引言

筆記本電腦在運(yùn)輸途中，比如在出租汽車、地鐵、飛機(jī)上，經(jīng)常會(huì)被遺失；在停放的汽車、辦公桌、會(huì)議室甚至是家里，也常發(fā)生筆記本電腦被外賊或者家賊盜取；在筆記本電腦故障送修時(shí)，硬盤上的數(shù)據(jù)就完全裸露在維修人員面前……筆記本上存儲(chǔ)的商業(yè)秘密或財(cái)務(wù)和客戶數(shù)據(jù)，其價(jià)值往往超過(guò)筆記本本身的價(jià)格，重要機(jī)密的泄露有可能使公司的業(yè)務(wù)完全陷于停滯，甚至引發(fā)各種法律問題。如何保護(hù)筆記本電腦數(shù)據(jù)安全？

一、筆記本電腦數(shù)據(jù)保護(hù)現(xiàn)狀

筆記本丟失現(xiàn)象非常普遍。據(jù)Accenture等有關(guān)機(jī)構(gòu)的報(bào)告，筆記本電腦由其所有人最后丟失的比例占10%～15%。2008年7月5日美國(guó)信息安全研究機(jī)構(gòu)Ponemon Institute公布了對(duì)美國(guó)106個(gè)主要機(jī)場(chǎng)和800名商務(wù)人員的調(diào)查報(bào)告。報(bào)告顯示，每周有1.2萬(wàn)部筆記本遺失在美國(guó)機(jī)場(chǎng)，每個(gè)機(jī)場(chǎng)每周平均丟失286部。據(jù)估算，美國(guó)每年有60萬(wàn)部筆記本電腦被遺忘在機(jī)場(chǎng)，其中只有30%物歸原主。77％失主對(duì)丟失的筆記本不抱任何希望，16％表示在事發(fā)之后不會(huì)采取任何措施。53％稱筆記本內(nèi)含有機(jī)密信息，但65％的都沒打算好好保護(hù)。

筆記本上往往存有個(gè)人隱私信息、公司商業(yè)機(jī)密等重要數(shù)據(jù)。2006年，全球知名咖啡連鎖店星巴克公司有四臺(tái)筆記本電腦下落不明，其中兩臺(tái)儲(chǔ)存有約六萬(wàn)名現(xiàn)職及前任雇員的個(gè)人資料，包括姓名、地址及社會(huì)福利號(hào)碼等，和過(guò)去三年的數(shù)據(jù)紀(jì)錄，另外還有八十名加拿大員工及外判商的數(shù)據(jù)。同年4月，富達(dá)投資公司一臺(tái)筆記本電腦失竊，導(dǎo)致其客戶惠普公司的19.6萬(wàn)現(xiàn)有員工和以前員工的相關(guān)資料，包括員工姓名、地址、社會(huì)保險(xiǎn)號(hào)、生日和其他一些與員工有關(guān)的資料泄漏。

遺忘是人大腦的一部分機(jī)能。每個(gè)人都會(huì)遺忘，這導(dǎo)致遺失物品的現(xiàn)象發(fā)生。筆記本丟失現(xiàn)象，只是人的大腦遺忘機(jī)能的一個(gè)反映。雖然從理論上講可以通過(guò)加強(qiáng)安全防范意識(shí)來(lái)減少，卻無(wú)法絕對(duì)避免筆記本丟失。要想通過(guò)非技術(shù)手段來(lái)杜絕筆記本丟失，從而避免筆記本數(shù)據(jù)泄露，是不可能完成的任務(wù)。許多單位制定了保密措施，靠各項(xiàng)規(guī)章制度來(lái)保障。但即使有這些制度，很多時(shí)候業(yè)務(wù)的需要也不可避免將筆記本帶出公司。隨著移動(dòng)辦公、家庭辦公的推廣和普及，筆記本電腦的大量使用，筆記本被帶出公司的情況越來(lái)越多，筆記本被丟失的情況也必然會(huì)越來(lái)越多。

比筆記本電腦丟失更為嚴(yán)重的是，筆記本上的數(shù)據(jù)被無(wú)意或者有意泄露，被不法分子利用，成為重大災(zāi)難的源頭。在我國(guó)，軍隊(duì)、政府、設(shè)計(jì)院所等機(jī)構(gòu)比較重視數(shù)據(jù)數(shù)據(jù)保護(hù)，而其他很多本應(yīng)有數(shù)據(jù)安全需求的行業(yè)并沒有重視。筆記本電腦的普通用戶，應(yīng)用最多的是添加操作系統(tǒng)登陸密碼。雖然這個(gè)方面簡(jiǎn)單易懂，但由于它是建立在軟件層，很容易被破解，任何非專業(yè)人士，只需要在網(wǎng)上下載一個(gè)破解工具，就輕而易舉地獲得了硬盤里的資料。就連微軟最新的Windows Vista操作系統(tǒng)，其系統(tǒng)登陸的密碼，也僅需一張Vista安裝光盤既可破解。

