Bring安全白皮書商業銀行網絡安全解決方案版本：日期：2010/6/22編寫：李宇晗北京博睿勤技術發展有限公司商業銀行網絡安全解決方案目錄1概述錯誤!未定義書簽。網絡安全概述錯誤!未定義書簽。目前網絡安全技術錯誤!未定義書簽。國內網絡安全技術錯誤!未定義書簽網絡安全的理解的誤區錯誤!未定義書簽網絡安全概念錯誤!未定義書簽2商業銀行安全需求分析錯誤!未定義書簽。商業銀行的業務安全分析錯誤!未定義書簽。公共信息發布錯誤!未定義書簽完善安全管理策略錯誤!未定義書簽增加防火墻防護錯誤!未定義書簽配置入侵檢測模塊錯誤!未定義書簽帳戶查詢錯誤!未定義書簽身份驗證錯誤!未定義書簽數據加密錯誤!未定義書簽網上支付和轉賬錯誤!未定義書簽數據完整性錯誤!未定義書簽不可否認性錯誤!未定義書簽網絡結構安全錯誤!未定義書簽加強訪問控制錯誤!未定義書簽安全檢測錯誤!未定義書簽網絡安全評估錯誤!未定義書簽安全認證錯誤!未定義書簽病毒防護錯誤!未定義書簽3商業銀行網絡安全解決方案錯誤!未定義書簽。網絡管理錯誤!未定義書簽。網絡行為管理錯誤!未定義書簽靈活的IP管理與用戶管理錯誤!未定義書簽。統計報表錯誤!未定義書簽終端安全防護錯誤!未定義書簽。登陸控制錯誤!未定義書簽本地文件加密錯誤!未定義書簽文件粉碎機錯誤!未定義書簽非法外聯錯誤!未定義書簽移動存儲設備管理錯誤!未定義書簽桌面安全系統錯誤!未定義書簽。定向訪問控制錯誤!未定義書簽虛擬安全域管理錯誤!未定義書簽策略優先級管理錯誤!未定義書簽多元化的管理模式錯誤!未定義書簽4商業銀行解決方案特性分析錯誤!未定義書簽。5銀行業成功典型案例錯誤!未定義書簽。6產品技術架構介紹錯誤!未定義書簽。7安全風險分析錯誤!未定義書簽。8公司資質文件錯誤!未定義書簽。9實施周期評估錯誤!未定義書簽。10方案總結錯誤!未定義書簽。概述1.1網絡安全概述Internet的發展，正在引發一場人類文明的根本變革。網絡已成為一個國家最為關鍵的政治、經濟、軍事資源，成為國家實力的新象征。然而隨著網絡應用不斷擴大，它的反面效應也隨著產生。通過網絡使得黑客或工業間諜以及惡意入侵者侵犯和操縱一些重要信息成為可能，因而引發出網絡安全性問題。正如我國著名計算機專家沈昌祥院士指出的："信息安全保障能力是21世紀綜合國力、經濟競爭實力和生存能力的重要組成部份，是世紀之交世界各國在奮力攀登的制高點"。二十世紀未，美國一些著名網站、銀行、電子商務網站造受黑客攻擊；黑客入侵微軟竊取源代碼軟件等重要案件，都證明了網絡安全的嚴重性，我們知道，僅這一兩年內，國內做網絡安全的公司一下就拔地而起，從最早的幾家發展到上百家。因此，解決網絡安全問題刻不容緩。1.2目前網絡安全技術1.2.1國內網絡安全技術在我國，我們可以看到，由于我們的一些技術和國外還有差距，國內現有的或正在建設中的計算機網絡，多數是通過電信公眾網進行信息傳輸，而采用的網絡設備幾乎是國外廠家的產品。這些網絡的集成相當一部分沒有配備網絡安全產品。既使有的網絡用戶已經使用了安全產品，但由于國內網絡安全技術起步較晚，許多用戶所使用也均是國外的生產的產品，沒有我們自已的版權。況且各國在安全產品出口的問題上都有自己的保留，比如加密算法，美國國家安全局只允許加密密鑰為40位以下的算法出口。我們可以想象，對Internet這樣的國際性的互聯網絡，如果我們的國內全部雇用一批國外的"警衛部隊"來把守，其后果是怎樣的因此，我們只有使用國內自主研制的信息安全產品、具有自主版權的安全產品，才能真正掌握信息戰場上的主動權，才能從根本上防范來自各種非法的惡意攻擊和破壞。1.2.2網絡安全的理解的誤區讓我們分析下以往對網絡安全理解的一些誤區。