第4章 Windows加密文件系统.pptVIP

第4章 Windows加密文件系统 　　加密是保证数据机密性和私有性的重要技术手段之一，Windows 2000以上版本的操作系统（以下简称Windows）采用加密文件系统（Encrypting File System，以后简称EFS）来保证存储在磁盘文件中的信息的安全性。EFS提供了一种核心文件加密技术来在磁盘中加密处理NT文件系统（NT File System，简称NTFS），防止非授权用户对文件信息的访问，并阻止用户使用其他操作系统中的工具来存取磁盘中的机密文件。 4.1 EFS概述 4.1.1文件加密系统简介 　　如果在硬盘启动之前通过软盘或光盘启动计算机，这样在物理上能够接触该计算机的人都可以避开Windows中内在的安全控制功能，并在其他的操作系统中利用现成的工具来读取Windows中的文件，对信息的安全性造成了严重的威胁。 　　一个具有安全措施的计算机的硬盘也可以安装在另外一个没有安全措施的计算机上，照样可以导致硬盘中机密信息的泄漏。 　　在有些情况下，保证数据的安全性非常重要，比如丢失的笔记本电脑，如果其中有重要信息的话，盗窃者可以有很多的方法把数据从笔记本电脑的硬盘中读取出来，如采用多操作系统和多文件系统工具，或者采用MS-DOS、Windows 95/98或UNIX/Linux启动，可以完全避开Windows的安全机制。 　　对计算机中的文件进行加密处理是解决上述问题的惟一途径，目前市场上也有很多基于口令产生的密钥进行加密的应用层文件加密系统，但都有如下的限制： 　　1．每一次使用都需要人工加解密 　　如果用户忘记了对该文件进行加密，该文件将不会具有安全性。 　　2．临时文件和页面文件的信息泄漏 　　临时文档都没有被加密，很容易被非法用户使用而获取原始文档的信息。另外，应用层加密运行在Windows的用户模式，用户的加密密钥可能存储在页面文件（paging file）中，通过简单的对页面文件的访问，就可以获取加密所有文档的单个密钥。 　　3．安全强度低 　　对于容易记起的口令，采用字典攻击很容易攻破，而对于较复杂的口令，而又对用户使用造成很大不便。 　　4．没有数据恢复机制 　　在用户忘记口令或密钥的情况下，没有一种安全有效的方式恢复以前加密的数据。 　　EFS作为Windows中的新型安全特性，解决了以上所有问题，对文件的加密、解密和加密数据的恢复都提供了一整套安全机制。 4.1.2 文件加解密 　　EFS基于公钥加密技术，每个文件都使用随机生成的文件加密密钥进行加密，此密钥独立于用户的公钥/私钥对，因此可以防止各种对加密文件所采取的密码分析攻击。 　　EFS同样支持对存储在远程文件服务器中的文件进行加密和解密处理，在这种情况下，只支持对磁盘中的文件进行加解密处理，而不支持网络中传输数据的加密处理。Windows中提供了诸如SSL和IPSEC等安全协议，支持网络中的数据加密。 　　EFS与NTFS紧密结合，当创建了临时文件时，只要所有的文件都是NTFS格式，原始文件中的所有属性都拷贝到临时文件中。如果原始文件被加密，当属性在临时文件创建过程中被拷贝的时候，EFS也加密临时文件。EFS存在于Windows的内核中，它使用非页面池（nondpool）的方式来存储文件加密密钥，以保证所有的密钥都不会被页面文件泄漏。 　　不需要任何配置，EFS在默认设置情况下就允许用户对文件进行加密。 　　如果是首次使用EFS，用户还没有公钥/私钥对（统称为密钥），则EFS自动会首先生成密钥，然后加密数据。 　　如果用户登录到了域环境中，密钥的生成会依赖于域控制器，否则它会依赖于本地计算机。 　　密钥又是怎么来的呢？在操作系统中，每一个用户都有一个SID（Security Identifier，安全标识符）以区分各自的身份，每个用户的SID都是不相同的，并且具有惟一性，这个惟一性的SID就保证了EFS加密的绝对安全和可靠。因为理论上没有SID相同的用户，因而用户的密钥也就绝不会相同。在第一次加密数据的时候，操作系统就会根据加密者的SID生成该用户的密钥，并把公钥和私钥分开保存起来，供用户加密和解密数据。 　　EFS中可以对每个文件或整个目录（文件夹）进行加密和解密处理。目录的加密也采用了透明的方式，在一个加密好的目录中创建的所有文件（包括子目录）都将自动加密。 　　如果在同一文件系统中从一个加密好的目录中复制文件到一个未加密的目录中，该文件仍然是加密的。 　　在一个文件使用之前也不需要解密，当字节数据在磁盘之间传输的时候，加密和解密将以透明的方式自动进行。EFS将会自动查找加密好的文件，并定位用户证书和用户证书中相关的私钥。 4.1.3 文件恢复 　　数据恢复机制在很多商业环境中应用都很广泛，例如，删除了