安全加密系统范文

安全加密系统范文（精选12篇）

安全加密系统 第1篇

关键词：存储系统,加密安全

0 引言

新兴的存储架构都采用了数据路径与控制路径分离的方式，用户获取元数据信息后直接访问设备的数据块，大大提高了存储效率。同时它针对传统的存储系统只能记录数据块在磁盘的位置信息等极其有限的元数据信息，增强扩展元数据的属性，可以方便的记录文件内数据块的敏感程度等安全信息。但目前存储系统的加密存储安全还建立在目录级和文件级基础之上，元数据信息也没有对文件内数据块的敏感程度进行记录，对同一文件只能进行整体全部有或无加密操作，并不能对文件的部分内容进行加密。这种统一粗粒度的加密方式会将同一文件中的敏感数据和非敏感数据全部加密，浪费了很多CPU宝贵的计算时间。如果一个文件的不同区域要求不同的强度的加密保护，现有的加密方案只能用不同的加密算法对此文件进行多次加密，从而生成多个文件，这不利于用户和程序设计者管理这些文件，同时也浪费了大量的存储空间。

本文引入了存储系统的细粒度加密安全的概念。由于存储系统的最小单位不再是文件而是大量细粒度的数据块，故我们可以将发掘这个优势，将加密的安全操作从文件级延伸至细粒度的数据块级，对具有某些特殊需要的大文件在安全上实现细粒度的加密存储。用户可以根据文件的特征指定只对文件中的部分敏感数据进行加密，根据敏感程度不同每个区域还可以指定一个加密算法。这些数据的加密信息存储在元数据服务器中被安全的保护，如果非法用户不能得到相关的加密信息，直接从存储设备中取得的数据将由于关键区域被加密而使整个文件无法使用。

当然如何使用户方便透明的使用细粒度加密存储方案也是必须要考虑的问题。我们给用户提供几种不同的加密模式，使用户可以根据实际存储的文件类型方便的选择不同的模式进行加密操作。此外通过在元数据中加入安全相关的信息属性，记录文件的不同敏感区域和相应的加密算法，就可以实现加密安全。实现了对文件访问的同时又不破坏单一文件的语义，应用程序可以使用原来的接口来访问存储系统，提高了系统的可移植性。

1 细粒度加密方案的设计

传统的文件系统如CFS及Cryptfs加密方案实现起来比较简单，但并没有将元数据与数据分离，存取大批量的数据时效率比较低下，同时用户还需要自己去管理密钥。当前有很多基于数据块的存储系统解决了效率的问题，也在磁盘加密安全上进行了研究，如SFS、SNAD、Si RiUS及PLUTUS等，以上这些系统的访问控制管理机制都追求整个系统高性能，但很少考虑安全的开销对系统整体的影响，不能同时满足安全和高效的需求。

HUSt是随着大容量存储系统的日益增多而提出的一种多层次、可扩展的存储模式，它取代传统的模式，采用的概念使基于固定数据块的SAN方案扩展为支持变长的数据块，并赋予存储以智能和主动服务的特性，已应用于档案及GIS存储等大型的存储系统中。同时HUSt系统上也实现了一种加密的文件系统保证安全。

以上这些方案都只讨论了文件级的加密方案，对日益增长的大量细粒度的数据块加密并不支持。也没有根据文件类型进行模式的分类和对细粒度的加密构想进行分析。

如图1所示，我们在HUSt加密文件系统的基础上设计了一种新的细粒度加密方案。当一个文件被用户指定对某个数据块进行加密后，这些文件通过两种层次的数据处理过程进行处理：第一层负责处理数据块的分拆，第二层负责数据块的加密。

在存储系统中文件数据块的大小是变长的，为了保证文件数据块尽可能的分布在多个设备中提高系统的存储效率，每个数据块的大小会有所控制，所有关于数据块的信息都存储在元数据服务器的数据库中。我们可以对元数据的信息进行适当的属性扩充来满足存储系统加密安全的要求，当用户读取元数据信息来获取文件的数据块信息的同时也会读取相关的加密安全信息属性。整个文件的元数据信息被分层的组织在一个树型的结构中，如图2所示。每个文件加密存储的时候会指向每一个元数据信息，每一个元数据信息指向此在文件中偏移地址等相关信息。特定类型的大文件加密之前用户都会指定一个模式和敏感数据块的偏移地址，与安全相关的内容如采用的加密算法无缝的添加到元数据服务器的数据库中。模式1和模式3中所有加密块均采取同一算法，故在数据块元数据信息中指定某一算法。模式2可以由每个用户指定相应的敏感区域，故还应该记录每个用户和使用的算法。模式4需指定敏感区域使用的算法，但不必将算法和某个用户对应起来。

2 细粒度加密方案的实现

HUSt是我们遵循OSD-2标准开发的一种存储系统原型，在HUSt的存储安全上也遵循T10标准设计了一整套的解决方案，此方案还没有涉及到块级的加密存储。由于存储系统的元数据信息非常丰富，故我们将细粒度加密方案集成到HUSt存储安全体系中去，来满足大量的特定文件的块级加密存储。它的基本架构如图3所示，整个系统主要由三部分组成：

(1)客户端(Client)。它将根据文件的类型来设定所需加密的模式和各敏感区域的位置并将此信息提供给MDS，同时根据MDS返回的密钥对数据块进行加解密操作。

(2)元数据服务器(MetaData Server,MDS)。它将文件拆分成很多小的数据块并分配到不同的OSD设备中，同时还包含一个密钥管理模块用于生成对敏感区域加密的密钥，并将密钥存储在相关的元数据信息中。

(3)存储设备(Storage Device,SD)。它主要是完成快速的存储用户提交的数据。客户端、元数据服务器和存储设备之间通过互联网络连接到一起，具有非常高的存储速度和良好的扩展性。

细粒度的加密方式会导致一个文件可能有多个密钥，这就会使整个系统处理的密钥比文件级加密多一个数量级，如何有效的对密钥进行管理是一个必需考虑的问题。本方案将可选的加密算法和此数据块的加密密钥组合成一个属性结构加密存储在可信的元数据服务器中。当用户需要密钥进行加解密操作时，首先向元数据服务的安全管理模块提出请求，经过安全认证后，元数据服务器通过一个加密通道将此结构传送给用户，用户得到密钥就调用相关的算法加解密文件数据。

3 结论

在存储系统HUSt实际的应用过程中我们发现存储的很多大文件有明显的特征，即可以对文件内的数据块进行分类来实现更细粒度的加密存储。同时可以利用存储系统丰富的元数据信息存储属性算法和用户信息来实现更精细的加密安全操作。

本文介绍了基于数据块细粒度加密的构想，在此基础上将之应用到的存储系统HUSt上。对一些存在典型的区域敏感特征的应用存储系统会充分的挖掘其文件的内部信息，实现了对细粒度的数据块进行加密的方案。该方案既提供了足够的安全性又解决了系统效率的问题。

参考文献

[1]M.Blaze.A cryptographic file system for UNIX.In Proceedingsof the 1st ACM Conference on Communications and ComputingSecurity1993.

[2]C.P.Wright,M.C.Martino and E.Zadok.Ncryptfs:a secureand convenient cryptographic file system.In Proceedings of theUSENIX Annual Technical Conference2003.

[3]E.Riedel,M.Kallahalla,and R.Swaminathan.A Frameworkfor Evaluating Storage System Security.In Proceedings of the 1stConference on File and Storage Technologies2002.

[4]L.F.Zeng,K.Zhou,and H.Jiang,HUSt:A HeterogeneousUnified Storage System for GIS Gid”,Finalist Award,HPCStorage Challenge,the 2006 International Conference for highPerformance Computing,Networking,Storage and Analysis(SC’06).2006.

[5]SCSI Object Based Storage Device Commands2(OSD-2).http://www.t10.org.

安全加密系统 第2篇

MS14-066更新修复Schannel中至少一个严重漏洞。Schannel是微软版SSL/ TLS加密套件。坊间广泛认为MS14-066更新十分重要。笔者上周敦促过用户尽早安装MS14-066更新。

而有些用户在安装MS14-066更新时碰到严重问题。其问题是系统在默认情况下会启用TLS 1.2，进而导致TLS协议的协商失败。根据微软的资料，发生这种情况时，“TLS 1.2连接会掉线，相关程序的过程会挂起(停止响应)，服务或会间歇性地无反应。”系统事件日志里可能出现一条记录，事件ID为36887，其描述为“从远程端点接收了一个致命的警报。TLS协议中定义的致命警报代码为40。”

MS14-066更新中除了包括安全更新外，还加入了一些新的功能：TLS用的四个加密系统，

这些加密系统是问题的原因所在。要解决问题，做法是删除四个新加密系统：

TLS_DHE_RSA_WITH_AES_256_GCM_SHA384

TLS_DHE_RSA_WITH_AES_128_GCM_SHA256

TLS_RSA_WITH_AES_256_GCM_SHA384

TLS_RSA_WITH_AES_128_GCM_SHA256

至于删除的具体步骤，请参阅知识库文章。

安全加密系统 第3篇

关键词：信息数据　安全　加密技术

当前形势下，检察系统内网进行信息数据的传递与交流主要面临着两个方面的信息安全影响：人为因素和非人为因素。其中人为因素是指：黑客、病毒、木马、电子欺骗等；非人为因素是指：不可抗力的自然灾害如火灾、电磁波干扰、或者是计算机硬件故障、部件损坏等。在诸多因素的制约下，如果不对信息数据进行必要的加密处理，在内网中传递的信息数据就可能泄露，被不法分子获得，损害国家和人民的利益，甚至造成重大安全危害。因此，信息数据的安全和加密在当前形势下是必不可少的，通过信息数据加密，信息数据有了安全保障，人们不必再顾忌涉密信息数据的泄露，能够放心地在内网上完成便捷的信息数据传递与交流。

