瞭解Windows Vista的BitLocker全盤加密功能

早就垂涎Windows Vista的BitLocker完整磁碟區加密(簡稱BDE)功能，只是苦於不敢拿本本試刀。最近拿到最新的Windows Vista CTP 5308版本，居然在VMware虛擬機器裡測試成功！此等好事，安能善自珍攝？自當寫來以饗讀者諸君。

BitLocker概述

BitLocker只是微軟起的“藝名”，其原名是Secure Startup(安全啟動)，從它的原名中可以看出其本義是為了確保系統的啟動安全。

BitLocker可以加密整個Windows卷，包括分頁檔、SAM註冊表資料庫檔案、休眠檔案和Dump檔案等等，這些都是EFS加密所無法保護的(因為EFS無法加密系統檔案和位於系統目錄下的所有檔案)。

BitLocker加密的模式有兩種：

1．USB閃盤模式

需要BIOS支援引導時訪問USB閃盤。可以將解鎖磁碟所需的相關密鑰存放在USB閃盤裡，開機時必須插入USB閃盤，才能解鎖加密的Windows卷，才能正常訪問Windows Vista。

2．TPM模式

要求電腦帶有1.2版本的TPM晶片，系統會將解鎖磁碟所需的密鑰存放在TPM晶片裡。

TPM模式可以實現最嚴厲的安全保護措施。除了USB閃盤模式所支援的完整磁碟區加密之外，還另外支援系統啟動組件的完整性檢測。

這種完整性檢測，有點類似於Windows XP的啟用機制。在設定BitLocker加密時，系統會分別對主引導記錄(MBR)、NTFS開機磁區、NTFS引導代碼和密鑰等做“快照”(估計可能是分別產生相應的散列值)，然後儲存在TPM晶片的相應的寄存器裡，每次系統啟動時，會自動與原本的快照進行比較，這個過程稱作度量(measure)。

如果這些啟動組件發生了變化(通常可能是攻擊行為所導致)，系統就會拒絕從TPM晶片裡釋放磁碟加密金鑰！我們可以在組策略裡指定TPM模式所“度量”的啟動組件，如圖1所示(圖中顯示，MBR的"快照"存放在TPM晶片的PCR4寄存器中，依次類推)。

圖1

此外，還可以根據需要，選擇是否設定啟動密鑰，以提供額外的安全保護。