【正文】 二個(gè)驅(qū)動(dòng)器，從而消除NTFS權(quán)限或是用戶(hù)密碼。2003年3月，TCPA增加了諾基亞、索尼等廠(chǎng)家的加入，并改組為可信賴(lài)計(jì)算組織，希望從跨平臺(tái)和操作環(huán)境的硬件和軟件方面，制定可信賴(lài)電腦相關(guān)標(biāo)準(zhǔn)和規(guī)范。功能之一：完整性度量。通過(guò)硬件的保護(hù)，傳統(tǒng)的攻擊方法將難以竊取敏感數(shù)據(jù)。功能之三：身份認(rèn)證功能。功能之四：內(nèi)部資料授權(quán)訪(fǎng)問(wèn)，獨(dú)特功能設(shè)置權(quán)限“防火墻”。符合TPM的芯片首先必須具有產(chǎn)生加密、解密密鑰的功能，此外還必須能夠進(jìn)行高速的資料加密和解密、以及充當(dāng)保護(hù)BIOS盒操作系統(tǒng)不被修改的輔助處理器。相比于BIOS管理密碼，TPM安全芯片的安全性要大為提高。加密硬盤(pán)的任意分區(qū)。要使用TPM安全芯片的功能，必須配合對(duì)應(yīng)的TPM安全管理器，不過(guò)廠(chǎng)商針對(duì)TPM安全芯片開(kāi)發(fā)的軟件不同，但使用方法大同小異，以同方鋒銳X300A筆記本為例，在BIOS中開(kāi)啟了TPM安全芯片功能后，開(kāi)機(jī)進(jìn)入系統(tǒng)后首先需要進(jìn)行TPM初始化操作，運(yùn)行“TPM所有者初始化向?qū)А?，第一步要求用?hù)設(shè)置登錄密碼，建議用戶(hù)輸入以字母和數(shù)字混合的密碼，在所有者初始化完畢之后，然后再進(jìn)行用戶(hù)初始化，然后建議進(jìn)行用戶(hù)密鑰文件的備份。 使用TPM的Bitlocker模式經(jīng)過(guò)以上對(duì)TPM有了一定的認(rèn)識(shí)之后，讓我們接下來(lái)進(jìn)入我們真正的主題——TPM模式的學(xué)習(xí)。僅TPM模式最易于部署、管理和使用。然而，BitLocker的多重身份驗(yàn)證模式可緩解許多此類(lèi)攻擊，對(duì)多重身份驗(yàn)證模式后文會(huì)有所介紹。如下頁(yè)圖中所示，這種模式的Bitlocker用全卷加密密鑰對(duì)操作系統(tǒng)卷進(jìn)行加密。下圖顯示了使用TPM的Bitlocker解密過(guò)程的邏輯流程：圖22 訪(fǎng)問(wèn)僅TPM的Bitlocker模式保護(hù)的數(shù)據(jù)對(duì)于上圖圖解順序的步驟如下：BIOS（BIOS是英文“Basic Input Output System”的縮略語(yǔ)，直譯過(guò)來(lái)后中文名稱(chēng)就是“基本輸入輸出系統(tǒng)”。受信任/受測(cè)量的組件與TPM交互，以將組件測(cè)量數(shù)據(jù)存儲(chǔ)在TPM平臺(tái)配置注冊(cè)表（PCR）中。為應(yīng)用程序和過(guò)程提供純文本數(shù)據(jù)。當(dāng)Bitlocker被禁用時(shí)，VMK通過(guò)恢復(fù)密鑰可得到，所以數(shù)據(jù)仍然是被加密的，但是卻是對(duì)任何人可得的。處在計(jì)算機(jī)中的TPM未能成功進(jìn)行驗(yàn)證時(shí)。VMK使用SRK（保存在TPM硬件內(nèi)的一種密鑰）進(jìn)行加密。不過(guò)，用戶(hù)可以選擇將BitLocker配置為使用AES256以及256位版本的Elephant、普通AES128或普通AES256。通過(guò)休眠文件泄露純文本數(shù)據(jù)。啟用BitLocker后，系統(tǒng)頁(yè)面文件將被加密。 