Vista系统BitLocker使用揭秘（上）

　　很多人可能都听说过ERD Commander之类的软件，这种软件可以创建一个引导光盘，用户可以用这张光盘将电脑引导进入一个特殊的WindowsPE环境（可以理解为运行在光盘上的Window系统）中。

　　在这个环境中，我们可以在不知道电脑上安装的操作系统管理员账户和密码的情况下直接编辑系统的注册表或者修改任何一个账户的登陆密码。甚至还可以获得文件的NTFS访问权限，并绕过Windows的权限设置读取需要的机密文件。这种在Windows没有运行着的情况下对系统进行“攻击”的操作就叫做“脱机攻击”。　　

　　其实类似这样的工具还有很多，有些是售价昂贵的商业软件，有些甚至是可以免费获得的软件。但是这是否意味着Windows的安全性很差呢？其实不然，因为进行脱机攻击的时候，被攻击的Windows并没有运行，因此Windows的各种安全保护机制也无法生效，进而造成了被攻击的可能。其实不仅仅是Windows，任何操作系统都无法有效避免这种脱机攻击。至于从物理层面的攻击，例如恶意拔掉服务器电源导致服务中断，或者损坏硬件造成数据丢失，更是无法仅依靠完善操作系统避免。所以说实现系统安全和数据安全的一个大前提就是首先要保证计算机在物理上的安全，不能让攻击者从物理层面上接触到计算机。　　

　　不过好在Windows Vista中的BitLocker功能可以保护整个Windows本身不被脱机攻击，并保护我们的机密数据无法被允许的Windows以外的其他操作系统访问。简单来说，BitLocker会将Windows的安装分区或者其他用于保存文件的分区进行加密，并将密钥保存在硬盘之外的地方。这样，要想启动Windows或者读取保存在电脑中的文件，就必须先提供密钥，随后引导程序才会使用提供的密钥解密系统文件，并加载和运行Windows，供我们读取文件。　　

　　BitLocker是Windows Vista中的一项新功能，只能用于Windows Vista企业版和旗舰版。另外，在初始版本的Vista中，该功能只能加密安装了Vista的分区，不过在安装SP1之后可以加密任何一个本地硬盘分区。　　

　　不同模式的不同要求

　　BitLocker主要有两种工作模式：TPM模式和U盘模式，为了实现更高程度的安全，我们还可以同时启用这两种模式。　　

　　要使用TPM模式，要求计算机中必须具备不低于1.2版TPM芯片，这种芯片是通过硬件提供的，一般只出现在对安全性要求较高的商用电脑或工作站上，家用电脑或普通的商用电脑通常不会提供。

　　要想知道电脑是否有TPM芯片，可以运行“devmgmt.msc”打开设备管理器，然后看看设备管理器中是否存在一个叫做“安全设备”的节点，该节点下是否有“受信任的平台模块”这类的设备，并确定其版本即可。　　

　　如果要使用U盘模式，则需要电脑上有USB接口，计算机的BIOS支持在开机的时候访问USB设备（能够流畅运行Windows Vista的计算机基本上都应该具备这样的功能），并且需要有一个专用的U盘（U盘只是用于保存密钥文件，容量不用太大，但是质量一定要好）。使用U盘模式后，用于解密系统盘的密钥文件会被保存在U盘上，每次重启动系统的时候必须在开机之前将U盘连接到计算机上。

　　受信任的平台模块是实现TPM模式BitLocker的前提条件。

　　对硬盘分区的要求

　　硬件满足上述要求后，还要确保硬盘分区的安排可以满足要求。通常情况下，我们可能习惯这样给硬盘分区：首先，在第一块硬盘上划分一个活动主分区，用于安装Windows，这个分区是系统盘；其次，对于剩下的空间继续划分更多主分区，或者创建一个扩展分区，然后在上面创建逻辑驱动器。简单来说，我们已经习惯于让第一块硬盘的第一个分区成为系统盘，并在上面安装Windows。

　　传统方式下的硬盘分区情况。

　　在一台安装Windows Vista的计算机上运行“diskmgmt.msc”后即可看到硬盘分区情况。

　　这里重点需要关注的是，硬盘上是否有超过一个的活动分区。例如图中的“磁盘0”，该磁盘上有两个分区，对应的盘符分别是“C”和“D”，其中“C”就是第一块硬盘上的第一个分区，属于系统盘而且是活动的。但问题在于，如果除了系统盘外，硬盘上不存在其他活动分区，这种情况下是无法直接启用BitLocker的（无论是TPM模式还是U盘模式）。原因很简单，源于其工作原理，BitLocker功能实际上就是将操作系统或者机密数据所在的硬盘分区进行加密，在启动系统的时候，我们必须提供解密的密钥，来解密原本被加密的文件，这样才能启动操作系统或者读取机密文件。但这就有一个问题，用于解密的密钥可以保存在TPM芯片或者U盘中，但是解密程序应该放在哪里？难道就放在系统盘吗？可是系统盘已经被加密了，这就导致了一种很矛盾的状态：因为用于解密的程序被加密了，因此无法运行，导致无法解密文件。　　

