引言
電腦在運輸途中，比如在出租汽車、地鐵、飛機上，經(jīng)常會被遺失;在停放的汽車、辦公桌、會議室甚至是家里，也常發(fā)生筆記本電腦被外賊或者家賊盜取;在筆記本電腦故障送修時，硬盤上的數(shù)據(jù)就完全裸露在維修人員面前……筆記本上的商業(yè)秘密或財務和客戶數(shù)據(jù)，其價值往往超過筆記本本身的價格，重要機密的泄露有可能使公司的業(yè)務完全陷于停滯，甚至引發(fā)各種法律問題。如何保護筆記本電腦數(shù)據(jù)安全？
一、筆記本電腦數(shù)據(jù)保護現(xiàn)狀
筆記本丟失現(xiàn)象非常普遍。據(jù)Accenture等有關機構的報告，筆記本電腦由其所有人最后丟失的比例占10%～15%。2008年7月5日美國研究機構Ponemon Institute公布了對美國106個主要機場和800名商務人員的調查報告。報告顯示，每周有1.2萬部筆記本遺失在美國機場，每個機場每周平均丟失286部。據(jù)估算，美國每年有60萬部筆記本電腦被遺忘在機場，其中只有30%物歸原主。77%失主對丟失的筆記本不抱任何希望，16%表示在事發(fā)之后不會采取任何措施。53%稱筆記本內(nèi)含有機密信息，但65%的都沒打算好好保護。
筆記本上往往存有個人隱私信息、公司商業(yè)機密等重要數(shù)據(jù)。2006年，全球知名咖啡連鎖店星巴克公司有四臺筆記本電腦下落不明，其中兩臺儲存有約六萬名現(xiàn)職及前任雇員的個人資料，包括姓名、地址及社會福利號碼等，和過去三年的數(shù)據(jù)紀錄，另外還有八十名加拿大員工及外判商的數(shù)據(jù)。同年4月，富達投資公司一臺筆記本電腦失竊，導致其客戶公司的19.6萬現(xiàn)有員工和以前員工的相關資料，包括員工姓名、地址、社會保險號、生日和其他一些與員工有關的資料泄漏。
遺忘是人大腦的一部分機能。每個人都會遺忘，這導致遺失物品的現(xiàn)象發(fā)生。筆記本丟失現(xiàn)象，只是人的大腦遺忘機能的一個反映。雖然從理論上講可以通過加強安全防范意識來減少，卻無法絕對避免筆記本丟失。要想通過非技術手段來杜絕筆記本丟失，從而避免筆記本數(shù)據(jù)泄露，是不可能完成的任務。許多單位制定了保密措施，靠各項規(guī)章制度來保障。但即使有這些制度，很多時候業(yè)務的需要也不可避免將筆記本帶出公司。隨著移動辦公、家庭辦公的推廣和普及，筆記本電腦的大量使用，筆記本被帶出公司的情況越來越多，筆記本被丟失的情況也必然會越來越多。
比筆記本電腦丟失更為嚴重的是，筆記本上的數(shù)據(jù)被無意或者有意泄露，被不法分子利用，成為重大災難的源頭。在我國，軍隊、政府、設計院所等機構比較重視數(shù)據(jù)數(shù)據(jù)保護，而其他很多本應有數(shù)據(jù)安全需求的行業(yè)并沒有重視。筆記本電腦的普通用戶，應用最多的是添加登陸密碼。雖然這個方面簡單易懂，但由于它是建立在軟件層，很容易被破解，任何非專業(yè)人士，只需要在網(wǎng)上下載一個破解工具，就輕而易舉地獲得了硬盤里的資料。就連最新的Windows Vista操作系統(tǒng)，其系統(tǒng)登陸的密碼，也僅需一張Vista安裝光盤既可破解。
二、“專業(yè)”的筆記本數(shù)據(jù)保護及其弊端
市場上常見有宣傳，說是能保證筆記本數(shù)據(jù)安全，經(jīng)筆者統(tǒng)計，主要有智能卡插槽及防盜鎖插槽(智能卡插槽以支持用戶外接式的智能卡解決方案。而防盜鎖插槽是在機殼設堅固的環(huán)扣)、BIOS鎖、硬盤密碼鎖、系統(tǒng)等，具體情況如下：
1、防盜鎖
常見的筆記本防盜鎖開鎖方式分為密碼控制型和鑰匙控制型。此鎖技術含量偏低，易被破解。無人之處只要一柄鋼筋鉗即可(德國進口的只要20cm長，非常便攜)，絕大多數(shù)的本本都有此裝備(只要是配置安全鎖口或安全插槽的)。
2、設置密碼
例如BIOS密碼、屏保密碼、文件密碼。 缺點：僅靠1～8位的英文或數(shù)字組合的密碼，對于專業(yè)人員來說都是極易破解的。
3、指紋識別系統(tǒng)
原理：利用用戶預先存儲的指紋樣本來替代記憶繁瑣、容易丟失的密碼，檢入速度更快。缺點：屬于最新研發(fā)的技術，因而價格昂貴，應用于民用產(chǎn)品尚屬初期，穩(wěn)定性還需改善，例如用戶指紋遇到破損的情況將增加檢入的難度。