1、信息数据安全与加密的必要外部条件

1.1计算机安全。每一个计算机网络用户都首先把自己的信息数据存储在计算机之中，然后，才进行相互之间的信息数据传递与交流，有效地保障其信息数据的安全必须以保证计算机的安全为前提，计算机安全主要有两个方面包括：计算机的硬件安全与计算机软件安全。1）计算机硬件安全技术。保持计算机正常的运转，定期检查是否出现硬件故障，并及时维修处理，在易损器件出现安全问题之前提前更换，保证计算机通电线路安全，提供备用供电系统，实时保持线路畅通。2）计算机软件安全技术。首先，必须有安全可靠的操作系统。作为计算机工作的平台，操作系统必须具有访问控制、安全内核等安全功能，能够随时为计算机新加入软件进行检测。

1.2通信安全。通信安全是信息数据的传输的基本条件，当传输信息数据的通信线路存在安全隐患时，信息数据就不可能安全的传递到指定地点。尽管随着科学技术的逐步改进，计算机通信网络得到了进一步完善和改进，但是，信息数据仍旧要求有一个安全的通信环境。主要通过以下技术实现。1）信息加密技术。这是保障信息安全的最基本、最重要、最核心的技术措施。我们一般通过各种各样的加密算法来进行具体的信息数据加密，保护信息数据的安全通信。2）信息确认技术。为有效防止信息被非法伪造、篡改和假冒，我们限定信息的共享范围，就是信息确认技术。通过该技术，发信者无法抵赖自己发出的消息；合法的接收者可以验证他收到的消息是否真实；除合法发信者外，别人无法伪造消息。3）访问控制技术。该技术只允许用户对基本信息库的访问，禁止用户随意的或者是带有目的性的删除、修改或拷贝信息文件。与此同时，系统管理员能够利用这一技术实时观察用户在网络中的活动，有效的防止黑客的入侵。

2、信息数据的安全与加密技术

随着计算机网络化程度逐步提高，人们对信息数据传递与交流提出了更高的安全要求，信息数据的安全与加密技术应运而生。然而，传统的安全理念认为网络内部是完全可信任，只有网外不可信任，导致了在信息数据安全主要以防火墙、入侵检测为主，忽视了信息数据加密在网络内部的重要性。以下介绍信息数据的安全与加密技术。

2.1存储加密技术和传输加密技术。存储加密技术分为密文存储和存取控制两种，其主要目的是防止在信息数据存储过程中信息数据泄露。密文存储主要通过加密算法转换、加密模块、附加密码加密等方法实现；存取控制则通过审查和限制用户资格、权限，辨别用户的合法性，预防合法用户越权存取信息数据以及非法用户存取信息数据。

传输加密技术分为线路加密和端-端加密两种，其主要目的是对传输中的信息数据流进行加密。线路加密主要通过对各线路采用不同的加密密钥进行线路加密，不考虑信源与信宿的信息安全保护。端-端加密是信息由发送者端自动加密，并进入TCP/IP信息数据包，然后作为不可阅读和不可识别的信息数据穿过互联网，这些信息一旦到达目的地，将被自动重组、解密，成为可读信息数据。

2.2密钥管理加密技术和确认加密技术。密钥管理加密技术是为了信息数据使用的方便，信息数据加密在许多场合集中表现为密钥的应用，因此密钥往往是保密与窃密的主要对象。密钥的媒体有：磁卡、磁带、磁盘、半导体存储器等。网络信息确认加密技术通过严格限定信息的共享范围来防止信息被非法伪造、篡改和假冒。一个安全的信息确认方案应该能使：合法的接收者能够验证他收到的消息是否真实；发信者无法抵赖自己发出的消息；除合法发信者外，别人无法伪造消息；发生争执时可由第三人仲裁。按照其具体目的，信息确认系统可分为消息确认、身份确认和数字签名。

2.3消息摘要和完整性鉴别技术。消息摘要是一个惟一对应一个消息或文本的值，由一个单向Hash加密函数对消息作用而产生。信息发送者使用自己的私有密钥加密摘要，也叫做消息的数字签名。消息摘要的接受者能够通过密钥解密确定消息发送者，当消息在途中被改变时，接收者通过对比分析消息新产生的摘要与原摘要的不同，就能够发现消息是否中途被改变。所以说，消息摘要保证了消息的完整性。

3、结束语

综上所述，信息数据的安全与加密技术，是保障当前形势下我们安全传递与交流信息的基本技术，对信息安全至关重要。希望通过本文的研究，能够抛砖引玉，引起国内外专家的重视，投入更多的精力以及更多的财力、物力来研究信息数据安全与加密技术，以便更好的保障每一个网络使用者的信息安全。

参考文献：

[1]曾莉红.基于网络的信息包装与信息数据加密[J].包装工程，2007（08）.

[2]华硕升级光盘加密技术[J].消费电子商讯，2009（11）.

[3]俞评.态度决定安全强度[J].观察与思考，2004（24）.

移动3G系统的安全通信加密研究 第4篇

1 第三代通信系统介绍

第三代通信系统作为一种高级的移动通信系统, 其主要以宽带CDMA技术为核心, 3G通信是在2G通信技术基础上发展而来的, 可以同时提供话音和数据业务。对于所使用的用户而言, 3G移动通信可以在全球范围内无论那个地方或者什么时间都可以高质量的保持信息的通信和传输, 这也是1G和2G所无法实现的功能, 所以说, 3G具有独特的优势, 其重点突出了用户的主导地位。

第三代通信体统的主要特征有:

(1) 收费机制有所改变, 以前都是以距离为主要收费参数, 不过现在都是按照参考数据量和服务的质量来进行收费。

(2) 同一个地方的同一个基础设施可以支持多个公共运营公司。

(3) 支持分层结构。

(4) 和固定的网路比较而言, 其安全性更高, 语音质量也是如此。

(5) 视频数据和非语音数据所占的业务比较比较大。

2 第三代通信系统安全体系

2.1 第三代通信系统的安全目标

由于第三代移动通信系统主要是在第二代通信系统基础上发展而来的, 所以其系统安全机制的运行具有很多的第二代通信系统安全机制的元素, 并在此基础上, 对第二代通信系统安全机制进行了提升, 保证第三代通信业务的安全使用, 第三代通信系统的目标主要是:

(1) 保证安全特征的使用标准。

(2) 确保相关移动用户的信息安全, 防止信息被他人盗用。

(3) 为使用的用户提供更高的保护级别。

2.2 第三代通信系统的安全结构介绍

在第三代通信系统的使用中, 为了更好的满足用户的信息安全要求和相关的业务能力, 其提出了安全特征的概念, 就是所说的第三代系统安全结构机制和安全特征的有机组合体。机体。3G系统安全结构图如图1。

第三代通信系统建立了五个安全结构组, 主要是:传输层、归属层、服务层、应用层和移动用户。每一个安全结构组都会对外来的威胁和外在的供给进行对抗, 进而保证第三代通信的安全目标。由图1可知, 第三代通信系统的安全结构分析涉及到User域安全分析、应用域安全分析、网络接入安全分析、网络域安全分析和安全的可配置性与可靠性分析。

3 第三代移动通信系统的关键安全技术分析

第三代系统的安全防范技术主要是在2G通信系统的基础上建立起来的, 与此同时, 它还解决了2G通信系统中没有解决的安全问题, 增加了很多的安全功能, 提高了用户的通信安全, 防止用户信息的盗用。

3.1 实体认证机制

第三代通信系统的实体认证机制在原有的第二代通信系统基础上又增加了新的一些功能:

(1) 第三代通信系统可以有效的实现用户和网络之间的双向认证。

(2) 第三代通信系统还增加了数据的完整性功能, 在通信过程中, MS与网络间的信息相比而言是比较敏感的, 所以说需要做完整的保护, 从而防止信息的盗用和攻击。

(3) 为了确保用户在认证的过程中遭受外来的侵扰, 可以通过最新特性, 认证令牌AUTN包括序列号SQN, 这样可以有效的防范相关的风险。

3.2 数据保密机制

第三代移动通信系统数据保密机制通常表现在密钥长度较长以及加密算法协商机制上的建立, 在其系统运营过程中, USIM会主动提示终端使用具体的加密算法。第三代移动通信系统的消息在网络内的传送不需要采用明文的传送, 对消息在网络中传送的安全指数进行了提高。此外, 第三代移动通信系统所使用的交换机制主要是以交换设备为核心的, 加密链路将指向交换设备, 从而完成从一端到另一端的整个过程的加密。在第三代移动通信系统中, 数据保密机制具有以下四种安全特征, 主要有:信令数据加密、加密算法协商、加密密钥协商和用户数据加密。

3.3 身份保密机制

第三代移动通信系统通过对身份保密机制建立, 在无线链路上获知用户使用信息, 从而保证用户身份信息的安全, 3G移动通信主要有两种用户身份机制, 包括:加密的永久身份识别码 (ISMI) 和临时身份识别码 (TMSI) 。临时身份识别码指的是系统分给用户的临时身份, 用户在通信中不可以长期运用同一身份, 为了保证用户通信数据的信息安全, 第三代移动通信系统将对身份信令信息和用户数据进行整个的加密传送。

3.4 验证数据的完整性

为了验证第三代移动通信系统的完整性, 首先需要了解相应系统数据完整性的主要表现, 即包括以下三个安全特征:完整性密钥协商、完整性算法协商、信令及数据的完整性。对于所说的完整性算法协商主要是针对用户和服务网之间的通信安全协商进行完成的, 在通信的过程中, 用户的信息是非常容易受到外界的影响的, 很可能导致用户信息的泄露等, 所以需要加强对信令信息的完整新保护。这样才能确保用户信息的安全。

4 第三代移动通信系统核心加密算法

在第三代移动系统的安全结构中, 涉及到两种标准的核心算法, 主要针对的是完整性和KASUMI算法的数据加密。KASUMI算法的数据加密作为一种分组加密算法, 其遵循相关的基本原则, 包括算法的硬件实现速度快、软件实现速度快和具有足够数学基础的安全性三方面原则。并且在设计上还具备了对抗差分的安全性。