　　所以如果要顺利使用BitLocker功能，硬盘上必须至少有两个活动分区，除了系统盘外，额外的活动分区必须保持未加密状态（且必须是NTFS文件系统），同时可用空间不能少于1.5GB。为了保证可靠性，这个专门的活动分区最好专用，不要在上面保存其他文件或者安装额外的操作系统。

　　遗憾的是，一般情况下，很少有人会在自己的硬盘上创建多个活动分区。那么我们又该怎样设置硬盘，以满足BitLocker的要求？如果是在安装Windows Vista之前看到了这段内容，并且打算安装好之后使用BitLocker功能，那么我们可以在安装的时候直接将分区准备好。

　　如果是在安装了Windows Vista，并且在打算使用BitLocker的时候才看到这段内容，而硬盘分区已经按照传统的方式划分好了，那么也不用担心。通过一些方法，我们可以在不破坏现有系统以及所有数据的前提下为BitLocker腾出一部分空间来创建另一个分区。　　

　　如果还没有安装Vista

　　如果正打算在一块新硬盘上安装Windows Vista企业版或旗舰版，那么就可以在安装的过程中创建出符合BitLocker要求的分区结构。具体的过程如下：　　

　　准备好Windows Vista安装光盘，并在计算机的BIOS设置中设定通过光盘引导计算机（具体的设置方法请参考计算机或主板的说明书）；　　

　　打开电源，立刻将Windows Vista安装光盘放入计算机。如果设置无误，那么计算机会自动从光盘引导，稍等片刻，屏幕上就会出现一个绿色的滚动条，就像Windows Vista正常启动时候那样；

　　当看到“安装Windows”对话框之后，选择要安装的语言、时间和货币格式，以及键盘和输入方法，设置好之后单击“下一步”按钮；　　

　　单击窗口左下角的“修复安装”链接；　　

　　随后可以看到“系统恢复选项”对话框，因为这是一块新硬盘，因此不会列出任何内容，直接单击“下一步”按钮；　　

　　在接下来看到的“系统恢复选项”对话框中，单击“命令提示符”链接；

　　通过“命令提示符”创建符合要求的分区 　　

　　当打开“命令提示行”窗口后，依次运行下面列出的命令（除了第一条和最后两条命令外，其他所有命令都需要在“diskpart>”提示符下运行，括号内的文字是对命令的解释，不用输入。）：　　

　　Diskpart（启动diskpart.exe，这是一个命令行界面下的硬盘分区调整程序。）　　

　　Select Disk 0（将第一块硬盘选中，作为后续操作的目标盘。如果有多块硬盘，并且希望将Windows Vista安装到其他硬盘上，请更改数字“0”为目标硬盘的编号。如果想知道分别有哪些硬盘，各自的编号是什么，请首先运行“list disk”命令。）　　

　　Clean（清空所选硬盘上的分区表信息。注意：目标硬盘上如果有数据，将被全部清除。）

　　Create Partition Primary Size=1500（创建一个体积为1.5GB的主分区，这个分区用于日后保存引导文件。）　　

　　Assign Letter=S（将这个1.5GB分区的盘符设置为“S”，或者其他任何想要使用的字母，但不建议使用“C”，毕竟很多人都习惯于将Windows安装到C盘。）　　

　　Active（将这个1.5GB的分区设置为活动分区。）　　

　　Create Partition Primary（用所有剩余空间创建一个主分区，如果希望除了这个主分区外还创建其他分区，请使用“size=xxx”参数指定这个主分区的大小。）　　

　　Assign Letter=C（将这个分区的盘符设置为“C”，接下来会将Windows安装到这个分区，同时最终被BitLocker加密的也是这个分区。）　　

　　List Volume（查看已经分好的区，正常情况下可以看到划分好的分区界面。）　　

　　Exit（退出Diskpart程序。）　　

　　Format C: /Y /Q /FS:NTFS（用NTFS文件系统快速格式化C盘。）　　

　　Format S: /Y /Q /FS:NTFS（用NTFS文件系统快速格式化S盘。）　　　　

　　经过上述设置，我们可以重新启动计算机，并再次使用Windows Vista安装光盘引导系统，完成操作系统的安装工作。在安装过程中需要注意，系统必须安装到C盘，而不能安装到S盘。

