深入挖掘BitLocker系统自带加密功能.docVIP

深入挖掘BitLocker系统自带加密功能为了更好地保护数据安全，Vista以上版本系统自带了功能十分强大的磁盘加密程序――BitLocker，借助这种全新的数据保护机制，用户在不需要第三方专业工具的帮助下，也能将磁盘加密操作做到固若金汤。那么，BitLocker程序究竟与传统的EFS加密功能有什么区别，它是如何对磁盘进行加密保护的，这种程序的加密安全性真的无懈可击吗?相信下面的内容，会让大家更高效地用好BitLocker加密程序! 认识BitLocker程序 为了增强数据文件的安全性。微软公司从Windows 2000系统开始，就针对NTFS格式的磁盘分区提出了EFS加密功能，不过该功能只能对单个文件进行加密，同时无法加密页面文件和休眠文件，黑客可能通过翻看系统页面文件中的数据信息偷窥重要隐私内容。为了避免上述安全麻烦，vista、Windows 7、WindoWS 2008系统特地提出了新的安全保护功能，那就是BitLocker2D密磁盘功能，该功能主要是用来帮助用户防止重要数据对外泄露或抵御数据失窃的；由于该功能在windows7系统中表现得较为成熟。为此本文在这里就以Windows 7系统为蓝本，详细为大家介绍BitLocker程序的前世今生 BitLocke程序采用卷级加密技术，来保护由数据存储设备丢失引起的数据泄露或恶意失窃行为，在默认状态下，该程序使用支持扩散器的128位加密算法保护数据安全，用户能通过调整系统组策略相关配置将加密密钥扩充到256位。BitLocke程序通过一个内置在计算机中的TPM微芯片，来存储加密信息，如果计算机安装了兼容TPM，那么在TPM已检查启动文件和启动组件的状态后，才能访问这些加密信息；在启动过程中，TPM将释放密钥，该密钥仅在将重要操作系统配置值的一个哈希值与一个先前所拍摄的快照进行比较之后解锁加密分区，这将验证windows系统启动过程的完整性，要是TPM检测到Windows安装已被篡改，则不会释放密钥。在缺省状态下，BitLocker安装向导配置为与TPM无缝使用，管理员可以使用组策略或脚本启用其他功能和选项，为了增强安全性，可以将TPM与用户输入的PIN或存储在USB闪存驱动器上的启动密钥组合使用。在不带有兼容TPM的计算机上，BitLocker可以提供加密，而不提供使用TPM锁定密钥的其他安全。在这种情况下，用户需要创建一个存储在USB闪存驱动器上的启动密钥 与旧版本系统中的EFS加密功能一样，BitLocker的加密、解密过程，对终端用户来说都是非常透明的，合法用户在访问加密内容时，根本觉察不到加密功能的存在，无论是加密操作还是解密操作，其实都是在系统后台悄悄进行的。这两种加密功能，对用户的身份进行验证时，都是在登录Windows系统过程中完成的，显然它们的加密密钥都是与用户的登录账号直接绑定在一起的，所以即使有人悄悄将加密内容拷贝到其他位置处，但如果没有登录用户的合法授权，这些被转移到其他地方的加密文件是无法打开的 与EFS加密功能不一样的是，BitLocker要么对整个磁盘卷进行加密，要么就不进行加密，它的加密灵活性没有EFS功能强，但是加密整个磁盘卷，可以保护所有数据，包括操作系统本身、Windows注册表、临时文件以及休眠文件，显然它的加密效率和保护范围都要强于EFS功能。更为重要的是，BitLocker功能可以有效保护系统分区的安全，在操作系统启动运行后，该功能能一直监控系统的运行安全，一旦发现启动配置文件被更改、磁盘发生损坏或BIOS被修改，那么它就会自动锁住系统分区，这个时候必须要用事先准备好的加密密钥才能解锁，通过这种保护方式能避免病毒、木马、恶意程序对系统分区的攻击和破坏，而EFS加密功能只能保护单个文件或文件夹 BitLocker加密要求 Windows 7系统中的BitLocker功能，对不同的加密内容有不同的加密要求，通常该功能对普通的数据磁盘加密要求不高，凡是Windows 7系统能正常安装工作的环境，都能成功进行数据磁盘分区的加密操作，而要想成功对系统分区进行加密，就必须要求Windows 7系统所在的计算机符合一定的硬件条件，这主要是BitLocker功能在对系统分区进行加密时，需要将加密密钥和解密密钥保存在硬盘之外的独立设备上 根据独立设备的不同，BitLocker功能主要包含两种工作模式，一种是TPM模式，另外一种是U盘模式。要想让BitLocker功能工作在TPM模式，计算机一定要具备不低于1.2版TPM芯片，这种芯片一般是借助硬件提供的，通常只会出现在对安全性要求较高的商用电脑或工作站上，家用电脑或普通的商用电脑不会提供。如果计算机没有TPM芯片，可以使用优盘等USB设备来保存加密密钥和解密密钥，