4.1 第三代移动通信系统算法

第三代移动通信系统定义了十多种密码算法, 主要的有数据加密算法、随机数生成算法、数据完整性算法等, 对于里面的针对分组密码算法KASUMI构成的数据加密算法 (f8) 和完整性算法 (f9) 是两个标准的核心算法。

4.2 数据加密算法

数据加密算法主要用在无线路链上, 保证用户信令和数据的安全。将明文数据流于密钥流进行异或者是通过运算就可以完成加密, 这样来实现密文的交流。为了在通信两端生成同样的密钥流并对信令和数据进行加密和解密, 可以利用同步手段使得移动设备和无线网络控制设备中的算法具有相同的算法参数进行完成。为了完成解密并实现明文数据的交流, 可以对密文流和密钥流进行异或运算。

4.3 数据完整性算法

第三代移动通信系统之所以会提出数据完整性算法 (f9) , 其主要目的是为了生成完整的消息认证码, 通过该认证码对无线路链的信令数据来源进行认证, 从而确保信令数据的完整性。信令数据MESSAGE通过f9算法算出完整性消息认证码MAC-I, 并且将它附加在消息的后面发送到接收端。接收方再通过一样的方法得到接收信息, 从而计算出XMAC, 比较XMAC与MAC就可以判断消息是否完整。

4.4 KASUMI算法的数学分析

针对密码算法本身可能会对整个的算法产生攻击等缺陷, 所以需要对第三代移动通信系统的KASUMI算法的各个组成元素进行详细的数学分析。

(1) FI函数:FI函数作为KASUMI算法的基本随机函数, 如果子密钥均匀分布, 那么其平均差分概率和线性概率就会比 (2-9+1) (2-7+1) =2-14要小。对于里面的FI内部的S7函数和S9函数是非线性结构设计。

(2) FL函数:由于FL为以线性函数, 所以说KASU-MI算法和FL函数是相互独立的, 通过简便的形式来减少算法的规则性。这样才能保证在轮换中完成对单独某位的跟踪难度。

(3) F0函数:F0函数是KASUMI算法中的非线性部分, 如果子密钥均匀分布, 那么其平均差分概率和线性概率将比2-28要小。因为F0函数是三轮结构, 所以说很容易被随机选择的四个明文置换识别。

5 结束语

随着移动通讯技术的进一步发展, 人们对通讯系统的安全也提出了更高的要求, 面对外来的安全威胁, 需要相关的技术人员对通信系统进行严格的分析和研究, 在原有的1G、2G通信系统安全基础上, 发现更多的问题, 从而提高第三代通信系统的安全, 满足用户的通讯需求, 本篇论文就第三代通信系统的安全体系和加密算法等发面做了简要的分析探讨, 进而体现了第三代通信系统的安全性和可靠性。

参考文献

[1]李世鸿, 李方伟.3G移动通信中的安全改进[J].重庆邮电学院学报, 2002 (14) :43-45.

软件安全中混合加密算法 第5篇

但是怎样才能达到使信息系统的机密信息不能够被泄漏，或者即使被窃取了也很难被识别，以及即使被识别了也极难修改，这一系列的要求已经成为IT业界的热点研究课题。

加密技术就是目前电子商务采取的基本安全技术手段。

采用信息加密技术不仅可以满足信息保密性的安全需求，而且还可以避免重要信息泄漏的安全威胁。

安全加密系统 第6篇

认识BitLocker程序

为了增强数据文件的安全性。微软公司从Windows 2000系统开始，就针对NTFS格式的磁盘分区提出了EFS加密功能，不过该功能只能对单个文件进行加密，同时无法加密页面文件和休眠文件，黑客可能通过翻看系统页面文件中的数据信息偷窥重要隐私内容。为了避免上述安全麻烦，vista、Windows 7、WindoWS 2008系统特地提出了新的安全保护功能，那就是BitLocker2D密磁盘功能，该功能主要是用来帮助用户防止重要数据对外泄露或抵御数据失窃的；由于该功能在windows7系统中表现得较为成熟。为此本文在这里就以Windows 7系统为蓝本，详细为大家介绍BitLocker程序的前世今生。

BitLocke程序采用卷级加密技术，来保护由数据存储设备丢失引起的数据泄露或恶意失窃行为，在默认状态下，该程序使用支持扩散器的128位加密算法保护数据安全，用户能通过调整系统组策略相关配置将加密密钥扩充到256位。BitLocke程序通过一个内置在计算机中的TPM微芯片，来存储加密信息，如果计算机安装了兼容TPM，那么在TPM已检查启动文件和启动组件的状态后，才能访问这些加密信息；在启动过程中，TPM将释放密钥，该密钥仅在将重要操作系统配置值的一个哈希值与一个先前所拍摄的快照进行比较之后解锁加密分区，这将验证windows系统启动过程的完整性，要是TPM检测到Windows安装已被篡改，则不会释放密钥。在缺省状态下，BitLocker安装向导配置为与TPM无缝使用，管理员可以使用组策略或脚本启用其他功能和选项，为了增强安全性，可以将TPM与用户输入的PIN或存储在USB闪存驱动器上的启动密钥组合使用。在不带有兼容TPM的计算机上，BitLocker可以提供加密，而不提供使用TPM锁定密钥的其他安全。在这种情况下，用户需要创建一个存储在USB闪存驱动器上的启动密钥。

与旧版本系统中的EFS加密功能一样，BitLocker的加密、解密过程，对终端用户来说都是非常透明的，合法用户在访问加密内容时，根本觉察不到加密功能的存在，无论是加密操作还是解密操作，其实都是在系统后台悄悄进行的。这两种加密功能，对用户的身份进行验证时，都是在登录Windows系统过程中完成的，显然它们的加密密钥都是与用户的登录账号直接绑定在一起的，所以即使有人悄悄将加密内容拷贝到其他位置处，但如果没有登录用户的合法授权，这些被转移到其他地方的加密文件是无法打开的。

与EFS加密功能不一样的是，BitLocker要么对整个磁盘卷进行加密，要么就不进行加密，它的加密灵活性没有EFS功能强，但是加密整个磁盘卷，可以保护所有数据，包括操作系统本身、Windows注册表、临时文件以及休眠文件，显然它的加密效率和保护范围都要强于EFS功能。更为重要的是，BitLocker功能可以有效保护系统分区的安全，在操作系统启动运行后，该功能能一直监控系统的运行安全，一旦发现启动配置文件被更改、磁盘发生损坏或BIOS被修改，那么它就会自动锁住系统分区，这个时候必须要用事先准备好的加密密钥才能解锁，通过这种保护方式能避免病毒、木马、恶意程序对系统分区的攻击和破坏，而EFS加密功能只能保护单个文件或文件夹。

BitLocker加密要求

Windows 7系统中的BitLocker功能，对不同的加密内容有不同的加密要求，通常该功能对普通的数据磁盘加密要求不高，凡是Windows 7系统能正常安装工作的环境，都能成功进行数据磁盘分区的加密操作，而要想成功对系统分区进行加密，就必须要求Windows 7系统所在的计算机符合一定的硬件条件，这主要是BitLocker功能在对系统分区进行加密时，需要将加密密钥和解密密钥保存在硬盘之外的独立设备上。

根据独立设备的不同，BitLocker功能主要包含两种工作模式，一种是TPM模式，另外一种是U盘模式。要想让BitLocker功能工作在TPM模式，计算机一定要具备不低于1.2版TPM芯片，这种芯片一般是借助硬件提供的，通常只会出现在对安全性要求较高的商用电脑或工作站上，家用电脑或普通的商用电脑不会提供。如果计算机没有TPM芯片，可以使用优盘等USB设备来保存加密密钥和解密密钥，这时BitLocker功能需要工作在U盘模式，而且每次重新启动系统的时候，一定要在开机之前将优盘连接到计算机上。

除了要满足硬件方面的要求外，计算机硬盘还要在分区方面满足一定的要求：首先硬盘至少要保留两个活动分区，一个是操作系统所在的系统分区，另外一个是用来存储解密程序的额外活动分区，该分区必须是NTFS格式，同时处于未加密状态，并且它们的可用空间不能少于1.5GB，要是计算机硬盘不支持两个活动分区，BitLocker功能可以自行创建它们，只是用户必须选择NTFS格式来对它们进行格式化；其次计算机要支持USB设备启动，或者所使用的BIOS与TPM芯片要能相互兼容，否则BitLocker功能将无法正常工作。

在这里需要提醒大家的是，要判断计算机是否支持TPM功能时，可以依次单击“开始”|“控制面板”命令，在弹出的系统控制面板窗口中，双击“系统和安全”图标，在其后界面中点击“BitLocker驱动器加密”选项，弹出如图1所示的管理窗口；在该窗口的左侧列表中，点击“TPM管理”按钮，切换到本地计算机上受信任的平台模块管理窗口，如果窗口中出现了“找不到兼容的TPM”提示时(如图2所示)，那就意味着本地计算机没有TPM芯片。相反，要是本地计算机上受信任的平台模块管理窗口左侧存在一个叫做“安全设备”的节点，该节点往往会显示出“受信任的平台模块”这类的设备，同时我们还能看到它的版本信息。

加密解密数据分区

对于保存了重要数据的磁盘分区，我们可以利用BitLocker程序对其直接进行加密，这样只有合法用户才能访问加密的数据

内容，其他用户在尝试访问加密了的数据分区时，系统往往会弹出“拒绝访问”的提示。在加密数据分区时，可以按照如下步骤来进行：

首先打开Windows 7系统的资源管理器窗口，从中找到保存了重要数据的磁盘分区，用鼠标右键单击目标磁盘分区，从弹出的右键莱单中执行“启用BitLocker”命令，切换到如图3所示的加密设置对话框，在这里BitLocker序为用户提供了两种加密方式，一种是使用密码解锁方式，一种是使用智能卡解锁方式，要是本地计算机没有TPM芯片，那么我们就不能选用智能卡解锁方式，假设在这里我们选择了“使用密码解锁驱动器”选项；

