基本介紹
- 中文名：主動加密
- 基於：實時加解密技術
- 屬於：加密信息自我保護手段
- 原理：接觸傳染性
概念,原理,技術實現,
概念
所謂涉密，指接觸了機密的數據。機密的數據是由數據的擁有者事先定義的，如工程圖紙、程式原始碼、客戶資料、機密文檔等。
在保密技術專業中，定義成機密的數據是應該以加密形式存在的。這裡不討論完全基於訪問控制形式保護數據的方案，基於訪問控制的保護與真正的保密是完全不同的兩個領域，保密必須解決安全環境失效的情況下的數據不泄密，訪問控制是不考慮安全環境失效的情況的。
原理
接觸傳染性
涉密的界定一般採取“過保護”方式。也就是說，一個對象在與機密數據接觸後，如果沒有辦法證明它沒有涉密，總是認為它是涉密的。通俗一點講，就是“寧可枉殺一千，不可放過一個”。舉一個簡單的例子來理解涉密的概念：非典時期，凡與非典病人接觸過的人都先隔離起來觀察，如果把非典病人看作機密數據，那么與非典病人接觸過的人就是涉密。因為當時沒有辦法證明這些接觸過的人有沒有被感染非典病毒。當然，隔離觀察一段時間後沒有出現感染非典症狀的人證明其沒有感染非典，可以解除隔離。與機密數據接觸的數據如果後來與涉密前一樣沒有發生改變，也可以認為其沒有從機密數據中獲取機密，也可以解除涉密狀態。至於涉密後數據發生改變的，如果無法證明其改變的部分與機密數據無關，這個數據必須強制加密。因此，接觸傳染性是主動加密的典型特徵。
在計算機操作中，接觸傳染性有多種表現形式，我們舉例說明這個有趣有現象：
現有一個普通文檔A（不加密）和一個機密文檔B（已加密）
1）用Word同時打開了文檔A和文檔B，從文檔B中複製部分內容到文檔A，然後保存文檔A，這時文檔A被強制加密。
這個現象很好理解，因為文檔B是機密數據，其部分機密數據轉移到文檔A了，所以文檔A保存後被加密。
2）用Word同時打開了文檔A和文檔B，修改並保存文檔A，這時文檔A被強制加密。
這個現象比較費解，因為文檔A看上去沒有引用文檔B的任何數據。因為文檔A和文檔B被同一個Word打開著，計算機沒有辦法證明文檔A的修改部分與文檔B無關（我們不能以人工方式去判定），所以修改後文檔A被加密了。
3）同時打開文檔A和文檔B，從文檔A中複製數據到文檔B，保存文檔B並退出Word，文檔A和文檔B的加密狀態不變。
這個現象也好理解，文檔A沒有變化，當然不會被加密，文檔B原來是加密的，所以保存後仍然是加密的，至於引用了非加密的文檔A的內容不會改變文檔B的機密屬性。
4）用Word打開文檔B，新建一個文本檔案C，用Windows記事本打開，用Windows剪貼簿從文檔B中複製一段文字貼上到文本C中並保存。
結果：檔案C被加密。
結果：電子表格D被加密。
新生繼承性
新生繼承性也是主動加密的典型特徵。任何對象在涉密後其新建的檔案都會被加密，這一點應該很好理解。類似於生物學上的遺傳特性。主動加密的新生繼承性與基於加密資料夾的加密屬性繼承有所不同，加密資料夾的加密屬性繼承是靜態位置的加密屬性繼承，不能阻止保存數據的人主動涉密。而主動加密的新生繼承性是強制性的，只要應用程式已經涉密，這個應用程式的輸出數據總是密文形式，所以無論把數據保存到什麼地方，數據總是加密形式。
主動加密在防泄密解決方案中的重要意義
防泄密不僅僅是防止外來人員的竊取，更多的是防止內部人員的主動泄密。而保密系統的難點就在於即要保證內部人員能夠正常使用機密數據，又要防止這些機密數據傳出本單位。在主動加密技術出現之前，機密信息“監守自盜”沒有技術上的解決辦法，只能依賴於行政手段和規章制度來保障。主動加密技術加上實時加解密術，可以保障單位內部正常使用機密數據的同時防止任何形式的對外泄密，不管這種泄密是內部人員有意為之或無意所為。由於主動加密的接觸傳染性和新生繼承性，機密數據無論被帶到什麼地方，都是密文形態的，而密文一旦離開其宿主單位，因為缺少了解密所需的密鑰，無法還原其記錄的內容，從數學原理上保證其原始信息是安全的。因此，主動加密技術是防泄密技術的核心技術。防泄密系統的成敗往往取決於其主動加密技術。
技術實現
主動加密技術從原理上來說只要能夠準確監控機密數據的流向就可以實現，從有防泄密系統開始就出現了不同的技術流派。主動加密技術一般都是基於作業系統後台實現的，所以從前台的用戶一般操作體驗上很難感覺到技術層面上的差別，能夠感覺到的最多只是對作業系統性能的影響。
主動加密從技術實現上可以分成三類：
1）基於應用程式外掛程式的主動加密
這類技術是最累的主動加密技術，其原理是為每一個應用程式寫一個外掛程式程式（也稱“外掛”），應用程式在載入時會自動載入外掛程式程式，外掛程式程式載入後會監視所有的數據輸出，必要時加密數據，如果一個操作不能主動加密，就強制取消對應的操作。
這種技術採用的是一對一的直觀思維，因此其支持的目標是以應用程式為單位的，而且一般和應用程式的版本還有關係，因為同一個應用程式未必能夠支持不同版本的外掛程式。也不是所有的應用程式都支持外掛程式技術。事實上，能夠支持外掛程式的應用程式僅限於Office、CAD等大型通用化套用軟體，專用軟體和一般的小型軟體都不支持外掛外掛程式。因此，這種技術套用環境受到諸多限制，而且由於從原理上不能保證受支持套用軟體之外的軟體的適用性，因此這種技術基本面臨淘汰。
2）基於API攔截的主動加密
這種技術比起上面的技術來在通用性上有所進步，大部分“標準”的應用程式能夠得到支持，實現上也相當簡單，不需要考慮不同的應用程式。其缺點是API攔截是基於套用層的，不是所有的應用程式都使用標準的API運算元據，一旦應用程式的數據操作使用的驅動方式，或者直接使用VMM的記憶體映射檔案，這種方式就會出現不能正常解密或泄密漏洞。因此，這種技術也只能適用於已經測試通過的環境。另外，API攔截不是標準的系統開發技術，使用API攔截後系統性能下降明顯，與反病毒軟體和一些工具軟體往往也存在兼容性問題，這些都是API攔截技術的詬病。
3）基於檔案系統驅動技術的主動加密
