【51CTO.com 綜合消息】目前，全磁盤(pán)加密軟件（FDE）受到廣泛關(guān)注，但是多數(shù)客戶對(duì)全磁盤(pán)加密軟件并不十分了解。本文對(duì)市面上主要的FDE軟件產(chǎn)品進(jìn)行梳理。

一、磁盤(pán)級(jí)加密分類

磁盤(pán)加密技術(shù)目前主要有兩種類型：一種是磁盤(pán)分區(qū)加密技術(shù)，另一種是全磁盤(pán)加密技術(shù)（FDE，F(xiàn)ull Disk Encryption）。

所謂磁盤(pán)分區(qū)加密技術(shù)，是采用加密技術(shù)對(duì)磁盤(pán)上某一個(gè)扇區(qū)（或者分區(qū)）進(jìn)行加解密。磁盤(pán)分區(qū)加密技術(shù)目前已經(jīng)有廣泛應(yīng)用，虛擬磁盤(pán)加密技術(shù)（VDE，Vertual Disk Encryption）就是磁盤(pán)分區(qū)加密技術(shù)的代表之一，其他的還包括移動(dòng)存儲(chǔ)設(shè)備加密技術(shù)。后者的代表性產(chǎn)品主要有安全U盤(pán)（UDiskSec）、安全移動(dòng)硬盤(pán)(EDiskSec)等。

所謂全磁盤(pán)加密技術(shù)（FDE，F(xiàn)ull Disk Encryption），顧名思義，是對(duì)整個(gè)磁盤(pán)上的數(shù)據(jù)進(jìn)行加解密，但是這個(gè)解釋并不完全準(zhǔn)確。FDE更為準(zhǔn)確的解釋是：通過(guò)動(dòng)態(tài)加解密技術(shù)，對(duì)磁盤(pán)（硬盤(pán)）上所有數(shù)據(jù)（包括操作系統(tǒng)）進(jìn)行動(dòng)態(tài)加解密的技術(shù)。FDE在國(guó)外發(fā)展有十多年歷史，技術(shù)相當(dāng)成熟，基于FDE技術(shù)的許多產(chǎn)品也已經(jīng)得到廣泛應(yīng)用。國(guó)內(nèi)FDE技術(shù)起步比較晚，但目前已經(jīng)有成熟產(chǎn)品在軍隊(duì)和企業(yè)級(jí)用戶中使用。

二、全磁盤(pán)加密技術(shù)實(shí)現(xiàn)原理

全磁盤(pán)加密技術(shù)（FDE，F(xiàn)ull Disk Encryption）是動(dòng)態(tài)加密技術(shù)的一種。動(dòng)態(tài)加密技術(shù)（Encrypt on-the-fly），是相對(duì)于靜態(tài)加密技術(shù)而言的一種透明加解密技術(shù)，此處不作介紹，讀者可以參照清華大學(xué)梁金千先生的著作《動(dòng)態(tài)加解密技術(shù)綜述》。

下圖是億賽通公司基于全磁盤(pán)加密技術(shù)的產(chǎn)品DiskSec的實(shí)現(xiàn)原理：在開(kāi)機(jī)時(shí)，先啟動(dòng)DiskSec解密C盤(pán)上的操作系統(tǒng)；系統(tǒng)啟動(dòng)后，動(dòng)態(tài)加解密系統(tǒng)直接在內(nèi)存中解密數(shù)據(jù)，然后將解密后的數(shù)據(jù)提交給操作系統(tǒng)；在存盤(pán)時(shí)，在內(nèi)存中將數(shù)據(jù)加密為密文，再寫(xiě)入硬盤(pán)。從圖中可以看出，DiskSec的動(dòng)態(tài)加解密算法位于操作系統(tǒng)的底層，操作系統(tǒng)的所有磁盤(pán)操作均通過(guò)DiskSec進(jìn)行，當(dāng)系統(tǒng)向磁盤(pán)上寫(xiě)入數(shù)據(jù)時(shí)，DiskSec首先加密要寫(xiě)入的數(shù)據(jù)，然后再寫(xiě)入磁盤(pán)；反之，當(dāng)系統(tǒng)讀取磁盤(pán)數(shù)據(jù)時(shí)，DiskSec會(huì)自動(dòng)將讀取到的數(shù)據(jù)進(jìn)行解密，然后再提交給操作系，因此，加密的磁盤(pán)數(shù)據(jù)對(duì)操作者來(lái)說(shuō)是透明的，對(duì)操作系統(tǒng)看來(lái)，磁盤(pán)上的加密數(shù)據(jù)和未加密的狀態(tài)完全一樣。

