巧用Windows的数据加密功能

Windows操作系统在设计之初，就已经考虑到了对用户数据的加密功能，只是大家平时很少关注。初期的Windows 2000和Windows XP中使用了名为EFS(Encrypting File System：加密文件系统)的加密方式对文件夹进行加密，这个功能一直延续到了Windows Vista和Windows 7。而在Windows Vista和Windows 7中，也拥有BitLocker驱动器加密功能。现在，就让我们一起来学习如何使用Windows操作系统对文件进行加密。

使用方便的EFS加密

大家平时用加密软件对文件夹进行加密的时候，往往是采用弹出密码框，输如密码解密的方式进行加密。而Windows所采用的EFS加密则无需使用密码，它的加密方式是采用密钥方式，并和用户帐户相结合。一旦你通过帐户登录，那么该帐户所加密的文件就可以直接浏览，如果使用其他帐户登录，这些文件就无法浏览。

什么是EFS技术？

EFS技术被用来保护电脑使用者的机密数据，它被应用于Windows 2000及以后的操作系统中(部分版本不支持，如基础版、家庭版等)，并用在NTFS格式的分区上。EFS加密是基于公钥策略的。在使用EFS加密一个文件或文件夹时，系统首先会生成一个由伪随机数组成的FEK(File Encryption Key，文件加密钥匙)，然后将利用FEK和数据扩展标准X算法创建加密后的文件，并把它存储到硬盘上，同时删除未加密的原始文件。

随后系统利用你的公钥加密FEK，并把加密后的FEK存储在同一个加密文件中。而在访问被加密的文件时，系统首先利用当前用户的私钥解密FEK，然后利用FEK解密出文件。EFS加密是相当安全的一种公钥加密方式，只要别人没有你的私钥，那么就无法访问。

如何对文件夹进行加密

在文件夹上，用鼠标右键点击，进入属性菜单，在常规页面中选择高级选项，然后勾选“加密内容以便保护数据”(图1)。随后点击确定后，会有一个确认属性更改的弹出菜单，好选择“将更改应用于此文件夹、子文件夹和文件”(图2)，确保整个文件夹中的内容都受到保护。在经过以上修改之后，受到加密保护的文件和文件夹的名字将变成绿色。

图1

图2

和其他加密软件相比，EFS大的优势在于和系统紧密集成，授权用户访问这些文件时，不需要输入密码，只要在登录操作系统时输入登录密码，没有任何的不方便，而非授权用户在读取这些文件时，会有访问拒绝的提示。

使用EFS的小窍门

每次要为文件夹进行加密，就需要进入菜单中进行设置，比较麻烦。我们也有简单的方法，将EFS加密添加到右键菜单中，这只需要在注册表中进行更改。在运行中输入“regedit”，运行注册表编辑器，依次打开“HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/explorer/Advanced”，然后点出鼠标右键菜单，新建一个Dword值。将该新建Dword键名修改为“EncryptionContextMenu”，并修改键值为“1”。经过如此设置之后，我们在NTFS分区硬盘的文件夹上点击右键菜单，就增加了加密的选项。

如果不想为整个加密文件夹中的某个文件夹进行加密，那又怎么办呢？可以在这个文件夹中创建一个名为“Desktop.ini”的文件，然后用记事本打开，并添加如下内容：

[Encryption]
Disable=1

这样一来，在设置该文件夹的加密属性的时候，就会收到错误提示，避免进行加密。

防止意外情况，备份证书

正常情况下，EFS加密文件夹在使用的过程中并没有任何密码输入的过程，比较方便。但是一旦由于系统崩溃等原因，重新安装系统后，原本的EPS加密文件就无法打开了。即使你在安装系统后，使用和以前相同的用户名、密码也无法访问加密文件，因为系统会生成不同的SID(安全标示符)。所以，必须对加密证书和私钥进行备份，防止意外发生。

点击“开始”菜单项中的“运行”，在出现的对话框中运行“certmgr.msc”，在出现的“证书”对话框中依次双击展开“证书-当前用户→个人→证书”选项，右侧栏目里会出现以你的用户名为名称的证书(图3)。选中该证书，点击鼠标右键，选择“所有任务→导出”命令，打开“证书导出向导”对话框。

图3

在向导进行过程中，当出现“是否要将私钥跟证书一起导出”提示时，要选择“是，导出私钥”选项，接着会出现向导提示要求密码的对话框。为了安全起见，可以设置证书的安全密码。当选择好保存的文件名及文件路径后，点击“完成”按钮即可顺利将证书导出，生成一个扩展名为PFX的文件。

当其他用户或重装系统后，只需在该证书上右键选择“安装PFX”，即可进入“证书导入向导”对话框，输入正确的密码完成证书导入，就可以顺利打开加密的文件了。

Windows 7的BitLocker加密

EFS加密的文件夹由于和登录帐户相关，而在家庭用户中，真正采用多帐户分别登录的少之又少。所以大多数用户还是期望能够采用密码加密的方式，保护自己的隐私和机密文件。在Windows Vista中，微软引入了BitLocker驱动器加密技术，可以针对驱动器卷进行加密。但是BitLocker需要与硬件TPM(Trusting Platform Module)安全组件结合使用，所以基本上普通用户无法享用这项技术。而在Windows 7中，BitLocker技术变得更方便了，不再必须使用TPM组件。

图4

BitLocker加密过程比较长BitLocker技术可以支持FAT32和NTFS分区的磁盘驱动器，而且还增加了BitLocker To Go功能，可以为闪盘等移动设备进行加密。要实现BitLocker加密，我们需要首先运行控制面板中的“BitLocker驱动器加密”，它显示了计算中的驱动器数量，加密状态等信息(图4)。我们也可以在驱动器的图标上，直接通过点击右键菜单进行BitLocker的加密和管理等操作。

图5

图6

如果要对某个驱动器进行加密，可以点击该驱动器后面的“启用BitLocker”开始加密过程。对于普通用户来说，我们一般选择密码加密的方式，另外两种方式是使用智能卡或者自动解锁(图5)。如果密码忘记了，或者智能卡丢失了，Windows也提供了解决办法，那就是用恢复密钥为驱动器解密(图6)。也就是说我们可以通过恢复密钥中的一长串数字来解密被锁定的驱动器。所以，我们一定要妥善保管好恢复密钥，要使用移动存储设备保存。因为非授权用户可以通过文件搜索或桌面搜索的方式在电脑里获得恢复密钥，然后对BitLocker驱动器进行解密查看。

磁盘性能受到影响

BitLocker加密过程比较漫长，我们加密一个50GB左右的磁盘空间，耗时大约是30分钟，它会使用AES 128或者256位加密算法对硬盘上的数据进行重新计算。经过我们的实际测试，经过BitLocker保护的硬盘读写速度会因为加密的原因而明显降低。我们尝试将5GB大小的文件写入普通的硬盘分区，耗时为2分钟，而写入加密的硬盘分区耗时则增加到了5分钟。这是因为在写入数据的时候，Windows会对数据进行重新编写，所以性能会至少降低一半。而使用BitLocker To Go加密的闪盘在Windows XP的系统中使用时，会启动“BitLocker To Go阅读器”，输入密码后，点击“解锁”按钮就顺利浏览文件，此时只能读取不能写入。

Windows操作系统的加密功能保证了硬盘数据的安全，但是对于移动设备来说，应该如何保证数据的安全性呢？在《软硬兼施 其它实现数据加密的软件与硬件》中，我们将简单介绍几款移动设备中常见的加密方式，看它们如何保证这些随身设备的数据安全的。