Windows 7的BitLocker為數(shù)據(jù)保駕護(hù)航
操作系統(tǒng)的安全泛泛而談其實(shí)包括兩個方面的內(nèi)容，分別為操作系統(tǒng)本身的安全與操作系統(tǒng)上數(shù)據(jù)的安全。在Windows7種，通過UAC控制機(jī)制、系統(tǒng)備份與還原等措施在很大程度上提高了操作系統(tǒng)的安全性與穩(wěn)定性。那么我們不僅問，Windows7 在數(shù)據(jù)安全的保護(hù)是是否也有新舉措呢？這個答案是讓人興奮的。在Windows7 中，其提出了一種新的數(shù)據(jù)保護(hù)機(jī)制，即BitLocker。這個工具可以為企業(yè)信息文件的安全保駕護(hù)航。
如上圖所示，就是啟動BitLocker驅(qū)動器的界面。默認(rèn)情況下，Window操作系統(tǒng)是不啟動這個BitLocker功能的。如果企業(yè)對于數(shù)據(jù)文件的安全性要求比較高，則可以視情況來啟動這個功能。那么這個功能到底有什么特色呢？其使用起來又有什么限制呢？筆者今天就為大家來解開這個謎題。
一、BitLocker與EFS加密機(jī)制的不同。
以前用過Windows操作系統(tǒng)的人一定了解，從2000操作系統(tǒng)開始，微軟就在操作系統(tǒng)上實(shí)現(xiàn)了一種叫做NTFS的文件格式。這個文件格式根FAT32文件格式相比，相對來說比較安全與穩(wěn)定一點(diǎn)。而且在這個分區(qū)格式上，微軟還實(shí)現(xiàn)了很多讓人欣喜的功能。其中EFS文件加密機(jī)制就是其中的一種。那么這個EFS文件加密機(jī)制與這個BitLocker有什么聯(lián)系呢？又會有什么不同？
首先值得肯定的是，這兩種技術(shù)都是很好的文件保護(hù)機(jī)制，能夠在很大程度上保障數(shù)據(jù)文件的安全。不過他們有一個很大的差異，即EFS是針對特定的文件或者文件夾來進(jìn)行加密的。而BitLocker則是針對整個驅(qū)動器來進(jìn)行加密。也就是說，采用EFS技術(shù)的話，用戶可以有選擇的對一些重要的文件或者文件夾進(jìn)行加密。而如果采用BitLocker的話，用戶沒有這個選擇權(quán)。其要么對某個驅(qū)動器的所有文件夾進(jìn)行加密，要么就全部不加密。這是這兩種文件加密機(jī)制的主要差異。
不過他們也有很大的共同點(diǎn)。如無論是EFS加密系統(tǒng)，還是BitLocker保護(hù)機(jī)制，對于終端用戶來說都是透明的。這個主要體現(xiàn)在如下幾個方面。首先只要是合法的用戶，其在訪問數(shù)據(jù)的時候，是感受不到這種保護(hù)措施存在的，無論是對數(shù)據(jù)進(jìn)行加密或者解密的過程，都是在后臺完成，不需要用戶干預(yù)。如只要在驅(qū)動器上實(shí)現(xiàn)了BitLocker技術(shù)，則當(dāng)用戶往這個驅(qū)動器中保存文件時，操作系統(tǒng)會自動對其加密。當(dāng)下次訪問時，操作系統(tǒng)也會自動對其進(jìn)行解密。其次，如果其他非首選用戶試圖訪問加密過的數(shù)據(jù)時，則其就會受到“訪問拒絕”的錯誤提示。無論是EFS加密系統(tǒng)，還是BitLocker保護(hù)機(jī)制，其能夠很好的保護(hù)用戶的非授權(quán)訪問。第三，他們的用戶驗(yàn)證過程都是在登陸Windows操作系統(tǒng)是完成的。也就是說，他們的密鑰是直接跟操作系統(tǒng)的帳戶掛鉤的。為此如果用戶非法的將文件復(fù)制到其他主機(jī)上，如果沒有主人用戶的授權(quán)（證書），那么其他非法用戶即使有了這些文件，那么他們也是無法打開的。
可見EFS與這個BitLocker保護(hù)機(jī)制具有很多的相同地方。那么為什么微軟還要費(fèi)力氣開發(fā)這個BitLocker文件加密保護(hù)機(jī)制呢？這主要是因?yàn)檫@個保護(hù)機(jī)制還是有其自身很多特點(diǎn)的。而這些特點(diǎn)在某些程度上又彌補(bǔ)了EFS文件加密系統(tǒng)的不足。
二、BitLocker更方便共享。
如果某個文件夾中的文件采用了EFS加密系統(tǒng)加密，那么這個文件要在網(wǎng)絡(luò)上共享是比較麻煩的。如系統(tǒng)管理員往往要將某個用戶的證書導(dǎo)入到另外一個用戶的操作系統(tǒng)，或者其他類似的手段才可以實(shí)現(xiàn)這文件的共享。不過如果采用BitLocker保護(hù)機(jī)制的話，則在這個文件共享上面會更加的方便。
