Windows 剪貼簿「複製、貼上」的資安風險
不久前聽到「複製、貼上」發明者伊芙琳貝雷辛（Evelyn Berezin）離開人世的消息，才發現原來這個功能已經發明超過 50 年之久。這個簡單的操作，想必你我都很熟悉，但往往在這簡單熟悉的背後，忽略了資訊的安全性。
剪貼簿的潛在風險
剪貼簿這個簡單的概念經過 50 年的進化，不再只是簡單文字處理，從文字、圖片、檔案到多媒體等，都可透過這塊通用的平台，在不同的應用程式間傳送交換資料。然而，在這通訊軟體發達的時代裡，貼上送出這個動作就等於把剪貼簿裡資料送到全世界，甚至只是按了複製，還沒貼到任何地方，資訊就被間碟木馬程式直接偷走了。Windows 剪貼簿是個極為便利的功能，API 資訊公開使用容易，它開啟了一片大門，相對的它也讓資訊保密工作多了一個戰場。
舉個簡單的實例，某次線上會議中，進行遠端連線到客戶電腦，正好要貼上會議討論資料，但貼出來的文字竟然是「排骨便當 5 份 …」，原來是客戶在開會前訂便當時操作到剪貼簿，於是把剪貼簿內容貼出來了，當下大家一笑置之，不過事後回想如果剛才貼上的是某工程的投標單呢？
大家平常慣用的軟體、應用程式在背後無聲無息的讀取你的剪貼簿內容，即使資訊從業人員也經常忽略這一點。
機敏內容與應用軟體 - 剪貼簿管制方式
透過 Hook 技術攔截 Windows 剪貼簿 API 方式，資安軟體可以強制介入使用者的複製貼上行為，然而強制禁止並不是一個明智的方式，應該要確實實行政策性的管制。
以下列舉幾種管制政策
- 機敏內容管制：關鍵字的管制，依各產業不同訂定不同的關鍵字，操作剪貼內容含特定關鍵字時，直接強制取消當下的剪貼行為。
例如：當文字內容中含有「投標金額」時禁止剪貼行為。 - 應用軟體管制：管制特定應用程式允許操作剪貼行為，或是限制特定應用程式禁止剪貼行為。
例如：LINE、微信等軟體禁用剪貼行為。 - 跨程式管制：同一個應用程式中不限制其剪貼行為，但若跨應用程式則禁止。
例如：允許在 Excel 文件中自由複製貼上其內容，但禁止將 Excel 內容貼到 Outlook。
各種方式都有其優缺點，管制越緊，使用者失去越多便利性，進而影響工作效率。安全性及便利性之間還是要依各產業實際資安需求去取捨平衡點。
常用的 Windows 剪貼簿 API
- OpenClipboard（打開剪貼簿）
- EmptyClipboard（清空剪貼簿）
- CloseClipboard（關閉剪貼簿）
- GetClipboardData（取得剪貼簿中的內容）
- SetClipboardData（將特定格式內容放入剪貼簿中）
依據特定程式邏輯、管制政策，監控管理這些 API 即可達到管制剪貼簿的目的。
ARES PP 文件加密軟體可藉由文件授權機制，協助管制機密文件系統剪貼簿，管制貼上的對象，以及是否唯讀、另檔新檔等操作，為企業組織有效控管剪貼簿洩密管道，防止機密文件外洩。
API 詳細資料請參考：微軟文庫
