Windows 7的BitLocker為數據保駕護航
操作系統的安全泛泛而談其實(shí)包括兩個(gè)方面的內容，分別為操作系統本身的安全與操作系統上數據的安全。在Windows7種，通過(guò)UAC控制機制、系統備份與還原等措施在很大程度上提高了操作系統的安全性與穩定性。那么我們不僅問(wèn)，Windows7 在數據安全的保護是是否也有新舉措呢？這個(gè)答案是讓人興奮的。在Windows7 中，其提出了一種新的數據保護機制，即BitLocker。這個(gè)工具可以為企業(yè)信息文件的安全保駕護航。
如上圖所示，就是啟動(dòng)BitLocker驅動(dòng)器的界面。默認情況下，Window操作系統是不啟動(dòng)這個(gè)BitLocker功能的。如果企業(yè)對于數據文件的安全性要求比較高，則可以視情況來(lái)啟動(dòng)這個(gè)功能。那么這個(gè)功能到底有什么特色呢？其使用起來(lái)又有什么限制呢？筆者今天就為大家來(lái)解開(kāi)這個(gè)謎題。
一、BitLocker與EFS加密機制的不同。
以前用過(guò)Windows操作系統的人一定了解，從2000操作系統開(kāi)始，微軟就在操作系統上實(shí)現了一種叫做NTFS的文件格式。這個(gè)文件格式根FAT32文件格式相比，相對來(lái)說(shuō)比較安全與穩定一點(diǎn)。而且在這個(gè)分區格式上，微軟還實(shí)現了很多讓人欣喜的功能。其中EFS文件加密機制就是其中的一種。那么這個(gè)EFS文件加密機制與這個(gè)BitLocker有什么聯(lián)系呢？又會(huì )有什么不同？
首先值得肯定的是，這兩種技術(shù)都是很好的文件保護機制，能夠在很大程度上保障數據文件的安全。不過(guò)他們有一個(gè)很大的差異，即EFS是針對特定的文件或者文件夾來(lái)進(jìn)行加密的。而BitLocker則是針對整個(gè)驅動(dòng)器來(lái)進(jìn)行加密。也就是說(shuō)，采用EFS技術(shù)的話(huà)，用戶(hù)可以有選擇的對一些重要的文件或者文件夾進(jìn)行加密。而如果采用BitLocker的話(huà)，用戶(hù)沒(méi)有這個(gè)選擇權。其要么對某個(gè)驅動(dòng)器的所有文件夾進(jìn)行加密，要么就全部不加密。這是這兩種文件加密機制的主要差異。
不過(guò)他們也有很大的共同點(diǎn)。如無(wú)論是EFS加密系統，還是BitLocker保護機制，對于終端用戶(hù)來(lái)說(shuō)都是透明的。這個(gè)主要體現在如下幾個(gè)方面。首先只要是合法的用戶(hù)，其在訪(fǎng)問(wèn)數據的時(shí)候，是感受不到這種保護措施存在的，無(wú)論是對數據進(jìn)行加密或者解密的過(guò)程，都是在后臺完成，不需要用戶(hù)干預。如只要在驅動(dòng)器上實(shí)現了BitLocker技術(shù)，則當用戶(hù)往這個(gè)驅動(dòng)器中保存文件時(shí)，操作系統會(huì )自動(dòng)對其加密。當下次訪(fǎng)問(wèn)時(shí)，操作系統也會(huì )自動(dòng)對其進(jìn)行解密。其次，如果其他非首選用戶(hù)試圖訪(fǎng)問(wèn)加密過(guò)的數據時(shí)，則其就會(huì )受到“訪(fǎng)問(wèn)拒絕”的錯誤提示。無(wú)論是EFS加密系統，還是BitLocker保護機制，其能夠很好的保護用戶(hù)的非授權訪(fǎng)問(wèn)。第三，他們的用戶(hù)驗證過(guò)程都是在登陸Windows操作系統是完成的。也就是說(shuō)，他們的密鑰是直接跟操作系統的帳戶(hù)掛鉤的。為此如果用戶(hù)非法的將文件復制到其他主機上，如果沒(méi)有主人用戶(hù)的授權（證書(shū)），那么其他非法用戶(hù)即使有了這些文件，那么他們也是無(wú)法打開(kāi)的。
可見(jiàn)EFS與這個(gè)BitLocker保護機制具有很多的相同地方。那么為什么微軟還要費力氣開(kāi)發(fā)這個(gè)BitLocker文件加密保護機制呢？這主要是因為這個(gè)保護機制還是有其自身很多特點(diǎn)的。而這些特點(diǎn)在某些程度上又彌補了EFS文件加密系統的不足。
二、BitLocker更方便共享。
如果某個(gè)文件夾中的文件采用了EFS加密系統加密，那么這個(gè)文件要在網(wǎng)絡(luò )上共享是比較麻煩的。如系統管理員往往要將某個(gè)用戶(hù)的證書(shū)導入到另外一個(gè)用戶(hù)的操作系統，或者其他類(lèi)似的手段才可以實(shí)現這文件的共享。不過(guò)如果采用BitLocker保護機制的話(huà)，則在這個(gè)文件共享上面會(huì )更加的方便。
