使用Vista EFS和BitLocker确保数据安全

如果说EFS机制是在Windows系统启动后才开始工作的，那么BitLocker则是在Windows启动前就开始工作了，它可以与操作系统无缝的结合。EFS工作在文件系统级别，基于用户权限以及受PKI保护的线程密钥对文件进行加密，而BitLocker是更底层的机制，它对整个卷进行加密，并不考虑用户或PKI。这意味着EFS可以提供高级的管理功能，BitLocker可以对底层进行操作，提供一些EFS无法实现的功能，但是并不提供管理功能。被EFS加密的文件是无法被破解的，就算文件名和目录结构没有受到保护。而由BitLocker加密的Windows分区更难以理解，你甚至无法分辨哪些是文件名哪些是目录结构。

BitLocker唯一的潜在弱点出现在系统既没有关机，也没有待机的状态，此时BitLocker并不需要物理密钥进行访问控制。不过在这种状态下，黑客也很难有所作为。由于系统无法关闭，黑客必需在系统运行中侵入内存。出于安全考虑，我们建议用户要么关闭电脑，要么选择采用休眠方式（hibernate），因为在这种方式下，会触发系统对物理BitLocker密钥的需求。这个物理密钥可以是主板上的TPM module(受信平台模块)，或者存储了特定信息的U盘。如果使用TPM模块，用户还需要密码进行保护，因为一旦笔记本电脑或台式机失窃，那么TPM模块同时也跟着被盗了，如果不增加密码保护，那么这种安全机制就完全没有效果。而采用U盘的方式则不需要用户再输入密码，只要用户不把U盘和笔记本电脑放在一起就可以了。

由于BitLocker只对启动分区有效，而不会加密其它硬盘或分区，不论这个逻辑分区是否与启动分区位于同一硬盘或不同的硬盘。因此用户必需采用EFS对其它分区上的文件和文件夹进行加密。另一方面，EFS又不能完全加密启动分区，因为一旦EFS对Windows系统文件进行了加密，那么系统将无法启动。这意味着EFS和BitLocker是一对互补的安全功能，可以为对方不足的一面提供足够的保护。

当然也可以有例外，即当系统只有一个硬盘并且只有一个分区的时候(不包括BitLocker所需的1.5Gb系统卷分区)，使用BitLocker就可以对整个磁盘进行保护了。如果家庭用户希望越简单越好，那么就将硬盘分为一个分区，将操作系统和各种程序都装在一起，这样BitLocker就可以对其提供完整的保护了。但是如果有多个分区，或者多个硬盘，为了确保除了Windows系统文件所在分区外的其它分区上的数据都安全，必需要使用EFS对这些分区上的内容进行加密。

作为保护Windows以及页面文件，临时文件夹等的屏障，BitLocker很好的保护了EFS安全屏障的薄弱环节。通过用户和PKI的概念，EFS也可以利用物理智能卡或U盘加密模块等方式实现企业级的安全管理能力。有了BitLocker和EFS ，PC或笔记本电脑在失窃后也可以保持足够的安全性。

（责任编辑:陈毅东）