第2種和第3種保密措施的原理見圖1：
圖1 密鑰驗證的原理和簡單的破解方法
這些保密措施一般只是驗證用戶提供的驗證識別是否正確，沒有將驗證識別與用戶數(shù)據(jù)通過加密等方法捆綁起來，但很容易被破解，其安全性非常有限。只需簡單地修改系統(tǒng)運行流程即可實現(xiàn)破解，其原理圖見圖2。即使能夠做到無法破解(從理論上看，根本無法做到)，也有其致命弱點，即只能保證在沒有合法授權(如沒有合法的指紋輸入等)的情況下，其他用戶無法啟動計算機，但無法防止存儲在上的數(shù)據(jù)不被泄密——其他用戶只需將該筆記本上的硬盤掛到其它計算機上，即可輕易拷貝其中的數(shù)據(jù)。這兩種方法只是限制了其他用戶使用該計算機，卻無法防止存儲在該筆記本上數(shù)據(jù)的泄密。
4、第三方軟件加密，例如Smart Card(智能卡)、U鎖、i-Key
原理：通過一張帶有存儲功能的識別卡或電子密匙來對信息進行加密。 缺點：卡片一旦丟失，用戶無法自行處理，只好拿著筆記本電腦去找維修部門處理，花費不小、耗時較長。
5、內(nèi)置安全，例如的嵌入式安全子系統(tǒng)(ESS)2.0
原理：芯片級安全技術是目前最安全的系統(tǒng)保護措施之一。這種內(nèi)置于主板之上的新型安全芯片將本本的安全、加密和密碼管理等驗證信息儲存在內(nèi)，實際上是將這些信息與筆記本綁定。缺點：一旦忘記自己設置的密碼，即使IBM也無回天之力，硬盤中的數(shù)據(jù)肯定是無法恢復了。從費用上看，這是一種貴族消費，會大大地增加筆記本的成本，使得多數(shù)有保密需求的筆記本用戶不愿采用，從而無法推廣普及。
6、設想這樣的動能
在電腦開機或者是被拆解的時候，如果不在規(guī)定時間內(nèi)輸入特定的指令，筆記本電腦就將采取極端措施。對筆記本電腦中的數(shù)據(jù)進行不可逆轉的銷毀，這不失為一種最終極的手段。只是這種筆記本數(shù)據(jù)自毀技術還沒有被開發(fā)出來。
三、全盤加密系統(tǒng)已經(jīng)成為主流
專業(yè)采用磁盤加密技術、專業(yè)硬盤廠家生產(chǎn)加密硬盤、設備廠商把數(shù)據(jù)存儲和磁盤加密相結合……一種成熟的技術已經(jīng)在國外廣泛地使用，這就是“磁盤加密系統(tǒng)”。 經(jīng)筆者對全球市場調查，目前在美國、日本、歐洲等發(fā)達國家廣泛采用硬盤加密軟件，來保護移動設備的數(shù)據(jù)安全。
國外的大公司非常重視數(shù)據(jù)安全，在所有帶出公司的重要筆記本都已采用這種以磁盤加密技術，對整個硬盤(HDD)進行加密處理的產(chǎn)品，防止筆記本在丟失的情況下數(shù)據(jù)被竊取。在中國，有一些外資使用了磁盤加密軟件，但這些軟件均來自國外加密軟件廠商的。中國國內(nèi)只有北京億賽通科技發(fā)展有限公司有這樣的磁盤加密軟件。
全球市場上常見的磁盤加密軟件如下表：
產(chǎn)品名稱 廠商國別 HDD加密 備注
ProtectDrive 美國 ● 全球第七大安全公司safenet
SafeBoot 荷蘭 ● 被MaceFee并購
PointSec 瑞典 ● 被美國的CheckPoint并購
SecureDoc 加拿大 ●
CompuSec 新加坡 ●
DiskSec 中國 ● 北京億賽通——中國專業(yè)數(shù)據(jù)泄露防護(DLP)產(chǎn)品提供商
使用磁盤加密軟件之后，用戶就不必判斷哪些數(shù)據(jù)經(jīng)過加密、哪些沒有加密，因為整個硬盤都經(jīng)過了加密，這可以保護硬盤上的所有內(nèi)容。用戶可能擔心全盤加密軟件會筆記本電腦性能降低，其實這種擔心是沒有必要的。經(jīng)調查發(fā)現(xiàn)，目前該類軟件最大降低效率小于原有效率的10%。從用戶角度來看，性能基本不受影響。安裝磁盤加密軟件后，給用戶操作上帶來明顯不同的，只是在系統(tǒng)啟動時以及筆記本電腦處于休眠時。
四、全球最專業(yè)、最安全的筆記本數(shù)據(jù)保護產(chǎn)品-DiskSEC