二、“專業(yè)”的筆記本數(shù)據(jù)保護(hù)方案及其弊端

市場(chǎng)上常見有宣傳，說(shuō)是能保證筆記本數(shù)據(jù)安全，經(jīng)筆者統(tǒng)計(jì)，主要有智能卡插槽及防盜鎖插槽（智能卡插槽以支持用戶外接式的智能卡解決方案。而防盜鎖插槽是在機(jī)殼設(shè)堅(jiān)固的環(huán)扣）、BIOS鎖、硬盤密碼鎖、指紋識(shí)別系統(tǒng)等，具體情況如下：

1、防盜鎖

常見的筆記本防盜鎖開鎖方式分為密碼控制型和鑰匙控制型。此鎖技術(shù)含量偏低，易被破解。無(wú)人之處只要一柄鋼筋鉗即可（德國(guó)進(jìn)口的只要20cm長(zhǎng)，非常便攜），絕大多數(shù)的本本都有此裝備（只要是配置安全鎖口或安全插槽的）。

2、設(shè)置密碼

例如BIOS密碼、屏保密碼、文件密碼。 缺點(diǎn)：僅靠1～8位的英文或數(shù)字組合的密碼，對(duì)于專業(yè)人員來(lái)說(shuō)都是極易破解的。

3、指紋識(shí)別系統(tǒng)

原理：利用用戶預(yù)先存儲(chǔ)的指紋樣本來(lái)替代記憶繁瑣、容易丟失的密碼，檢入速度更快。缺點(diǎn)：屬于最新研發(fā)的技術(shù)，因而價(jià)格昂貴，應(yīng)用于民用產(chǎn)品尚屬初期，穩(wěn)定性還需改善，例如用戶指紋遇到破損的情況將增加檢入的難度。

第2種和第3種保密措施的原理見圖1：

圖1 密鑰驗(yàn)證的原理和簡(jiǎn)單的破解方法

這些保密措施一般只是驗(yàn)證用戶提供的驗(yàn)證識(shí)別是否正確，沒有將驗(yàn)證識(shí)別與用戶數(shù)據(jù)通過(guò)加密等方法捆綁起來(lái)，但很容易被破解，其安全性非常有限。只需簡(jiǎn)單地修改系統(tǒng)運(yùn)行流程即可實(shí)現(xiàn)破解，其原理圖見圖2。即使能夠做到無(wú)法破解（從理論上看，根本無(wú)法做到），也有其致命弱點(diǎn)，即只能保證在沒有合法授權(quán)（如沒有合法的指紋輸入等）的情況下，其他用戶無(wú)法啟動(dòng)計(jì)算機(jī)，但無(wú)法防止存儲(chǔ)在磁盤上的數(shù)據(jù)不被泄密——其他用戶只需將該筆記本上的硬盤掛到其它計(jì)算機(jī)上，即可輕易拷貝其中的數(shù)據(jù)。這兩種方法只是限制了其他用戶使用該計(jì)算機(jī)，卻無(wú)法防止存儲(chǔ)在該筆記本上數(shù)據(jù)的泄密。

4、第三方軟件加密，例如Smart Card(智能卡)、U鎖、i-Key

原理：通過(guò)一張帶有存儲(chǔ)功能的識(shí)別卡或電子密匙來(lái)對(duì)信息進(jìn)行加密。 缺點(diǎn)：卡片一旦丟失，用戶無(wú)法自行處理，只好拿著筆記本電腦去找維修部門處理，花費(fèi)不小、耗時(shí)較長(zhǎng)。

5、內(nèi)置安全芯片，例如IBM的嵌入式安全子系統(tǒng)（ESS）2.0

原理：芯片級(jí)安全技術(shù)是目前最安全的系統(tǒng)保護(hù)措施之一。這種內(nèi)置于主板之上的新型安全芯片將本本的安全、加密和密碼管理等驗(yàn)證信息儲(chǔ)存在內(nèi)，實(shí)際上是將這些信息與筆記本綁定。缺點(diǎn)：一旦忘記自己設(shè)置的密碼，即使IBM也無(wú)回天之力，硬盤中的數(shù)據(jù)肯定是無(wú)法恢復(fù)了。從費(fèi)用上看，這是一種貴族消費(fèi)，會(huì)大大地增加筆記本的成本，使得多數(shù)有保密需求的筆記本用戶不愿采用，從而無(wú)法推廣普及。

