搜索
第八章文件加密与数字签名文件加密与数字签名技术是目前应用最广泛的安全技术，分别是用来防止文件不被非法用户所打开和确保用户收到的是真正自己所需用户发来的邮件。本章重点如下：主要加密算法及各自加密原理EFS加密文件系统的加密原理EFS文件加密与解密方法EFS文件恢复代理创建方法动态文件加密与数字签名原理PGP密钥生成方法PGP文件加密方法PGP邮件加密与签名策略配置方法iSignature签章系统的基本使用方法8.1文件加密概述文件加密的基本过程就是对原来为明文的文件或数据按某种算法进行处理，使其成为不可读的一段代码（通常称为“密文”），使其只能在输入相应的密钥之后才能显示出本来内容，通过这样的途径来达到保护数据不被非法人窃取、阅读的目的。该过程的逆过程为解密，即将该编码信息转化为其原来数据的过程。8.1.1加密的由来加密作为保障数据安全的一种方式，它不是现在才有的，它产生的历史相当久远，它是起源于要追溯于公元前2000年（几十个世纪了），虽然它不是现在我们所讲的加密技术（甚至不叫加密），但作为一种加密的概念，确实早在几个世纪前就诞生了。当时埃及人是最先使用特别的象形文字作为信息编码的，随着时间推移，巴比伦、美索不达米亚和希腊文明都开始使用一些方法来保护他们的书面信息。8.1.2选择加密的意义加密在网络上的作用就是防止有用或私有化信息在网络上被拦截和窃取。一个简单的例子就是密码的传输。通过网络进行登录时，所键入的密码以明文的形式被传输到服务器，而网络上的窃听是一件极为容易的事情，所以很有可能黑客会窃取得用户的密码，如果用户是Root用户或Administrator用户，那后果将是极为严重的。密码的泄露在某种意义上来讲意味着其安全体系的全面崩溃。数字签名就是基于加密技术的，它的作用就是用来确定用户是否是真实的。应用最多的还是电子邮件。如当用户收到一封电子邮件时，邮件上面标有发信人的姓名和信箱地址，很多人可能会简单地认为发信人就是信上说明的那个人，但实际上伪造一封电子邮件对于一个通常人来说是极为容易的事。在这种情况下，就要用到加密技术基础上的数字签名，用它来确认发信人身份的真实性。本节节详细内容参见书本P276~P277页。8.1.3代表性的数据加密标准目前主要的加密标准有三种：DES、MD5（早先采用MD2、MD3、MD4）、SHA-1（早先采用SHA-0）。1.DES算法DES使用56位密钥对64位的数据块进行加密，并对64位的数据块进行16轮编码。在发明之初，DES被认为是一种十分强大的加密方法。2.MD5算法MD5可生成128位的摘要信息串，出现之后迅速成为主流算法，并在1992年被收录到RFC中。3.SHA-1算法SHA-1生成长度为160位的摘要信息串，虽然之后又出现了SHA-224、SHA-256、SHA-384和SHA-512等被统称为“SHA-2”的系列算法，但仍以SHA-1为主流。本节详细内容参见书本P277~P278页。8.1.4电子签名与数字签名电子签名和数字签名的内涵并不一样，数字签名是电子签名技术中的一种，不过两者的关系也很密切，目前电子签名法中提到的签名，一般指的就是“数字签名”。1.电子签名能够在电子文件中识别双方交易人的真实身份，保证交易的安全性和真实性以及不可抵懒性，起到与手写签名或者盖章同等作用的签名技术称之为电子签名。签名有标识签名人和表示签名人对文件内容的认可双重功能。实现电子签名的主要技术手段还是“数字签名”技术。2.数字签名所谓“数字签名”就是通过某种密码运算生成一系列符号及代码组成电子密码进行签名，来代替书写签名或印章。“数字签名”是目前电子商务、电子政务中应用最普遍、技术最成熟的、可操作性最强的一种电子签名方法。本节详细内容参见书本P278~279页。8.2静态文件加密——EFS在各种各样的文件加密方式中，应用最多的还是基于静态文件的保护，防止非法用户打开自己需要保护的文件。