购买透明加密系统的十二个基本考查点

1、文档透明加密系统是基于文件驱动技术，还是基于Hook技术？

这是透明加密系统的两大流派，也是区分透明加密系统的最重要的指标之一。这可以简化为这样一个问题：加密软件的客户端是怎样来监控文件的读写？文件驱动方式，程序工作在操作系统的底层（即驱动层），它监控的是操作系统和硬件设备的会话。API Hook方式，程序工作在操作系统和应用软件之间，是在操作系统的高层运行，它监控的是操作系统和应用软件的会话。

所以，文件驱动技术是针对操作系统而言的。从原理上讲，文件驱动方式的透明加密系统可以支持某一个操作系平台上的所有应用软件，因为它不关心操作系统和应用软件的会话，只关心操作系统和硬件打交道的方式。

而API Hook技术是针对操作系统和应用软件两个因素而言的。从原理上讲，API Hook方式的透明加密软件，在支持某操作系统之上的某应用软件（例如AutoCAD 2008 On Windows XP）之后，并非天然地就意味着同一个操作系统的另外一个应用软件（例如CAXA On Windows XP）也能够得到支持。当然，如果操作系统更换而应用软件不变的情况（承上例AutoCAD 2008 On Windows Vista），也未必能够得到天然地支持。

从实践上来说，也是如此。同样是Windows XP的操作系统，为了支持不同的应用软件，文件驱动方式的加密系统，只需要进行设置/配置层面的工作即可；但是Hook方式的系统则可能需要进行开发，修改代码后才能使用。

早期的透明加密系统多采用Hook技术，且大多从AutoCAD、MicroSoft Word等极其常见的应用软件开始。2005年至2006年初，国内开始出现了基于文件驱动技术的透明加密系统。两年多来，部分加密软件厂商改造了内核，放弃了Hook方式而采用了文件驱动方式；2007年后几乎所有的新厂商大多数也都采用了文件驱动方式。可见，Hook方式虽然实现起来比较简单，但明显属于过渡技术，已经进入淘汰阶段了。(应用层加密软件的Hook方式已经不能适合市场的需求，技术相当落后。)

加密系统采用文件驱动技术还是Hook技术，还间接地关系到系统能够支持哪些操作系统。

目前市面上的透明加密系统，都仅能支持Windows操作系统，不支持MacOS、Linux以及Unix。就Windows系列内部的各个版本而言，市面上的产品大多能够支持 Windows 2000、Windows 2003和Windows XP，部分厂商已经推出能够支持Windows Vista的版本。由于使用Vista是一个趋势，所以企业选型时要加以注意考查。

支持Windows98等早期Windows版本的软件，市面上不仅没有发现，而且几乎所有的加密软件厂商都没有考虑去兼顾（这是因为从Windows NT到Windows 2000这一版本跨越，Microsoft公司采用的技术构架大不相同）。由于在企业中，需要用手持设备（智能手机、PPC等）处理密文的可能性微乎其微，再加上实现难度很大，所以所有的厂商都不支持Windows Mobile这样的手持设备操作系统。国外的一些厂商宣称可以做这样的支持，但是他们的用户名单中目前尚未发现有中国大陆的企业。

2、采用哪一类的加密算法？算法的具体名称是什么？密钥有多长？密钥是如何保管的？

透明加密，顾名思义有两个要素：“透明”和“加密”。第一问是针对“如何实现透明”的，但如果要问究竟如何完成加密工作，那就必须涉及到加密算法和密钥。

通常所说的加密算法类别有两类：对称算法和非对称算法。所谓对称算法是指加密运算和解密运算都采用同一个密钥。而非对称算法则相反，加密运算和解密运算采用两个不同但配对的密钥，其中一个称为“公钥”，另一个称为“私钥”。在非对称算法中，要么采用公钥加密而私钥解密，要么采用私钥加密而公钥解密。一般来说，非对称算法的可靠性更强。但是非对称加密也有一些局限性。首先，报文的发送方和接收方在事先必须各自掌握一对密钥中的其中之一。也就是说，要么由发报方生成一对密钥，并将其中的公钥（所谓公钥，即“可以公开的密钥”）事先告知收报方；要么由收报方来生成一对密钥并将其中的公钥事先告知发报方。其次，非对称算法的运算量较大，信息处理的时间相对要长。由于这些特性，非对称算法通常用于安全级别较高的单位，而且通常是用于通讯加密。