6、設(shè)想這樣的動(dòng)能

在電腦開機(jī)或者是被拆解的時(shí)候，如果不在規(guī)定時(shí)間內(nèi)輸入特定的指令，筆記本電腦就將采取極端措施。對(duì)筆記本電腦中的數(shù)據(jù)進(jìn)行不可逆轉(zhuǎn)的銷毀，這不失為一種最終極的手段。只是這種筆記本數(shù)據(jù)自毀技術(shù)還沒有被開發(fā)出來(lái)。

三、磁盤全盤加密系統(tǒng)已經(jīng)成為主流

IBM專業(yè)服務(wù)器采用磁盤加密技術(shù)、專業(yè)硬盤廠家生產(chǎn)加密硬盤、存儲(chǔ)設(shè)備廠商把數(shù)據(jù)存儲(chǔ)和磁盤加密相結(jié)合……一種成熟的技術(shù)已經(jīng)在國(guó)外廣泛地使用，這就是“磁盤加密系統(tǒng)”。 經(jīng)筆者對(duì)全球市場(chǎng)調(diào)查，目前在美國(guó)、日本、歐洲等發(fā)達(dá)國(guó)家廣泛采用硬盤加密軟件，來(lái)保護(hù)移動(dòng)設(shè)備的數(shù)據(jù)安全。

國(guó)外的大公司非常重視筆記本數(shù)據(jù)安全，在所有帶出公司的重要筆記本都已采用這種以磁盤加密技術(shù)，對(duì)整個(gè)硬盤（HDD）進(jìn)行加密處理的產(chǎn)品，防止筆記本在丟失的情況下數(shù)據(jù)被竊取。在中國(guó)，有一些外資企業(yè)使用了磁盤加密軟件，但這些軟件均來(lái)自國(guó)外加密軟件廠商的。中國(guó)國(guó)內(nèi)只有北京億賽通科技發(fā)展有限公司有這樣的磁盤加密軟件。

全球市場(chǎng)上常見的磁盤加密軟件如下表：

使用磁盤加密軟件之后，用戶就不必判斷哪些數(shù)據(jù)經(jīng)過(guò)加密、哪些沒有加密，因?yàn)檎麄€(gè)硬盤都經(jīng)過(guò)了加密，這可以保護(hù)硬盤上的所有內(nèi)容。用戶可能擔(dān)心全盤加密軟件會(huì)筆記本電腦性能降低，其實(shí)這種擔(dān)心是沒有必要的。經(jīng)調(diào)查發(fā)現(xiàn)，目前該類軟件最大降低效率小于原有效率的10%。從用戶角度來(lái)看，性能基本不受影響。安裝磁盤加密軟件后，給用戶操作上帶來(lái)明顯不同的，只是在系統(tǒng)啟動(dòng)時(shí)以及筆記本電腦處于休眠時(shí)。

四、全球最專業(yè)、最安全的筆記本數(shù)據(jù)保護(hù)產(chǎn)品-DiskSEC

DiskSec™通過(guò)攔截操作系統(tǒng)或應(yīng)用軟件等對(duì)硬盤數(shù)據(jù)的讀寫請(qǐng)求，實(shí)現(xiàn)對(duì)磁盤數(shù)據(jù)的實(shí)時(shí)加密和解密操作，當(dāng)系統(tǒng)向硬盤寫入數(shù)據(jù)時(shí)，DiskSec™首先獲得控制權(quán)，對(duì)要寫的數(shù)據(jù)進(jìn)行加密操作，然后將數(shù)據(jù)寫入硬盤的指定位置。反之，當(dāng)程序讀取硬盤數(shù)據(jù)時(shí)，DiskSec™同樣能夠獲得優(yōu)先控制權(quán)，到磁盤的指定位置讀取數(shù)據(jù)并進(jìn)行解密操作，然后將解密后的數(shù)據(jù)提交給相應(yīng)的程序。這樣，在操作系統(tǒng)或應(yīng)用軟件看來(lái)，磁盤上存儲(chǔ)的數(shù)據(jù)和未加密時(shí)的數(shù)據(jù)完全一樣，能夠以正常的方式直接使用磁盤數(shù)據(jù)，如同磁盤上的數(shù)據(jù)未加密一樣。同樣，用戶也感覺不到DiskSec™的存在，不改變?nèi)魏瘟?xí)慣而直接使用計(jì)算機(jī)。

