同一份设计图纸在设计师的电脑上双击就能打开编辑、保存、打印都和普通文档没有区别。把这份文件拷到U盘插进另一台电脑打开是一屏乱码。再拷回来又恢复正常。这不是文件损坏也不是系统故障而是透明加密正在按设计工作。它要同时做到两件事让授权环境里的人感觉不到它的存在又让离开环境的文件失去意义。这两个目标看起来矛盾实际可以并存。这篇不讲概念只拆机制它站在系统的哪一层靠什么认出自己人又为什么一离开就失效。一、同一份文件为什么有两张面孔先把现象描述准确。在员工自己的电脑上文件是活的能打开、能编辑、能另存、能打印。出了这台电脑文件是死的要么打开是一堆乱码要么直接被软件判定为损坏。同一串字节为什么会有两种命运区别不在文件本身而在打开它的那一刻中间有没有一个程序在做转译。授权环境里有这个程序授权环境外没有。这是理解整套机制的起点。二、门卫站在哪一层文件系统过滤驱动很多人以为加密软件是桌面上一个常驻的小工具。真实实现要深得多。它工作在操作系统的内核层通常以文件系统过滤驱动的形式挂载。它的位置很特殊紧贴在文件系统之上夹在应用程序和硬盘之间。所有对文件的读写请求都要从它面前经过。应用说要读某个文件请求先到它这里由它决定要不要解密再交给上层。这个位置的好处是无论用什么软件打开文件请求都得走同一条路不会因为换了个编辑器就绕开。代价同样存在。站得越深稳定性要求越高一旦这里出问题影响的是整台机器。这一点后面还会提到。三、它凭什么认出自己人判断标准有两把尺子缺一不可。一把是进程。不是所有程序都允许看到明文。方案会维护一份授权进程清单只有清单里的程序发起读取它才把密文解开。Office、CAD、PDF 阅读器可以在清单里一个来路不明的改名工具就不在。另一把是身份。同一台电脑上不同账号能看到的范围可能完全不同。文件在解密之前要先确认当前登录者有没有这份文件的阅读权限。两把尺子叠在一起效果是同一份文件在同一台机器上用允许的程序打开是明文用不允许的程序打开是乱码。所以用记事本强行打开一份加密的 Word 文档看到的只会是乱码。这不是文档坏了是它没通过校验。四、加解密发生在哪一瞬间这一步决定了员工为什么没有感觉。员工双击文件应用程序发起读取请求。请求到达过滤驱动驱动识别出这是授权进程于是从磁盘取出密文在内存里解密把明文交给应用。应用界面上出现的就是正常内容。整个过程在毫秒级完成。员工看不到弹窗也不需要输入任何口令。保存时顺序反过来。应用写出明文驱动在写盘之前加密落到硬盘上的就是密文。关键在一句话明文只在内存里短暂存在硬盘上从头到尾都是密文。这也是透明加密和压缩包加密码的根本区别。后者需要人记得去做前者把这个动作藏进了系统调用里。对员工来说整个过程没有可感知的动作也就不存在忘记加密这件事。五、出门即乱码的根因密钥不跟文件走现在可以正面回答标题里的问题了。文件出门变乱码不是因为文件被打了什么标记而是因为它出门时带走的是密文却没有带走解开它的那把钥匙。加密体系的密钥通常由服务端统一下发和管理与授权终端绑定。文件可以被复制密钥不会跟着走。即便有人把文件和加密软件一起拷到别的机器上密钥不在软件也解不开。即便软件能装上去没有授权它也不会为这份文件解密。换句话说控制权不在文件里在授权环境里。这也是为什么把文件发回家打开这类需求必须走正规的解密外发流程而不是简单复制一份。禾苗云盾的外发审批会把每一次解密申请和审批意见记录下来。谁在什么时候取走了哪份文件事后都能查。六、几种绕过它的尝试为什么行不通选型时经常听到一些破解思路这里逐条说明它们为什么失效。其一改扩展名。加密作用于文件内容不作用于文件名改成什么后缀都一样。其二换工具打开。读取请求要过过滤驱动授权清单里没有的程序拿不到明文。其三拷到没装加密软件的机器。文件本身是密文那台机器上没有任何东西能把它解开。其四重装系统或者拆硬盘。硬盘上留下的仍是密文换个环境读取依然是密文。其五从内存里取。理论上明文会在内存短暂出现但需要专业工具和特殊权限通常还要改动系统内核门槛很高早已超出普通员工的范畴。