僅TPM模式的Bitlocker不能緩解的風(fēng)險(xiǎn)我們還理解到，在沒(méi)有其他控件和策略的情況下，使用TPM的Bitlocker不能緩解以下的風(fēng)險(xiǎn)：（1）處于休眠模式的計(jì)算機(jī)。與休眠模式一樣，當(dāng)便攜式計(jì)算機(jī)進(jìn)入睡眠模式時(shí)，便攜式計(jì)算機(jī)和BitLocker加密密鑰的狀態(tài)也不會(huì)更改。計(jì)算機(jī)啟動(dòng)且VMK開(kāi)啟后，可使用鍵盤(pán)的任何人均能訪(fǎng)問(wèn)未加密數(shù)據(jù)。如果用戶(hù)的密碼被泄露，則加密解決方案也會(huì)受到威脅。使用TPM的BitLocker除有效的用戶(hù)帳戶(hù)密碼外不需要任何憑據(jù)即可訪(fǎng)問(wèn)計(jì)算機(jī)上的所有加密數(shù)據(jù)。此選項(xiàng)不能緩解對(duì)操作系統(tǒng)的聯(lián)機(jī)攻擊。要從加密卷加載操作系統(tǒng)，計(jì)算機(jī)必須獲得對(duì)解密密鑰的訪(fǎng)問(wèn)特權(quán)。TPM將提供一個(gè)附加安全層，因?yàn)槿绻麤](méi)有它，則無(wú)法對(duì)密封的卷進(jìn)行解密。 密碼學(xué)知識(shí)淺學(xué)由于前面及后面會(huì)涉及到一些關(guān)于密碼學(xué)方面的知識(shí)，現(xiàn)在我們對(duì)這方面的知識(shí)做一些基本的學(xué)習(xí)。研究如何對(duì)信息編碼以實(shí)現(xiàn)信息和通信安全的科學(xué)成為密碼編碼學(xué)，研究如何破解或攻擊受保護(hù)的科學(xué)成為密碼分析學(xué)。下圖為加解密流程簡(jiǎn)易圖：明文+密鑰數(shù)學(xué)變換函數(shù)密文密鑰數(shù)學(xué)變換函數(shù)明文圖23加解密流程圖我們知道，在對(duì)稱(chēng)密碼體制中，使用的密鑰必須完全保密，且要求加密密鑰和解密密鑰相同，或由其中一個(gè)可以很容易的推出另一個(gè)，所以，對(duì)稱(chēng)密碼體制又稱(chēng)為秘密密鑰體制、單密鑰體制或傳統(tǒng)密鑰體制。不能從公鑰推出私鑰，或者說(shuō)從公鑰推出私鑰在計(jì)算上困難或者不可能實(shí)現(xiàn)。非對(duì)稱(chēng)加密算法實(shí)現(xiàn)機(jī)密信息交換的基本過(guò)程是：甲方生成一對(duì)密鑰并將其中的一把作為公用密鑰向其它方公開(kāi)；得到該公用密鑰的乙方使用該密鑰對(duì)機(jī)密信息進(jìn)行加密后再發(fā)送給甲方；甲方再用自己保存的另一把專(zhuān)用密鑰對(duì)加密后的信息進(jìn)行解密。有關(guān)AES——密碼學(xué)中的高級(jí)加密標(biāo)準(zhǔn)（Advanced Encryption Standard，AES），又稱(chēng)Rijndael加密法，是美國(guó)聯(lián)邦政府采用的一種區(qū)塊加密標(biāo)準(zhǔn)。對(duì)稱(chēng)密碼體制的發(fā)展趨勢(shì)將以分組密碼為重點(diǎn)。AES加密有很多輪的重復(fù)和變換。AES使用幾種不同的方法來(lái)執(zhí)行排列和置換運(yùn)算。迭代加密使用一個(gè)循環(huán)結(jié)構(gòu)，在該循環(huán)中重復(fù)置換和替換輸入數(shù)據(jù)。RSA算法基于一個(gè)十分簡(jiǎn)單的數(shù)論事實(shí)：將兩個(gè)大素?cái)?shù)相乘十分容易，但要是想要對(duì)其乘積進(jìn)行因式分解卻極其困難，因此可以將乘積公開(kāi)作為加密密鑰。