiáng)迫治理政策。也就是說，加密算法采取國度有關(guān)部門擬定的才是合法產(chǎn)品。
關(guān)于加密產(chǎn)品中加密算法密鑰的安然性，也了汗青清算的需要了：
就加密軟件加密算法密鑰的強(qiáng)度：
第一個(gè)階段，采取單密鑰的產(chǎn)品，這類產(chǎn)品的特點(diǎn)是，進(jìn)行加密時(shí)辰，全公司采取一個(gè)密鑰進(jìn)行，它的缺點(diǎn)是一旦這個(gè)密鑰被攻下，便是這個(gè)加密產(chǎn)品就掉效了;在加密1.0手藝環(huán)境加密手藝一般采取這個(gè)方案;
第二個(gè)階段，采取多密鑰的產(chǎn)品，這類產(chǎn)品的特點(diǎn)是，可能公司里面一些部門采取不合的加密密鑰進(jìn)行，恰當(dāng)?shù)脑黾恿讼到y(tǒng)的安然性，可是一旦用戶往其他部門進(jìn)行數(shù)據(jù)互換的時(shí)辰，就必需有一個(gè)將文件采取前一個(gè)密鑰解密采取后一個(gè)密鑰加密的動(dòng)作，這個(gè)大年夜大年夜降落了系統(tǒng)的安然性;同時(shí)，采取多密鑰產(chǎn)品，一旦這幾個(gè)密鑰被破解，系統(tǒng)的安然性也將不復(fù)存在;并且，多密鑰產(chǎn)品的密鑰就存在辦事器上，還存在被治理人員盜取的風(fēng)險(xiǎn);
第三個(gè)階段，采取一文一密鑰的產(chǎn)品，這類產(chǎn)品的最大年夜特點(diǎn)是每個(gè)文件的密鑰均不一樣，完全跳開了單密鑰多密鑰的臼束，創(chuàng)作發(fā)現(xiàn)性的引進(jìn)對(duì)稱加密和非對(duì)稱加密相相連絡(luò)的手藝，實(shí)現(xiàn)了一個(gè)文件一個(gè)隨奧秘鑰的程度，在不增加系統(tǒng)負(fù)荷的前提下，根基上實(shí)現(xiàn)了一次一密的安然需求。
一文一密鑰是選擇加密軟件的第二個(gè)需要前提。
國際上供給一文一密鑰的產(chǎn)品比較多。國內(nèi)能供給一文一密鑰的產(chǎn)品當(dāng)然不多，但大年夜部門的廠家正在向這個(gè)方眼進(jìn)步。2014年再選擇加密軟件，這一條應(yīng)當(dāng)是硬性要求了。
一文一密鑰的測實(shí)驗(yàn)證編制：
在加密系統(tǒng)中，生成一文密文，將該密文文件復(fù)制生成其他多個(gè)格局、內(nèi)容如出一轍的密文，將該系統(tǒng)退出加密環(huán)境，在非加密環(huán)境里面看剛才的所有文件，看他們的亂碼是不是一樣。因?yàn)楦窬?、?nèi)容都一樣，假定打開時(shí)辰發(fā)現(xiàn)亂碼都不一樣，申明采取的就是一文一密鑰加密手藝。
3、 泄密路子
沒有經(jīng)由過程授權(quán)，便可以獲得密文中的內(nèi)容的編制，稱之為泄密路子。加密軟件中假定不合弊端這些路子加以節(jié)制，那么加密軟件就形同虛設(shè)。泄密路子浩繁，每種路子的節(jié)制是加密軟件的一個(gè)首要功能。泄密路子節(jié)制的吵嘴，也是選擇加密軟件的一個(gè)首要查核點(diǎn)。
可是，最優(yōu)良的加密軟件應(yīng)當(dāng)是和加密后文件的暢通路子無關(guān)，即：應(yīng)當(dāng)是加密后的文件，未經(jīng)任何承諾，經(jīng)由過程任何路子外發(fā)的都是密文，而不是僅僅將文件流轉(zhuǎn)的路子進(jìn)行限制。
在加密1.0手藝中，因?yàn)槭遣扇〔块T收集和談對(duì)數(shù)據(jù)進(jìn)行加密，但其沒法撐持多種和談，一旦采取了未實(shí)現(xiàn)的和談，則數(shù)據(jù)發(fā)送后就100%解密了，這一點(diǎn)需要出格存眷。
收集發(fā)送
