技術交流

用文件加密授權機制妥善控管 Windows 剪貼簿

黃嘉傑 黃嘉傑

不久前聽到「複製、貼上」發明者伊芙琳貝雷辛(Evelyn Berezin)離開人世的消息,才發現原來這個動作已經發明超過 50 年之久。這個簡單的操作,想必你我都很熟悉,但往往在這簡單熟悉的背後,忽略了資訊的安全性。ARES PP 文件加密軟體透過政策性的管制方式,為企業組織把關資料文件的安全,將大幅降低「複製、貼上」所帶來的資安風險。

剪貼簿的潛在風險

剪貼簿這個簡單的概念經過 50 年的進化,不再只是簡單文字處理,從文字、圖片、檔案到多媒體等,都可透過這塊通用的平台,在不同的應用程式間傳送交換資料。然而,在這通訊軟體發達的時代裡,貼上送出這個動作就等於把剪貼簿裡資料送到全世界,甚至只是按了複製,還沒貼到任何地方,資訊就被間碟木馬程式直接偷走了。Windows 剪貼簿是個極為便利的功能,API 資訊公開使用容易,它開啟了一片大門,相對的它也讓資訊保密工作多了一個戰場。

舉個簡單的實例,某次線上會議中,進行遠端連線到客戶電腦,正好要貼上會議討論資料,但貼出來的文字竟然是「排骨便當 5 份 …」,原來是客戶在開會前訂便當時操作到剪貼簿,於是把剪貼簿內容貼出來了,當下大家一笑置之,不過事後回想如果剛才貼上的是某工程的投標單呢?

大家平常慣用的軟體、應用程式在背後無聲無息的讀取你的剪貼簿內容,即使資訊從業人員也經常忽略這一點。

機敏內容與應用軟體 - 剪貼簿管制方式

透過 Hook 技術攔截 Windows 剪貼簿 API 方式,資安軟體可以強制介入使用者的複製貼上行為,然而強制禁止並不是一個明智的方式,應該要確實實行政策性的管制。

以下列舉幾種管制政策

  1. 機敏內容管制:關鍵字的管制,依各產業不同訂定不同的關鍵字,操作剪貼內容含特定關鍵字時,直接強制取消當下的剪貼行為。
    例如:當文字內容中含有「投標金額」時禁止剪貼行為。
  2. 應用軟體管制:管制特定應用程式允許操作剪貼行為,或是限制特定應用程式禁止剪貼行為。
    例如:LINE、微信等軟體禁用剪貼行為。
  3. 跨程式管制:同一個應用程式中不限制其剪貼行為,但若跨應用程式則禁止。
    例如:允許在 Excel 文件中自由複製貼上其內容,但禁止將 Excel 內容貼到 Outlook。

各種方式都有其優缺點,管制越緊,使用者失去越多便利性,進而影響工作效率。安全性及便利性之間還是要依各產業實際資安需求去取捨平衡點。

常用的 Windows 剪貼簿 API

  1. OpenClipboard(打開剪貼簿)
  2. EmptyClipboard(清空剪貼簿)
  3. CloseClipboard(關閉剪貼簿)
  4. GetClipboardData(取得剪貼簿中的內容)
  5. SetClipboardData(將特定格式內容放入剪貼簿中)

依據特定程式邏輯、管制政策,監控管理這些 API 即可達到管制剪貼簿的目的。

ARES PP 文件加密軟體可藉由文件授權機制,協助管制機密文件系統剪貼簿,管制貼上的對象,以及是否唯讀、另檔新檔等操作,為企業組織有效控管剪貼簿洩密管道,防止機密文件外洩。

API 詳細資料請參考:微軟文庫