DiskSec的功能實(shí)現(xiàn)原理圖

FDE的主要優(yōu)點(diǎn)是加密強(qiáng)度高，安全性高。這種加密方式直接對(duì)磁盤(pán)物理扇區(qū)進(jìn)行加密，不考慮文件等存儲(chǔ)數(shù)據(jù)的邏輯概念，任何存儲(chǔ)在磁盤(pán)上的數(shù)據(jù)均為密文。對(duì)系統(tǒng)性能的影響僅與采用的加解密算法有關(guān)。FDE對(duì)系統(tǒng)性能的影響非常有限，一般不超過(guò)10%（取目前市場(chǎng)上同類產(chǎn)品性能指標(biāo)的最大值）。#p#

三、FDE軟件產(chǎn)品通覽

正因?yàn)槿疟P(pán)加密技術(shù)具備多項(xiàng)優(yōu)點(diǎn)，基于FDE技術(shù)研發(fā)的產(chǎn)品，能夠很好滴地保護(hù)機(jī)密信息。所以FDE軟件很受推崇。這些軟件中，有Windows Vista自帶的BitLocker加密程序，免費(fèi)開(kāi)源的TruCrypt，用于加密電子郵件和即時(shí)消息的性能成熟的PGP桌面套件，全球著名的Pointsec和Safeboot，還有國(guó)內(nèi)唯一的FDE軟件DiskSec。

一般用戶會(huì)出于費(fèi)用的考慮，選擇免費(fèi)開(kāi)源的TruCrypt。但是，企業(yè)級(jí)用戶在選擇加密軟件的時(shí)候，應(yīng)該慎之又慎。眾所周知，天下沒(méi)有免費(fèi)的午餐。免費(fèi)的加密軟件在可用性，易管理性和安全性等多方面都存在許多問(wèn)題。免費(fèi)軟件甚至可能導(dǎo)致大量文件損壞，致使重要資料丟失。因此，企業(yè)級(jí)客戶最好還是選擇有產(chǎn)品質(zhì)量保證、有售后支持的收費(fèi)軟件。

1.Windows 自帶的Vista BitLocker

首先要談到Windows Vista企業(yè)版和終極版自帶的BitLocker。Vista通過(guò)集中管理、活動(dòng)目錄和組策略來(lái)實(shí)現(xiàn)管理。BitLocker需要目標(biāo)系統(tǒng)中至少有兩個(gè)卷：一個(gè)卷用來(lái)存放引導(dǎo)裝入程序，另一個(gè)卷用來(lái)存放加密的系統(tǒng)文件。現(xiàn)有系統(tǒng)可使用BitLocker驅(qū)動(dòng)器準(zhǔn)備工具（如今微軟為支持BitLocker的系統(tǒng)提供了這個(gè)額外工具）重新進(jìn)行分區(qū)；也可以手動(dòng)設(shè)置分區(qū)。

用BitLocker對(duì)卷進(jìn)行加密時(shí)，如果電腦有可信計(jì)算模塊（TPM），可以結(jié)合個(gè)人身份識(shí)別號(hào)（PIN）代碼一起使用；第二個(gè)選擇是創(chuàng)建一個(gè)可移動(dòng)USB驅(qū)動(dòng)器，含有授權(quán)數(shù)據(jù)，該數(shù)據(jù)與PIN結(jié)合使用；第三個(gè)選擇是用戶輸入PIN，不過(guò)這個(gè)PIN會(huì)相當(dāng)長(zhǎng)（25個(gè)字符以上），而且只能由操作系統(tǒng)來(lái)分配。