雖然秘密密鑰是由公開(kāi)密鑰決定的，但卻不能根據(jù)加密密鑰計(jì)算出解密密鑰。RSA公鑰密鑰體制的理論基礎(chǔ)是數(shù)論中的大合數(shù)因子分解困難性，即求兩個(gè)大素?cái)?shù)的乘積，在計(jì)算機(jī)上很容易實(shí)現(xiàn)，但是要將一個(gè)大合數(shù)分解成兩個(gè)大素?cái)?shù)之積，在計(jì)算機(jī)上很難實(shí)現(xiàn)。在這里，首先我們學(xué)習(xí)的是TPM和PIN模式。此外，用戶(hù)還需了解當(dāng)Bitlocker啟動(dòng)后，如果不先解密磁盤(pán)和關(guān)閉Bitlocker，添加PIN的操作時(shí)無(wú)法進(jìn)行的。受信任/受測(cè)量的組件與TPM交互，以將組件測(cè)量數(shù)據(jù)存儲(chǔ)在TPM平臺(tái)配置注冊(cè)表(PCR)中。訪(fǎng)問(wèn)磁盤(pán)扇區(qū)時(shí)，使用FVEK進(jìn)行解密。將PIN添加到啟用了BitLocker的計(jì)算機(jī)中能顯著增強(qiáng)BitLocker技術(shù)的安全性，但需要以降低其可用性和易管理性為代價(jià)。由于BitLocker將在本地化鍵盤(pán)支持可用之前處理PIN，因此只能使用功能鍵(F0F9)。此延遲的效果是減緩可能的強(qiáng)力攻擊，使得攻擊效率低下。 TPM和PIN模式的Bitlocker可以緩解的風(fēng)險(xiǎn) 通過(guò)對(duì)這種Bitlocker的加密模式的學(xué)習(xí)和探索，我們可以了解到，如同上一個(gè)僅使用TPM的Bitlocker的模式一樣，使用TPM和PIN的Bitlocker的這種加密模式可以緩解的風(fēng)險(xiǎn)有：處于休眠模式的計(jì)算機(jī)。對(duì)于那些面臨社會(huì)工程攻擊風(fēng)險(xiǎn)或是未養(yǎng)成良好的密碼使用習(xí)慣（例如在不可信的計(jì)算機(jī)上使用Windows密碼）的用戶(hù)，使用此種Bitlocker加密模式帶來(lái)了非常明顯的好處。由于域策略的緣故，任何不知道PIN的用戶(hù)都無(wú)法訪(fǎng)問(wèn)便攜式電腦中的數(shù)據(jù)，即使被允許登錄計(jì)算機(jī)的域用戶(hù)也不例外。 對(duì)操作系統(tǒng)進(jìn)行脫機(jī)攻擊。BitLocker的主要目標(biāo)之一是在計(jì)算機(jī)關(guān)閉或處于休眠模式時(shí)保護(hù)硬盤(pán)中操作系統(tǒng)卷上的數(shù)據(jù)。計(jì)算機(jī)保留了必需的身份驗(yàn)證元素。此種加密模式可幫助避免錯(cuò)誤，防止用戶(hù)對(duì)是否應(yīng)用加密作出錯(cuò)誤決定。這一種的加密模式可通過(guò)啟用“計(jì)算機(jī)從睡眠模式恢復(fù)時(shí)提示輸入密碼”設(shè)置來(lái)緩解風(fēng)險(xiǎn)。（3）對(duì)操作系統(tǒng)進(jìn)行聯(lián)機(jī)攻擊。平臺(tái)攻擊將無(wú)法恢復(fù)密鑰材料，直至用戶(hù)輸入PIN。采用這個(gè)模式時(shí)，用戶(hù)每每在電腦開(kāi)始工作時(shí)都需要插入包含有啟動(dòng)密鑰的USB驅(qū)動(dòng)器。值得再次強(qiáng)調(diào)的是，同其他Bitlocker的應(yīng)用模式一樣，建立一個(gè)恢復(fù)密碼或恢復(fù)密鑰在USB設(shè)備丟失后進(jìn)行恢復(fù)模式是非常重要的。