应用层加密与内核级加密有什么不同？

在众多电子文档安全系统中，有的说是用内核级加密技术，有的用应用层加密技术，前天有一个品牌的技术人员跟我说，应用层加密不安全。
想请教高手、专家朋友们：应用层加密与内核级加密有什么不同？

透明加解密技术是近年来针对企业文件保密需求应运而生的一种文件加密技术。所谓透明，是指对使用者来说是不可见的。当使用者在打开或编辑指定文件时，系统将自动对未加密的文件进行加密，对已加密的文件自动解密。文件在硬盘上是密文，在内存中是明文。一旦离开使用环境，由于应用程序无法获得自动解密的服务而无法打开，从而起到保护文件内容的效果。
透明加解密技术是与操作系统紧密结合的一种技术，它工作于操作系统底层，从技术角度看，可分为内核级加密和应用级加密两类。内核级通常采用文件过滤驱动技术，应用级通常采用 API HOOK（俗称钩子）技术，其基本原理都是要接管文件 IO（读写）操作，通过监视涉密进程（受保护程序）的磁盘读写，对保密文档进行动态的加密和解密。由于这些操作都在底层自动完成，除了速度可能稍有降低外，用户在使用方式上与平时没有差异。
个别基于内核级开发的产品厂商喜欢向用户宣称，用文件系统过滤驱动来实现透明加解密更加底层，安全性自然也最强。事实上，他们忽略了一个基本的原则——加密应尽可能早，解密应尽可能晚。只有当应用程序刚产生机密数据的时候就立即加密，而直到应用程序需要使用数据的前一刻才解密它，才能最大程度地降低机密信息被中途截取的可能。一味地追求底层，恰恰与以上原则背道而驰。
这里并不打算让大家相信产品完全工作在应用层才最安全，只是想让大家明白，透明加解密产品的安全性并非完全体现在产品基于内核级或应用级开发。客观地说，基于内核级与应用级的文件 IO 接管、对象访问控制等工作，在原理上并无本质不同，都属于广义的 HOOK 技术。由于内核级代码工作在驱动层，相对应用级代码更难于被恶意用户绕过，所以用于访问控制与自我保护的效果优于应用级。但另一方面，由于内核级代码工作在系统最底层，代码中稍有疏忽必将导致系统蓝屏和文件损坏，甚至其他应用软件的“不规范”操作也可能导致透明加解密产品的内核代码崩溃，稳定性与兼容性远不及应用级代码。这些特性迫使内核级开发人员必须尽可能保持代码的“简洁”，逻辑复杂一点、功能细致一点，开发与调试的难度都会成倍增长。我们针对竞争对手的产品测试结果也从侧面证明了以上观点：某内核级加解密产品对受保护程序的验证依据，仅仅是可执行程序的文件名。用户只要把任意一个网络程序改名为 Office 执行程序名，就可以将加密文档解密外发了。这样的透明加解密产品虽然完全工作在内核级，但是有安全性可言吗？
综合以上原因，铁卷产品采用了内核级与应用级技术相结合的实现方案：
1、加解密模块采用应用级 API HOOK 技术，在受保护程序读写文件的过程中，确保加密时机最早而解密时机最晚，最大限度缩短明文信息在内存中的可访问路径。同时强化各项验证的判断处理，降低程序实现的复杂性，避免纯驱动级文件透明加解密的实现方案中，可能由于任何细节处理不当而导致系统蓝屏、文件损坏的现象发生。
2、加解密模块在设计上不可拆分，若应用层 HOOK 模块被以任何方式摘除，则加解密功能同时失效，无法单独绕过加密流程。由此可保证受保护程序永远遵循以下规则：若能读取加密文档，则产生的所有文档均强制被加密；若产生的文档不加密，则无法读取任何被加密的文档。
3、访问控制及自我保护模块工作在内核级，确保控制、防护机制难以被上层程序绕过。

大部分应该是应用层，只有木马防火墙、查杀木马这些是内核层，看一下那些加了驱动、写了服务，那基本上就是在内核层了。关闭，只是进程关闭，驱动和服务并不能完全关闭，要想完全关闭，可以取消自保和开机启动并重启（不推荐）。木马防火墙主要是360云主防，但有时qvm有入监控，启发式引擎没见过发威（具体怎么回事不清楚）。网盾是好像只是云联动（仍然不清楚）。