Windows Vista BitLocker可以自動(dòng)設(shè)置對(duì)操作系統(tǒng)進(jìn)行加密，也能手動(dòng)操作對(duì)其他硬盤(pán)全盤(pán)加密。從技術(shù)上講，這種軟件是非常成熟的。只是有兩個(gè)問(wèn)題：一個(gè)是密鑰容易在活動(dòng)目錄中找到，這是軟件設(shè)計(jì)之初就預(yù)留的“后門(mén)”，其安全性本身就值得懷疑。另外一個(gè)問(wèn)題是：Vista BitLocker的啟動(dòng)流程是：開(kāi)電源——身份認(rèn)證——進(jìn)入操作系統(tǒng)——啟動(dòng)Vista BitLocker。這個(gè)流程存在的問(wèn)題在于第二個(gè)環(huán)節(jié)身份認(rèn)證。一般來(lái)說(shuō)，電腦的身份認(rèn)證系統(tǒng)都是很容易被破解的。由于存在這個(gè)環(huán)節(jié)，所以Vista BitLocker雖然能對(duì)數(shù)據(jù)加密，但是一旦身份認(rèn)證被破解，后面的數(shù)據(jù)加密也容易被破解。還有一個(gè)看起來(lái)不是問(wèn)題的問(wèn)題，Windows Vista BitLocker本身是微軟開(kāi)發(fā)，自然不會(huì)支持Windows之外的其他操作系統(tǒng)。

費(fèi)用：不是免費(fèi)，具體費(fèi)用含在Vista終極版和Vista企業(yè)版內(nèi)。

2.免費(fèi)開(kāi)源的FDE軟件

目前市面上免費(fèi)開(kāi)源的FDE有TrueCrypt 、FreeOTFE 3.00、7-Zip。以下分別簡(jiǎn)單介紹這三種FDE軟件。

1）TrueCrypt 5.1a

TrueCrypt 5.1a能對(duì)整個(gè)磁盤(pán)加密，也可進(jìn)行虛擬卷加密。該軟件除了免費(fèi)和開(kāi)源外，還有程序編寫(xiě)巧妙，易用性高，還有豐富的數(shù)據(jù)保護(hù)功能；沒(méi)有明顯的卷頭、所需文件擴(kuò)展名或者其他識(shí)別標(biāo)記；唯一的例外就是加密的引導(dǎo)卷，引導(dǎo)卷里面有TrueCrypt引導(dǎo)裝入程序。TrueCrypt還包括了所謂的“似是而非的否認(rèn)”（plausible deniability）特性，能夠把一個(gè)卷隱藏在另一個(gè)卷里面。隱藏卷有自己的密碼，沒(méi)有辦法確定某個(gè)TrueCrypt卷里面是不是隱藏了另一個(gè)卷。如果用戶在使用系統(tǒng)磁盤(pán)加密，實(shí)際的加密過(guò)程需要一段時(shí)間，不過(guò)這個(gè)過(guò)程可以暫停，需要時(shí)恢復(fù)加密（你可能在晚上需要對(duì)上鎖房間里面的PC進(jìn)行這種操作）。TrueCrypt要求用戶創(chuàng)建急救光盤(pán)。

2）FreeOTFE 3.00

FreeOTFE（OTFE的意思是“實(shí)時(shí)加密”）在許多方面與TrueCrypt很相似——它提供了許多同樣的特性，只是實(shí)施時(shí)有些地方略有不同；它還有一個(gè)版本使用條件非常寬松的軟件許可證。由于FreeOTFE的功能特點(diǎn)與TrueCrypt基本相似，所以也不作詳述。

3）7-Zip　

7-Zip只是臨時(shí)應(yīng)急的方法，用來(lái)創(chuàng)建經(jīng)過(guò)加密、密碼保護(hù)的存檔， 7-Zip也能創(chuàng)建自解壓存檔，所以接收方不需要有7-Zip——只要你們事先約定好，任何密碼都可以。不過(guò)，它本身并不支持任何一種雙因子驗(yàn)證。為了提高安全性，創(chuàng)建存檔時(shí)，一定要選擇“加密文件名”選項(xiàng)。