　　如果已经安装了Vista

　　如果已经安装好了Windows Vista旗舰版或企业版，并在打算启用BitLocker的时候才发现系统被安装到磁盘0分区1上，也不用担心。只要分区0可用空间足够，我们完全可以将其中一部分空间拆借出来，创建一个新的磁盘0分区1。　　

　　虽然有很多第三方软件可以做到这一点，不过往往需要付费购买，而且因为在系统盘的前面添加了一个新的分区，导致盘符变化，可能会使得Windows无法正常启动，因此不建议使用这类第三方软件。

　　要想在保留现有数据的前提下给原本安装了Windows的“磁盘0分区1”前面新建一个分区，我们可以使用微软提供的一个免费软件：BitLocker和EFS增强，这个软件是作为Windows Vista Ultimate Extras提供的。顾名思义，该软件只能由正版Windows Vista旗舰版用户通过Windows Update获得。不过根据微软的说明，Windows Vista企业版用户可以联系微软获取该软件，联系方式是：http://support.microsoft.com/contactus/?ws=support。　　

　　安装了BitLocker和EFS增强工具后，请这样操作：　　

　　从“开始”菜单下的“所有程序”　“附件”　“系统工具”　“BitLocker”路径下启动“BitLocker驱动器准备工具”，在授权协议页面上单击“我接受”，随后该软件将自动检查本机的配置情况。　　

　　阅读屏幕上显示的注意事项，按照提示照做后单击“继续”按钮。　　

　　随后程序会自动调整硬盘分区，整个过程分为三个步骤：缩小（压缩）现有的系统盘；利用压缩获得的可用空间创建一个用于保存引导文件的新分区；然后根据BitLocker的要求调整新分区的设置。

　　这个过程大概需要三分钟左右，完成后单击“完成”按钮，系统会自动重启动。这时准备工作已经全部完成。通过上述操作，在本机会出现一个盘符为“S”，可用空间为1.5GB的新分区，引导文件和启动过程中的临时文件会保存在这里。　　

　　使用专用工具准备所需的分区 　　

　　另外，在使用BitLocker和EFS增强工具调整硬盘分区的时候，还必须保证之前的系统盘在减少1.5GB的可用空间后保留的可用空间不小于分区总容量的10%。

　　默认情况下，Vista中只能使用TPM模式的BitLocker，因此要使用U盘模式，我们必须配置组策略将其启用。好在支持BitLocker功能的Windows Vista版本都是具有组策略的。具体做法如下：　　

　　运行“gpedit.msc”打开组策略编辑器，从编辑器窗口左侧的控制台树形图中定位到“计算机配置”　“管理模板”　“Windows组件”　“BitLocker驱动器加密”。　　

　　在右侧的控制台窗口中找到并双击打开“控制面板设置：启用高级启动选项”这个策略，选择“已启用”。　　

　　单击“确定”保存设置，这样我们已经在本机启用了U盘模式的BitLocker。　　

　　启用BitLocker

　　在安装SP1之后的Vista企业版和旗舰版中，我们可以使用三种模式的BitLocker：　　

　　●纯TPM模式，要求系统中具有TPM芯片，这样用于解密的密钥以及用于验证引导文件完整性的相关文件都会保存在TPM芯片中。　　

　　●纯U盘模式，要求系统符合上文中提到的和USB设备有关的条件，这样用于解密的密钥会被保存在U盘中。　　

　　●混合模式，可以使用TPM+U盘，TPM+PIN，以及TPM+U盘+PIN的形式进一步增强系统安全。　

　　那么这些模式分别要怎样使用？让我们来看看。　　

　　纯U盘模式

　　因为目前具有TPM芯片的电脑还不是很多，因此我们首先介绍纯U盘模式的使用方法，毕竟这种方式才适合最多人使用。　　

　　打开控制面板，依次单击“安全”　“BitLocker驱动器加密”，我们可以看到BitLocker加密驱动器的界面。　　

　　这里已经列出了当前安装电脑的所有本地硬盘分区，对于想要加密的分区，单击对应的“启用BitLocker”链接，随后可以看到设置启动首选项的界面，在这里我们需要选择BitLocker的工作方式。因为没有TPM芯片，因此只能选择最后一个选项，这样以后每次启动系统的时候都必须提供保存了密钥的U盘，不过系统启动后就不再需要了。因此在这里直接单击“每一次启动时要求启动USB密钥”选项。