这时我们就可以选择微软在他的近期Windows版本中提供的EFS加密文件系统。它的功能非常强大，是一种最为理想的静态文件加密保护措施。8.2.1EFS概述加密文件系统（EFS）是Windows2000、WindowsXPProfessional和WindowsServer2003的NTFS文件系统的一个组件（WindowsXPHome版本不包含EFS功能）。加密文件系统（EFS）提供一种核心文件加密技术，该技术用于在NTFS文件系统卷上存储已加密的文件。加密了文件或文件夹之后，您还可以像使用其他文件和文件夹一样使用它们。加密对加密该文件的用户自己是透明的（对其他用户则不是），这表明不必在使用前手动解密已加密的文件，您就可以正常打开和更改文件。使用EFS类似于使用文件和文件夹上的权限。两种方法都可用于限制数据的访问，然而未经许可对加密文件和文件夹进行物理访问的入侵者将无法阅读这些文件和文件夹中的内容。如果入侵者试图打开或复制已加密文件或文件夹，入侵者将收到拒绝访问消息。文件和文件夹上的权限不能防止未授权的物理攻击。EFS采用高级的标准加密算法实现透明的文件加密和解密。任何不拥有合适密钥的个人或者程序都不能读取加密数据。即便是物理拥有驻留加密文件的计算机，加密文件仍然受到保护。甚至是有权访问计算机及其文件系统的用户，也无法读取这些数据。还应该采取其他防御策略，加密这种解决方法不是解决每种威胁的恰当对策，加密只是其他防御策略之外的又一种有力措施。然而，任何一种防御工具，如果不能正确使用，也会带来潜在的危害。必须充分理解，妥善实施和有效管理EFS，确保用户提供技术支持的经验和希望保护的数据不受到破坏。本节详细内容参见书本P280页。8.2.2使用EFS加密文件时的注意事项在使用EFS加密文件和文件夹时，需注意以下事项：只有NTFS卷上的文件或文件夹才能被加密。EFS加密文件，如果在远程服务器的文件夹中保存或者打开过，则传输时就不再为加密状态。不能加密压缩的文件或文件夹。如果用户加密某个压缩文件或文件夹，则该文件或文件夹将会被解压。如果将加密的文件复制或移动到非NTFS格式的卷上，该文件将会被解密。如果将非加密文件移动到加密文件夹中，则这些文件将在新文件夹中自动加密。然而，反向操作则不能自动解密文件，文件必须明确解密。无法加密标记为“系统”属性的文件，并且位于systemroot目录结构中的文件也无法加密。加密文件夹或文件不能防止删除或列出文件或目录。在允许进行远程加密的远程计算机上可以加密或解密文件及文件夹。然而，如果通过网络打开已加密文件，通过此过程在网络上传输的数据并未加密。EFS加密不是发生在应用层，而是位于文件-系统层，因此对于用户和应用程序来说，加密和解密过程都是透明的。文件加密使用对称密钥，该密钥本身使用公钥加密对的公钥进行加密。EFS密钥依靠用户的密码来保护。如果WindowsXP或WindowsServer2003家族远程服务器上存储加密文件，则请注意以下事项：WindowsXP和WindowsServer2003家族支持远程服务器上加密文件的存储。当两台计算机都是同一WindowsServer2003家族林的成员时，用户才能远程使用EFS。加密的数据在网络上传输时是不加密的，只有当它存储在磁盘上时才是加密的。加密的文件不能从Macintosh客户端访问。目前不支持在智能卡上存储EFS证书和私钥，也不支持对EFS私钥进行强私钥保护。管理员必须指定远程服务器为信任委派，用户才能对远程服务器上的文件进行加密。本节详细内容参见书本P280~P282页。8.2.3EFS恢复的工作原理您可以使用“加密文件系统（EFS）”安全地存储数据。EFS通过在选定的NTFS文件系统文件和文件夹中加密数据来达到这一目的。由于EFS与文件系统集成在一起，所以它易于管理、难以被攻击而且对用户完全透明。这对于保护易于盗窃的计算机（如便携计算机）上的数据非常有用。文件和文件夹不能在FAT卷上进行加密和解密。