网管必读书籍 网络安全第八章

《网管必读书籍 网络安全第八章》由会员分享，可在线阅读，更多相关《网管必读书籍 网络安全第八章（24页珍藏版）》请在金锄头文库上搜索。

1、第八章 文件加密与数字签名 文件加密与数字签名技术是目前应用最广泛的安全技术 ，分别是用来防止文件不被非法用户所打开和确保用户收 到的是真正自己所需用户发来的邮件。 本章重点如下： u主要加密算法及各自加密原理 uEFS加密文件系统的加密原理 uEFS文件加密与解密方法 uEFS文件恢复代理创建方法 u动态文件加密与数字签名原理 uPGP密钥生成方法 uPGP文件加密方法 uPGP邮件加密与签名策略配置方法 uiSignature签章系统的基本使用方法 8.1 文件加密概述 文件加密的基本过程就是对原来为明文的文件或数据按 某种算法进行处理，使其成为不可读的一段代码（通常称 为“密文”），使其

2、只能在输入相应的密钥之后才能显示出 本来内容，通过这样的途径来达到保护数据不被非法人窃 取、阅读的目的。该过程的逆过程为解密，即将该编码信 息转化为其原来数据的过程。8.1.1 加密的由来加密作为保障数据安全的一种方式，它不是现在才有的 ，它产生的历史相当久远，它是起源于要追溯于公元前 2000年（几十个世纪了），虽然它不是现在我们所讲的加 密技术（甚至不叫加密），但作为一种加密的概念，确实 早在几个世纪前就诞生了。当时埃及人是最先使用特别的 象形文字作为信息编码的，随着时间推移，巴比伦、美索 不达米亚和希腊文明都开始使用一些方法来保护他们的书 面信息。 8.1.2 选择加密的意义 加密在网络

3、上的作用就是防止有用或私有化信息在网络 上被拦截和窃取。一个简单的例子就是密码的传输。通过 网络进行登录时，所键入的密码以明文的形式被传输到服 务器，而网络上的窃听是一件极为容易的事情，所以很有 可能黑客会窃取得用户的密码，如果用户是Root用户或 Administrator用户，那后果将是极为严重的。密码的泄露 在某种意义上来讲意味着其安全体系的全面崩溃。 数字签名就是基于加密技术的，它的作用就是用来确定 用户是否是真实的。应用最多的还是电子邮件。如当用户 收到一封电子邮件时，邮件上面标有发信人的姓名和信箱 地址，很多人可能会简单地认为发信人就是信上说明的那 个人，但实际上伪造一封电子邮件对

4、于一个通常人来说是 极为容易的事。在这种情况下，就要用到加密技术基础上 的数字签名，用它来确认发信人身份的真实性。本节节详细内容参见书本P276P277页。 8.1.3 代表性的数据加密标准目前主要的加密标准有三种：DES、MD5（早先采用 MD2、MD3、MD4）、SHA-1（早先采用SHA-0）。1. DES算法DES使用56位密钥对64位的数据块进行加密，并对64位 的数据块进行16轮编码。在发明之初，DES被认为是一种 十分强大的加密方法。2. MD5算法MD5可生成128位的摘要信息串，出现之后迅速成为主 流算法，并在1992年被收录到RFC中。3. SHA-1算法SHA-1生成长度

5、为160位的摘要信息串，虽然之后又出现 了SHA-224、SHA-256、SHA-384和SHA-512等被统称为 “SHA-2”的系列算法，但仍以SHA-1为主流。本节详细内容参见书本P277P278页。8.1.4 电子签名与数字签名 电子签名和数字签名的内涵并不一样，数字签名是电子 签名技术中的一种，不过两者的关系也很密切，目前电子 签名法中提到的签名，一般指的就是“数字签名”。1. 电子签名能够在电子文件中识别双方交易人的真实身份，保证交 易的安全性和真实性以及不可抵懒性，起到与手写签名或 者盖章同等作用的签名技术称之为电子签名。签名有标识 签名人和表示签名人对文件内容的认可双重功能。实