　　对特定分区启用BitLocker加密。 　　

　　选择要使用的BitLocker工作模式。 　　

　　将准备好的U盘连接到计算机，等程序界面上显示了这个U盘后，单击将其选中，然后单击“保存”按钮，这样用于解密被BitLocker加密的分区所需的密钥就会被保存在所选的U盘上。　　

　　随后可以看到保存恢复密码的界面，在这里我们需要决定恢复密码的处理方式。需要注意，在平时的使用过程中，并不需要提供恢复密码，我们只要提供之前一步操作中指定的U盘即可，而恢复密码是在U盘不可用（例如，丢失或者损坏）时使用的，因此建议将其妥善处理。例如，如果本机安装了打印机，可以将恢复密码打印在纸上，并将这张纸保存在安全的地方。同时因为非常重要，建议同时保留恢复密码的多个副本，例如多次打印，然后将打印的密码分别保存在不同的安全位置，或者保存在另外的U盘上（最好不要将恢复密码和启动密码保存在同一个U盘上）。　　

　　保管好恢复密码后单击“下一步”按钮，随后程序会对我们的操作进行一个概述。同时为了进一步确认本机可以正常使用BitLocker功能，请保持选中“运行BitLocker系统检查”选项，这样程序会在进行加密之前先对系统中的各项设置进行检查。如果确认无误，请单击“继续”按钮（注意：在整个过程中，最先使用的U盘一定不能拔下来，如果需要将恢复密码保存在其他U盘上，请将第二块U盘连接到计算机的其他USB接口上）。　　

　　决定恢复密码的处理方式 　　

　　加密过程进度对话框 　　

　　接下来需要重新启动系统，准备好之后单击“现在重启动”按钮。重启动完成，并成功登录后，桌面右下角会显示一个气泡图标，提示我们系统正在进行加密，单击这个气泡图标后可以看到显示加密进度的对话框。在这里我们可以暂停加密操作，并在稍后继续进行，但是无法停止或者撤销加密操作。

　　加密操作需要一定的时间，主要取决于系统盘的大小以及计算机的硬件速度。不过好在这个操作只需要进行一次。而且在日后的使用过程中，系统的运行速度并不会有太大的降低，因此可以放心使用。加密完成后单击“完成”按钮即可。经过上述操作，BitLocker功能已经被成功启用。但是还有几点问题需要注意：　　

　　●应用BitLocker加密后，当Windows Vista启动后，我们查看系统文件时将不会看到文件带有任何与“加密”有关的属性，这属于正常现象，因为BitLocker的加密是在系统底层，从文件系统上实现的，而在用户看来，启动了的系统里的系统文件并没有被加密。但如果换个角度来看，例如一台计算机上安装了两个系统，或者将装有系统的硬盘拆掉，连接到其他计算机上，在试图访问应用了BitLocker的系统所在的分区时，我们会收到拒绝访问的信息，而且拒绝的原因是目标分区没有被格式化。这都属于正常现象，而且也证明了BitLocker正在保护我们操作系统的安全（设想一下，连访问分区都无法实现，又如何进行脱机攻击？）。　　

　　●另外，保存了启动密钥的U盘，直接在Windows资源管理器下查看的时候，完全看不到其中保存的密钥文件。这也是为了安全。同时建议这个U盘只用于保存BitLocker的启动密钥，而不要用作其他用途。这主要是为了尽量避免U盘因为各种原因，例如病毒感染或者频繁写入损坏而造成系统无法访问。而且需要注意，密钥盘只是在启动系统的时候需要，只要系统启动完成，我们就可以将其拔出，并妥善保管起来。操作系统的正常运行过程中并不需要我们反复提供密钥盘。　　

　　●最后一点，在加密过程中，系统盘的可用磁盘空间将会急剧减少。这属于正常情况，因为这个过程中会产生大量临时文件。加密完成后这些文件会被自动删除，同时可用空间数量会恢复正常。在解密被加密的系统盘时也会遇到类似的情况。　　

　　在应用了U盘模式的BitLocker后，每次启动系统前都必须将保存了启动密钥的U盘连接到计算机，否则系统会提示需要BitLocker驱动器加密密钥。这就要求我们必须将保存了启动密钥的U盘连接到计算机后重启动，才能完成Windows的启动和加载过程。如果因为某些原因，例如保存了启动密钥的U盘损坏或者丢失，只要还保留有启用BitLocker时创建的恢复密码，那么可以在这个界面上按下回车键进行恢复（详细的恢复方法请参考下文）。