在以往的Windows系统上，绝大多数用户都是以管理员（Admin）权限登录。这是因为太多的操作，如应用程序的安装和运行，操作系统配置的修改等等，都需要管理员权限。
6. 数据保护
6.1 BitLocker
背景：笔记本电脑的使用越来越普遍。于是，丢失笔记本的案例也在增加。最近的一个例子，美国的国家税务局，丢失了一台笔记本电脑，里面存有指纹等机密信息。而一旦用户的机密信息被非法获取，后果可能是非常严重的。
那么，如果已经设置了Windows XP的登陆密码，是否就意味着安全了？并不是这样，当前的密码恢复程序可针对XP的数据安全保护机制进行系统离线攻击。简单的说，一旦攻击者窃取了你的笔记本电脑，电脑里的任何信息都是可以被获取的。
BitLocker这个技术又称为安全启动。它的目的是即使物理设备丢失,仍能提供对Windows客户端的安全保证。其中，特别针对攻击者试图以其他OS启动，以非法获取对Windows系统文件的权限。
BitLocker基于Trusted Platform Module（ TPM ）1.2平台，需要支持TPM的硬件芯片。和以往的软件登录密码相比，它集成硬件和软件保护机制于一身，因此极大提高了安全性能。
BitLocker提供以下四种保护方式。它们的优缺点如下表。笔者推荐其中的TPM+密码这种方式。这种保护方式和智能卡+密码的双重保护方式类似，在易用性和安全性之间达到较好的平衡。
|
保护方式 |
阻止攻击 |
弱点 |
易用性 |
安全性 |
|
TPM |
纯软件攻击 |
易受硬件攻击 |
最高 |
最低 |
|
软件狗 |
纯软件攻击
硬件攻击 |
软件狗丢失后的系统离线攻击 |
高 |
低 |
|
TPM + 密码 |
纯软件攻击
硬件攻击 |
针对TPM硬件攻击 |
低 |
高 |
|
TPM + 软件狗 |
纯软件攻击
硬件攻击 |
针对TPM+软件狗的硬件攻击 |
最低 |
最高 |
表1：BitLocker保护方式
6.2加密文件系统
Windows Vista引入了磁盘全加密（Full Volume Encryption）功能。以前的加密文件系统（EFS）只是对数据卷加密，重要的系统数据并不包括在内。例如，临时文件和虚拟内存的页面文件，尽管可能包括用户的重要信息，也不在加密范围了。
Windows Vista磁盘全加密，除了基本的系统引导代码，将其余一切都包括在加密范围内。以下是磁盘全加密的硬件布局。
图11：磁盘全加密的硬件布局
6.3版权保护
版权保护，目的在于确保重要的文档只能被授权的用户所使用，而使用的方式也遵循相应设置。例如，一封重要的电子邮件可以指明只能被特定的用户群浏览，而且授权用户不能执行打印，转发等其他操作。
在Windows Vista 中，提供了访问版权保护Office 文档的客户端 （RMS client）。用户不再需要新安装/配置额外软件。
上面介绍了三种Windows Vista提供的数据保护技术：BitLocker，加密文件系统，和版权保护。那么，每种技术适用的场景是什么？
简要说，如果数据保护的防范对象是机器其他正常用户或系统管理员，应考虑使用加密文件系统。如果数据保护的防范对象是未授权非法用户，应考虑使用BitLocker。如果需要对Office 文档进行远程权限控制，应考虑使用版权保护。
|
场景 |
BitLocker |
加密文件系统 |
版权保护 |
|
笔记本 |
适用 |
|
|
|
本地单用户文件 |
适用 |
|
|
|
本地多用户文件 |
|
适用 |
|
|
远程文件 |
|
适用 |
|
|
网络管理员不信赖 |
|
适用 |
|
|
远程office文档管理 |
|
|
适用 |
表2：Windows Vista数据保护技术
6.4 USB设备控制
背景。对USB设备，以及其它可移动存储介质的控制，使每个系统管理员头痛的地方，因为存在着以下两个安全问题。
通过USB设备，或其它可移动存储介质，用户可以方便拷贝并并随身携带大量的数据信息。
如果USB设备，或其它可移动存储介质的文件已被病毒感染。一旦接入，而用户又选择“自动执行”特性的话，系统就会被自动感染。
图12：USB设备控制
在Windows Vista，网络管理员可以通过使用Group Policy 可以管理对USB设备和其它移动存储介质的安装。例如，管理的对象可以是某台特定机器，或者是一批机器。可以允许或禁用某一类设备，或者禁用所有未验证的设备等等。有兴趣的读者可以参阅参考文献[2]获取进一步的信息。
和其它安全特性一样，USB设备控制也有自身的局限。它不能取代物理安全。通过Group Policy设置，可以阻止一个普通用户误接入USB设备。但它不能阻止一个恶意用户接入USB设备。例如，如果一个恶意用户拥有对计算机的物理权限，既可以事实上接触到机器，就完全可以以另一个OS引导，而绕过USB设备控制。
7. 总结
通过对以上安全特性的分析，如同文章开始处提到的，在Windows Vista 中，提供了许多非常好的安全特性。但是，每一个安全特性都有其自身的局限，所以，Windows Vista 系统（以及其他任何一个操作系统），都不能解决你所有的安全问题。
操作系统只是整个安全解决方案的一部分。而系统的安全程度，不是决定于保护最强的一环，而是决定于保护最弱的一环。
8. 参考文献
1）． Microsoft® Windows Vista™Security Advancements White Paper, Microsoft Corporation
2）． Step-By-Step Guide to Controlling Device Installation and Usage with Group Policy，Microsoft Corporation
3）． Windows Vista Security and Data Protection Improvements，Microsoft Corporation
京公网安备 11010802021500号