首先是認為是利用網絡操作系統、數據庫系統以及應用系統自身所具有的認證和授權及訪問控制等措施對信息系統進行安全防護，現在我們都知道，這些措施是靜態的，而且是極其脆弱的，許多安全漏洞都沒有考濾進去，網絡信息系統存在極大的風險。還有就是把網絡安全幾乎全部依賴于所安裝的防火墻或覺得安全了防病毒系統，網絡就安全了；他們沒有認識到網絡安全是動態的、整體的，不可能僅靠單一安全產品就能實現。所以，我們必須從網絡安全可能存在的危機入手，分析并提出整體的網絡安全解決方案。1.2.3網絡安全概念從廣義來講，安全的概念可以包括數據安全，系統安全和信息安全三個方面，數據安全是指通過采用系統備份，磁盤鏡像等安全手段以防止數據丟失；系統安全是指通過系統加固，邊界防御，入侵檢測等手段以防止黑客攻擊系統破壞數據；而信息安全則主要是指通過加密技術防止信息和數據在公開網絡傳輸上被竊聽、篡改和頂替。信息安全包括四個功能：數據保密，身份認證，數據完整性和防止抵賴。本方案是基于北京博睿勤軟件公司自主開發的以下三個安全軟件產品：上網行為管理系統，終端防護安全系統和桌面安全管理系統。這三個產品為解決網上銀行系統中數據加密，身份認證，數據完整性和防止抵賴等信息安全問題提供了完整的解決方案。商業銀行安全需求分析2.1商業銀行的業務安全分析隨著金融系統計算機的應用和發展，計算機網絡技術在金融系統得到了廣泛的應用，為金融業的集約化經營和高速度發展奠定了堅實的基礎。金融業的計算機網絡建設，使銀行內部的各專業部門通過計算機網絡實現各種數據共享，各金融機構之間通過計算機網絡實現跨地市、跨省市、跨銀行間網絡體系，使各家銀行、跨地市金融機構的計算機資源和數據資源得到共享，從而使金融業得到高速的發展。在計算機網絡發展的同時，擺在我們面前的最大課題就是加強計算機網絡的安全建設。通過安全分析可以提供有針對性解決方案，從而保護銀行內部網絡的計算機系統正常運轉，避免惡意的攻擊、破壞；防止重要數據庫的數據被竊取、修改、破壞。2.1.1公共信息發布公共信息發布用于介紹銀行的業務范圍流程，金融公共信息等。這類業務由于面向公眾發布，不需要保證信息只能被特定團體或個人訪問，需要的是保護信息不會被非法篡改。目前在Internet上比較多的黑客事件都是篡改公共Web站點的內容，制造虛假信息或涂改頁面。如美國NASA和國防部站點被“黑”事件就是這類事件。對于銀行來說，公共金融信息雖然是公開的，但是如果被篡改某些敏感數據，如銀行利率等，很可能會造成不必要的麻煩，對銀行的名譽也會造成不利的影響。因此，對這些內容的保護也是不能夠忽視的。Web站點內容被黑客篡改，是這些黑客通過主動攻擊實現的。例如，黑客通過密碼字典猜測信息系統的特權口令，在獲得特權口令之后，登錄進入系統，篡改發布內容，制造不良影響。對于這種情況，我們可以通過改進系統配置、增加防火墻防護、配置入侵檢測模塊和完善安全管理策略來實現安全保護，避免站點被非法篡改。2.1.2完善安全管理策略黑客一般是通過分析網絡管理上的漏洞以達到其攻擊目的。很難定義怎樣的系統管理才是完善的，因為完善的系統管理是各方面的總和，例如對路由器以及其他主機定期更改密碼，采用不規則密碼，關閉不必要的服務，關閉防火墻任何不使用的端口等。對于一個Unix系統，安全管理主要可分為四個方面：防止未授權存取權限控制是系統安全的基本問題，即防止未被授權的用戶進入系統。良好的用戶意識，良好的口令管理（由系統管理員和用戶雙方配合），登錄活動記錄和報告，用戶和網絡活動的周期檢查是防止未授權存取的關鍵。防止泄密數據保密也是系統安全的一個重要問題。