6、现电 子签名的主要技术手段还是“数字签名”技术。2. 数字签名 所谓“数字签名”就是通过某种密码运算生成一系列符号 及代码组成电子密码进行签名，来代替书写签名或印章。 “数字签名”是目前电子商务、电子政务中应用最普遍、技 术最成熟的、可操作性最强的一种电子签名方法。本节详细内容参见书本P278279页。8.2 静态文件加密EFS 在各种各样的文件加密方式中，应用最多的还是基于静 态文件的保护，防止非法用户打开自己需要保护的文件。 这时我们就可以选择微软在他的近期Windows版本中提供 的EFS加密文件系统。它的功能非常强大，是一种最为理 想的静态文件加密保护措施。8.2.1 EFS概述加密文

7、件系统（EFS）是Windows 2000、Windows XP Professional和Windows Server 2003的NTFS文件系统的一个 组件（Windows XP Home版本不包含EFS功能） 。 加密文件系统（EFS）提供一种核心文件加密技术，该 技术用于在NTFS文件系统卷上存储已加密的文件。加密 了文件或文件夹之后，您还可以像使用其他文件和文件夹 一样使用它们。加密对加密该文件的用户自己是透明的（ 对其他用户则不是），这表明不必在使用前手动解密已加 密的文件，您就可以正常打开和更改文件。使用EFS类似于使用文件和文件夹上的权限。两种方法 都可用于限制数据的访问，然而

8、未经许可对加密文件和文 件夹进行物理访问的入侵者将无法阅读这些文件和文件夹 中的内容。如果入侵者试图打开或复制已加密文件或文件 夹，入侵者将收到拒绝访问消息。文件和文件夹上的权限 不能防止未授权的物理攻击。EFS采用高级的标准加密算法实现透明的文件加密和解密 。任何不拥有合适密钥的个人或者程序都不能读取加密数 据。即便是物理拥有驻留加密文件的计算机，加密文件仍 然受到保护。甚至是有权访问计算机及其文件系统的用户 ，也无法读取这些数据。还应该采取其他防御策略，加密 这种解决方法不是解决每种威胁的恰当对策，加密只是其 他防御策略之外的又一种有力措施。然而，任何一种防御工具，如果不能正确使用，也会带

9、 来潜在的危害。必须充分理解，妥善实施和有效管理EFS ，确保用户提供技术支持的经验和希望保护的数据不受到 破坏。 本节详细内容参见书本P280页。8.2.2使用EFS加密文件时的注意事项 在使用EFS加密文件和文件夹时，需注意以下事项： u只有NTFS卷上的文件或文件夹才能被加密。 uEFS加密文件，如果在远程服务器的文件夹中保存或者打 开过，则传输时就不再为加密状态。 u不能加密压缩的文件或文件夹。如果用户加密某个压缩文 件或文件夹，则该文件或文件夹将会被解压。 u如果将加密的文件复制或移动到非NTFS格式的卷上，该 文件将会被解密。 u如果将非加密文件移动到加密文件夹中，则这些文件将在

10、新文件夹中自动加密。然而，反向操作则不能自动解密文 件，文件必须明确解密。 u无法加密标记为“系统”属性的文件，并且位于systemroot目 录结构中的文件也无法加密。 u加密文件夹或文件不能防止删除或列出文件或目录。u 在允许进行远程加密的远程计算机上可以加密或解密文件及文件夹。 然而，如果通过网络打开已加密文件，通过此过程在网络上传输的数 据并未加密。 u EFS加密不是发生在应用层，而是位于文件-系统层，因此对于用户和 应用程序来说，加密和解密过程都是透明的。 u 文件加密使用对称密钥，该密钥本身使用公钥加密对的公钥进行加密 。 u EFS密钥依靠用户的密码来保护。 如果Windows

11、 XP或Windows Server 2003家族远程服务器上存储加密文 件，则请注意以下事项： u Windows XP和Windows Server 2003家族支持远程服务器上加密文件的 存储。 u 当两台计算机都是同一Windows Server 2003家族林的成员时，用户才 能远程使用EFS。 u 加密的数据在网络上传输时是不加密的，只有当它存储在磁盘上时才 是加密的。 u 加密的文件不能从Macintosh客户端访问。 u 目前不支持在智能卡上存储EFS证书和私钥，也不支持对EFS私钥进行 强私钥保护。 u 管理员必须指定远程服务器为信任委派，用户才能对远程服务器上的 文件进行加