由于透明加密的特性是要求内部机器都能够打开公司的所有密文，所以目前透明加密系统只能够采用对称算法。对称算法中，也有一些非常的经典的算法。算法本身是公开的。但是算法公开并不意味着可靠性降低。非法用户即便获取了密文，也知道相应的算法，但是只要他不知道密钥也无法破解。例如DES算法就是这样。二战结束以前，人们很重视算法本身的保密，因为当时并没有出现具备这种特性的对称加密算法。但是二战后，人们几乎放弃了算法本身的保密，而将重点放在了算法的改良、改进以及密钥的保密上了。

值得说明的是，对称算法还可以分为两类：数据流加密和数据块加密。前者的运算更快一些，实现起来也更简单一些；但是后者的可靠性更高一些，实现起来也相对要复杂一点。上面所说的DES算法，就是数据块加密算法。

加密的可靠性，除了算法之外，关键就是密钥。在同样的算法的前提下，密钥越长，可靠性越强。而且正如前文所述，当今人们已经不再关注算法的保密，甚至大量地采用公开算法。这个时候，密钥就非常关键了。一般来说，密钥长度低于64位是不可取的。对于民用而言，128位和256位的长度都是足够的。需要注意的是，密钥长度越长，运算量越大，消耗的计算资源（包括机器性能和时间）就越多。

密钥的保管也是关键问题。这包括密钥的生成、传送和备份。密钥的生成，多数加密系统都解决得比较好。通常的做法是根据全球唯一的硬件特征码来生成全球唯一的密钥。这个硬件特征码，有的是指客户的硬件（例如服务器），有的是厂商提供的硬件（例如Ukey）。这都是可行的。需要注意的是，厂商是否也掌握客户的密钥？如果掌握，那么客户就需要考虑采购合同中的保密条款。密钥的传送和备份，是密钥保管的重点环节。一般而言，密钥的传送和备份，都需要进行加密，也就是说对密钥本身进行加密。

3、系统是不是全程加密？

透明加密，当然应该是全程的。也就是说，应用软件生成的临时文件也应该是密态的。

很多应用软件在编辑数据文件时，都会生成临时文件。最广为人知的就是MS Word在编辑doc文档时，会在同目录下出现以“~$”开头的文件和一个以“~”开头并以tmp为后缀的文件。这些临时文件在相应的数据文件被正常关闭后，会被删除。由于这些临时文件也存储有企业的机密数据，因而这些临时文件的保护也就显得非常重要了。

在对供应商进行这一项考查的时候，要特别注意。有些品牌的加密系统，为了给自己图方便，放弃对中间过程的文件进行加密。例如，业界有一个老牌的厂商便采取了这样一种做法：① 利用Hook技术拦截程序对文件的打开操作；② 把打开的文件隐蔽地解密到一个“秘密”的地方；③ 在后台把应用程序对数据文件操作指针指向位于“秘密”之处的明文；④ 在关闭数据文件时，把隐藏的明文加密并替换原有的文件。这样的设计，让用户看起来是能够打开编辑密文，编辑保存后得到的还是密文。但是实际上应用软件真实编辑的对象是一个不加密的明文文件。这种做法，从原理上来说也是可以“忽悠”住一些客户的。但是毕竟纸包不住火，那个“秘密的地方”其实很容易被发现。如果授信节点的User知道了这个“秘密的地方”，完全可以打开密文时到那个“秘密的地方”去获得明文。

4、系统管理员如何设定，或者说客户端程序如何判断，一个文件在保存时是否应该加密？

透明加密应该只是针对数据文件，操作系统的文件和应用软件的文件肯定不能够被加密。而且，不同的用户，甚至同一个用户的不同部门，所要加密的数据文件也不尽相同。例如产品设计部门理应对产品图纸进行加密，而Photoshop的*.psd文件则无需加密。但是对于宣传策划部门可能正好相反，他们的脑力劳动成果是创意文案，而文案恰恰是用*.psd文件来承载的。简言之，*.psd文件在技术部门是不敏感的，而在宣传策划部门则是敏感的。所以，程序如何判断某个文件是否应该加密，也是透明加密系统极其重要考查指标。这个问题也可以换一种说法：管理员应该如何设定加密规则。