這是進(jìn)行Bitlocker加密的另一種雙層保護(hù)模式，在平常的用戶(hù)使用當(dāng)中，這種模式被大多組織廣泛使用。否則，如果用戶(hù)一旦忘記PIN或設(shè)置好的密鑰，那么將很難實(shí)現(xiàn)對(duì)已加密成功的磁盤(pán)的訪(fǎng)問(wèn)。受信任/受測(cè)量的組件與TPM交互，以將組件測(cè)量數(shù)據(jù)存儲(chǔ)在TPM平臺(tái)配置注冊(cè)表(PCR)中。從卷中讀取加密FVEK，并使用解密VMK對(duì)其進(jìn)行解密。通過(guò)對(duì)上面的敘述，用戶(hù)可以較為清楚地了解Bitlocker驅(qū)動(dòng)器加密功能是如何運(yùn)用雙層保護(hù)模式來(lái)進(jìn)行加密的，以及這些所謂的雙重保護(hù)又是怎樣結(jié)合、怎么工作的。從休眠模式恢復(fù)后，BitLocker將要求對(duì)USB設(shè)備重新進(jìn)行身份驗(yàn)證。由于此模式添加了身份驗(yàn)證元素，因此降低了擁有有效帳戶(hù)的未授權(quán)用戶(hù)可能啟動(dòng)計(jì)算機(jī)、登錄和讀取加密數(shù)據(jù)的風(fēng)險(xiǎn)。如果USB設(shè)備不存在，則攻擊者需要對(duì)USB設(shè)備上保留的密鑰發(fā)起一次強(qiáng)力攻擊才能成功攻擊操作系統(tǒng)。通過(guò)系統(tǒng)頁(yè)面文件泄露純文本數(shù)據(jù)。由于BitLocker是一種全卷加密技術(shù)，因此它可以對(duì)Windows操作系統(tǒng)卷中存儲(chǔ)的所有文件進(jìn)行加密。當(dāng)便攜式計(jì)算機(jī)進(jìn)入睡眠模式時(shí)，便攜式計(jì)算機(jī)和BitLocker加密密鑰的狀態(tài)不會(huì)更改。計(jì)算機(jī)啟動(dòng)且VMK解密后，可使用鍵盤(pán)的任何人均能訪(fǎng)問(wèn)未加密數(shù)據(jù)。（4）平臺(tái)攻擊。USB設(shè)備是單獨(dú)的物理身份驗(yàn)證元素，是加密解決方案的依據(jù)。需要禁用的情況如下所列：重啟計(jì)算機(jī)時(shí)不需要用戶(hù)輸入個(gè)人信息（例如，PIN或啟動(dòng)密鑰）。將已被Bitlocker加密的磁盤(pán)移到另外的電腦上時(shí)沒(méi)有觸發(fā)恢復(fù)模式。TPM自我檢測(cè)失敗時(shí)。在這種僅使用啟動(dòng)密鑰的模式中，我們選用USB設(shè)備來(lái)存儲(chǔ)啟動(dòng)每次計(jì)算機(jī)啟動(dòng)時(shí)所需要的密鑰。從卷中讀取加密FVEK，并使用解密VMK對(duì)其進(jìn)行解密。一旦啟動(dòng)密鑰生成且啟動(dòng)Bitlocker的保護(hù)功能，則被加密的盤(pán)如果想要移植到另外的計(jì)算機(jī)上進(jìn)行操作，也是需要輸入密鑰才能夠進(jìn)行的。再接下來(lái)，VMK（卷主密鑰）將用于解密FVEK（全卷加密密鑰）。發(fā)現(xiàn)本地/域密碼。 通過(guò)脫機(jī)攻擊進(jìn)行密鑰發(fā)現(xiàn)。VMK使用USB設(shè)備上的密鑰進(jìn)行加密。BitLocker的主要目標(biāo)之一是在計(jì)算機(jī)關(guān)閉或處于休眠模式時(shí)保護(hù)硬盤(pán)驅(qū)動(dòng)器的操作系統(tǒng)卷上的數(shù)據(jù)。用戶(hù)錯(cuò)誤。當(dāng)便攜式計(jì)算機(jī)進(jìn)入睡眠模式時(shí)，便攜式計(jì)算機(jī)和BitLocker加密密鑰的狀態(tài)不會(huì)更改。