當用戶(hù)將文件保存到采用BitLocker機制的驅動(dòng)器之后，系統會(huì )自動(dòng)對其進(jìn)行加密。但是如果用戶(hù)將這個(gè)加密后的文件復制到其他沒(méi)有采用BitLocker技術(shù)的驅動(dòng)器中，會(huì )出現什么情況呢？此時(shí)文件會(huì )被自動(dòng)解密。此時(shí)其他用戶(hù)只要具有相關(guān)的權限，就可以隨意的閱讀。不過(guò)前提是這個(gè)復制文件的用戶(hù)其具有解密的權限。到這里為止跟EFS的文件加密系統處理方法還是類(lèi)似的。不過(guò)在這文件共享上雙方還是有很大的不同。假設現在用戶(hù)要將某個(gè)采用BitLocker加密機制加密過(guò)的文件，通過(guò)網(wǎng)絡(luò )共享給其他的用戶(hù)。此時(shí)操作系統會(huì )如何處理呢？首先需要明確的是，只要這個(gè)共享的文件仍然在這個(gè)受保護的驅動(dòng)器上，那么這個(gè)文件仍然是以加密的形態(tài)保存的，操作系統不會(huì )對其解密。其次只要這個(gè)用戶(hù)允許其他用戶(hù)訪(fǎng)問(wèn)這個(gè)共享文件（通過(guò)授權認證來(lái)實(shí)現），那么其他用戶(hù)就可以訪(fǎng)問(wèn)這個(gè)文件。而不需要像EFS加密文件系統那樣，手工給其他用戶(hù)導入證書(shū)等等。也就是說(shuō)，在BitLocker保護機制下，這個(gè)認證授權過(guò)程對用戶(hù)來(lái)說(shuō)是透明的。這是BitLocker與EFS文件加密系統相比，最大的改善之一。
三、對操作系統分區的特殊保護。
EFS加密文件系統將系統文件與普通的用戶(hù)文件是同等對待的。但是，BitLocker保護機制中，則對其采用了專(zhuān)門(mén)的保護措施，可以在最大程度上保護系統文件的安全。只要系統管理員利用BitLocker技術(shù)對系統分區進(jìn)行了加密，則在操作系統啟動(dòng)后系統就會(huì )一直監視計算機，如會(huì )監視磁盤(pán)錯誤、Bios的更改、啟動(dòng)配置文件的更改等等，并可以防止由此帶來(lái)的安全風(fēng)險。如果操作系統檢測到以上的這些錯誤，則BitLocker會(huì )自動(dòng)的將這個(gè)磁盤(pán)驅動(dòng)器鎖住。此時(shí)系統管理員需要利用預先設置的一個(gè)密鑰來(lái)解鎖這個(gè)驅動(dòng)器。通過(guò)這種措施可以防止操作系統的文件以及配置文件在系統管理員不知覺(jué)的情況下被修改。這對于防止木馬、病毒、惡意程序等等對操作系統的破壞很有作用。
不過(guò)在對操作系統采用這個(gè)保護機制的時(shí)候，需要注意兩點(diǎn)。首先在首次對系統分區采用加密保護機制時(shí)，需要創(chuàng )建一個(gè)解鎖密碼。否則的話(huà)，當操作系統因為遭受可疑的工具而被鎖住驅動(dòng)器時(shí)，系統管理員就無(wú)法對其進(jìn)行解鎖。而這驅動(dòng)器中的文件也將無(wú)法訪(fǎng)問(wèn)。所以說(shuō)，在各驅動(dòng)器啟用這個(gè)保護機制時(shí)，別忘了設置一個(gè)解鎖的密碼。其次，如果用戶(hù)的電腦中安裝了TPM芯片時(shí)，則可以將這個(gè)密碼存儲在這個(gè)芯片上。當遇到系統分區被鎖住時(shí)，BitLocker就會(huì )像這塊芯片所要密碼進(jìn)行解鎖。如果將Windows7操作系統作為服務(wù)器來(lái)使用，則為這個(gè)服務(wù)器配置一塊TPM芯片并在系統分區上啟用BitLocker保護機制，能夠在很大程度上保障服務(wù)器系統的安全與穩定型。從這也可以看出，微軟在服務(wù)器的安全與穩定性方面，一直在不斷的改進(jìn)。
另外如果采用EFS加密文件系統的話(huà)，只要攻擊者知道了帳戶(hù)與密碼，則其可以登陸到操作系統。此時(shí)EFS加密文件的保護機制就失去了作用。不過(guò)BitLocker在這方面也有所改善。即使攻擊者知道了用戶(hù)的帳戶(hù)與密碼，其仍然可以采取措施來(lái)保護系統文件，即BitLocker會(huì )監測系統文件的更改。如果其發(fā)現這個(gè)更改會(huì )給操作系統帶來(lái)安全上的風(fēng)險時(shí)，就會(huì )采取措施拒絕其更改。到目前為止，這是EFS文件加密系統所不能夠實(shí)現的功能。
可見(jiàn)EFS加密系統與BitLocker加密機制在實(shí)現細節上還有很大的不同。BitLocker主要在對系統分區的保護上有比較獨特的表現。而且其在共享文件的管理上也更加的方便。
聯(lián)系客服