面对这种问题，加密厂商们有三种选择方式。

第一，指定路径方式，即保存在指定路径中的文件一律加密。系统管理员可以为每一个授信节点指定一个或多个“涉密路径”。用户如果将文件保存到这个路径下，那么文件就会被加密。由于透明加密的特点是“强制地、自动地加密”，所以用户有可能将机密文件保存到非涉密路径下。厂商们为了应对这个问题，通常会向用户提供这样的解决方案：① 将所有的应用软件全部安装在C盘，然后对C盘做一个镜像，其他盘（无论是逻辑盘还是物理盘）都只允许存放数据文件；② 将除C盘以外的所有盘符都设定为“涉密路径”，以确保所有的数据文件都是密态存储；③ 每次Windows启动时，或者Windows关闭前，都会对C盘进行自动还原（这一点很像网吧和部分企业中采用的还原技术）。

第二，指定应用方式，即由指定的应用软件生成的文件一律加密。系统管理员可以为每一个授信节点指定一个或多个“涉密应用”。普通用户如果用这些涉密应用软件保存文件，那么文件就会被加密。例如，前文所列举的例子，系统管理员就可以将AutoCAD设置为技术部门的涉密应用，将Photoshop设置为策划部门的涉密应用。

第三，指定后缀方式，即保存的文件只要是指定的后缀，文件就一律被加密。系统管理员可以为每一个授信节点指定一个或多个“涉密后缀”。普通用户如果将数据保存为这种后缀的文件，那么文件就会被加密。继续承上例，系统管理员可以将*.dwg和*.psd分别设置为技术部门和策划部门的“涉密后缀”。

这三种方式，各有优缺点。

第一种方式的优点是易于实现，且不关心应用软件是什么。但是弊端也非常明显。主要表现为：① 给日常的IT维护工作造成了很大的不便：杀毒软件的特征库升级、安装新的应用软件等工作，都会随着C盘的还原而还原，除非先解除对C盘的保护，升级或者安装结束后再恢复保护；② 有着明显的安全漏洞：普通用户完全可以将文件先保存到C盘，然后关闭Windows，甚至强行突然断电，使得C盘的还原机制还没有来得及发挥作用就将硬盘拆卸带走，从而将文件的明态数据带走了。由于明显地弊大于利，所以这种方式只被少数的厂商所采用；③ 不从文件本身来区分，会产生过度加密（所谓过度加密，就是不该加密的也加密了，“眉毛胡子一把抓”）。

第二种方式的优点是非常好贴近用户，非常符合用户的思维方式，因为用户最关心的还是“由特定应用软件生成的文件”。这种方式易于用户制定和维护规则。一般来说，采用了这种方式的加密系统都会限定：只有涉密应用软件才可以打开密文，非涉密应用软件是不允许打开密文的。（这一限制很容易理解：如果非涉密应用也能够打开密文，那么它再将文件另存，密文就变成了明文了。）这样就带来了该方式的一个弊病，即可能会导致过度加密。例如，软件行业就相当明显。他们通常是要对程序的源代码进行加密，也就是说*.c、*.h等源代码文件通常是密文。编译程序需要读取这些密态的源代码文件，照理说编译程序应该是涉密程序。但同时编译程序又要生成目标文件，而目标文件是不应该被加密的。类似的矛盾在其他各个行业都存在。例如，在制造行业中的机加工编程软件，一方面要读取密态的dwg文件，另一方面要生成明态的机加工代码文件；在建筑行业中的结构分析软件，一方面要读取密态的dwg文件，另一方面要生成明态的报告文件等等。

第三种方式的优点也是比较贴近用户，比较符合用户的思维方式。缺点是很难通过穷举的办法来指定所有的“涉密后缀”。

一般推荐用户选择采用“涉密程序”和/或“涉密后缀”方式的加密系统。有些品牌的透明加密系统，同时采用了第二种方式和第三种方式，并主要针对第二种方式的弊病采取了一些修正措施（例如针对某个涉密程序可以设置例外后缀）。对于用户而言，这样的设计是最可接受的。

 

5、如果服务器宕机，或者网络出现故障，会出现什么现象？系统如何应对这种风险？

透明加密系统一般地都会要求客户端程序和服务器保持网络连接。早期的一些系统没有这个要求，造成了一些无法挽回的后果。例如安装了客户端程序的机器（即授信节点）脱离了用户的实际管控范围（员工声称他的笔记本电脑在出差期间被盗，但事实上是被此人藏匿起来了）之后，该授信节点在重新安装Windows之前永远能够打开公司的密文，而公司却无可奈何。

出于安全方面的考虑，现在的透明加密系统都有上述要求。一旦授信节点和服务器的通讯发生故障，授信节点应该不再能够打开密文。但是，这就带来了另外一个问题：如何降低对服务器和网络稳定性的依赖？