前兩種（TrueCrypt 5.1a和FreeOTFE 3.00）的安全性和穩(wěn)定性稍強(qiáng)于7-Zip。喜歡開(kāi)源免費(fèi)軟件的用戶可能傾向于采用前兩種FDE軟件。不過(guò)，經(jīng)過(guò)本人測(cè)試，由于是免費(fèi)軟件，其穩(wěn)定性和安全性這兩個(gè)最重要的指標(biāo)，并不能讓用戶放心。對(duì)企業(yè)級(jí)用戶來(lái)說(shuō)，大量的核心資料，一旦被這種免費(fèi)軟件套牢，很可能招來(lái)嚴(yán)重的后果。如果企業(yè)所有重要信息被一套免費(fèi)軟件“銷毀”，那對(duì)IT部門(mén)的主管人員來(lái)說(shuō)，將會(huì)是一個(gè)極為悲慘的消息。

3.企業(yè)級(jí)FDE軟件

1）DriveCrypt
　
SecureStar公司的DriveCrypt其主要功能類似TrueCrypt和FreeOTFE。至于比較先進(jìn)的功能，比如整個(gè)磁盤(pán)加密，需要添加DriveCrypt PlusPack（185美元）。
　
標(biāo)準(zhǔn)版DriveCrypt可以在文件或者分區(qū)中創(chuàng)建虛擬加密磁盤(pán)。在一段時(shí)間沒(méi)有使用后，系統(tǒng)自動(dòng)鎖住磁盤(pán)，還能在磁盤(pán)里面創(chuàng)建隱藏磁盤(pán)。它具有免費(fèi)產(chǎn)品沒(méi)有的一些功能，包括能夠?qū)ΜF(xiàn)有加密磁盤(pán)隨意調(diào)整容量大小以及管理員密鑰代管服務(wù)（不過(guò)后者在TrueCrypt和FreeOTFE中也能實(shí)現(xiàn)，只需手動(dòng)備份卷頭）?？梢詣?chuàng)建“DKF訪問(wèn)文件”，該文件允許第三方不需要卷密碼，就可以訪問(wèn)加密卷。DKF密鑰可以附加各種限制——它可以使用自己的密碼（與你自有磁盤(pán)上的密碼無(wú)關(guān)）、X天后到期失效，或者只能在某個(gè)時(shí)間段有效。這樣，就有可能為訪問(wèn)加密驅(qū)動(dòng)器提供一定的控制權(quán)。

費(fèi)用：每個(gè)用戶59.95歐元（88.73美元）

2）Dekart Private Disk

Dekart Private Disk功能類似于其他加密程序，用戶可以創(chuàng)建虛擬加密卷、備份加密磁盤(pán)的卷頭、根據(jù)用戶活動(dòng)來(lái)控制磁盤(pán)的安裝及卸載，等等。惟一真正重要、而其他產(chǎn)品沒(méi)有的特性就是“磁盤(pán)防火墻”（Disk Firewall），你可以用來(lái)授予或拒絕某些程序訪問(wèn)加密卷。

Private Disk在開(kāi)發(fā)當(dāng) “恢復(fù)選項(xiàng)”（recovery option），它試圖通過(guò)對(duì)密碼實(shí)施蠻力（brute-force attack）攻擊來(lái)確定私密磁盤(pán)的密碼。這帶來(lái)巨大的安全隱患，很可能成為破解者一個(gè)撬鎖的工具。

費(fèi)用：每個(gè)用戶45美元

3）PGP Desktop專業(yè)版

PGP Desktop提供了一整套加密工具，能完美地與Windows系統(tǒng)集成。該程序的主界面有五個(gè)基本部分：密鑰管理、郵件、壓縮、磁盤(pán)管理和網(wǎng)絡(luò)共享（NetShare）。