防止已授權或未授權的用戶相互存取對方的重要信息，經常性的文件系統查帳，su登錄和報告以及良好的用戶保密意識都是防止泄密的手段。防止用戶濫用系統資源一個系統不應被一個有意試圖使用過多資源的用戶損害，因為在高負載的情況下系統的安全性能往往會降低。例如黑客通過占用整個磁盤空間來防止日志生成，不幸的是很多商業UNIX不能很好地限制用戶對資源的使用。因此系統管理員必須通過一些系統命令如PS命令，記帳程序df和du周期地檢查系統.查出過多占用CUP的進程和大量占用磁盤的文件。同時安裝某些監控軟件也是有效的手段之一。維護系統的完整性大多數情況下，維護系統完整是系統管理員的責任，例如：周期地備份文件系統，系統崩潰后運行磁盤掃描檢查，修復文件系統，檢測用戶是否正在使用可能導致系統崩潰的軟件。良好的安全管理策略對系統的安全水平起著至關重要的作用。因此系統管理員可以將以下幾個方面作為維護的重點：系統配置仔細研究最新的系統維護文檔，完善系統各方面的安全配置，降低安全風險。同時，周期性的維護系統，包括備份和安裝補丁程序、訂閱安全電子新聞。系統隔離將內網和外網進行隔離，確保銀行業務前置機、業務主機和數據庫服務器只處于內網中，內網和外網通過防火墻相連。切斷共享Web服務器上的系統配置盡可能地保證安全。關閉所有不必要的文件共享。停止所有與業務無關的服務器進程，如Telnet、SMTP和FTP等服務器守護進程。日志記錄打開日志記錄功能，保存系統的訪問日志記錄，對其進行分析，可以有助于發現有問題的訪問情況。如有必要，使用專門的入侵檢測模塊。口令策略制定完善的口令策略，限制口令的最小長度和最長有效期，檢查口令的質量。專人專權由專人負責系統安全和系統維護，減少不必要的用戶管理權限，嚴格控制非系統管理員的權限和系統管理員的數量。以下是一個簡化的虛擬商業銀行網絡結構圖：圖1網上銀行網絡結構圖從圖中可以看到整個網絡體系分為：Internet,非軍事區（DMZ）,Intranet以及銀行內部網四部分。其安全等級從前往后逐次遞增。這些網段由兩個網關連為一體。首先防火墻將Internet和Intranet以及非軍事區分離。非軍事區是所有用戶可以訪問的區域，而Intranet則只有特定用戶才能訪問，通過對防火墻的合理配置可以避免內部服務器被攻擊，可以采用多級防火墻配置（如在非軍事區和Internet之間用防火墻隔離）以提供更強的網絡安全保護。Intranet與網上內部網絡由前置機相連，為了保證銀行業務主機的運行安全，網上銀行系統不直接連接業務主機，而是由特定的前置機來代理其請求，前置機只響應特定服務請求，然后將請求轉換為特定消息格式發送給業務主機，收到應答后再將數據返回給請求者。通過這種隔離進一步增強了系統的安全保證。2.1.3增加防火墻防護在網絡系統中，防火墻是一種裝置，可使內部網絡不受公共部分（整個Internet）的影響。它能同時連接受到保護的網絡和Internet兩端，但受到保護的網絡無法直接接到Internet，Internet也無法直接接到受到保護的網絡。如果要從受到保護的網絡內部接到Internet,首先需要連接到防火墻，然后從防火墻接入Internet。最簡單的防火墻是雙主機系統（具有兩個網絡連接的系統）。防火墻有兩種：IP過濾防火墻IP過濾防火墻在數據包一層工作。它依據起點、終點、端口號和每一數據包中所含的數據包種類信息控制數據包的流動。這種防火墻非常安全。它阻擋別人進入內部網絡。過濾防火墻是絕對性的過濾系統。即使要讓外界的一些人進入防火墻之內，也無法讓每一個人進入服務器。代理服務器代理服務器允許通過防火墻間接進入Internet。最好的例子是先連接到防火墻，然后從該處再連接到另一個系統。