针对这个问题，不同的厂商有不同的解决方案。例如，针对服务器宕机的风险，有的厂商能够提供备用服务器。还有些厂商能够进一步针对网络故障的风险，将通讯频率设置得更小一些。例如，每10分钟检查一次授信节点和服务器的连接状态，比起每2分钟检查一次而言，前者对网络的负载就要小得多。在有些品牌的加密系统中，这个频率是可以允许用户自行设定的，甚至可以将这个频率设置为0。这个频率为0，意味着授信节点一旦成功从服务器上获取策略和密钥之后，就无需再和服务器通讯，直至下一次Windows启动。

 6、如何解决笔记本电脑在外出差期间能够脱离服务器而又能够正常启动加解密服务？

上述风险以及应对措施，只是为了降低网络和服务器负载，降低对网络和服务器稳定性的依赖。但是无论采用哪种措施，授信节点在操作系统启动时都必须要求同服务器的通讯是正常的。然而笔记本电脑出差期间，其Windows启动时通常很难做到与公司内网中的服务器能够通讯。透明加密系统是如何解决这一问题的呢？

现在公认最可行的办法是：笔记本出差之前，对该机器进行一次授权，授权该机器在一定的有效期内，能够脱离服务器而正常启动加解密服务。这种授权本身是有风险的。用户应该理解这种风险，并采取相应的管理措施加以配合。特别需要注意的是，这种授权一定要设置有效期，否则问题就回到了前文所述的“授信节点脱离用户实际管控”的重大风险。而这种风险一旦发生，是无法挽回的，所以必须要加密规避。

在做这种授权时，不同厂商的系统提供了不同的要素，从而安全级别也就不同。例如，有些品牌的系统可以在授权时设置了身份认证环节。也就是说，得到授权的授信节点，在离线期间要想启动加解密服务，必须事先（通常就是在Windows启动时）对PC的使用者进行身份认证。认证的方式有多种，包括简单的口令方式和更加安全的Ukey方式。其中一些厂商提供的功能给用户提供了更多可选的管理措施。例如，如果身份认证失败，应该怎么办？是正常启动Windows只不过不提供加解密服务吗？还是立刻强行关闭Windows？或者更加严格的选择：立刻清除该PC中的授权，即便PC使用者想起了正确的口令或者找到了匹配的Ukey也无济于事了。

在这种功能中，有一个问题需要用户特别注意。既然授权一定要设置有效期，那么确因工作原因逾期未归又该怎么办？早期的系统，授权通常要求授信节点和服务器能够正常通讯，即笔记本电脑一定要在局域网内才能够做授权。这种方法给授权延期造成了很多不便。用户所能够采用的方式只有是VPN连接或者拨号连接，授信节点和服务器的TCP协议通畅之后再做延期。现在已经出现了可以用文件方式进行授权的透明加密系统了。系统管理员在服务器上生成一个针对某笔记本的授权文件（可执行文件），并该文件通过电子邮件发送给在外的笔记本电脑，而出差的员工只要在笔记本电脑上运行该文件即完成了授权延期。

 7、对一些工作中可能需要采取的，但又具备一定的泄密风险的操作，应该/能够如何管理？

安全和效率，永远是一对矛盾。安全伴随着麻烦，效率意味着风险。在日常工作中，有些操作是具有泄密风险的，但是又可能是能够提高工作效率的，甚至是工作中必须要采取的。最为典型的莫过于将密文打印出成纸介质文件。这样的操作，我们可以称之为“风险操作”。对于风险操作，用户应该如何管理？软件系统又能够提供哪些管理手段？这也是对透明加密系统考查时必须注意的事项。

常见的风险操作包括：

1、将密文打印成纸介质

2、从涉密应用软件的窗口复制文件内容并粘贴到非涉密应用软件正在编辑的文件中

3、在非涉密应用软件编辑文件的过程中，将密文作为OLE对象进行插入

对这些风险操作，一味地加以禁止或者一味地加以允许，都是不合适的。可行的办法是通过系统管理员的设置，实时地禁止/允许这些操作，并且这种设置应该是可以单独针对某一个（批）授信节点的。这样，平时禁止这些风险操作，如果需要再临时允许。这种方法，实际上是大多数用户所能够接受的矛盾平衡点。当然，这种方式对企业内部管理提出了较高要求，而且会加大管理员工作量。

