文件安全控管系統─數位商業EZ-Lock DRM 5.77

數位商業的EZ-Lock DRM和其他同類型產品相比，最大的特色是提供所謂的「透明」加解密，而且不讓檔案在解密過程中，將未加密的部分暫存至磁碟，加解密過程也相當迅速。目前版本已經新增備援伺服器與備份伺服器的機制，其中，備援伺服器的設置目的是在主伺服器當機時，可自動切換接手運作，而備份伺服器的作用是加強文件保護與管理。

在支援加密管控的軟體授權方面，這套系統有Office版與專業版之分，前者支援微軟Windows內附軟體與Office，而後者則額外納入影像編輯、設計繪圖、程式開發等工具。以專業版授權的計價為例，買10套是指可以同時允許10個使用者啟動專業版所管控的軟體。

整體系統建置時，並不困難
建置這套系統時，需先安裝伺服器端的程式，再安裝文件伺服器端與使用者端程式。設定主伺服器後，我們還可以接著設定備援伺服器，當主伺服器發生問題時可以替代，設定上，只需鍵入對方IP或網域名稱即可。

從EZ-Lock DRM伺服器端設定上，這套軟體能對不同員工電腦予以定址、進而控管，它可支援MAC Address、IP Address及UUID等3種用戶授權方式，並可針對各使用者帳號去建立不同的群組，並套用規則與密鑰。


▲有關用戶端的控制規則，我們可以設定禁止使用剪貼簿、螢幕截圖、截圖軟體與印表機等，其中很特別的是「使用校驗碼」，主要是以MD5驗證，可避免竄改檔名等動作發生，加強文件的防護。

本機使用過程不受影響，並可自行發送離線證書
在EZ-Lock DRM伺服器端我們採用預設的條件，個人端則啟動被管控的軟體，包含Office 2007、小畫家與記事本（Windows XP）、Adobe Reader 9.0，當上述系統處理的文件儲存後，在資料夾中，該檔案會出現加上鎖頭的圖示，表示此檔案屬於加密檔案。當然，我們也可在伺服器端取消「顯示加密文件圖示」的設定。

在我們實際測試過程中，如果以使用者身分在授權環境中使用加密過的檔案，並不會感覺到有解密的過程或等待時間，開啟檔案的速度與未加密時沒有太大差異。而且在過程中，也不會產生解密後的檔案。

而我們試著將加密文件傳送至USB隨身碟、或以電子郵件等方式，讓這些檔案傳送至授權以外的電腦設備中，這些檔案均無法正常開啟，例如記事本開啟文件，內容會顯現為亂碼，而圖片檔與影音檔會分別顯示無法開啟此圖片與視訊，此檔案格式不受支援。

文件已加密的情況下，但開啟內容的本機電腦未連線至EZ-Lock伺服器時，是無法開啟檔案的。若文件需要離線閱覽時，這套系統不僅可由管理者從伺服器端發出離線證書（憑證），目前的版本還允許「使用者」自行發放短期的離線憑證；或者使用者可以向管理者申請解密，經同意後，會發出解密權限與金鑰，便可將該檔案解密。

在使用者自行發放離線憑證的作業過程，當他們將加密檔案傳送給其他人閱覽、在導出離線憑證時，還會同時匯出ClientOffline-CRT.exe，對方只要執行此程式並確認金鑰，便可開啟該檔案，但要注意的是，執行該軟體期間不能存取其他檔案，否則那些檔案將可能會一起被加密。我們將檔案開啟後，試著對加密檔案使用複製與螢幕截圖的動作，這些功能在該程式結束後，依然無法有效作用，例如複製的文字在貼上後，仍是亂碼，並且，一旦超過離線證書所設定的時間，該程式也會出現證書到期提示，加密檔案便無法開啟。


我們在個人端電腦中，點選右下角的鑰匙圖示，可選擇導出離線證書。但使用者若是輸入超過管理者設定的日期範圍時，將會出現警告。

可設定不同備份方式
如果需備份受管控的文件，可以用EZ-Lock DRM本身的文件備份伺服器。在備份伺服器的操作介面中，我們可以設定全部備份、指定路徑備份，或是指定附檔名備份，後2種方式在分別輸入時，都可以同時指定多個的路徑或檔案，但不能同時啟用2種規則。

備份設定時，可以指定上傳時間與儲存方式，例如採取指定時間的方式：每天早上8點自動備份，或是間隔24小時備份1次。而選擇檔案儲存的方式也細分為3種：直接覆蓋、保留上一次文件與新產生文件。

儲存方式當中，以新產生文件這一項較為完善，因為它可以保護檔案遭無意或惡意的刪除，例如欲離職的員工在最後一天刪除電腦中的所有資料。如果是因為使用者不小心覆蓋之前的檔案時，我們可以在該檔案上開啟滑鼠右鍵選單，選擇EZ-Lock功能中的下載備份文件，就會列出該檔案之前的儲存記錄，將之前的版本救回。但這種儲存方式所耗的硬碟空間，比前兩項做法龐大地多。

而日誌伺服器方面，可記錄所有記錄檔，並匯出成Excel檔，但是並不會製成報表，若有這方面需求，還需要原廠客製才行。

允許自行增加支援加密的軟體，但部分仍需要代理商協助
受管控的應用程式在EZ-Lock DRM上，雖然有一定的類型，例如前述的Office版和專業版的差異，但其實本身也是可以擴充的。

如果你要這麼做，需要先至此軟體的安裝資料夾，執行其中的一個檔案Encrypr procedure tool.exe，接著從它的操作介面中指定欲支援EZ-Lock DRM的軟體執行檔名，即可將該程式納入管控內。

事實上，並非每套軟體都能夠加入其中。如果是大型套裝軟體，通常還需要輸入程式的排除項（相關的設定檔），否則是無法成功加入管控的，這部分就需要請原廠或代理商協助。

在密鑰管理方面，也是比較需要廠商協助的部分。若是設定以多組密鑰管理不同的單位時，我們固然可以加入多個解密密鑰的方式處理，並達到多人代管的目的，但企業內部整體套用時，會因此有更多不同的設定產生，這時最好由廠商協助規畫，避免混亂。文⊙羅正漢


▲我們也可以使用加密程式設定工具，讓其他應用程式支援EZ-Lock DRM，部分軟體只要輸入程式名稱即可，但有些須鍵入包含項與排除項，該軟體才會正常執行。