計(jì)算機(jī)啟動(dòng)且VMK開(kāi)啟后，可使用鍵盤(pán)的任何人均能訪(fǎng)問(wèn)未加密數(shù)據(jù)。如果攻擊者在啟動(dòng)計(jì)算機(jī)時(shí)能夠通過(guò)提供USB設(shè)備進(jìn)行正常啟動(dòng)，則操作系統(tǒng)可能容易遭受各種攻擊，其中包括特權(quán)升級(jí)和遠(yuǎn)程執(zhí)行代碼攻擊。（5）計(jì)算機(jī)保留了必需的身份驗(yàn)證元素。 恢復(fù)密鑰/密碼模式 恢復(fù)密鑰/密碼模式介紹恢復(fù)密鑰/密碼模式是指使用恢復(fù)密碼或恢復(fù)密鑰來(lái)進(jìn)行解密的模式。更新BIOS時(shí)。對(duì)于以上這些情況的出現(xiàn)，我們要使用恢復(fù)密鑰/密碼模式，但是，首要條件是我們要保證恢復(fù)密碼/密鑰的安全性，也就是最好只有用戶(hù)自己知道?；謴?fù)密碼是隨機(jī)生成的48位數(shù)，可以在BitLocker設(shè)置期間創(chuàng)建該密碼。注意，不能將可移動(dòng)數(shù)據(jù)驅(qū)動(dòng)器（如USB閃存驅(qū)動(dòng)器）的恢復(fù)密鑰保存在可移動(dòng)媒體上。Windows上運(yùn)行的輔助技術(shù)軟件（例如屏幕讀取軟件）無(wú)法讀取BitLocker啟動(dòng)屏幕，因?yàn)檫@些屏幕在Windows啟動(dòng)之前在基本輸入/輸出系統(tǒng) (BIOS)啟動(dòng)過(guò)程中顯示。下圖就是運(yùn)用恢復(fù)密鑰訪(fǎng)問(wèn)被加密數(shù)據(jù)的圖示：圖28 通過(guò)恢復(fù)密碼訪(fǎng)問(wèn)被Bitlocker保護(hù)的數(shù)據(jù)對(duì)于上圖的順序圖解順序步驟如下：操作系統(tǒng)啟動(dòng)并提示用戶(hù)插入包含恢復(fù)密鑰的USB設(shè)備。為應(yīng)用程序和過(guò)程提供純文本數(shù)據(jù)。一、下面，我們先對(duì)如何才能恢復(fù)受Bitlocker保護(hù)的操作系統(tǒng)驅(qū)動(dòng)器的步驟作出介紹。若要為操作系統(tǒng)驅(qū)動(dòng)器配置恢復(fù)選項(xiàng)，請(qǐng)?jiān)诩?xì)節(jié)窗格中，雙擊“選擇如何才能恢復(fù)受BitLocker保護(hù)的操作系統(tǒng)驅(qū)動(dòng)器”打開(kāi)策略設(shè)置。若要使用數(shù)據(jù)恢復(fù)代理，則必須配置該帳戶(hù)并將其添加到組策略中的以下位置，即“計(jì)算機(jī)配置\Windows設(shè)置\安全設(shè)置\公鑰策略\BitLocker驅(qū)動(dòng)器加密”。如果希望為用戶(hù)提供使用恢復(fù)密碼或恢復(fù)密鑰的選項(xiàng)，則應(yīng)該同時(shí)選中“允許48位數(shù)的恢復(fù)密碼”和“允許256位恢復(fù)密鑰”。除了恢復(fù)密碼之外，存儲(chǔ)密鑰包可使管理員能夠使用“Repairbde”命令行工具來(lái)恢復(fù)受BitLocker保護(hù)的已損壞的驅(qū)動(dòng)器（無(wú)法通過(guò)該驅(qū)動(dòng)器讀取加密密鑰）。（5）如果希望選擇的恢復(fù)方法由此策略設(shè)置控制，并且不希望向用戶(hù)顯示這些恢復(fù)選項(xiàng)，請(qǐng)用戶(hù)選中“省略BitLocker安裝向?qū)е械幕謴?fù)選項(xiàng)”復(fù)選框。等待進(jìn)程完成。