PGP Desktop的個(gè)性功能在于郵件管理部分，控制著如何處理電子郵件。在默認(rèn)狀態(tài)下，PGP Desktop能夠?qū)?biāo)準(zhǔn)的SMTP/POP電子郵件、Exchange/MAPI郵件以及Lotus Notes郵件進(jìn)行加密。PGP Zip選項(xiàng)卡讓你可以創(chuàng)建加密存檔，這些存檔可以在另一頭用PGP來(lái)解壓，或者封裝成自解壓存檔。PGP Disk是套件中的整個(gè)磁盤(pán)或者虛擬卷加密解決方案。如果使用了整個(gè)磁盤(pán)加密，可以在加密過(guò)程中選擇幾個(gè)選項(xiàng)：最大CPU占用率，目的是節(jié)省時(shí)間；電源故障安全選項(xiàng)，以便加密過(guò)程中萬(wàn)一出現(xiàn)斷電，防止系統(tǒng)受到破壞。

加密磁盤(pán)可以使用TPM硬件（如果你有這種硬件）或者USB閃存盤(pán)來(lái)存儲(chǔ)密鑰文件，也可以兩者結(jié)合使用。PGP Disk另外有一個(gè)出色的特性：數(shù)據(jù)粉碎工具，類似自由軟件Eraser產(chǎn)品。它可以清除文件，也可以只清除現(xiàn)有磁盤(pán)上的空余空間。網(wǎng)絡(luò)共享特性讓你可以共享便攜式驅(qū)動(dòng)器或者網(wǎng)絡(luò)連接驅(qū)動(dòng)器上的加密文件。所有解密在用戶端進(jìn)行，所以任何敏感信息絕對(duì)不會(huì)以明文格式傳送，也用不著在文件服務(wù)器上安裝特殊軟件。網(wǎng)絡(luò)共享還能與活動(dòng)目錄集成，以便對(duì)誰(shuí)可以訪問(wèn)哪些信息實(shí)行細(xì)粒度管理。還可以對(duì)指定受保護(hù)文件夾外面的單個(gè)文件進(jìn)行加密。PGP Desktop還可以由企業(yè)環(huán)境下的PGP中央服務(wù)器程序（PGP Universal）來(lái)管理。

費(fèi)用：每個(gè)用戶199美元

4）Pointsec

Checkpoint花費(fèi)5.8億美元收購(gòu)Protect Data公司所獲得了終端和移動(dòng)設(shè)備數(shù)據(jù)安全產(chǎn)品Pointsec，其實(shí)在此之前已在全球得到應(yīng)用。Pointsec與下文介紹的Safeboot是知名度最高的FDE產(chǎn)品，個(gè)人用戶可以采用單機(jī)版，企業(yè)用戶可以采用C/S架構(gòu)的企業(yè)版。其解決方案已經(jīng)被全球的公司、政府所驗(yàn)證。適用于PC、筆記本電腦、移動(dòng)設(shè)備等多種磁盤(pán)加密，而且支持多種操作系統(tǒng)。具有預(yù)引導(dǎo)的一次性全盤(pán)加密功能，集中策略管理和關(guān)鍵恢復(fù)和遠(yuǎn)程協(xié)助功能，強(qiáng)加密和單點(diǎn)登錄功能等都為用戶熟知。

費(fèi)用：?jiǎn)螜C(jī)版每點(diǎn)120美元左右。

5）Safeboot

雖然Safeboot已經(jīng)被麥咖啡公司收購(gòu)，集成到麥咖啡的數(shù)據(jù)泄露防護(hù)（DLP）系統(tǒng)中，但是本人還是比較喜歡Safeboot這個(gè)名字。這并不是因?yàn)楸救擞袘雅f情結(jié)，而是因?yàn)镾afeboot本身的含義比較有意思：從源頭上保證安全。

Safeboot與Pointsec在功能，價(jià)格等多方面類似，故不贅述。#p#

四、國(guó)內(nèi)能夠采用的最佳FDE產(chǎn)品——DiskSec

個(gè)人用戶看到有這么多FDE軟件可供任意選擇，一定會(huì)心花怒放。但是政府、軍隊(duì)和企事業(yè)單位，一定會(huì)感到非常遺憾。因?yàn)?，這些產(chǎn)品在中國(guó)根本不能用。