同时，由于EFS是设计用来在本地计算机上安全地存储数据。因此EFS不支持通过网络安全传输文件。如果用户指定某文件进行加密，那么对用户来讲实际的数据加密和解密过程是完全透明的。用户并不需要理解这个过程。文件的EFS具体加密过程参见书本P282~P283页。8.3使用EFS本节要具体介绍利用EFS系统进行文件加密，加密文件的解密，以及启用用于文件加密的远程服务器的方法。本节及以下各节配置均是在系统管理员帐户中执行的。如果是企业域网络，除了系统管理员组（Administrators）外，还可以是DomainAdmins组或EnterpriseAdmins成员。【说明】8.3.1的“加密文件或文件夹”、8.3.2节的“解密文件或文件夹“和8.3.3节的“在资源管理器菜单中添加“加密”和“解密”选项”具体步骤参见书本P284~P286页。8.3.4复制加密的文件夹或文件因为只有NTFS文件格式的磁盘分区文件和文件夹才可以加密，那么加密后的文件或文件夹在同卷，或不同卷；同格式，或者不同格式磁盘分区中移动、复制、删除、备份和还原操作对它的加密属性又有什么影响呢？是否会与NTFS文件的访问权限一样改变呢？本节就是答案，具体内容参见书本P286~P288页。8.4数据恢复策略当雇员离开后需要恢复雇员加密的数据时或者当用户丢失私钥时，数据恢复非常重要。作为系统整个安全策略的部分，通过加密文件系统（EFS）可使用数据恢复。例如，如果由于磁盘故障、火灾或任何其他原因永久丢失文件加密证书和相关私匙，指定为故障恢复代理的人员可以恢复数据。在商务环境中，当雇员离开公司之后，公司可以恢复雇员加密的数据。8.4.1数据恢复策略概述利用EFS加密数据的过程非常简单，但是一旦密钥丢失，数据恢复就非常困难。为了预防这类损失的发生，非常有必要预先做好各种防范工作，其中包括：恢复策略的建立、恢复代理的配置、密钥的备份等。恢复策略是单位的安全策略之一，旨在规划妥善恢复加密文件。本地安全策略的公钥策略或者组策略的公钥策略，也强制采用该策略。EFS使用故障恢复策略（也称“数据恢复策略”）提供内置数据恢复。“故障恢复策略”是一种公钥策略，可提供用于指定为故障恢复代理的一个或多个用户帐户。故障恢复策略是为单独的计算机在本地配置的。对于网络中的计算机，可以在域、部门或单独计算机级别上配置故障恢复策略，并将其应用到策略可应用的所有基于WindowsXP和WindowsServer2003家族的计算机上。证书颁发机构（CA）颁发故障恢复证书，您可以使用Microsoft管理控制台（MMC）中的“证书”来管理它们。在域中，当设置第一个域控制器时，WindowsServer2003家族执行该域的默认故障恢复策略，自行签署的证书将颁发给域管理员。该证书将域管理员指定为故障恢复代理。要更改域的默认故障恢复策略，须以管理员身份登录到第一个域控制器，可以将其他故障恢复代理添加到本策略中，并且可以随时删除原始故障恢复代理。本节详细内容参见书本P288页。【说明】8.4.2节的“更改本地计算机的故障恢复策略”和8.4.3节的“更改域的故障恢复策略”所涉及的具体配置方法参照书本P289~P292页。8.5数据恢复代理数据恢复代理是指获得授权解密由其他用户加密的数据的个人。数据恢复代理无需该角色的任何其他功能权限，可以是普通用户。但在添加域数据恢复代理之前，必须确保每位数据恢复代理均获得了X.509v3证书。具体内容参见书本P292~P293页。8.5.1EFS证书EFS包括两种类型的证书：加密文件系统证书：此类证书允许其持有者使用EFS加密和解密数据，它通常也被直接称为EFS证书。文件恢复证书：此类证书的持有者可以在整个域或其他范围内对任何人加密的文件和文件夹进行恢复。本节详细内容参见书本P293页。另外8.5.2节的“创建默认的独立计算机上的数据恢复代理”步骤参见书本P293~P295页。8.5.3添加其他恢复代理要实现此目的，您必须完成