在有代理服務器的系統中，這項工作是完全自動的。利用客戶端軟件連接代理服務器后，代理服務器啟動它的客戶端軟件（代理），然后傳回數據。只要配置正確，代理服務器就絕對安全，它阻擋任何人進入內部網絡，因為沒有直接的IP通路。在網上銀行系統中，由于Web服務器需要連接到Internet,因此，我們建議在Web服務器和Internet之間架設一個IP過濾防火墻。2.1.4配置入侵檢測模塊除了防火墻之外，配置入侵檢測模塊也是一個重要的安全措施。例如，對于銀行帳戶和密碼，入侵者可能嘗試枚舉攻擊，由于密碼長度有限且均為數字，密碼空間比較小。如果入侵者知道帳戶號碼，很容易通過枚舉攻擊猜測出帳戶密碼。入侵攻擊的特點是在一個攻擊源同時發出密集攻擊數據。自然，這些攻擊數據對于查詢系統來說，可能是合法的查詢參數，它的特點是在同一個攻擊源同時發出大批量查詢請求。普通情況下，一個用戶連接后不會非常頻繁的查詢數據（每分鐘最多不超過5次查詢），而且查詢的帳戶號碼也有限（每分鐘最多不超過10個帳戶）。相反，入侵者為了猜測密碼，會大批量、長時間、從同一地點發出攻擊信息。這種攻擊模式是能夠被檢測到的。檢測到異常情況之后，檢測模塊能夠自動予以記錄和預警。自動預警甚至可以通過尋呼機通知系統管理員。2.1.5帳戶查詢網上賬戶查詢是指銀行通過Internet進行帳戶實時查詢功能，企業銀行的查詢功能包括：余額查詢交易歷史查詢匯款查詢公司對公賬戶查詢個人銀行的查詢功能包括：公積金賬戶查詢交易明細查詢定期到期查詢消費積分查詢網上賬戶查詢的安全需求比公共信息發布要更高，因此網上賬戶對系統安全也有同樣的需求，而且，除此之外，網上賬戶查詢的還需要解決用戶的私有信息（口令，賬戶數據）在Internet這個公開網絡上傳輸的安全問題。而這些屬于信息安全范疇。網上賬戶查詢的信息安全功能應包括兩個方面：身份認證和數據保密。2.1.6身份驗證傳統銀行業務的身份驗證方案主要是通過口令或PIN來實現的，它具有以下兩個特點：PIN—般為4-8個數字，范圍比較窄。2．銀行主機記錄用戶輸錯PIN的次數，一旦超過一定數量，就自動關閉該賬戶的服務功能。在網上銀行業務中，僅通過這樣的方式來進行身份驗證，存在很大的不足：由于網上銀行業務的通信信道是公開網絡，所以口令明文傳輸容易被截獲。在網絡上，口令猜測是黑客使用最多的攻擊手段，即使使用蠻力攻擊法，攻破8位的數字口令也只需很短的時間。在網上提供服務，很難對錯誤PIN輸入進行限制。網絡的信道故障或者人為的惡意行為都很容易使輸錯口令次數達到限制。錯誤次數限制會給合法的用戶帶來了很大的不便。因此，傳統的口令驗證難以成為網上銀行業務的唯一身份認證技術。在網絡應用中，目前采用較多的方法是動態口令（例如Kerberos）,令牌卡和數字證書認證技術。這些技術配合口令機制，就稱為雙因子身份認證技術。下表是數字證書同傳統口令模式的身份驗證在性能上的比較：口令方式數字證書方式用戶登錄時口令在公開網絡上傳輸，有可能泄密私鑰由用戶保存，只需公布其公鑰。私鑰永遠不會在公開網絡上傳輸，而且從公鑰無法推導出私鑰口令一旦泄密，所有安全機制即失效用戶私鑰可以存放在IC卡中并有口令