若要為固定數(shù)據(jù)驅(qū)動(dòng)器配置恢復(fù)選項(xiàng)，請(qǐng)?jiān)诩?xì)節(jié)窗格中，雙擊“選擇如何才能恢復(fù)受BitLocker保護(hù)的固定驅(qū)動(dòng)器”打開(kāi)策略設(shè)置。若要使用數(shù)據(jù)恢復(fù)代理，則必須配置該帳戶(hù)并將其添加到組策略中的以下位置：“計(jì)算機(jī)配置\Windows設(shè)置\安全設(shè)置\公鑰策略\BitLocker驅(qū)動(dòng)器加密”。當(dāng)用戶(hù)存儲(chǔ)的恢復(fù)密碼或恢復(fù)密鑰不可用時(shí)（例如，當(dāng)用戶(hù)丟失了恢復(fù)密鑰打印件或當(dāng)無(wú)法訪(fǎng)問(wèn)存儲(chǔ)的恢復(fù)密鑰文件時(shí)），AD DS中的存儲(chǔ)恢復(fù)密碼允許系統(tǒng)管理員向用戶(hù)提供恢復(fù)密碼或恢復(fù)受BitLocker保護(hù)的驅(qū)動(dòng)器。選中此復(fù)選框后，當(dāng)用戶(hù)啟用BitLocker時(shí)，必須連接到域。若要強(qiáng)制組策略立即應(yīng)用這些更改，可以單擊“開(kāi)始”，在“搜索程序和文件”框中鍵入“ /force”，然后按下Enter鍵。 在控制臺(tái)樹(shù)的“本地計(jì)算機(jī)策略\計(jì)算機(jī)配置\管理模板\Windows組件\BitLocker驅(qū)動(dòng)器加密”下，單擊“可移動(dòng)數(shù)據(jù)驅(qū)動(dòng)器”。若要指定其他恢復(fù)選項(xiàng)，請(qǐng)單擊“已啟用”，然后根據(jù)需要配置以下設(shè)置：（1）選中“允許數(shù)據(jù)恢復(fù)代理”復(fù)選框，以允許將指定的帳戶(hù)用于恢復(fù)受BitLocker保護(hù)的驅(qū)動(dòng)器。在默認(rèn)情況下，恢復(fù)密鑰不與可移動(dòng)數(shù)據(jù)驅(qū)動(dòng)器一起使用。（4）選中“在為可移動(dòng)數(shù)據(jù)驅(qū)動(dòng)器將恢復(fù)信息存儲(chǔ)到AD DS之前禁止啟用BitLocker”復(fù)選框，以確保將您的組織中所有受BitLocker保護(hù)的可移動(dòng)數(shù)據(jù)驅(qū)動(dòng)器的恢復(fù)信息存儲(chǔ)在A(yíng)D DS中。若要啟用此選項(xiàng)，必須選中以下兩個(gè)管理恢復(fù)設(shè)置或其中之一：“為可移動(dòng)數(shù)據(jù)驅(qū)動(dòng)器將BitLocker恢復(fù)信息保存到AD DS中”或“允許數(shù)據(jù)恢復(fù)代理”，以確保可以恢復(fù)受BitLocker保護(hù)的驅(qū)動(dòng)器。等待進(jìn)程完成。在人們的日常生活中，常常會(huì)因?yàn)閁盤(pán)丟失，或因插入電腦中病毒而使自己蒙受莫大的損失，因此，如何保證U盤(pán)中信息的安全問(wèn)題也正日益受到人們的關(guān)注。 硬盤(pán)丟失在這里，現(xiàn)在我們假設(shè)已經(jīng)被Bitlocker加密的硬盤(pán)丟失，且已經(jīng)被人掛到了另外一臺(tái)計(jì)算機(jī)上作為從盤(pán)。但是通過(guò) 在“我的電腦”中右鍵單擊對(duì)應(yīng)的磁盤(pán)查看屬性可知，該磁盤(pán)為0字節(jié)無(wú)法打開(kāi)。圖35 電腦提示輸入密碼接著根據(jù)提示要求用戶(hù)使用功能鍵輸入恢復(fù)密鑰。 僅密鑰模式的練習(xí)