當(dāng)用戶將文件保存到采用BitLocker機(jī)制的驅(qū)動器之后，系統(tǒng)會自動對其進(jìn)行加密。但是如果用戶將這個加密后的文件復(fù)制到其他沒有采用BitLocker技術(shù)的驅(qū)動器中，會出現(xiàn)什么情況呢？此時文件會被自動解密。此時其他用戶只要具有相關(guān)的權(quán)限，就可以隨意的閱讀。不過前提是這個復(fù)制文件的用戶其具有解密的權(quán)限。到這里為止跟EFS的文件加密系統(tǒng)處理方法還是類似的。不過在這文件共享上雙方還是有很大的不同。假設(shè)現(xiàn)在用戶要將某個采用BitLocker加密機(jī)制加密過的文件，通過網(wǎng)絡(luò)共享給其他的用戶。此時操作系統(tǒng)會如何處理呢？首先需要明確的是，只要這個共享的文件仍然在這個受保護(hù)的驅(qū)動器上，那么這個文件仍然是以加密的形態(tài)保存的，操作系統(tǒng)不會對其解密。其次只要這個用戶允許其他用戶訪問這個共享文件（通過授權(quán)認(rèn)證來實(shí)現(xiàn)），那么其他用戶就可以訪問這個文件。而不需要像EFS加密文件系統(tǒng)那樣，手工給其他用戶導(dǎo)入證書等等。也就是說，在BitLocker保護(hù)機(jī)制下，這個認(rèn)證授權(quán)過程對用戶來說是透明的。這是BitLocker與EFS文件加密系統(tǒng)相比，最大的改善之一。
三、對操作系統(tǒng)分區(qū)的特殊保護(hù)。
EFS加密文件系統(tǒng)將系統(tǒng)文件與普通的用戶文件是同等對待的。但是，BitLocker保護(hù)機(jī)制中，則對其采用了專門的保護(hù)措施，可以在最大程度上保護(hù)系統(tǒng)文件的安全。只要系統(tǒng)管理員利用BitLocker技術(shù)對系統(tǒng)分區(qū)進(jìn)行了加密，則在操作系統(tǒng)啟動后系統(tǒng)就會一直監(jiān)視計(jì)算機(jī)，如會監(jiān)視磁盤錯誤、Bios的更改、啟動配置文件的更改等等，并可以防止由此帶來的安全風(fēng)險。如果操作系統(tǒng)檢測到以上的這些錯誤，則BitLocker會自動的將這個磁盤驅(qū)動器鎖住。此時系統(tǒng)管理員需要利用預(yù)先設(shè)置的一個密鑰來解鎖這個驅(qū)動器。通過這種措施可以防止操作系統(tǒng)的文件以及配置文件在系統(tǒng)管理員不知覺的情況下被修改。這對于防止木馬、病毒、惡意程序等等對操作系統(tǒng)的破壞很有作用。
不過在對操作系統(tǒng)采用這個保護(hù)機(jī)制的時候，需要注意兩點(diǎn)。首先在首次對系統(tǒng)分區(qū)采用加密保護(hù)機(jī)制時，需要創(chuàng)建一個解鎖密碼。否則的話，當(dāng)操作系統(tǒng)因?yàn)樵馐芸梢傻墓ぞ叨绘i住驅(qū)動器時，系統(tǒng)管理員就無法對其進(jìn)行解鎖。而這驅(qū)動器中的文件也將無法訪問。所以說，在各驅(qū)動器啟用這個保護(hù)機(jī)制時，別忘了設(shè)置一個解鎖的密碼。其次，如果用戶的電腦中安裝了TPM芯片時，則可以將這個密碼存儲在這個芯片上。當(dāng)遇到系統(tǒng)分區(qū)被鎖住時，BitLocker就會像這塊芯片所要密碼進(jìn)行解鎖。如果將Windows7操作系統(tǒng)作為服務(wù)器來使用，則為這個服務(wù)器配置一塊TPM芯片并在系統(tǒng)分區(qū)上啟用BitLocker保護(hù)機(jī)制，能夠在很大程度上保障服務(wù)器系統(tǒng)的安全與穩(wěn)定型。從這也可以看出，微軟在服務(wù)器的安全與穩(wěn)定性方面，一直在不斷的改進(jìn)。
另外如果采用EFS加密文件系統(tǒng)的話，只要攻擊者知道了帳戶與密碼，則其可以登陸到操作系統(tǒng)。此時EFS加密文件的保護(hù)機(jī)制就失去了作用。不過BitLocker在這方面也有所改善。即使攻擊者知道了用戶的帳戶與密碼，其仍然可以采取措施來保護(hù)系統(tǒng)文件，即BitLocker會監(jiān)測系統(tǒng)文件的更改。如果其發(fā)現(xiàn)這個更改會給操作系統(tǒng)帶來安全上的風(fēng)險時，就會采取措施拒絕其更改。到目前為止，這是EFS文件加密系統(tǒng)所不能夠?qū)崿F(xiàn)的功能。
可見EFS加密系統(tǒng)與BitLocker加密機(jī)制在實(shí)現(xiàn)細(xì)節(jié)上還有很大的不同。BitLocker主要在對系統(tǒng)分區(qū)的保護(hù)上有比較獨(dú)特的表現(xiàn)。而且其在共享文件的管理上也更加的方便。
聯(lián)系客服