利用QQ、Foxmail、Outlook等收集軟件把一個(gè)密文發(fā)送到?jīng)]有安裝加密軟件的電腦上，查看是不是可以看到文件的內(nèi)容。假定可以查看，申明存在泄密危險(xiǎn)。
其他能進(jìn)行的發(fā)送路子比較多，每個(gè)公司可以清算本身的文件發(fā)送編制進(jìn)行測試。
剪貼板
查看是不是可利用Windows供給的復(fù)制-粘貼功能把密文內(nèi)容發(fā)送出往。測試編制：用WORD打開一個(gè)密文，用鼠標(biāo)選擇一些文字，復(fù)制(或CTRL+C)，切換到QQ聊天窗口中，粘貼(或CTRL+V)，查看是不是可以粘貼出明文。
剪貼板是個(gè)非經(jīng)常常利用的功能，避免利用剪貼板會(huì)使客戶端的利用者遭到良多限制。加密軟件不該該只利用避免的編制來節(jié)制剪貼板。比較好的措置編制是將剪貼板的內(nèi)容加密，使得復(fù)制的內(nèi)容在受控法度(如WORD)上可以粘貼出明文，而在非受控法度(如QQ)上沒法貼出明文。
屏幕拷貝
查看是不是可以經(jīng)由過程屏幕拷貝的編制將文檔內(nèi)容泄漏。屏幕拷貝有兩種常常利用編制，一種是利用Windows快捷鍵PrtScr或ALT+PrtScr，另外一種是利用一些可以捕獲屏幕的軟件，好比QQ。測試編制：
針對(duì)第一種編制：用WORD打開一個(gè)密文，打開看到明文后，按一次PrtScr鍵，打開Windows自帶的畫圖軟件(開端?所有法度?附件?畫圖)，按CTRL+V，查看是不是可以貼出帶有文件內(nèi)容的圖片。
針對(duì)第二種編制：利用QQ作為測試軟件，查看QQ屏幕截圖功能是不是可利用。別的，QQ也是360保險(xiǎn)箱默許呵護(hù)的軟件之
一，所以應(yīng)當(dāng)測試一下，用360保險(xiǎn)箱呵護(hù)QQ的環(huán)境下，避免截屏是不是生效。
OLE插進(jìn)
OLE插進(jìn)是打開密文的另外一種編制。撐持OLE插進(jìn)手藝的軟件有良多，好比Windows自帶的寫字板(可履行文件名為wordpad.exe)。測試編制：打開一個(gè)寫字板，將一個(gè)加密的WORD文檔用鼠標(biāo)拖動(dòng)到寫字板內(nèi)(或在寫字板菜單“插進(jìn)”?“對(duì)象”，并選擇“由文件成立”，選擇加密的WORD文檔)，假定有此成立的寫字板文件是明文而不加密，則申明存在OLE縫隙。
拖拽
用WORD打開一個(gè)密文，拖動(dòng)鼠標(biāo)左鍵選中一些文字，在選中的文字上用鼠標(biāo)拖動(dòng)數(shù)據(jù)，查看是不是可以將這些文件拖動(dòng)到QQ聊天窗口上。假定可以，就存在拖拽泄密的風(fēng)險(xiǎn)。
過程辨認(rèn)
大年夜多加密軟件都是按照法度名和文件的后綴(擴(kuò)大名)來決定哪個(gè)文件需要加密的。好比利用WORD生成的擴(kuò)大名為“.DOC”的文檔會(huì)被主動(dòng)加密，而用WORD打開密文可以主動(dòng)解密。假定有其他法度可以假充是WORD，那么便可以打開加密的Doc文檔了。所以，加密軟件都需要有一套機(jī)制來辨認(rèn)受控法度，避免非受控法度假充。
非受控法度假充受控法度最簡單的編制就是點(diǎn)竄可履行文件名。好比把FoxMail的文件名(foxmail.exe)點(diǎn)竄成winword.exe，就用Foxmail假充了WORD。把Foxmail.exe點(diǎn)竄成Winword.exe，然后履行，寫郵件并選擇一個(gè)加密的WORD文件作為附件，從另外一個(gè)沒有安裝加密軟件的電腦領(lǐng)受下這個(gè)郵件，假定可以看到明文，那么申明過程辨認(rèn)上存在縫隙。