12、密。本节详细内容参见书本P280P282页。8.2.3 EFS恢复的工作原理 您可以使用“加密文件系统（EFS）”安全地存储数据。 EFS通过在选定的NTFS文件系统文件和文件夹中加密数据 来达到这一目的。由于EFS与文件系统集成在一起，所以 它易于管理、难以被攻击而且对用户完全透明。这对于保 护易于盗窃的计算机（如便携计算机）上的数据非常有用 。文件和文件夹不能在FAT卷上进行加密和解密。同时， 由于EFS是设计用来在本地计算机上安全地存储数据。因 此EFS不支持通过网络安全传输文件。如果用户指定某文件进行加密，那么对用户来讲实际的 数据加密和解密过程是完全透明的。用户并不需要理解这 个过程

13、。 文件的EFS具体加密过程参见书本P282P283页。8.3 使用EFS 本节要具体介绍利用EFS系统进行文件加密，加 密文件的解密，以及启用用于文件加密的远程服 务器的方法。本节及以下各节配置均是在系统管 理员帐户中执行的。如果是企业域网络，除了系 统管理员组（Administrators）外，还可以是 Domain Admins组或Enterprise Admins成员。 【说明】8.3.1的“加密文件或文件夹”、8.3.2节 的“解密文件或文件夹“和8.3.3节的“在资源管理器 菜单中添加“加密”和“解密”选项”具体步骤参见书 本P284P286页。8.3.4 复制加密的文件夹或文件因

14、为只有NTFS文件格式的磁盘分区文件 和文件夹才可以加密，那么加密后的文件或 文件夹在同卷，或不同卷；同格式，或者不 同格式磁盘分区中移动、复制、删除、备份 和还原操作对它的加密属性又有什么影响呢 ？是否会与NTFS文件的访问权限一样改变 呢？本节就是答案，具体内容参见书本 P286P288页。8.4 数据恢复策略 当雇员离开后需要恢复雇员加密的数据时或者当用户丢 失私钥时，数据恢复非常重要。作为系统整个安全策略的 部分，通过加密文件系统（EFS）可使用数据恢复。例如 ，如果由于磁盘故障、火灾或任何其他原因永久丢失文件 加密证书和相关私匙，指定为故障恢复代理的人员可以恢 复数据。在商务环境中，

15、当雇员离开公司之后，公司可以 恢复雇员加密的数据。8.4.1 数据恢复策略概述 利用EFS加密数据的过程非常简单，但是一旦密钥丢失 ，数据恢复就非常困难。为了预防这类损失的发生，非常 有必要预先做好各种防范工作，其中包括：恢复策略的建 立、恢复代理的配置、密钥的备份等。恢复策略是单位的安全策略之一，旨在规划妥善恢复加 密文件。本地安全策略的公钥策略或者组策略的公钥策略 ，也强制采用该策略。 EFS使用故障恢复策略（也称“数据恢复策略”）提供内 置数据恢复。“故障恢复策略”是一种公钥策略，可提供用 于指定为故障恢复代理的一个或多个用户帐户。故障恢复策略是为单独的计算机在本地配置的。对于网 络中的

16、计算机，可以在域、部门或单独计算机级别上配置 故障恢复策略，并将其应用到策略可应用的所有基于 Windows XP和Windows Server 2003家族的计算机上。证书 颁发机构（CA）颁发故障恢复证书，您可以使用Microsoft 管理控制台（MMC）中的“证书”来管理它们。在域中，当设置第一个域控制器时，Windows Server 2003家族执行该域的默认故障恢复策略，自行签署的证书 将颁发给域管理员。该证书将域管理员指定为故障恢复代 理。要更改域的默认故障恢复策略，须以管理员身份登录 到第一个域控制器，可以将其他故障恢复代理添加到本策 略中，并且可以随时删除原始故障恢复代理。本节详细内容参见书本P288页。【说明】8.4.2节的“更改本地计算机的故障恢复策略”和 8.4.3节的“更改域的故障恢复策略”所涉及的具体配置方法 参照书本P289P292页。 8.5 数据恢复代理 数据恢复代理是指获得授权解密由其他用户加密的数据 的个人。数据恢复代理无需该角色的任何其他功能权限， 可以是普通用户。但在添加域数据恢复代理之前，必须确 保每位数据恢复