保護，安全性更咼服務器需要維護龐大的用戶口令列表并負責口令保存的安全服務器使用數字證書驗證用戶身份，不保存用戶的私鑰，所以用戶私鑰不可能在服務器端泄露與傳統方法一致，易于理解技術較新，普通用戶理解略有難度對于企業銀行，由于數據安全性要求較高，所以應該采用數字證書身份認證加上口令認證的雙因子身份認證技術。2.1.7數據加密由于采用了SSL技術，Web應用的開發也大為簡化，Web服務器應用程序可以把與查詢狀態有關的信息都保存在Cookie中，而不必擔心Cookie的安全問題。銀行業務主機旨冗=!!!!!CA服務器Web服務器3。銀行業務主機再對口令進行驗證2。證書提交銀行業務主機旨冗=!!!!!CA服務器Web服務器3。銀行業務主機再對口令進行驗證2。證書提交CA服務器，檢驗是否已經作廢2.1.8圖2企業用戶身份驗證示意圖網上支付和轉賬網上支付和轉賬在查詢的基礎上進一步給用戶提供了方便，用戶可以在網上進行支付、轉賬從而達到交易的目的，就目前而言，國內很多網上銀行系統已經開通了如下支付和轉賬業務:定期賬戶轉活期活期賬戶轉定期活期賬戶轉活期信用卡賬戶轉信用卡賬戶公用事業費代繳企業轉賬證券資金賬戶轉賬特約商戶網上支付和查詢相比，支付和帳戶轉帳的安全需求更高，除了必須具備查詢所需要的安全性之外，還需要應該提供數據完整性和不可否認性。2.1.9數據完整性所謂數據完整性就是指用戶在支付指令和轉賬指令中所填寫的數據必須保持完整，不能在公開網絡上被其他用戶無意或惡意地修改。SSL由于對整個數據鏈路進行了加密，所以在一定程度上能夠保證完整性，但是公開網絡上的數據加密對完整性的保護只是局部的，一旦數據被解密后依然存在著被更改的可能。所以正確的方案應該采用數字簽名機制，由用戶使用自己的數字證書對支付指令或轉賬指令進行簽名，同時簽名數據被永久保存，只有這樣才能真正避免數據完整性被破壞，簽名是對用戶私鑰對數據摘要（又稱指紋）的加密，數據發生變化時，數據摘要也必定發生變化。如果將原先的數字簽名解密，就很容易發現兩段數據摘要不符。2.1.10不可否認性不可否認性是指指令發出者不能在事后否認曾經發出該指令。這對于規范業務，避免法律糾紛起著很大的作用。傳統地，不可否認性是通過手工簽名完成的，在網上銀行，不可否認性是由數字簽名機制實現的。由于私鑰很難攻擊，其他人（包括銀行）不可能得到私有密鑰。所以用私鑰對交易指令的摘要簽名后，就保證了該用戶確實是發出了該指令。將簽名數據作為業務數據的憑證，在業務成功后就開始保障不可否認性。不可否認性可以保證每個帳戶用戶的轉帳過程具有法律效力。另外，對于企業級的帳戶。對于個人銀行業務來說，轉賬金額比較小，風險相對較低，所以在雙方都認可的情況下，沒有數字簽名的支付和轉賬的指令也是可以接受的。但是對于企業用戶和進行證券轉賬的個人用戶來說，轉賬金額大，風險大，指令必須附帶簽名數據，在簽名數據驗證通過以后才能真正進行支付或轉賬。網絡結構安全網絡結構布局的合理與否，也影響著網絡的安全性。對銀行系統業務網、辦公網、與外單位互聯的接口網絡之間必須按各自的應用范圍、安全保密程度進行合理分布，以免局部安全性較低的網絡系統造成的威脅，傳播到整個網絡系統。加強訪問控制1）如果銀行系統有上Internet公網的需求，則從安全性考濾，銀行業務系統網絡必須與Internet公網物理隔離。解決方法可以是兩個網絡之間完全斷開或者通過物理安全隔離卡來實現。2）網絡結構合理分布后，在內部局域網內可以通過交換機劃分VLAN功能來實現不同部門、不同級別用戶之間簡單的訪問控制。3）內部局域網與外單位網絡、內部局域網與不信任域網絡之間可以通過配備防火墻來實現內、外網或不同信任域之間的隔離與訪問控制。4）根據企業具體應用，也可以配備應用層的訪問控制軟件系統，針對局域網具體的應用進行更細致的訪問控制。5）對于遠程拔號訪問用戶的安全性訪問，可以利用防火墻的一次性口令認證機制，對遠程拔號用戶進行身份認證，實遠程用戶的安全訪問。安全檢測由于防火墻等安全控制系統都屬于靜態防護安全體系，但對于一些允許通過防火墻的訪問而導致的攻擊行為、內部網的攻擊行業，防火墻是無能為力的。