其次输入两遍密码内容，单击“下一步”按钮，弹出如图4所示的设置界面，该界面允许用户选择存储恢复密钥方式，在这里用户可以尝试将恢复密钥保存到优盘中，或者是保存到文件中，需要提醒用户的是，恢复密钥一定要保管好，日后密码一旦忘记了，需要通过它来恢复文件，鉴于它的重要性，我们建议将恢复密钥同时保留多个副本，比方说既将密钥保存到优盘中，又将密钥内容打印出来，再将打印出来的密钥内容放置到不同的安全位置；

选择好存储恢复密钥方式后，继续单击“下一步”按钮，随后加密向导会弹出是否准备加密该驱动器的提示，单击其中的“启动加密”按钮，之后Windows 7系统会自动启动运行BitLocker乖呈序，来对目标磁盘分区执行加密操作，加密过程需要耗费的时间，视目标磁盘分区空间的大小和磁盘文件数量的多少而有所不同，如果磁盘空间大，那么加密过程需要等待的时间就很长(如图5所示)，加密结束后系统会自动弹出“加密已完成”的提示。为了让加密设置生效，我们还需要重新启动Windows 7系统，启动成功后系统还会继续进行剩余的处理操作，处理完毕后，加密过程才算彻底结束。接下来，切换到系统资源管理器窗口，我们就能看到目标磁盘分区圈标上多出了一个小锁标志，这说明该磁盘分区已被成功加密，而普通的磁盘分区则没有小锁标志。

在访问加密了的分区内容时，只要输入事先设置的密码，就能进行访问，要是本地计算机中同时安装了两个操作系统，切换到非Windows 7系统状态中运行的话，用户尝试访问加密磁盘分区中的内容时，系统屏幕上会自动弹出“驱动器不可用”的提示，查看该驱动器的分区格式，会发现已经变成“RAW”格式。即使用户将加密分区所在的硬盘转移到其他安装了Windows 7系统的计算机中，该分区中的内容也不能被直接访问，必须凭事先准备好的备份密钥才能访问，如果手头没有备份密钥，那么用户自己也将不能访问加密内容，显然这种加密特性大大提升了硬盘数据的安全性。

大家知道，通过观察分区图标上的小锁标志(如图6所示)，就能识别出磁盘分区是否被加密了。在访问加密了的磁盘分区内容时，需要经过解密操作，那么解密操作是如何进行的呢?一般来说，用鼠标双击加密了的磁盘分区时，系统首先会弹出密码验证对话框，要求用户输入正确的加密密钥，如果输入的密钥内容不正确，系统就会弹出拒绝使用的错误。当密钥内容输入正确后，BitLocker程序就会自动对目标磁盘分区执行解密操作，解密任务完成后，会自动打开播放窗口，单击“打开文件夹以查看史件”按钮，就能顺利地访问到加密磁盘分区中的数据文件了；在本次登录系统的过程中，用户可以一直很顺畅地访问加密内容，而不要重复输入访问密钥。不过，这种解密特性对不少重要的数据来说，还是存在安全隐患的，例如多个用户使用相同的一台计算机时，如果用户临时离开计算机一段时间，一些恶意用户可能会趁机访问加密内容，那么对磁盘分区进行解密后，有没有办法再次对它加密呢?此时我们发现，从右键莱单中已经无法找到加密命令了，甚至在Windows 7系统中也无法对加密分区进行再次加密了，不过利用DOS命令可以实现再次加密目的。例如，要对F盘执行再次加密时，可以依次单击“开始”|“运行”命令，在系统运行对话框中输入

“cmd”，切换到DOS命令行工作窗口，输入“manage-bde-lock F：”命令，单击回车键后，F盘就能被再次锁定了。此外，如果希望系统开机启动后，系统能自动解锁，可以先用鼠标右键单击目标磁盘分区，点选右键莱单中的

“解锁驱动器”命令，在其后弹出的解锁对话框中，选中

“从现在开始在此计算机上自动解锁”选项，再按“解锁”按钮就能达到目的了。不过，要想享受到自动解锁的便利，必须要求目标磁盘分区已经被BitLocker程序加锁，不然的话自动解锁功能无法生效。

除了通过双击鼠标的方法打开密码验证对话框来解密外，用户还能通过右键菜单中的“解密驱动器”命令，来实现快速解密的目的。

加密解密系统分区

由于系统分区的加密、解密比较特殊，我们必须认真对待，才能避免系统受到病毒、木马的侵害。考虑到系统分区的加密，需要硬件环境的支持，特别是TPM芯片的支持，为此在加密系统分区的时候，一定要查看本地计算机是否存在TPM芯片{要是发现TPM芯片真的存在时，那我们就能放心地对系统分区进行加密操作了。

在进行具体加密操作时，首先打开Windows 7系统的资源管理器窗口，选中操作系统所在的磁盘分区，并用鼠标右键单击该分区图标，从弹出的右键菜单中执行“启用BitLocker”命令，BitLocker程序就能自动扫描本地系统，以识别系统是否满足加密要求；当本地系统满足加密要求后，BitLocker程序将会弹出提示，告诉用户接下来要进行的一些操作，例如准备驱动器、打开TPM、加密驱动器等。如果本地计算机中只有一个操作系统分区，那么BitLocker程序将会通过收缩、创建等操作，来准备好驱动器，当驱动器准备好后，将本地计算机重新启动一下，之后系统会对TPM执行初始化操作，这个过程主要包括移除任何CD或USB驱动器、重新启动计算机系统、打开TPM等环节，有的时候我们需要进入到BIOS配置界面，通过手工方式才能成功启用TPM，并对TPM执行安全硬件初始化操作；初始化操作结束后，剩余的加密设置过程就与普通数据分区的加密过程几乎一样了。

如果本地计算机不支持TPM芯片，那么我们必须插入优盘，才能对系统分区执行加密操作。在利用优盘加密系统分区时，可以依次单击“开始”｜“运行”命令，在弹出的系统运行对话框中，输入“gpedit.rose”命令，单击“确定”按钮后，切换到系统组策略编辑窗口，将

鼠标定位到该窗口左侧列表中的“计算机配置”｜“管理模板”｜“windows组件”｜“BitLocker驱动器加密”、“操作系统驱动器”分支上，用鼠标双击目标分支下的“启动时需要附加身份验证”选项，弹出如图7所示的选项设置框，选中“已启用”选项，再将“没有兼容的TPM时允许BitLocker”复选框勾选起来，最后单击“确定”按钮保存设置操作，这样我们就能借助优盘来加密系统分区了。

在利用优盘加密系统分区时，选中操作系统所在的磁盘分区，并用鼠标右键单击该分区图标，从弹出的右键菜单中执行“启用BitLocker”命令，BitLocker程序就能自动扫描本地系统，扫描结束后，会自动提示用户准备磁盘空间来启用BitLocker程序；之后，按照向导提示设置该程序的启动首选项，对于不支持TPM芯片的计算机来说，一定要选中“每一次启动时要求启动USB密钥”选项，插入需要保存密钥内容的优盘，单击“重试”按钮，切换到保存启动密钥对话框，将优盘选中并导入进来，再按“保存”按钮。当加密向导要求选择恢复密钥的保存位置时，我们可以选择打印保存、文件保存或优盘保存；由于加密密钥比较重要，我们在选择密钥保存位置时，应该多选择几个位置，确保在需要恢复对驱动器的访问时，能够很方便地找到加密密钥。当选择好密钥保存位置后，加密向导会询问用户是否真的要加密系统驱动器，我们应该选择“运行BitLocker检查”选项，同时单击“继续”按钮，加密向导将会重新启动系统，启动后开始正式执行加密操作，加密完成后，日后每次启动系统都要先插入启动优盘，才能保证系统启动正常，如果插入了其他的优盘，那么用户是无法进入到Windows 7系统界面的。

管理BitLoeker程序

要想让BitLocker程序的作用得到切实发挥，我们必须加强对它的有效管理，只有这样才不会出现由于密钥损坏而造成重要内容无法访问的尴尬。

当我们对Windows系统进行在线更新或对病毒库在线更新时，BitLocker程序会错误认为病毒在非法入侵，于是会要求用户输入恢复密钥；为了避免这样的烦恼，我们可以对BitLocker程序执行挂起操作，来临时取消对系统的保护。在进行这种操作时，可以依次单击“开始”｜“控制面板”命令，双击系统控制面板窗口中的“系统和安全”图标，选择其后界面中的“BitLocker驱动器加密”选项，切换到驱动器加密管理界面，选中系统分区当中的“挂起保护”选项，就能实现临时挂起目的。

如果不想对某个磁盘分区进行加密时，可以关闭BitLocker程序，取消对目标磁盘分区的加密保护。在关闭BitLocker程序保护时，可以先打开驱动器加密管理界面，单击目标磁盘分区右侧的“关闭BitLocker”按钮，如图8所示，之后系统会弹出一个确认对话框，单击“解密此卷”按钮，随后系统会自动执行解密操作，同时系统任务栏中会出现一个小图标，点击这个小图标，能看到详细的解密进度，解密操作结束后，之前有小锁标志的磁盘图标上就变成普通的磁盘图标了。

安全加密系统 第7篇

关键词：电力信息系统,存储安全,加密技术

1 存储数据安全技术

数据安全是一门综合的学科, 它涉及信息论、计算机科学和密码学等多方面的知识, 它研究计算机系统和通信网络系统内信息的保护方法, 以实现系统内信息的安全、保密、真实和完整。数据安全技术具体包括以下内容。

1.1 保密性

信息或数据经过加密变换后, 将明文变成密文形式, 表面上无法识别, 只有那些经过授权的合法用户, 掌握秘密密钥, 才能通过解密算法将密文还原成明文。而未授权的用户则无法获得明文。