需要说明的是这些手段挡得住顺手带走挡不住有备而来的专业攻击。安全从来不是非黑即白而是把成本抬高到不值得尝试。禾苗云盾采用的驱动层透明加密走的正是上面这条路径进程与身份双重校验密钥由服务端统管明文不落盘。七、为什么有的透明加密会卡同样是透明加密有的装上毫无感觉有的让员工抱怨连天。差别不在概念在实现。其一加解密发生的位置。在内核层直接处理数据流比把整个文件读进内存再整体写出要轻得多。其二缓存策略。成熟方案会缓存解密结果和密钥句柄避免同一份文件被反复解密。其三加密范围。如果全盘所有文件不分类型地加密连临时文件、缓存文件、日志文件都要过一遍开销自然上去了。其四策略粒度。按目录、按扩展名、按进程分级处理比一律全加密要省资源得多。这几点在选型时很实际。不要只看功能清单要问清楚加解密发生在什么位置、支持哪些策略粒度。禾苗云盾在这块的实现思路是按文件类型和目录分级处理把开销限制在必要范围内。八、选型要问清的五个问题把前面几节的结论整理成一份提问清单可以直接拿去和厂商对话。要问的问题为什么重要合格答法加解密在哪一层完成决定性能与稳定性文件系统过滤驱动内核态处理靠什么识别授权进程决定能否被绕过进程白名单加用户身份双重校验密钥存在哪里、怎么管决定出门即乱码是否成立服务端统管与终端绑定下发支持什么策略粒度决定会不会拖慢办公支持按目录、按类型、按进程分级覆盖哪些外发出口决定数据能不能被搬走邮件、U盘、网盘、打印统一管控还有一条不在表里但同样值得问屏幕怎么办。透明加密管的是文件管不到屏幕上正在显示的内容。截图和拍照是它的边界这一层要靠屏幕水印和防截屏审计来补。九、结语正常办公和出门乱码看着是一对矛盾其实是同一套机制的两面。机制清楚了选型时就不容易被概念带着走。不妨记住一句透明加密的功夫全在什么时候解密、谁来解密、密钥放在哪这三个问题上。答案扎实办公体验和防护强度就能同时成立。 透明加密软件技术揭秘：为什么它能让你正常办公，却让文件出门即乱码？
同一份设计图纸在设计师的电脑上双击就能打开编辑、保存、打印都和普通文档没有区别。把这份文件拷到U盘插进另一台电脑打开是一屏乱码。再拷回来又恢复正常。这不是文件损坏也不是系统故障而是透明加密正在按设计工作。它要同时做到两件事让授权环境里的人感觉不到它的存在又让离开环境的文件失去意义。这两个目标看起来矛盾实际可以并存。这篇不讲概念只拆机制它站在系统的哪一层靠什么认出自己人又为什么一离开就失效。一、同一份文件为什么有两张面孔先把现象描述准确。在员工自己的电脑上文件是活的能打开、能编辑、能另存、能打印。出了这台电脑文件是死的要么打开是一堆乱码要么直接被软件判定为损坏。同一串字节为什么会有两种命运区别不在文件本身而在打开它的那一刻中间有没有一个程序在做转译。授权环境里有这个程序授权环境外没有。这是理解整套机制的起点。二、门卫站在哪一层文件系统过滤驱动很多人以为加密软件是桌面上一个常驻的小工具。真实实现要深得多。它工作在操作系统的内核层通常以文件系统过滤驱动的形式挂载。它的位置很特殊紧贴在文件系统之上夹在应用程序和硬盘之间。所有对文件的读写请求都要从它面前经过。应用说要读某个文件请求先到它这里由它决定要不要解密再交给上层。这个位置的好处是无论用什么软件打开文件请求都得走同一条路不会因为换了个编辑器就绕开。代价同样存在。站得越深稳定性要求越高一旦这里出问题影响的是整台机器。这一点后面还会提到。三、它凭什么认出自己人判断标准有两把尺子缺一不可。一把是进程。不是所有程序都允许看到明文。方案会维护一份授权进程清单只有清单里的程序发起读取它才把密文解开。Office、CAD、PDF 阅读器可以在清单里一个来路不明的改名工具就不在。另一把是身份。同一台电脑上不同账号能看到的范围可能完全不同。文件在解密之前要先确认当前登录者有没有这份文件的阅读权限。两把尺子叠在一起效果是同一份文件在同一台机器上用允许的程序打开是明文用不允许的程序打开是乱码。