過程辨認(rèn)的另外一個(gè)標(biāo)題問題是，將可托過程假充不成信過程。好比WORD生成的文檔是需要加密的，假定把Winword.exe點(diǎn)竄成111.exe，履行這個(gè)111.exe可以成立明文的文檔的話，那么存在漏加密的環(huán)境。極端環(huán)境下，所有安裝了加密系統(tǒng)的人把電腦上的Winword.exe都點(diǎn)竄成111.exe，那么所有人的DOC文檔都不會(huì)被加密了，那么加密軟件就跟沒有安裝一樣了。
在過程辨認(rèn)上，大年夜部門加密軟件都解決的不是很好。有些用文件指紋庫;有些用可履行文件名+窗口標(biāo)題問題連絡(luò)來辨認(rèn)過程;還有些廠家干脆就避免點(diǎn)竄受控法度的文件名，乃至有些廠家不但避免點(diǎn)竄受控法度名，也避免拷貝新建與受控法度文件名一樣的文件。但采取避免改名的編制本身也存在很大年夜的縫隙，好比先把受控法度的可履行文件改名，然后再安裝受控法度，或從收集共享執(zhí)交運(yùn)行改名后的假充法度，都可能導(dǎo)致密文的泄漏。
打印
利用WORD打開密文后，利用打印機(jī)可以把文檔打印出來，這就存在泄密的危險(xiǎn)。所以加密系統(tǒng)都應(yīng)供給可以節(jié)制打印的功能，應(yīng)當(dāng)可以節(jié)制那些人可以打印，哪些人不克不及打印。
以上這些編制都是只需要簡單把持就有可能導(dǎo)致密文泄漏的路子，選擇加密軟件的時(shí)辰，這些路子都應(yīng)當(dāng)有效的被禁止。
4、 離線策略
辦事器電腦故障，或收集故障的措置編制
辦事器電腦故障或收集故障，此時(shí)所有的客戶端電腦或收集故障的客戶機(jī)都處于離線狀況，并且是不成預(yù)知的，***處于離線狀況。加密系統(tǒng)應(yīng)供給一種辦法，在突發(fā)這類環(huán)境時(shí)，客戶機(jī)應(yīng)可以像正常離線一樣工作一段時(shí)候，以等候辦事器或收集的恢復(fù)。
筆記本電腦脫機(jī)的措置編制
一些企業(yè)的員工上班時(shí)利用的是筆記本電腦，尤此中高層治理者。這部門員工大年夜多晚上或周末需要把電腦帶回家，有時(shí)要在家里加班。加密軟件應(yīng)當(dāng)有編制讓這些電腦可以在分開收集的環(huán)境下仍然能利用被加密的文檔。
這類環(huán)境很是常常產(chǎn)生，根基上每天都產(chǎn)生，所以在選擇加密軟件的時(shí)辰也應(yīng)當(dāng)考慮加密軟件在措置這類環(huán)境的編制應(yīng)當(dāng)很是便捷才行。最好可以做到客戶機(jī)不需要任何把持，和泛泛一樣，拔下電腦網(wǎng)線直接帶走，回家后開機(jī)便可利用。
別的利用公司電腦出差的員工，起首出差分開公司前，必定要設(shè)置好出差天數(shù)等。出差的天數(shù)通常為由出差者的上級(jí)直接指定。所以出差應(yīng)當(dāng)可以向直接上級(jí)申請(qǐng)，直接上級(jí)同意后可以轉(zhuǎn)向系統(tǒng)治理人員，由專門的系統(tǒng)治理人員設(shè)置具體的天數(shù)。
其次應(yīng)當(dāng)考慮出差有可能會(huì)超越預(yù)定天數(shù)。好比出差前設(shè)置離線15天，成果15天后發(fā)現(xiàn)還不克不及回來，還要繼續(xù)呆一段時(shí)候。這個(gè)時(shí)辰應(yīng)當(dāng)有一種辦法，能在不把電腦搬回公司設(shè)置的環(huán)境下，耽誤出差的天數(shù)。
離線策略有些廠家采取USBKey的編制，有些采取導(dǎo)進(jìn)離線文件的編制。比擬之下，USBKey安然性更好，但利用比較不便利，并且需要在采購加密軟件的同時(shí)還需要額外采購USBKey。大都廠家已能同時(shí)撐持這兩種模式了。