1.2 完整性

完整性是将信息或数据附加上特定的信息块, 系统可以用这个信息块检验数据的完整性, 特点是信息块的内容通常是原信息或数据的函数。只有那些经过授权的用户, 才允许对数据或信息进行增加、删除和修改, 而未经过授权的用户, 只要对数据或信息进行改动, 就立刻会被发现。

1.3 可用性

可用性指的是安全系统能够对用户授权, 提供某些服务, 即经过授权的用户可以得到系统资源, 并且享受到系统提供的服务, 防I F非法用户对系统资源或系统服务的访问和利用, 增强系统的效用。

1.4 真实性

真实性指的是防止系统内的信息感染病毒。由于计算机病毒的泛滥, 已很难保证计算机系统内的信息不被病毒侵害, 因此信息安全技术必须包括反病毒技术, 采用人工方法和高效反病毒软件, 随时检测计算机系统内部和数据文件是否感染病毒, 一旦发现应及时清除, 以确保信息的真实可靠。

2 电力信息系统中数据信息网的安全分析

电力系统信息化建设硬件环境已经基本构建完成, 计算机以及信息网络系统在电力生产、经营、管理、科研、设计等各个领域有着十分广泛的应用, 尤其在电网调度自动化、厂站自动控制、管理信息系统、电力市场、电力营销系统、负荷管理、计算机辅助设计、教育培训等方面取得了较好的效果, 但同时也带来了网络安全方而的隐患。电力信息安全是电网安全运行和可靠供电的保障, 是一项涉及电网调度自动化、厂站自动化、配电网自动化、电力负荷控制、继电保护及安全装置、电力营销、电力市场等有关生产、经营和管理方面的多领域、复杂的大型系统工程, 但是现实是电力系统信息没有建立安全体系, 有的只是购买了防病毒软件和防火墙, 有的网络连防火墙也没有, 没有对网络安全做统一长远的规划。网络中有许多的安全隐患。

目前的主要问题有以下几点。

(1) 缺乏统一的信息安全管理规范:电力系统急需一套统一、完善的能够用于指导整个电力系统信息网络系统安全运行的管理规范。

(2) 电力职工的网络安全意识有待提高:随着信息技术高速发展, 信息安全策略和技术取得了非常大的进步, 但是我们目前的认识与实际差距较大, 对新出现的信息安全问题认识不足。

(3) 需要建立一套适合电力企业其自身特点的信息安全体系:电力信息网络应用可分为四大类:管理信息类、生产控制类、话音视频类、经营类。生产控制类应用与其他应用的物理隔离, 以确保实时的生产控制类应用的安全。同时外网与内网间也应该物理隔离。

电力监控系统可通过专用局域网实现与本地其他电力监控系统的互联, 或通过电力调度数据网络实现上下级异地电力监控系统的互联。建立和完善电力调度数据网络, 应在专用通道上利用专用网络设备组网, 采用专线、同步数字序列、准同步数字序列等方式, 实现物理层面上与公用信息网络的安全隔离。电力调度数据网络只允许传输与电力调度生产直接相关的数据业务。

电力监控系统和电力调度数据网络均不得和互联网相连, 并严格限制电子邮件的使用。

3 电力市场中应用的信息安全技术研究

随着Internet的影响日益扩大, 越来越多的公司将传统型的业务流程转向在网上开展, 以降低成本、扩大市场。电力市场就是在网络上进行各种电力的交易, 是一种电子商务。因此, 在电力市场中也有许多不安定因素, 存在许多安全隐患。有信息的截取和窃取、信息的篡改、信息的假冒、交易的抵赖、病毒的危害等。为了使电力交易中的敏感信息安全可靠, 必须确保电力市场技术支持的安全可靠。所以研究计算机网络信息安全保密问题就显得越来越重要了。

安全技术包括很多, 如数据加密技术、访问控制技术、认证技术、隧道技术、防火墙技术、入侵检测技术、安全通信技术以及安全的高层和低层协议。在电力市场中——作为一种电子商务, 最核心的信息安全技术主要有:数据加密技术、数字签名技术、认证技术和防火墙技术。

3.1 数据加密技术

由于数据在传输过程中有可能遭到侵犯者的窃听而失去保密信息, 加密技术是电子商务采取的L要保密安全措施。加密技术也就是利用技术手段把重要的数据变为乱码 (加密) 传送, 到达目的地后再用相同或不同的手段还原 (解密) 。

随着密码学的不断发展, 人们研究设计了许多加密算法, 据不完全统计, 迄今为止, 己经公开发表的各种加密算法多达数百种。目前的加密算法按照接收方与发送方密钥是否相同分为两大类, 即对称加密算法和非对称加密算法。

3.2 数字签名技术

对文件进行加密只解决了第一个问题, 而防止他人对传输的文件进行破坏, 以及如何确定发信人的身份还需要采取其它的手段, 这一手段就是数字签名。只有加入数字签名及验证 (Verification) 才能真正实现在公开网络上的安全传输。

数字签名技术实际上是在数据加密技术基础上的一种延伸应用。在电子商务安全保密系统中, 数字签名技术有着特别重要的地位, 在电子商务安全服务中的源鉴别、完整性服务、不可否认服务中, 都要用到数字签名技术。

应用广泛的数字签名方法主要有三种, 即:RSA签名、DSS签名和Hash签名。这三种算法可单独使用, 也可综合在一起使用。数字签名是通过密码算法对数据进行加、解密变换实现的但三种技术或多或少都有缺陷, 或者没有成熟的标准。

3.3 认证技术

认证技术主要包括身份认证和信息认证。前者用于鉴别用户身份, 后者用于保证通信双方的不可抵赖性和信息的完整性。

信息认证可以用上述的加密技术和数字签名技术来实现, 这里就不再重复。

在现在的电力市场技术支持系统中, 当发电厂的用户进入系统, 访问不同的信息时, 应当根据用户的身份实施不同的行为, 限制他们的权限。

3.4 防火墙技术

防火墙是Intranet的第一道防线。它是一个由软件或和硬件设备组合而成, 处于企业或网络群体计算机与外界通道之间, 是加强因特网与内部网之间安全防范的一个或一组系统, 包括网关硬件和代理软件。防火墙具有限制外界用户对内部网络访问及管理内部用户访问外界网络的权限。它可以确定哪些内部服务允许外部访问, 哪些内部服务可由内部人员访问, 即能控制网络内外的信息交流, 提供接入控制和审查跟踪, 是一种访问控制机制。

参考文献

[1]王晋东, 张明清, 等.系统安全技术策略研究[J].计算机应用研究, 2005, 5:33～35.

增强EFS加密文件系统的安全性 第8篇

随着网络技术的发展, 网络安全也就成为当今网络社会的焦点。病毒、黑客程序、邮件炸弹、远程侦听等无不让人胆战心惊。病毒、黑客的猖獗使身处网络社会的人们谈网色变, 无所适从, 用来阻止非法用户阅读的文件加密技术就是在这样一种环境和应用需求下催生的。在各种各样的文件加密方式中, EFS (Encryption File system) 是一种功能非常强大、应用相当广泛的最为理想的静态文件加密保护系统。它是Windows 2000/XP/Server 2003的NTFS文件系统中的一个组件。使用EFS加密简单、方便, 对合法用户完全透明, 操作不会受到任何限制, 然而未经许可对加密文件和文件夹进行物理访问的入侵者将无法阅读这些文件和文件夹中的内容。

1 EFS概述

传统上加密技术主要有对称和非对称两种。非对称加密使用两个不同的密钥, 一个用来加密数据, 另一个用来解密数据, 因此安全性能高, 但运算速度慢;对称加密由于使用的是相同的密钥来加密和解密数据, 在处理器上更容易实现, 它的运算速度比非对称加密大约快了100到1000倍, 但与公钥相比, 对称加密更难于进行安全管理, 因为其加密模式 (尤其是密钥) 中的任何一个方面都不能公开。EFS则综合运用了非对称 (公钥) 加密技术和对称加密技术, 从而既实现了高性能又具备了高安全性。

2 EFS工作原理

2.1 加密

当一个新文件被加密时, 加密文件系统会调用CryptoAPI随机生成一个文件加密密钥FEK (File Encryption Key) 。FEK属于对称密钥, 由它来加密和解密文件。首次使用EFS时, 如果用户还没有公钥/私钥对 (非对称密钥) , 则首先会根据加密者的安全标识符SID (Security Identifier) 生成该用户的非对称密钥。然后, EFS从用户证书中获取公钥, 用它来加密FEK, 并送到加密文件的文件头中的数据加密区DDF (Data Decryption Field) 中保存起来。接着, EFS使用数据恢复代理DRA (Data Recovery Agent) 证书中的公钥加密FEK。由于可以有多个数据恢复代理, 所以可能存在多个不同公钥加密过的FEK。把这些经DRA公钥加密的FEK组合在一起送到加密文件的文件头中的数据恢复域DRF (Data Recovery Fields) 中保存起来, 最后EFS将DDF、DRF作为加密文件头和经FEK加密的数据组合得到加密文件, 其结构如图1所示。

接下来, 系统并不是把密钥保存在“安全账户管理器 (SAM) ”或单独的目录中, 而是重新加密后保存在受保护的密钥存储区中。为保护私钥, EFS调用数据保护API (Data Protection API) 随机产生256位的一个对称密钥——用户主密钥 (Master Key) , 再利用用户主密钥加密私钥。加密后的私钥保存在以下文件夹:%User Profile%Application DataMicrosoftCryptoRSASID。为了保护主密钥, EFS再调用数据保护API, 计算用户凭据 (包括登录用户名和口令) 的Hash值作为一个对称口令加密密钥, 再用该密钥加密用户主密钥。加密后的主密钥保存在以下文件夹:%User Profile%Application Data-MicrosoftProtectSID。整个EFS加密的密钥是层层加密的。如下所示:

2.2 解密

当用户想要解密文件时, EFS根据登录用户名和口令得到主密钥, 通过主密钥取回用户的私钥, 然后用它来解密存放在文件头的DDF中的FEK, 最后用FEK解密文件。加密用户并非惟一能对文件加密密钥进行解密的人, 其他被指派的数据恢复代理也可以使用他们自身的私钥来解密文件加密密钥。

3 增强EFS的安全

在实际的EFS加密应用中, 防止私钥泄密是最困难的问题之一。由于EFS把所有的相关密钥都保存在Windows分区, 所以这可能给EFS带来一定的安全隐患。目前有一些第三方工具号称可以破解EFS, 这些工具首先攻击SAM配置单元文件, 尝试破解账户密码, 从而破解账户密码→主密钥的加密密钥→主密钥→EFS私钥→FEK的“密钥链”。所以任何用户, 只要获得该用户的账户密码, 就可以像该用户一样登录进去, 且能够对该用户的文件进行解密。为了防止攻击者窥视我们的EFS文件, 一种方法是采取强密码策略保护账户密码, 而更安全的方法是导出和删除私钥。只有当我们需要访问时, 才导入先前备份的证书和私钥。这样, 删除私钥以后, 攻击者就没有办法访问EFS加密文件了。

3.1 导出删除私钥

在管理控制台中, 展开“证书/当前用户/个人”项目, 选择“所有任务/导出”, 启动证书向导导出EFS加密证书和私钥, 并且在“证书导出向导”对话框里选择删除私钥。导出的证书是一个以扩展名为.pfx的文件。如图2所示。导出的证书应保存在安全的存储设备中, 在需要时导入使用。

3.2 系统密钥实用程序 (Syskey) 保护系统密钥

用户账户的密码信息存储在SAM数据库中, 在域控制器上, 密码信息存储在目录服务中。Syskey使用强加密技术来保证存储在SAM数据库或目录服务中的账户密码信息的安全。破解经过加密的账户密码会变得更加困难, 并且比破解非加密账户密码更为耗时。方法是运行syskey命令, 选择系统产生的密码为“在软盘上保存启动密码”, 这样, 操作系统在启动时, 会提示插入软盘读取系统密钥。

4 数据恢复

利用EFS加密数据的过程非常简单, 但是一旦密钥丢失, 数据恢复就非常困难。为了预防这类损失的发生, 可以通过建立数据恢复代理和采用备份密钥的方法。

4.1 配置恢复代理

以数据恢复代理用户的身份登录系统, 在“开始”菜单的“运行”处运行cmd命令, 进入“命令提示符”窗口, 执行如下格式的命令:cipher/r:dra。其中dra为不带扩展名的文件名称。

执行了命令后, 会提示用户输入用来保护.pfx文件的密码。输入密码并确认后, 系统会在“documents and settings/恢复代理”目录下创建两个文件, 其中dra.cer文件只包含恢复证书, dra.pfx文件包含恢复证书和私钥。如图3所示。

接下来需要把生成的证书导入到证书列表中。

导入数据恢复证书的操作为:以数据恢复代理用户的身份登录系统, 打开系统管理控制台, 在管理控制台中展开“证书”|“当前用户”树形列表, 右击“个人”项目, 选择“所有任务/导入”, 启动导入向导, 在“文件名”处找到前面创建的证书。如图4所示。

由于数据恢复代理可以透明地访问所有用户的加密文件, 因此, 如果非法用户破解了作为数据恢复代理用户的口令进入系统, 大量的个人文件和敏感信息将有可能被偷窥。因此, 恢复代理在导入证书时一般只导入恢复代理证书, 也就是扩展名为.cer的文件。只有在需要进行文件恢复时才导入私钥, 也就是扩展名为.pfx的文件。在完成恢复操作后, 将私钥导出, 并且从计算机中删除。

4.2 数据恢复策略

配置了恢复代理后, 还要把他们添加到数据恢复策略中。具体操作如下:以内置的administrator账户或管理员组成员的身份登录系统, 在“开始”菜单的“运行”处, 执行gpedit.msc, 进入“组策略”窗口。依次展开“计算机配置”|“windows设置”|“安全设置”|“公钥策略”, 在“正在加密文件系统”列单击右键, 选择“添加数据恢复代理”, 启动向导, 如图5所示。如果是域环境, 则在列表中选择, 否则点击“浏览文件夹”, 定位创建的恢复证书, 文件的扩展名只能为.cer。

5 结论

综上所述, 在使用EFS加密文件时, 只要我们注意保管好加密私钥和用户密码, 采用EFS加密文件是足够安全的。当然, 同时还要配置好恢复代理, 这样能帮助我们在不慎丢失密钥时找回文件。因此, 只要我们正确地使用EFS文件加密系统, EFS不失为一种安全性高、操作简单的文件加密工具。

参考文献

[1]王达.网管员必读—网络安全.电子工业出版社.2006.

[2]沈士根.EFS的研究与安全性分析.微计算机信息.2006.

安全加密系统 第9篇

1 系统总体结构

系统总体结构框图如图1所示。系统由智能卡和加密机两大部分构成,智能卡通过ISO 7816接口与加密机相连。加密机主要由51单片机、嵌入式USB主机、FPGA、智能卡接口电路、电源电路和按键、LED等人机交互接口电路构成。嵌入式USB主机作为USB拓扑结构中的主机(Host),完成USB存储设备的访问管理和USB文件的读写。USB文件的加解密由FPGA高速实现3DES算法来完成。智能卡实现系统的安全管理。智能卡接口电路实现ISO 7816接口到并行接口的转换。51单片机通过并行总线与嵌入式USB主机、FPGA和智能卡接口电路相连,负责整个系统的管理和控制。

2 系统安全性设计

安全性是加密系统一项至关重要的性能指标。本系统从以下几方面进行了严密的安全性设计,确保系统的高安全性。

2.1 工作模式

基于嵌入式USB主机设计,实现可完全脱离PC机运行的嵌入式工作模式,从而消除了PC机软硬件安全隐患,提高了系统的安全性。

2.2 安全认证

安全认证包括加密机与智能卡之间的设备认证和智能卡与操作者之间的身份认证。

设备认证通过对比加密机和智能卡中存放的设备认证码来实现。每个加密机与唯一一个智能卡配对使用,均存放着相同的设备认证码,且不同的加密机和智能卡有不同的设备认证码,通过对比各自存放的设备认证码可对智能卡的合法性进行认证。

身份认证通过智能卡的口令验证实现,只有输入正确的智能卡口令才能通过口令验证,从而对操作者的合法性进行认证。

在安全认证过程中,任何一个认证若不通过加密机,则结束操作。因此只有当密码机、唯一与之配对的智能卡和正确的智能卡口令三个要素同时具备时,才能通过认证。缺乏其中任何一个要素,认证都将失败,加密机结束操作,从而使系统的安全性大大提高。

2.3 加解密算法的安全性

加解密算法的安全性包括算法自身的安全性以及算法存放和调用的安全性。

本系统的加解密算法选用3DES算法。3DES算法的密钥长度为168位,用穷举搜索结果攻击密文需要测试2 168次,可以有效克服穷举攻击,并且增强了抗差分分析和线性分析能力,具有极其强大的安全性[1]。

算法存放和调用的安全性依赖于器件自身具有的安全防护能力。本系统选用ACTEL公司反熔丝型FPGA芯片AX250存放和调用算法。反熔丝型FPGA不需要专门的编程芯片,且具有编程内容不可读、运行时不能改的性能,可有效地保护算法,从而提高系统的安全性。

2.4 密钥的安全性

本系统选用智能卡实现密钥的安全存放和调用。智能卡中集成了微处理器、存储单元以及芯片操作系统COS(Chip Operating System),从而构成一个完整的计算机系统。它不仅具有数据存储功能,同时还具有命令处理和数据安全保护等功能,因此安全性大大增强。本系统选用智能卡作为密钥存放的介质,密钥的调用受卡内COS操作系统的安全保护,利用智能卡自身的物理安全机制和COS操作系统的安全体系为密钥的存放和调用提供双重的安全保证。

2.5 其他安全防范措施

(1)设备认证码的存放和调用受AX250和智能卡的保护,避免外部访问。

(2)加密机与智能卡可分离存放,减少失密的可能。

(3)在系统开机时对算法和密钥联合运行的正确性进行自检,防止加解密错误。

3 系统硬件设计

3.1 51单片机电路设计

51单片机选用CYGNAL公司的C8051F023。C8051F023是完全集成的系统级SoC芯片,具有25 MIPS的CIP-51内核,内部资源丰富、功耗低、可提高系统的可靠性和便携性。

单片机电路原理如图2所示。C8051F023外接25 MHz晶振,程序执行速度可高达25 MIPS。为提高数据通信速率,单片机通过8位非复用并行总线与嵌入式USB主机、FPGA和智能卡接口电路通信。因外部所需地址空间较少,单片机采用线选的方式进行片选,A15片选USB主机,端口地址范围为6000H～7FFFH;A14片选FPGA,端口地址范围为A000H～BFFFH;A13片选智能卡接口电路,端口地址范围为C000H～DFFFH。

3.2 嵌入式USB主机电路设计

嵌入式USB主机选用CH375。CH375是一款USB通用接口芯片,支持Host主机方式和Slave设备方式,主机端点输入和输出缓冲区各为64 B。在Host主机方式下支持各种常用的USB全速设备,外部处理器可以方便地通过CH375按照相应的USB协议与USB设备通信[2]。

嵌入式USB主机电路原理如图3所示。TXD管脚接地,CH375通过并行接口与C8051F023通信。地址输入线A0连接至单片机的地址线A0,当A0为高电平时选择命令端口,可以写入命令;当A0为低电平时选择数据端口,可以读写数据,因此CH375命令端口的访问地址为6XX1H或7XX1H,数据端口的访问地址为6XX0H或7XX0H。中断请求INT连接到单片机的中断输入/INT0。V3管脚接3.3 V,选择工作电压为3.3 V,从而与接口的C8051F023保持电平兼容。接插件J201为通用USB插座,外接待加解密的USB存储设备。