因此，還必須配備入侵檢測系統，該系統可以安裝在局域網絡的共享網絡設備上，它的功能是實時分析進出網絡數據流，對網絡違規事件跟蹤、實時報警、阻斷連接并做日志。它既可以對付內部人員的攻擊，也可以對付來自外部網絡的攻擊行為。網絡安全評估黑客攻擊成功的案例中，大多數都是利用網絡或系統存在的安全漏洞，實現攻擊的。網絡安全性掃描分析系統通過實踐性的方法掃描分析網絡系統，檢查報告系統存在的弱點和漏洞，建議補救措施和安全策略，根據掃描結果配置或修改網絡系統，達到增強網絡安全性的目的。操作系統安全掃描系統是從操作系統的角度，以管理員的身份對獨立的系統主機的安全性進行評估分析，找出用戶系統配置、用戶配置的安全弱點，建議補救措施。安全認證銀行系統在解決網絡安全問題肯定要配備加密系統，由于要加密就涉及到密鑰，則密鑰的產生、頒發與管理就存在安全性。我們都知道密鑰的發放一般都是通過發放證書來實現。那么，證書的發送方與接收方如何確認對方證書的真實性，因此，就引入了通過第三方來發放證書，即構建一個權威認證機構（CA認證中心）。銀行系統可以聯合各專業銀行一同構建一個銀行系統的CA系統。實現本系統內證書的發交與業務的安全交易。隨著網絡經濟的發展，慢慢可以升級為和其它系統CA的交叉認證。病毒防護提起病毒的危害，我想很多人都會為之震驚。CIH、愛蟲等真讓IT界恐慌一時，病毒侵害小的引起死機影響工作、大的可能引起系統癱瘓（徹底摧毀數據）。病毒的防護必須通過防病毒系統來實現，銀行系統中業務網絡操作系統一般都采用UNIX操作系統，而辦公網絡都為Windows系統，因此，防范病毒的入侵，就應該根據具體的系統類型，配置相應的、最新的防病毒系統。從單機到網絡實現全網的病毒安全防護體系，病毒無論從外部網絡還是從內部網絡中的某臺主機進入網絡系統，通過防病毒軟件的實時檢測功能，將會把病毒扼殺在發起處，防止病毒的擴散。商業銀行網絡安全解決方案銀行業是信息密集型行業，銀行業必須依托信息技術構建科學的管理平臺，實現管理的全面升級。從信息技術的應用情況看，由于管理理念和經營控制的差異，以及技術集成的難度較大等原因，目前我國銀行業與國外的差距主要體現在管理信息層面。博睿勤技術發展有限公司Bring是專業從事信息安全、行業應用軟件產品開發的高科技企業，數年來針對銀行業進行軟件產品的開發和解決方案方面積累了豐富的成功經驗，并在研究和總結國內外銀行業先進管理經驗以及為銀行業客戶服務的實踐基礎上，面向銀行業的管理信息化建設提供行業應用解決方案。3.1網絡管理博睿勤網絡管理系統主要包含如下模塊：基本模塊中的網絡安全、防DDOS攻擊、ACL、路由、A/V接口、雙機熱備功能；應用模塊中的流量管理（Qos）、網絡行為審計、IP管理以及URL過濾等網絡行為管理1、WEB訪問控制：可通過URL關鍵字以及網頁內容的設置控制。2、郵件審計控制3、聊天監控4、傳輸審計：可記錄FTP/HTTP等的傳輸內容的審計5、軟件審計監控6、異常網絡流量監控：實時監控網絡流量狀態；統計警告網絡中的異常流量。靈活的IP管理與用戶管理系統支持用戶名識別，MAC識別，USB-key識別多種用戶識別機制；系統支持地址和端口綁定，采用用戶賬號和VLAN編號、IP地址以及MAC地址綁定的方式，能夠防止用戶的賬號被盜用，同時也保證用戶使用網絡的統計信息更加準確。統計報表1、系統可基于IP地址和網段、部門、用戶生成報表。2、可生成網絡匯總使用情況報表3、實時顯示歷史時間段內網絡流量的分布曲線3.2終端安全防護3.2.1登陸控制采用USB-KEY加口令作為開機登陸憑證3.2.2本地文件加密只有通過博睿勤硬件鎖才能夠訪問加密空間中的加密文件。/r