第8章数据安全与备份.pptVIP

8.1 文档保护 使用响应的应用程序对文档进行加密 使用WINDOWS系统的EFS进行文档加密 利用第三方工具软件对文档进行加密 利用第三方工具软件对文档进行保护 利用第三方工具软件对文档数据进行隐藏 8.1.1使用相应的应用程序对文档进行加密 提供文档加密的应用程序很多,如OFFICE文档,CAD图形文件,等 加密文档的密码要求具有一定的复杂度: 至少6位—8位; 包含特殊字符 字母 数字 不是特殊的单词 8.1.2使用WINDOWS系统的EFS进行文档加密 EFS加密的原理: EFS是Encrypting File System，加密文件系统的缩写，他可以被应用在windows 2000以上的操作系统且为NTFS5格式的分区上(windows xp home不支持). EFS 只能对存储在磁盘上的数据进行加密,是一种安全的本地信息加密服务.EFS使用核心的文件加密技术在NTFS卷上存储加密文件. 它可以防止那些未经允许的对敏感数据进行物理访问的入侵者(偷取笔记本电脑,硬盘等) EFS加密的原理: EFS是如何工作的 当一个用户使用EFS去加密文件时，必须存在一个公钥和一个私钥，如果用户没有，EFS服务自动产生一对。对于初级用户来说，即使他完全不懂加密，也能加密文件，可以对单个文件进行加密，也可以对一个文件夹进行加密，这样所有写入文件夹的文件将自动被加密。 一旦用户发布命令加密文件或试图添加一个文件到一个已加密的文件夹中，EFS将进行以下几步： 第一步：NTFS首先在这个文件所在卷的卷信息目录下(这个目录隐藏在根目录下面)创建一个叫做efs0.log的日志文件，当拷贝过程中发生错误时利用此文件进行恢复。 第二步：然后EFS调用CryptoAPI设备环境.设备环境使用Microsoft Base Cryptographic Provider 1.0 产生密匙,当打开这个设备环境后,EFS产生FEK(File Encryption Key,文件加密密匙).FEK的长度为128位（仅US和Canada），这个文件使用DESX加密算法进行加密。 第三步: 获取公有/私有密匙对;如果这个密匙还没有的话(当EFS第一次被调用时),EFS产生一对新的密匙.EFS使用1024位的RSA算法去加密FEK. EFS加密的原理: 第四步：EFS为当前用户创建一个数据解密块Data Decryptong Field(DDF),在这里存放FEK然后用公有密匙加密FEK. 第五步：如果系统设置了加密的代理,EFS同时会创建一个数据恢复块Data Recovery Field(DRF),然后把使用恢复代理密匙加密过的FEK放在DRF.每定义一个恢复代理,EFS将会创建一个Data Recovery Agent(DRA).Winxp没有恢复代理这个功能,所以没有这一步.，这个区域的目的是为了在用户解密文件的中可能解密文件不可用。这些用户叫做恢复代理，恢复代理在EDRP(Encryption Data Recovery Policy,加密数据恢复策略)中定义，它是一个域的安全策略。如果一个域的EDRP没有设置，本地EDRP被使用。在任一种情况下，在一个加密发生时，EDRP必须存在（因此至少有一个恢复代理被定义）。DRF包含使用RSA加密的FEK和恢复代理的公钥。如果在EDRP列表中有多个恢复代理， FEK必须用每个恢复代理的公钥进行加密，因此，必须为个恢复代理创建一个DRF。 EFS加密的原理: 第六步：包含加密数据、DDF及所有DRF的加密文件被写入磁盘。 第七步: 在加密文件所在的文件夹下将会创建一个叫做Efs0.tmp的临时文件.要加密的内容被拷贝到这个临时文件,然后原来的文件被加密后的数据覆盖.在默认的情况下,EFS使用128位的DESX算法加密文件数据,但是Windows还允许使用更强大的的168位的3DES算法加密文件,这时FIPS算法必须打开,因为在默认的情况下它是关闭的. 第八步：在第一步中创建的文本文件和第七步中产生的临时文件被删除。 8.1.2使用WINDOWS系统的EFS进行文档加密 EFS的使用 EFS的使用 命令行： cipher /? 8.1.2使用WINDOWS系统的EFS进行文档加密 EFS注意事项 必须是NTFS上的文件和文件夹； 不能加密压缩文件和文件夹； 如果将加密的文件移动到非NTFS卷上,该文件将被解密（由系统来完成）； 系统文件无法加