用户在选择加密软件之前，就需要考查加密软件系统能够管控哪些风险操作，以及软件系统支持企业管控到什么程度。

 8、如何应对极端情况的发生？

加密本身就有风险。所谓极端的情况就是指报文发生了紊乱，从用户的角度来看，就是“文件打不开了”。一个成熟的加密系统，必须考虑这种极端情况发生的应对办法。客户应该只相信加密系统有对抗极端风险的措施并重点考查这种措施，而不应该相信供应商 “绝无破坏文件的可能”的商业宣传。

虽然概率通常都很低，但是产生这种紊乱的原因还是有很多。最典型的原因是操作系统受到病毒、木马或者其他恶意软件的干扰，使得内存中的数据发生了紊乱，或者对某段内存的控制权在一段时间内被篡改。

在传统的通讯加密领域，为了解决这个问题，通常是采用报文冗余的思路。也就是说，在发报方先将报文进行冗余处理，再将冗余的密态报文发出去。收报方收取到冗余的报文后，利用冗余信息进行报文的正确性校验，校验正确则抄收报文，校验若不正确则反馈发报方要求重新发送。我们所熟悉的“校验码”，实质上就是为降低出错风险而人为补充的冗余信息。

同样的思路也可以运用到文件加密领域。特殊之处在于，文件加密的校验实际是在密文下次被打开的时候进行的，而此时文件保存的动作早就过去了，无法要求再次保存。所以，这里的冗余，实际上就是数据备份。

理想的备份，是在文件保存为密文的时候，将备份副本存放到一个安全的地方（一般就是企业的文件服务器），最好可以由系统管理员选择以明文的方式备份。这一点实现起来并不难。企业考查的重点是：

1、备份时对网络和机器的负载会不会很大？

2、如何降低或者在时间上分摊这种负载？

3、大量的备份副本在将来如何方便地检索出来？

4、同一个文件，能够保留多少份副本？

除了备份以外，有些厂商推出了“快速修复工具”（或者针对某个企业的“万能解密工具”等）的功能。这些工具可以尝试修复被破坏的密文。这种工具虽然从原理上说不如备份来得稳妥，但是能够在稳妥的基础上有更多更高效的选择总是没有坏处的。当然，这种工具应该是需要授信的，绝对不能是通用的。

需要特别说明的是，除了所谓的“备份机制”、“修复工具”这种产品技术措施以外，用户必须将极端风险发生之后的厂商服务能力也列为考查重点。

9、如何对PC进行授信管理？

绝对不能允许的情况是：只要一台PC装了客户端程序，配置了正确的参数就成了授信节点，必须要由系统管理员对该PC进行授信操作，该PC才能够称为授信节点，虽然看起来比较麻烦，但明确授权才能保证整个网络的安全。如果一个加密系统连授信控制环节都不具备，那么即便其他功能再优秀，也只能说是“实验室成果”，不能成为商品。企业考查的重点是：

1、授信操作应该如何做？

2、授信操作严密与否？

3、授信操作方便与否？（这一点在大规模集中地授信时，显得比较突出） 

10、明文出口的管理是怎样的？

任何用户做了加密之后，都会需要在特定的时候将密文的内容解密成明文交给外部相对可信任的人。这个解密的审批管理是怎样做的？这也是理所当然的考查点。一般而言有两种方法。

第一种方法，特定的人员（一般来说都是领导或者机要人员）用口令启动一个经过特别授信的解密工具（不同的品牌有不同的叫法，“管理机”、“控制端”、“审批解密程序”等等），然后在这个工具程序的界面选中待解密的文件点击解密按钮。

第二种方法，由普通的授信节点的User在系统中提交申请，特定的人员收到申请后可以查看文件内容，最后决定是否批准。

这两种方式各有利弊。前者是具有权限的人员主动找到密文并解密，后者是具有权限的人员被动地批准/拒绝其他人的申请。对于后者，系统理应提供申请、批准/拒绝的消息传送工具。如果系统能够同时提供两种方式，当然会更好。

