关于文件系统过滤驱动加密产品的优缺点(转yzzm521的专栏）

文件系统过滤驱动加密产品，顾名思义是在文件系统过滤驱动中进行透明的加解密，即在应用程序打开文件进行读写操作的过程中进行解密和加密，文件系统过滤驱动在磁盘驱动之上。其具体产品形态，主要是目前流行的透明加解密的文档安全产品。

文件系统过滤驱动加密的优点：
1、与传统的加密工具（如加密文件柜）相比，加解密过程是透明的。这样带来的好处是：
1）文档从产生的第一时刻就是自动加密的，避免作者在编写过程中有意或无意地留下明文，或者后续处理者解密后有意或无意地留下明文，加密带有一定的强制性。
2）加解密过程对用户透明，这样就不需要用户学习如何进行文件加解密。
2、与全盘加密相比，文件系统过滤驱动加密产品通常限定特定进程或文件类型的文件操作才透明加解密；不期望的文件操作，例如用户主动把文件拷贝到USB盘、作为邮件附件发送或者远程用户通过文件共享拷走文件、黑客攻破系统后拷走文件等，将得到的是密文。
3、与全盘加密相比，文件系统过滤驱动加密产品原则上能够支持多用户。

文件系统过滤驱动加密的缺点：
1、因为文件系统过滤驱动之上，合法应用程序得到的文件内容是明文，为了防止这些明文通过各种方式“溜走”，就需要对各种可能输出明文的途径进行“封堵”。这些途径按照是否需要编程分为两大类：
1）不需要编程的，利用应用程序已有的功能或者操作系统的功能，例如内容拷贝、鼠标拖拽复制、打印、邮件发送、第三方软件插件、屏幕录制等等。
2）需要编程的，例如内存读取、API Hook挂接、窗口消息、定制插件等等。
总的来说，各种途径众多，防不胜防。各种产品或多或少堵住了其中一些，很难做到万无一失。
2、与传统的加密工具（如加密文件柜）相比，文件系统过滤驱动加密产品对特定类型的文件进行透明加解密，而不是根据文件是否涉密。假设涉密文件是少数，不涉密文件是多数，这将导致大量的非涉密文件被加密，带来很大的管理负担。如果再考虑解密带出的环节，少量的涉密文件与大量的非涉密文件都要求进行带出审批，这种管理负担就极易产生安全漏洞。
3、文件系统过滤驱动加密产品通常依赖于操作系统的身份鉴别机制，对于通过操作系统认证的用户均进行透明加解密，所以操作系统在身份鉴别上的漏洞也就成了文件系统过滤驱动加密产品的漏洞（众所周知Windows的身份鉴别很容易被突破）。
例如，笔记本电脑丢失的案例，文件系统过滤驱动加密产品对于从其它系统启动试图窃取硬盘上的数据（如把被保护的硬盘挂到其它机器或者从光驱启动）提供了较好保护，但是窃贼可以有N种方法破解或者置空用户密码而直接进入系统，然后该用户的所有密文将对他透明解密。
4、与第3条类似的是，操作系统在其它方面的漏洞也可能对文件系统过滤驱动加密产品形成致命的破坏。
例如，黑客攻破系统的案例，虽然他直接拷贝出去的是密文，但是他控制系统权限后进行远程控制，在被攻击主机上本地打开文件，密文将对他透明解密。如果黑客再在本地主机上进行屏幕录制，就可以把明文转移出去了。
 
说明：
1、以上分析基于文件系统过滤驱动加密产品的基本原理，不针对任何具体产品。
2、部分已披露的漏洞，如进程识别漏洞，因为是产品实现方面的漏洞，未在此列。

优点的篇幅比缺点的篇幅少这么多。。。
我只是写个自己玩而已，业余爱好业余爱好

没有完美的方案，不过都在进步