所以用记事本强行打开一份加密的 Word 文档看到的只会是乱码。这不是文档坏了是它没通过校验。四、加解密发生在哪一瞬间这一步决定了员工为什么没有感觉。员工双击文件应用程序发起读取请求。请求到达过滤驱动驱动识别出这是授权进程于是从磁盘取出密文在内存里解密把明文交给应用。应用界面上出现的就是正常内容。整个过程在毫秒级完成。员工看不到弹窗也不需要输入任何口令。保存时顺序反过来。应用写出明文驱动在写盘之前加密落到硬盘上的就是密文。关键在一句话明文只在内存里短暂存在硬盘上从头到尾都是密文。这也是透明加密和压缩包加密码的根本区别。后者需要人记得去做前者把这个动作藏进了系统调用里。对员工来说整个过程没有可感知的动作也就不存在忘记加密这件事。五、出门即乱码的根因密钥不跟文件走现在可以正面回答标题里的问题了。文件出门变乱码不是因为文件被打了什么标记而是因为它出门时带走的是密文却没有带走解开它的那把钥匙。加密体系的密钥通常由服务端统一下发和管理与授权终端绑定。文件可以被复制密钥不会跟着走。即便有人把文件和加密软件一起拷到别的机器上密钥不在软件也解不开。即便软件能装上去没有授权它也不会为这份文件解密。换句话说控制权不在文件里在授权环境里。这也是为什么把文件发回家打开这类需求必须走正规的解密外发流程而不是简单复制一份。禾苗云盾的外发审批会把每一次解密申请和审批意见记录下来。谁在什么时候取走了哪份文件事后都能查。六、几种绕过它的尝试为什么行不通选型时经常听到一些破解思路这里逐条说明它们为什么失效。其一改扩展名。加密作用于文件内容不作用于文件名改成什么后缀都一样。其二换工具打开。读取请求要过过滤驱动授权清单里没有的程序拿不到明文。其三拷到没装加密软件的机器。文件本身是密文那台机器上没有任何东西能把它解开。其四重装系统或者拆硬盘。硬盘上留下的仍是密文换个环境读取依然是密文。其五从内存里取。理论上明文会在内存短暂出现但需要专业工具和特殊权限通常还要改动系统内核门槛很高早已超出普通员工的范畴。需要说明的是这些手段挡得住顺手带走挡不住有备而来的专业攻击。安全从来不是非黑即白而是把成本抬高到不值得尝试。禾苗云盾采用的驱动层透明加密走的正是上面这条路径进程与身份双重校验密钥由服务端统管明文不落盘。七、为什么有的透明加密会卡同样是透明加密有的装上毫无感觉有的让员工抱怨连天。差别不在概念在实现。其一加解密发生的位置。在内核层直接处理数据流比把整个文件读进内存再整体写出要轻得多。其二缓存策略。成熟方案会缓存解密结果和密钥句柄避免同一份文件被反复解密。其三加密范围。如果全盘所有文件不分类型地加密连临时文件、缓存文件、日志文件都要过一遍开销自然上去了。其四策略粒度。按目录、按扩展名、按进程分级处理比一律全加密要省资源得多。这几点在选型时很实际。不要只看功能清单要问清楚加解密发生在什么位置、支持哪些策略粒度。禾苗云盾在这块的实现思路是按文件类型和目录分级处理把开销限制在必要范围内。八、选型要问清的五个问题把前面几节的结论整理成一份提问清单可以直接拿去和厂商对话。要问的问题为什么重要合格答法加解密在哪一层完成决定性能与稳定性文件系统过滤驱动内核态处理靠什么识别授权进程决定能否被绕过进程白名单加用户身份双重校验密钥存在哪里、怎么管决定出门即乱码是否成立服务端统管与终端绑定下发支持什么策略粒度决定会不会拖慢办公支持按目录、按类型、按进程分级覆盖哪些外发出口决定数据能不能被搬走邮件、U盘、网盘、打印统一管控还有一条不在表里但同样值得问屏幕怎么办。透明加密管的是文件管不到屏幕上正在显示的内容。截图和拍照是它的边界这一层要靠屏幕水印和防截屏审计来补。九、结语正常办公和出门乱码看着是一对矛盾其实是同一套机制的两面。机制清楚了选型时就不容易被概念带着走。不妨记住一句透明加密的功夫全在什么时候解密、谁来解密、密钥放在哪这三个问题上。答案扎实办公体验和防护强度就能同时成立。