防复制 U盘 技术白皮书

防复制U盘技术白皮书密级：公开版本：v1.0深圳市云溪信息技术有限公司目录1. 目的 (3)2. 产品功能 (3)3. 应用范围 (4)4. 技术规格与兼容性 (4)5. 防复制方案 (5)5.1. FYEO大管家防复制U盘技术原理 (5)5.2. Layered FSD过滤驱动加密与一般加密技术的比较 (6)5.3. 与所谓硬件加密U盘的比较 (7)5.4. 与其它一般U盘防复制技术的区别 (8)6. 应用安全性分析 (9)附录：典型应用案例 (12)1.目的为让客户更好的了解FYEO大管家系列产品，本文档介绍FYEO大管家系列U盘的产品功能，应用场景，防复制方案及其安全性分析。

2.产品功能FYEO大管家防复制U盘提供一种全新的、安全快捷的信息发布方式。

以U盘作为信息发布的媒介，将U盘传递给他人使用。

可以确保信息以受控的方式被使用，不会被恶意扩散和复制传播。

下图说明防复制U盘的应用模式：图1防复制U盘应用模式FYEO大管家防复制U盘具备下列功能特点：1.使用U盘作为信息安全发布的媒介a)发布在U盘上的信息看得见，用得上，拿不走。

b)使用者只能在U盘上查阅使用，无法将文件拿到U盘之外使用。

c)除了防复制之外，还可设定其它使用者权限，包括使用次数，到期时间，阅读口令等d)保留文件原有的格式、目录和操作方式，不改变使用习惯。

e)即插即用，不需要安装软件。

2.支持各种格式的课件、文档、视频：a)常用办公文档PDF文件和Microsoft Office文档。

包括：PDF，doc，docx，ppt，pptx，pps，ppsx，xls，xlsx，rtf等；b)其它各种格式/形式的电子书，电子出版物，动漫等。

包括：chm，epub，mobi，DjVu，CBZ，CBR，XPS等；c)各种视频/音频等多媒体文件。

包括avi，rmvb，mkv，MP3，MP4，ts，ape等等；d)各种格式的图片或动画。

包括：BMP, GIF, JPG, JPEG, PNG, TIF,TIFF, PSD, PSB, ICO, SVG, mng, webp, PBM, PGM, PPM, XBM,XPM等；3.应用范围FYEO大管家防复制U盘的典型客户群体和典型应用包括：1.商务沟通中敏感信息的外发；2.技术支持或客户培训资料的发送；3.其他一般的企业文档外发场景；4.培训师课件的保护和防窃取；5.课辅资料的发放和销售；6.设计草案、剧本、文案的讨论与送样；7.创造性工作的自证创意与自我保护；8.咨询、商情报告的交付……4.技术规格与兼容性FYEO大管家防复制U盘的主要技术规格包含下列：1.加密数据使用的加密算法及密钥长度：AES，256位；2.数字签名使用的算法和哈希值长度：SHA-1，160位；3.用于密钥保护方案的公开密钥算法及密钥长度：RSA，1024位；4.在下列操作系统中U盘可以正常使用：XP SP2/SP3, 32/64位的Win7、Win8、Win8.1。

5.防复制方案5.1.FYEO大管家防复制U盘技术原理FYEO大管家防复制U盘采用内核态双缓存过滤加密驱动技术，进程签名和U盘物理信息签名等技术实现，为用户提供可信的扩散范围控制和最方便易用的使用体验。

如下图所示，在生产或数据发布阶段，首先对操作数据的软件（授信进程），以及保存数据的U盘硬件信息进行数字签名，并且基于签名信息来产生加密数据所使用的密钥。

这种操作方式确保了两方面的安全性：1.每个U盘上的数据都使用不同的密钥加密，而且密钥与U盘硬件信息相关。

数据离开U盘，无法获得正确的密钥，将无法解密使用；2.进程签名和U盘硬件信息签名，保证攻击者无法通过伪造进程或克隆U盘来实施攻击。

图2 FYEO大管家防复制U盘原理框图在U盘使用阶段，FYEO大管家防复制U盘首先会通过验证签名来鉴别访问被保护数据的软件是否是授信进程，以及被访问的数据是否保存在合法的U盘上。