需要特别说明的是，无论是哪种方式，这个能够解密（或者审批）的计算机，一定要经过严格地授信。 

有些厂商应用户的要求，还提供了其他的明文出口管理方式。例如，向指定的电子信箱发送邮件，邮件中的密态附件文件就自动解密了。这种功能被称为“明文收件人”或者“邮件白名单”等，不一而足。这是一个比较有特点的功能。授信节点的user只是向特定的信箱发信，才会有这种“自动解密附件文件”的效果。如果他随意地向自己的私人信箱发送电子邮件，附件是不会被加密的（或者有些系统是干脆不让发送）。这样，IT部门可以对公司的高层领导的信箱进行这种授信。领导们就不必仅仅为了查看密文而去安装客户端程序了。在有些情况下，企业会与一些人员发生频繁的文件交流，对方虽然是可以信任的，但又不可能安装加密软件客户端程序（例如外贸公司的国外客户）。此时，这种授信电子邮件地址的功能就显得很方便了。当然，对于严格保密的用户而言，内外网都是隔离的，这个功能也没有什么用了。

11、与管理系统的集成能力如何？

透明加密系统虽然可以自成体系，但是难免会和其他一些管理系统存在着集成配合的问题。对于和文件打交道不多或者仅仅和数据库打交道的系统（例如ERP、CRM等），这个问题还不算严重。但是对于要和文件打交道的管理系统（例如制造业常用的PDM/PLM）该问题就尤其突出了。

以PDM为例。PDM需要将图纸文件收录到系统中，这个收录的动作被称为“上传”、“检入”、“导入”等等。而它们要收录的文件通常又都是密文。这就带来一个问题：收录PDM服务器中的图纸文件，应该是明文还是密文？这也是一个很难两全的矛盾。

如果收录的是明文，那就存在泄密风险。尽管PDM系统在向授信节点释放（“下载”、“检出”、“导出”）文件时，文件在存储到授信节点硬盘时会被自动加密，但是如果向一个普通计算机释放呢？那就会得到明文，这就是泄密。PDM系统将普通计算机释放文件，是完全可能的。例如，将一个普通的计算机安装PDM客户端，利用合法的PDM帐号登录PDM系统之后，就可以实现了。

如果收录的是密文，那么在PDM系统中就不能预览图纸文件了。因为PDM服务器中存储的也是密态文件。

面对这个矛盾，不同的用户会有不同的侧重。如果企业有类似需求，那就需要注意在这方面选择适合自己的要求的产品，当然，如果加密系统能够通过设置对这两种方式进行切换，那自然是优选。

12、软件品牌是出自原始厂商还是ODM？

透明加密系统还是一个新兴的行业，国内最早具有透明加密特性的软件系统是在2005年出现的。尽管如此，但由于透明加密的特性对客户具有很强的吸引力，国内有很多公司纷纷推出自己的产品，这些公司的规模通常不大。还有一些公司为了快速拥有自己的品牌，直接和其他厂商进行ODM合作。而由于拥有自己品牌的厂商规模都很小，很多厂商都愿意同规模较大的公司进行这种ODM合作。这最早大概出现在2006年初。这种合作，有利于不同规模、行业背景的公司整个各自的资源，有利于透明加密系统的普及。这也是在其他行业得到证实的经验。

但是企业界的客户也应该看到，由于整个透明加密行业都尚待进一步成熟，当前阶段的ODM合作关系比起其他行业的类似关系要脆弱得多。曾经有一家全国著名的大型IT公司，在具备了众多领域的ODM/OEM成功案例之后，与华东某软件公司进行透明加密领域的ODM合作。这种关系在坚持了1年左右，最终还是以失败告终。

当然，这起个案不能说明整个行业，我们也不能因此以偏概全。但是每一个客户还是要就此问题具体分析，具体对待。

前面介绍了一些对透明加密进行购买选型时的十大考查事项。这10个项目，有些是重点项目，讲的是不同品牌之间在技术流派或者运用方式上的重大区别，它们通常会涉及到系统的稳定性、可扩展性以及抗风险能力；有些是关键项目，讲的虽然是透明加密系统必备的功能，但细节的不同会造成将来使用时的严密性不同。

除了上述这这些考察透明加密产品的诀窍以外，和普通信息化产品一样，用户还可以根据自身的情况对供应商和产品做适当的更深入的了解和考查，例如：

1、系统的日志包括哪几种？都分别记录了什么内容？

2、如何保证系统密钥的唯一性？

3、密文通过电子邮件、QQ等方式发出去，是怎样的保密效果？

4、如果有人把授信节点的IP地址私自改动了，会出现什么情况？

5、厂商的公司概况如何？

6、服务政策是怎样的？

7、典型用户有哪些？

希望本文能为企业选择透明加密产品提供一些新的思路，最后祝大家能够挑选到适合自己需要的透明加密产品，构建一个企业级的文档安全环境

(此文档摘自网络，版权归原作者所有)