3.3 FPGA电路设计

FPGA选用反熔丝型FPGA芯片AX250。该芯片除具有较高的安全性,还具有资源丰富、速度快、功耗低、抗辐射能力强和耐高低温等优点,可大幅提高系统的整体性能[3]。

FPGA电路原理如图4所示。AX250通过8位并行接口与单片机C8051F023通信。内部工作电压VCCPL接1.5 V,保证芯片低功耗运行。外部IO电压VCCIB接3.3 V,保持与C8051F023电平兼容。AX250的时钟由晶振CRY301输入,时钟频率根据FPGA内部程序逻辑综合后的时钟频率而定,系统最终实现的频率为33 MHz。因单片机只有两个外部中断,FPGA与智能卡接口电路共用同一个中断INT1,CARD_INT为智能卡接口电路的中断请求。系统在FPGA中设置一中断标志寄存器,当FPGA或智能卡接口电路请求中断时会分别置对应的中断标志位为1,单片机通过查询中断标志寄存器即可确定INT1的中断源。

3.4 智能卡接口电路设计

智能卡接口电路选用Philips公司的TDA8007。TDA8007能够提供两个满足ISO7816标准的智能卡接口,并通过并行总线与微处理器通信,可实现ISO7816接口到8位并行接口的转换。TDA8007内部集成的电源管理功能允许TDA8007的供电范围可达2.7～6.0 V,并且通过电源管理可以给智能卡提供5.0 V、3.0 V及1.8 V电源,以适合不同工作电压的智能卡应用[4]。

智能卡接口电路原理如图5所示。工作电压选择3.3 V,保持与接口的C8051F023电平兼容。并行总线接口为非复用方式,ALE信号接高电平,AD0～AD3与单片机A0～A3相连。中断请求CARD_INT连至FPGA,与FPGA共用单片机的同一中断INT1。接插件J401为智能卡ISO7816接口插座。

4 系统软件设计

4.1 单片机C8051F023软件设计

C8051F023是本系统的控制核心,负责管理及协调系统其他各部分的工作,程序流程图如图6所示。其中与USB有关的操作由单片机控制CH375完成,自检、安全认证和数据加解密等操作由单片机控制智能卡和FPGA完成。

4.2 3DES算法的实现

3DES算法用硬件描述语言VHDL编程实现,算法实现的整体结构框架如图7所示。加解密密钥K1、K2、K3存储在密钥存储RAM中,经子密钥产生模块产生三组子密钥SUBK1、SUBK2、SUBK3,分别提供给3个DES模块。待加解密数据存储在输入FIFO中,在控制模块的控制下每次读取64位送到DES模块1,经DES模块1、DES模块2和DES模块3处理完后,把加解密的结果送到输出FIFO中,从而完成一组数据的3DES加解密。

此设计采用循环全部打开和流水线结构来设计单个的DES模块。循环打开后,实现DES模块的全部16轮圈函数便级联在一起,上一圈函数的输出作为下一圈函数的输入,然后在每轮的中间加上寄存器来实现流水线,从而最多可有16个数据分组被同时执行圈函数运算,流水线的各个圈函数以重叠并行的方式工作[5]。这样,在理想的流水线操作情况下,完成一个数据分组的DES运算相当于只需1个时钟,每个DES模块的加解密速度提高近16倍。同理,3个DES模块之间的级联也采用流水线结构来设计。通过采用三级流水可以使3个DES模块同时并行工作,从而进一步提高3DES算法的加解密速度。

5 结果测试

5.1 安全认证测试

在以下几种情况下使用本系统对USB存储设备进行加解密:

(1)不插入智能卡,只使用加密机。

(2)使用不配对的加密机、智能卡。

(3)使用配对的加密机、智能卡,但不输入或输入错误的智能卡口令。

测试结果显示,以上3种情况下系统均不能通过安全认证,加密机停止操作,无法完成USB存储设备的加解密。

5.2 保密数据的安全性测试

通过多种访问途径或接口方式,尝试从系统外部访问智能卡和FPGA中存放的密钥、算法和设备认证码等保密数据,结果显示均失败,保密数据无法被外部访问。

5.3 加解密性能测试

加解密性能测试包括准确性测试和速度测试。使用本系统对U盘中100个不同大小的文件进行加密操作,将得到的密文与正确的密文进行对比;再将得到的密文进行解密操作,将得到的明文与原有文件进行对比。结果显示全部正确,系统具有很高的加解密准确性。记录下各文件加解密的时间,测得系统的平均加解密速度为355 kb/s,系统具有较快的加解密速度。

本文采用嵌入式USB主机CH375、智能卡和反熔丝型FPGA芯片AX250设计并实现了一种高安全性的便携式USB存储加密系统。该系统可以完全脱离PC机工作,安全性高、便携性好、加解密速度快、整体性能良好。

摘要：设计了一种高安全性的便携式USB存储加密系统。该系统基于嵌入式USB主机CH375设计,采用智能卡实现人机安全认证和密钥的安全存储,采用反熔丝型FPGA芯片AX250高速实现3DES算法,能够在完全脱离PC机的情况下对USB存储设备中的文件进行加解密,具有很高的安全性和整体性,并可满足野外或移动应用的需求。

关键词：USB存储加密,嵌入式USB主机,智能卡,安全认证,反熔丝型FPGA

参考文献

[1]吉杰,林洽欣.用三重DES加密.NET数据库连接字符串[J].计算机工程与设计,2007,28(4):817-819.

[2]李海军.基于USB总线接口芯片CH375的虚拟仪器设计[J].三峡大学学报(自然科学版),2005,27(2):168-170.

[3]卿辉,肖红跃.反熔丝FPGA在密码芯片设计中的运用[J].通信技术,2001(1):62-63.

[4]飞利浦半导体公司.TDA8007Multiprotocol smart card interface[EB/OL].http://www.semiconductors.philips.com/products/TDA8007.html.

安全加密系统 第10篇

随着Internet的广泛普及, 人类已逐步进入信息化社会。计算机在各个领域均得到了广泛的应用, 基于网络的考试系统正在各类考试中发挥积极高效的作用。网络考试的安全性研究涉及很多方面, 是一个十分复杂的问题, 开展网络考试系统安全性研究, 是保障网络考试客观、公正的重要手段。

本文主要研究高校公共课程网络考试系统题库的安全性问题, 即如何实现题库收发双方的相互认证并防止泄密。

1 高校公共课程网络考试系统题库安全性分析

随着高校计算机机房和网络建设的逐步发展, 我校所有计算机机房目前已经全部接入校园局域网, 各二级学院的计算机机房均可上网, 这就为我们运行网络考试系统提供了必要的硬件和网络支持。我校各计算机机房所在楼宇分散, 每年的参考课程若干, 参考学生人次达万次以上。为了保障公共课程考试的公平、公正、客观, 使用网络考试系统可以大大提高工作效率, 从而实现公共课程考试的系统化、规范化和自动化。

具体来说, 公共教学部有一台考试中心服务器, 通过该中心服务器对整个考试的过程进行控制, 主要包括考试中心服务器和各二级学院考点服务器的相互认证、试题的下发和答卷的回收等功能。假如各考点的每台客户机都直接和考试中心的服务器连接, 极有可能会造成网络的拥塞。因此, 各二级学院考点可以设立考点服务器, 而不是所有的客户机都直接和考试中心服务器通信。这样各考点客户机直接和考点服务器进行交互, 包括考生的身份验证、获取试题、更新客户机考试状态、提交答卷等。而考点服务器在考试前和考试中心服务器有一个交互过程, 包括相互之间的认证、从考试服务器获取试题以及考试结束后再向考试中心服务器提交答卷。此处涉及的主要的考试安全性问题可总结为题库的安全性, 具体地说:确保题库收发双方的相互认证并对试题和答卷要进行加密, 防止泄密。

2 保障网络考试系统题库的安全性关键技术分析

2.1 数据加密算法技术

加密算法主要分为两大类:对称密码与非对称密码。3DES (Triple DES) 是DES对称加密算法的一种模式, 它使用3条64位的密钥对数据进行三次加密。每一步的密钥都不一样, 这样破译将就比较复杂, 每个密钥有56 bits, 共有168 bits密钥, 和DES相比, 3DES更为安全。

2.2 3DES加密算法

3DES加密算法以DES为基本模块, 通过组合分组方法设计出分组加密算法, 见图1。

其具体实现如下:

加密过程:C=Ek3 (Dk2 (Ek1 (P, K1, K2, K3) ) ) ;

解密过程:P=Dk1 ( (EK2 (Dk3 (C, K1, K2, K3) ) ) 。

其中:设用P代表64位明文, 用C代表密文, EK (P) 代表用密钥K运行DES加密算法, 加密明文P, DK (C) 代表用密钥K运行DES解密算法解密密文C, K1、K2、K3代表DES算法使用的密钥。K1、K2、K3决定了算法的安全性, 若三个密钥互不相同, 本质上就相当于用一个长为168位的密钥进行加密。若数据对安全性要求不高, K1可以等于K3, 在这种情况下, 密钥的有效长度为112位。

2.3 3DES算法加密函数

3DES算法实际上就是利用3次DES运算对明文进行加密, 密钥的长度从原来DES算法的64位 (其中实际有效位长为56位) 扩展为128位, 极大地增强了加密的安全性。其数学形式如下:

说明:Des () 表示使用DES算法进行加密, 输入参数第一个为64位的密钥, 第二个为要进行加密的明文, 返回值为加密后的密文。

Des-1 () 表示使用DES算法进行解密, 输入参数第一个为64位的密钥, 第二个为要进行解密的密文, 返回值为解密后的明文。

程序的调用参数中sourse是要进行加密的64位明文, 用于输入;而dest用于存放输出的64位密文;key1和key2分别为两个64位的密钥, 合起来实际上就是一个128位的密钥。算法中第 (1) 行用key1对输入的明文进行DES加密, 加密的结果保存到dest1中;第 (2) 行用key2对dest1进行DES解密, 解密的结果保存到dest2中;第 (3) 行再次用key1对dest2进行DES加密, 最后得到3DES加密后的密文, 存放到dest中。