在計(jì)算機(jī)上安裝DiskSec™后，計(jì)算機(jī)的啟動(dòng)過(guò)程會(huì)被改變，圖3給出了在安裝DiskSec™的情況下，計(jì)算機(jī)的實(shí)際啟動(dòng)過(guò)程。由于磁盤數(shù)據(jù)被加密，要想使用磁盤數(shù)據(jù)，必須對(duì)其進(jìn)行解密操作，為方便用戶操作和不改變用戶的計(jì)算機(jī)使用習(xí)慣，DiskSec™采用的是動(dòng)態(tài)加密和解密的方法，在操作系統(tǒng)和磁盤之間安裝了一個(gè)數(shù)據(jù)加密和解密程序，該程序不需要用戶的干預(yù)，自動(dòng)對(duì)存儲(chǔ)到磁盤的數(shù)據(jù)作加密運(yùn)算，對(duì)從磁盤讀取的數(shù)據(jù)做解密操作，用戶在正常使用計(jì)算機(jī)的時(shí)候，根本感覺不到DiskSec™的存在。圖3給出了DiskSec™采用的動(dòng)態(tài)加密和解密的原理。

圖2 DiskSec™采用的動(dòng)態(tài)加密和解密的方法

DiskSec™采用的是國(guó)際流行的加密算法，且有多種加密算法供用戶選擇。根據(jù)現(xiàn)代密碼學(xué)的原理我們可知，在沒有密鑰的情況下，即使破解者在知道加密算法等各種前提下，要想解密加密后的數(shù)據(jù)，也是非常困難的。當(dāng)用戶設(shè)置的密鑰長(zhǎng)度達(dá)到16個(gè)字符以上時(shí)，在現(xiàn)有計(jì)算機(jī)運(yùn)算速度的條件下，從理論上分析，要想解密加密后的數(shù)據(jù)，所需的時(shí)間也是以百萬(wàn)年為計(jì)數(shù)單位的。

在用戶輸入密鑰，正常啟動(dòng)計(jì)算機(jī)的情況下，存儲(chǔ)在磁盤上的數(shù)據(jù)對(duì)用戶是透明的（即在用戶看來(lái)，存儲(chǔ)在磁盤上的數(shù)據(jù)是明文）。因此，DiskSec™無(wú)法防止在計(jì)算機(jī)正常使用的情況下，其他用戶從網(wǎng)絡(luò)等傳輸媒介拷貝用戶的資料。DiskSec™只適用于在計(jì)算機(jī)關(guān)機(jī)、休眠以及丟失的情況下。從DiskSec™的原理可知，磁盤上存儲(chǔ)的所有數(shù)據(jù)均是加密的，在計(jì)算機(jī)關(guān)機(jī)或休眠的狀態(tài)下，要想解密磁盤上的數(shù)據(jù)，必須輸入密鑰。安裝DiskSec™之后，即使筆記本丟失、被盜或者送到維修處，也能夠確保計(jì)算機(jī)中的數(shù)據(jù)不被泄密。

經(jīng)DiskSec™加密磁盤的數(shù)據(jù)安全完全依賴于用戶設(shè)置的密碼，在密碼丟失的情況下，磁盤上的數(shù)據(jù)將無(wú)法回復(fù)，即使是生產(chǎn)該軟件的億賽通公司也沒有任何辦法。因此，用戶在使用DiskSec™時(shí)，一定要記住自己設(shè)置的加密密碼。

由于經(jīng)DiskSec™加密后的磁盤數(shù)據(jù)完全依賴于用戶設(shè)置的密碼，為了防止破解，DiskSec™不在磁盤上存儲(chǔ)用戶的密碼，它存儲(chǔ)的只是用戶密碼的單向散列值（根據(jù)現(xiàn)有密碼學(xué)理論可知，通過(guò)散列值是無(wú)法逆推出用戶密碼的），以便比較用戶密碼的正確性，方便用戶的使用。事實(shí)上，DiskSec™完全可以不在磁盤上存儲(chǔ)任何與密碼相關(guān)的信息，只要用戶輸入密鑰就繼續(xù)執(zhí)行。在這種執(zhí)行流程下，用戶只有輸入的正確的密碼，DiskSec™才能正確解密磁盤的數(shù)據(jù)。否則，DiskSec™“解密”后的數(shù)據(jù)只會(huì)更亂，當(dāng)然操作系統(tǒng)也會(huì)無(wú)法啟動(dòng)，用戶只有通過(guò)重新啟動(dòng)計(jì)算機(jī)再輸入正確的密碼來(lái)使用計(jì)算機(jī)系統(tǒng)。

五、結(jié)束語(yǔ)

綜觀所有的筆記本保護(hù)方案，從安全性、性價(jià)比等多種因素來(lái)考察，首選方案應(yīng)該是磁盤全盤加密系統(tǒng)。這也是磁盤加密系統(tǒng)在發(fā)達(dá)國(guó)家得以普遍應(yīng)用的原因。中國(guó)市場(chǎng)上北京億賽通已經(jīng)推出關(guān)于筆記本保護(hù)的磁盤加密系統(tǒng)，我們期待會(huì)有更多類似產(chǎn)品面世。