DiskSecTM通過攔截或應用軟件等對硬盤數(shù)據(jù)的讀寫請求，實現(xiàn)對磁盤數(shù)據(jù)的實時加密和解密操作，當系統(tǒng)向硬盤寫入數(shù)據(jù)時，DiskSecTM首先獲得控制權，對要寫的數(shù)據(jù)進行加密操作，然后將數(shù)據(jù)寫入硬盤的指定位置。反之，當程序讀取硬盤數(shù)據(jù)時，DiskSecTM同樣能夠獲得優(yōu)先控制權，到磁盤的指定位置讀取數(shù)據(jù)并進行解密操作，然后將解密后的數(shù)據(jù)提交給相應的程序。這樣，在操作系統(tǒng)或應用軟件看來，磁盤上存儲的數(shù)據(jù)和未加密時的數(shù)據(jù)完全一樣，能夠以正常的方式直接使用磁盤數(shù)據(jù)，如同磁盤上的數(shù)據(jù)未加密一樣。同樣，用戶也感覺不到DiskSecTM的存在，不改變?nèi)魏瘟晳T而直接使用計算機。
在計算機上安裝DiskSecTM后，計算機的啟動過程會被改變，圖3給出了在安裝DiskSecTM的情況下，計算機的實際啟動過程。由于磁盤數(shù)據(jù)被加密，要想使用磁盤數(shù)據(jù)，必須對其進行解密操作，為方便用戶操作和不改變用戶的計算機使用習慣，DiskSecTM采用的是動態(tài)加密和解密的方法，在操作系統(tǒng)和磁盤之間安裝了一個數(shù)據(jù)加密和解密程序，該程序不需要用戶的干預，自動對存儲到磁盤的數(shù)據(jù)作加密運算，對從磁盤讀取的數(shù)據(jù)做解密操作，用戶在正常使用計算機的時候，根本感覺不到DiskSecTM的存在。圖3給出了DiskSecTM采用的動態(tài)加密和解密的原理。
圖2 DiskSecTM采用的動態(tài)加密和解密的方法
DiskSecTM采用的是國際流行的加密算法，且有多種加密算法供用戶選擇。根據(jù)現(xiàn)代密碼學的原理我們可知，在沒有密鑰的情況下，即使破解者在知道加密算法等各種前提下，要想解密加密后的數(shù)據(jù)，也是非常困難的。當用戶設置的密鑰長度達到16個字符以上時，在現(xiàn)有計算機運算速度的條件下，從理論上分析，要想解密加密后的數(shù)據(jù)，所需的時間也是以百萬年為計數(shù)單位的。
在用戶輸入密鑰，正常啟動計算機的情況下，存儲在磁盤上的數(shù)據(jù)對用戶是透明的(即在用戶看來，存儲在磁盤上的數(shù)據(jù)是明文)。因此，DiskSecTM無法防止在計算機正常使用的情況下，其他用戶從網(wǎng)絡等傳輸媒介拷貝用戶的資料。DiskSecTM只適用于在計算機關機、休眠以及丟失的情況下。從DiskSecTM的原理可知，磁盤上存儲的所有數(shù)據(jù)均是加密的，在計算機關機或休眠的狀態(tài)下，要想解密磁盤上的數(shù)據(jù)，必須輸入密鑰。安裝DiskSecTM之后，即使筆記本丟失、被盜或者送到維修處，也能夠確保計算機中的數(shù)據(jù)不被泄密。
經(jīng)DiskSecTM加密磁盤的數(shù)據(jù)安全完全依賴于用戶設置的密碼，在密碼丟失的情況下，磁盤上的數(shù)據(jù)將無法回復，即使是生產(chǎn)該軟件的億賽通公司也沒有任何辦法。因此，用戶在使用DiskSecTM時，一定要記住自己設置的加密密碼。
由于經(jīng)DiskSecTM加密后的磁盤數(shù)據(jù)完全依賴于用戶設置的密碼，為了防止破解，DiskSecTM不在磁盤上存儲用戶的密碼，它存儲的只是用戶密碼的單向散列值(根據(jù)現(xiàn)有密碼學理論可知，通過散列值是無法逆推出用戶密碼的)，以便比較用戶密碼的正確性，方便用戶的使用。事實上，DiskSecTM完全可以不在磁盤上存儲任何與密碼相關的信息，只要用戶輸入密鑰就繼續(xù)執(zhí)行。在這種執(zhí)行流程下，用戶只有輸入的正確的密碼，DiskSecTM才能正確解密磁盤的數(shù)據(jù)。否則，DiskSecTM“解密”后的數(shù)據(jù)只會更亂，當然操作系統(tǒng)也會無法啟動，用戶只有通過重新啟動計算機再輸入正確的密碼來使用計算機系統(tǒng)。
五、結束語
綜觀所有的筆記本保護，從安全性、性價比等多種因素來考察，首選方案應該是磁盤全盤加密系統(tǒng)。這也是磁盤加密系統(tǒng)在發(fā)達國家得以普遍應用的原因。中國市場上北京億賽通已經(jīng)推出關于筆記本保護的磁盤加密系統(tǒng)，我們期待會有更多類似產(chǎn)品面世。