在验证签名无误的情况下，FYEO大管家防复制U盘会为授信进程在操作系统内核态单独产生一个明文缓存。

除了授信进程之外，其它任何软件甚至操作系统本身的进程都只能够通过密文缓存访问数据，而且无法知道明文缓存的存在。

对于授信进程，数据在操作系统内核的文件系统驱动中，通过一个过滤加密驱动来进行实时的解密操作。

过滤加密驱动在内核态对每一次U盘数据读写操作进行实时透明的过滤。

当系统读取U盘数据时，进行解密并保存在明文缓存中，当向U盘写数据时，将数据进行加密并写入U盘。

因此，对于每一次对U盘数据的读取操作，工作在用户态的授信进程和用户本人都完全感受不到数据加解密过程的存在。

对于非授信进程，比如操作系统进程，杀毒软件，或者用户打开的任意其他进程，过滤驱动加密并不介入他们对数据的读写，完全交由操作系统依照它本来的逻辑对数据密文进行操作。

因此，非授信进程依然可以正常操作U盘上的数据，只是数据都以密文形式存在，对这些进程和用户而言，没有任何实际的意义。

yered FSD过滤驱动加密与一般加密技术的比较FYEO大管家防复制U盘采用最新一代的基于分层文件系统(Layered FSD，分层文件系统驱动)理念的双缓存过滤驱动技术实现，提供目前业界公认最安全最高水准的加密安全性。

按照业界一般的分类法，透明加解密技术已经经过4代的发展，分别是：1．用户态API Hook技术；2．基于单缓冲刷缓存的文件过滤驱动技术；3．基于双缓冲的文件过滤驱动技术；4．基于分层文件系统(Layered FSD)的双缓存过滤驱动技术。

基于Layered FSD的过滤驱动加密有效的解决了之前各种技术存在的容易被破解、容易损坏文件、与某些杀毒软件冲突、与应用程序兼容性差等问题，实现了真正简洁、稳定、高效、兼容的加密效果。

而且Layered FSD真正实现了将授信进程与非授信进程在数据访问上的分离，双方互不干扰，甚至都根本不知道对方的存在，这一点极大的提高了系统的安全性。

5.3. 与所谓硬件加密U 盘的比较为了迎合一般消费者认为“硬件加密”的安全性高于“软件加密”的心理，市场上存在一种所谓的基于“硬件加密”的U 盘防复制方案。

这种方案一般会宣称他们的U 盘上有专门的加密IC ，攻击者无法破解。

事实上，考虑到USB 接口每秒几兆到几十兆的读写速度，为了不降低U 盘的数据读写效率，加密IC 的数据加解密速度也要达到这个水准甚至更高。

加 解 密访问控制密文用 户行 为控 制U 盘基于硬件加密的U 盘防复制加密IC U 盘OS 内核OS 用户态操作系统加解密允许的操作合法的U 盘密文用户态操作完全符合习惯U 盘FYEO 大管家的双缓存隔离方案U 盘OS 内核OS 用户态直接访问不允许的操作非法的环境明文密文明文图3与所谓硬件加密U 盘的安全性比较 如上图所示，既然是“防复制U 盘”，那么U 盘中的数据最终一定是要解密给U 盘使用者使用的。