國(guó)家法律規(guī)定，凡涉及到商用密碼的軟件產(chǎn)品，都必須由具備國(guó)家商用密碼生產(chǎn)定點(diǎn)單位資格和國(guó)家商用密碼銷售許可單位資格的企業(yè)生產(chǎn)和銷售。而且，還必須具備國(guó)家保密局、軍隊(duì)和公安部的相關(guān)銷售資質(zhì)才可以在國(guó)內(nèi)銷售。信息安全軟件產(chǎn)品，關(guān)系到國(guó)家機(jī)密、軍事機(jī)密和商業(yè)機(jī)密的保護(hù)，外國(guó)加密軟件不得在中國(guó)政府、軍隊(duì)和企事業(yè)單位使用。雖然介紹了這么多FDE軟件，但是政府、軍隊(duì)和企事業(yè)單位用戶，只能從技術(shù)、功能上參考對(duì)照一下，不能采購(gòu)和使用。

本人花費(fèi)大力氣在國(guó)內(nèi)搜尋，發(fā)現(xiàn)國(guó)內(nèi)目前具備法定資質(zhì)的FDE軟件只有北京億賽通公司所生產(chǎn)的DiskSec。

DiskSec具備強(qiáng)大的功能，有單機(jī)版和企業(yè)版可以選用。從性能上看，比國(guó)外同類型的企業(yè)級(jí)FDE軟件要高。DiskSec主要優(yōu)點(diǎn)有：

1.安全可靠的認(rèn)證方式：口令/密碼、USBkey或口令/密碼、USBkey二選一；

2.對(duì)磁盤(pán)上所有數(shù)據(jù)進(jìn)行高強(qiáng)度加密（包括操作系統(tǒng)）；

3.只在磁盤(pán)上保存密碼的單向散列值，無(wú)法反推算出密碼。系統(tǒng)不留后門(mén)，無(wú)法破解；

4.對(duì)系統(tǒng)容災(zāi)方面考慮周全，具備光盤(pán)急救系統(tǒng)、內(nèi)嵌急救系統(tǒng)等急救系統(tǒng)；

5.加密速度快。加密速度能達(dá)到每小時(shí)60GB，遠(yuǎn)超過(guò)Pointsec每小時(shí)10GB。

DiskSec不僅是一款能保護(hù)PC、筆記本電腦、移動(dòng)存儲(chǔ)設(shè)備的多功能FDE軟件，可以用于企業(yè)級(jí)的終端保護(hù)，還可與電腦生產(chǎn)廠家聯(lián)合推出全加密硬盤(pán)電腦，具備強(qiáng)大的適用性。

DiskSec在中國(guó)空軍全軍得到應(yīng)用，部署規(guī)模為10萬(wàn)臺(tái)筆記本終端。除此之外，在金融、電信、電力、制造業(yè)等多個(gè)行業(yè)都已經(jīng)有大量PC和筆記本電腦部署DiskSec。

五、結(jié)論

BitLocker可通過(guò)活動(dòng)目錄來(lái)進(jìn)行集中管理。個(gè)人用戶可能會(huì)試一試TrueCrypt（或者功能最接近于它的FreeOTFE）。PGP Desktop添加其他許多工具，對(duì)不僅需要加密磁盤(pán)上的內(nèi)容、還希望加密電子郵件和即時(shí)消息的用戶來(lái)說(shuō)，這是個(gè)不錯(cuò)的選擇。而DriveCrypt也有一些可能有用的隱匿和訪問(wèn)管理功能。7-Zip是創(chuàng)建經(jīng)過(guò)加密、密碼保護(hù)的存檔的一種簡(jiǎn)單方法。遺憾的是，Dekart Private Disk很難稱得上是專業(yè)的加密解決方案，因?yàn)樗赡軐?dǎo)致蠻力攻擊。國(guó)外的企業(yè)級(jí)用戶一般會(huì)采用Pointsec和Safeboot。

中國(guó)的政府、軍隊(duì)和軍工、企業(yè)事業(yè)單位用戶，目前還是只有一個(gè)選擇，就是DiskSec。