2.4 3DES算法解密函数

3DES解密算法与加密算法在形式上是对称的, 同样是调用3次DES算法, 只是加、解密顺序正好相反。其数学形式如下:

算法中第 (1) 行用key1对输入的密文进行DES解密, 解密的结果保存到dest1中;第 (2) 行用key2对dest1进行DES加密, 加密的结果保存到dest2中;第 (3) 行再次用key1对dest2进行DES解密, 最后得到3DES解密后的明文, 存放到dest中。

3 网络考试系统题库的安全性设计

3.1 题库的数据加密技术

数据加密是保证网络考试系统安全性的一项重要技术, 在高校公共课程网络考试系统中为了保证考试中心题库的安全性, 采用了改进的3DES算法对试题库进行加密, 这样可以很好地兼顾安全和访问速度两方面的指标。在考试中心服务器对题库采用3DES加密算法进行加密, 各分考点则进行相应的解密, 被处理的试卷保密性好, 并且不容易被破解, 其密钥空间能够达到2112。

3.2 考试中心服务器和各考点服务器之间的相互认证

考试中心服务器和各考点服务器之间身份认证可采用基于公钥体制的PKI认证技术, 即保障通信双方的相互认证, 又保障题库不被泄密。具体如图2所示。

从加密过程来看, 采用单钥和公钥相结合的混合方式:对于要传送的明文 (试卷) X, 采用单钥加密方式, 而对于单钥加密的密钥则采取公钥加密方式传递, 即利用收方的公钥来加密单钥密钥K。从通信过程来看, 发方分两次向收方发送信息:第一次发送加密的信息M并签名, 等收方确认以后再向收方发送单钥密钥K。第一次收方收到的由于是密文, 必然再要求发方传送单钥密钥, 因为没有密钥无法解密密文。而向发方请求发送密钥时, 发方要求收方必须附带有收方的签名, 再向收方发送密钥。这时收方根据密钥解密, 从而还原明文 (试卷) 。

4 小结

本文着重研究题库的安全性问题, 采用3DES加密算法, 采用基于公钥体制的PKI认证技术, 较好地实现了网络考试系统中题库的安全保障。采用此法, 为了在实际的考试过程中收到良好的效果, 还必须对相关考试中心管理人员、各考点管理人员, 进行较为严格的培训和管理, 制订一系列严格的规章制度, 结合所有相关措施, 才能真正有效地保证高校公共课网络考试系统的题库安全。

参考文献

[1]李美满.网络考试系统题库与成绩安全性研究[J].计算机应用.2005.

[2]冯渝.基于WEB的网络考试系统的安全设计方案[J].网络安全技术与应用.2006.

加密保护密码信息保护个人上网安全 第11篇

设置火狐主密码

火狐浏览器虽然默认也是将密码用明码存储的，但是它自身带有一个密码加密功能，所以可以通过它对密码进行加密处理。首先启动火狐浏览器，点击“工具”菜单中的“选项”命令，在弹出的“选项”对话框中选择工具栏中的“安全”按钮（如图1）。然后选中“使用主密码”选项，这时会弹出一个设置对话框。分别在“请输入新的密码”和“重新输入密码”中，设置一个对存续的密码信息进行加密的主密码，设置完成以后点击“确定”按钮即可。

以后当用户使用火狐浏览器登录一个网站的时候，如果火狐浏览器存储有这个网站的登录密码，这时就会自动弹出一个输入主密码的对话窗口（如图2）。在其中输入设定的主密码信息，确定以后浏览器才可以调用存储的登录密码信息。如果用户的主密码输入错误或者不输入，都是无法直接进行调用的。

opera设置主密码

Opera浏览器虽然换了新的内核，但是老版本依然在小幅度地更新。那么Opera浏览器如何保护用户的存储密码呢？首先启动Opera浏览器，点击“工具”菜单中的“首选项”命令。在弹出的窗口里面选择“高级”标签后点击“安全性”选项（如图3），然后点击右侧窗口中的“设置主密码”按钮，在弹出的对话框里面即可设置加密存储信息的主密码。

需要强调的是，设置的主密码必须同时有数字和字母才行。设置完成以后点击“确定”按钮，在“首选项”窗口中选中“使用主密码保护已保存的密码”选项。以后当用户使用Opera浏览器调用存储密码的时候，就需要先输入设定的主密码信息后才可以调用存储的登录密码信息了。

Chrome需借助扩展

前面两款浏览器可以借助于主密码进行保护，可是谷歌浏览器却没有这样的功能，无奈之下我们只好求助于LastPass这款扩展。首先安装这款扩展，并根据提示注册一个LastPass扩展的账号，以后当我们在登录网站的时候，该扩展就会弹出一个提示窗口，询问用户是否保存密码。点击提示窗口中的“保存站点”按钮后，就会弹出该账号密码的详细记录页面，直接点击“保存”按钮即可将账号密码保存到云端，这样在本地电脑里面就无法查询到密码的明文信息。

系统软件加密技术研究 第12篇

自从二十世纪中叶电子计算机问世至今, 世界计算机的应用已经普及到人类生活中的各个领域。一套完整的计算机系统是由硬件和软件两部分构成的, 而软件又是整个计算机的灵魂, 软件的一个特点就是生产难度大却很容易复制。软件开发商为了维护自己的利益, 必须对生产地软件进行加密, 防止软件被盗版。

依据加密原理和方式, 目前我们所采用的加密方法主要分为两大类:软加密和硬加密[18], 本论文采用的是软加密中的许可证管理方式。

软加密即是用纯软件方法来实现软件的加密, 主要有密码方式, 软件自校验方式, 许可证管理方式, 钥匙盘方式和光盘加密方式等[19]-[20]。

许可证管理方式是指软件在安装时, 对正版用户的计算机硬件进行检测, 以获得计算机硬件的特殊指纹信息, 经过算法计算 (将指纹信息以及该软件自身的安装系列号进行运算) 后得到一个代表这个计算机硬件的一串数据, 并要求用户将这个数据通过Internet、E—mail、电话、传真、信件等方式进行注册, 若是正版用户则可以从软件开发商那里得到一个注册码 (或叫做确认码) 。正版用户用这个注册码输入所安装的软件后, 该软件就可以正常运行了。这种加密方式实际上是将软件与特定的计算机硬件进行了“捆绑”, 用户不能将软件安装到其他计算机上, 因为每一台计算机的硬件指纹信息都不相同, 无法将得到的注册码用于别的计算机上。

2 许可证方式加密

计算机硬件都有自己唯一的信息, 通过这些信息的应用, 软件的密码与用户计算机有关, 且不同的计算机有不同的密码。将安装好的且能正常运行的软件全盘复制到其它计算机上, 软件仍不能运行。软件的使用权掌握在软件开发者手中, 确保软件开发者的利益不受侵犯。

2.1 调用网卡MAC地址加密

2.1.1 网卡的两种地址

网卡在Internet网络中有两种地址[22]:一种是MAC地址, 即网卡的物理地址;另一种是IP地址, 是网卡的逻辑地址。

MAC地址是Ethernet协议使用的地址, 48位长, 由6位00~0FFH之间的十六进制数中间用“-”隔开表示, 如“00-50-BA-D0-AB-EB”。MAC地址一般不能随意更改, 它是网卡自身的唯一标识。

IP地址是Internet协议地址, IPv4互联网协议族地址为32位长, 通常用4位“.”分隔的0~255之间的十进制数的形式表示, 如“210.28.160.63”。

2.1.2 获取网卡MAC地址

VC++中, 获取计算机的网卡MAC地址可通过Windows中的Net BIOS (网络基本输入/输出系统) 的API调用来完成。Net BIOS的所有函数声明、常数都在头文件<nb30.h>中定义, 在编程时还需与Netapi32.lib库进行连连接

(Project->settings->Link Netapi32.lib)

程序流程图如图1, 程序代码见附录。

2.1.3. 运行结果

登陆界面如图2:

若用户名或密码错误, 则显示“用户名或密码错误”如图3。

使用钥匙 (程序) 生成唯一的用户名和密码并用记事本显示, 结果4。

若登陆成功界面如图5:

4.方法优缺点

经调试, 发现调用网卡MAC地址的方法虽然加密效果还可以, 但是它必须要安装Net BIOS协议, 而且要连接上有效的网络。

2.2 调用硬盘序列号加密

2.2.1 计算机硬盘序列号

进行加密算法时, 经常需要用到硬盘序列号, 关于硬盘序列号有两种[10]:

(1) 硬盘序列号

硬盘序列号是出厂时厂家为区别产品而设置的, 它是惟一的, 只读的。利用硬盘序列号的加密往往是利用其惟一和只读的特性, 大多是针对有序列号的IDE HDD而言, 对于没有序列号或SCSI HDD硬盘则无能为力, 这也是利用它进行加密的局限性。

(2) 卷的序列号

卷的序列号既可指软磁盘, 如A盘和B盘, 又可以指硬盘的逻辑盘, 如C、D是高级格式化时随机产生的。它可以修改, 所以利用其进行加密, 其唯一性还可, 而其可修改性对于安全而言就大打折扣了。

2.2.2 程序流程图

2.2.3 运行结果

程序代码见附录, 其他的运行结果与调用网卡MAC地址相同, 但生成的唯一用户名和密码不同, 如图7。

2.2.4 方法优缺点

但调试, 发现应用硬盘序列号的方法加密效果很好, 但有一点缺陷是极少数硬盘是没有硬盘序列号的有的, 而且在每次重装操作系统后, 卷的序列号会重新分配。

3 小结