因此，在防复制安全方案中，一定存在一个解密的过程。

而对于“硬件加密”防复制U 盘而言，由于加密IC 部署在U 盘上，而U盘又是通过USB接口与计算机连接的。

因此，如上图所示，在USB接口上传递的一定是解密后的数据明文。

对于在计算机操作系统上运行的程序，他们只是通过访问内存来访问数据，显然，“硬件加密”防复制U盘上的数据到达内存时也已经是解过密的。

而比较之下，基于Layered FSD技术的双缓存方案，显然具有更高的安全性。

因为：1.数据解密在计算机操作系统内核实现，保证经过USB接口传递的数据都是密文；2.针对授信进程和非授信进程，在内核态分别建立各自的内存缓存，确保只有授信进程才能够访问明文缓存；3.授信进程和U盘硬件信息都经过签名，只有验证合法之后才启动数据的解密过程。

这个过程确保整个系统的安全性是建立在U盘硬件信息的基础之上，而且攻击者无法复制或模仿。

5.4.与其它一般U盘防复制技术的区别U盘防复制的市场一直存在，但也一直没有得到有效的满足。

主要原因有：1.U盘防复制需要处理极为复杂、灵活的客户需求，这导致技术研发的效率和收益都不高；2.防复制方案需要与U盘硬件主控方案相集成，这在一定程度上带来技术合作上的复杂度，成为一个准入门槛；3.防复制方案的核心基础是透明加密，而考虑到U盘即插即用的特点，需要方案具备极高的终端环境兼容性。

即使透明加密技术发展到现在，能够解决这个问题的企业并不多。

4.一般情况下，U盘工厂和U盘贸易商会在市场上首先获得关于U盘防复制的市场需求，而信息安全并不是U盘行业的专长。

目前市场上，除了前述的“硬件加密”防复制U盘之外，以软件方式实现的U盘防复制方案一般具备下面几种特征或其中之一。

1.需要在计算机上安装软件，改变了U盘即插即用的特点。

此类方案一般是由传统的软件防复制技术迁移而来，可以离开U盘的语境找到他们原来的版本。

此类方案一般并不是专门针对U盘设计。

2.受到防复制保护的数据一般需要通过特定的软件界面进行浏览和打开。

此类方案从加密角度来看，一般采用的是用户态文件加解密技术或用户态API Hook技术，容易被破解。

3.打开受到防复制保护的数据文件时，会同时禁止用户打开计算机管理，控制面板，甚至文件浏览器等常规操作。

此类方案一般采用的是简单的隐藏技术，数据往往没有加密，破解很容易。

4.拷贝U盘上的数据到计算机本地磁盘后，得到的数据很小（只有几kb，或者大小为0）。

此类方案一般也只是做了简单的隐藏，数据没有加密，破解很容易。

5.U盘不设置为只读，很容易受到病毒感染。

6.第一次打开U盘上的文件时，速度非常慢。

此类方案可以检查一下操作系统的系统盘中是否新出现了一些临时文件，并且检查这些临时文件是不是就是不加密的U盘中的数据。

7.将U盘虚拟成光盘，而且在运行时使一个程序全屏并占据窗口最前的位置。

此类方案一般采用的是以前的光盘防复制技术，数据没有加密。

可以考虑在受到防复制保护的数据被打开时，通过远程桌面或者多桌面工具绕开窗口最前的干扰，进入文件浏览器查看文件，并尝试直接将明文拷贝出来。

8.简单的禁止Clt+C和Clt+V的防复制方案。

此类方案可以说是由基本不懂得信息安全的技术人员设计，可以简单的尝试使用cmd或powershell之类的命令行方式进行拷贝。

6.应用安全性分析FYEO大管家防复制U盘可以有效的防止各种尝试将U盘中的信息复制离开U盘使用的攻击。

对于FYEO大管家防复制U盘来说，一个成功的攻击可能意味着：1.获得U盘中受保护的数据明文，并且能够在U盘之外正常打开使用；2.克隆一个一模一样的U盘，并且能够正常使用里面的数据。

FYEO大管家防复制U盘的安全性建立在下列技术正确应用的基础之上：1.对授信进程和U盘硬件信息进行数字签名，并且只有在验证签名通过之后，才可以为授信进程解密数据。