磁盘加密、U盘加密、文件夹加密技术[1]

TrueCrypt、PGP、FreeOTFE、BitLocker、DriveCrypt和7-Zip，这些加密程序提供了异常可靠的实时加密功能，可以为你确保数据安全，避免数据丢失、被偷以及被窥视。
　　很少有IT专业人士还需要数据安全方面的培训，但是我们常常听说这样的事件：电脑或者硬盘被偷或丢失，里面存储了明文格式的数据，没有经过加密。
　　幸好，实时数据加密如今不再是某种奇异、成本高昂的技术。有些加密程序不是仅仅对单个文件进行加密，还能在文件里面、甚至直接在分区上创建虚拟磁盘，写入到虚拟磁盘上的任何数据都自动进行加密。在现代的硬件上，加密所需的开销极小;再也不需要使用专用硬件来进行加密。
　　本文介绍了用于创建及管理加密卷的应用程序，从Windows Vista自带的BitLocker加密程序，到用于加密电子邮件和即时消息的性能成熟的PGP桌面套件。你甚至不用花钱，就能获得异常可靠、良好实现的整个文件夹加密 、磁盘加密功能——不过在企业环境下，像可管理性或者支持服务这些特性完全值得花钱购买。

 

TrueCrypt

TrueCrypt有足够充足的理由成为你最先试用的整个磁盘或者虚拟卷加密解决方案。除了免费和开源这两大优点外，该程序编写巧妙，非常易用，还有丰富的数据保护功能，是对整个系统(包括操作系统分区)进行加密的一种有效方法。
　　TrueCrypt让你可以选择先进加密标准(AES)、Serpent和Twofish等算法，这些算法可以单独使用，也可以采用不同组合(名为“级联”);还可选择Whirlpool、SHA-512和RIPEMD-160等散列算法。实际的加密有三种基本方法：可以把文件作为虚拟加密卷安装上去;可以把整个磁盘分区或者物理驱动器变成加密卷;还可以加密工作中的Windows操作系统卷，不过存在一些局限性。
　　加密卷可以用密码来保护;作为一个选项，也可以用密钥文件来保护，从而加强安全——比如可移动USB驱动器上的文件，这样你就可以建立一种双因子验证。如果创建了一个独立的虚拟卷，可以使用任何大小或者命名惯例的文件。该文件由TrueCrypt本身创建而成，然后经格式化，确保它看上去与随机数据毫无区别。
　　TrueCrypt的目的在于，任何经过加密的卷或者硬盘不会一眼就能看出来。没有明显的卷头、所需文件扩展名或者其他识别标记。唯一的例外就是加密的引导卷，引导卷里面有TrueCrypt引导装入程序——但这个产品将来的版本不可能隐藏整个卷、使用USB拇指驱动器或者光盘上的外部引导装入程序。说到那里，你也有可能创建在“旅行者模式”下使用的自我加密的USB驱动器——里面有TrueCrypt可执行文件的拷贝，可在任何机器上安装上去及运行，只要用户拥有管理员权限。
　　TrueCrypt还包括了所谓的“似是而非的否认”(plausible deniability)特性，最重要的就是能够把一个卷隐藏在另一个卷里面。隐藏卷有自己的密码，你没有办法确定某个TrueCrypt卷里面是不是隐藏了另一个卷。不过，如果你把太多的数据写入到外面那个卷，可能会破坏那个隐藏卷——但是作为一项保护措施，TrueCrypt提供了一个选项：你在安装外面那个卷时，可以把隐藏卷作为只读卷安装上去。
　　如果你在使用系统磁盘加密，实际的加密过程需要一段时间，不过这个过程可以暂停，需要时恢复加密(你可能在晚上需要对上锁房间里面的PC进行这种操作)。这个程序会坚持要求创建急救光盘，那样万一遇到灾难，可以用来引导电脑(一个缺点是：你无法对从非Windows引导装入程序来实现双引导的Windows系统进行加密。)

 

更多：

TrueCrypt是一款免费，开源的支持Windows Vista/XP/2000 and Linux的绿色虚拟加密磁盘工具，可以在硬盘上创建一个或多个虚拟磁盘，所有虚拟磁盘上的文件都被自动加密，需要通过密码来进行访问。TrueCrypt提供多种加密算法，如AES-256、Blowfish(448-bitkey)、CAST5、Serpent、Triple DES等，其他特性还包括支持FAT32和NTFS分区、隐藏卷标和热键启动。

在使用TrueCrypt创建虚拟磁盘前，首先要选择一个系统尚未占用的盘符，例“X：”然后点击“CreateVolume”按扭进入创建虚拟磁盘步骤（如图一）。TrueCrypt允许用户创建标准加密盘或是隐藏加密盘，在随后的向导步骤中依次指定创建加密盘文件的位置（点击“Select File”，然后输入一个任意文件名，例如“Newdisk”，点击“打开”）、加密算法、虚拟加密磁盘的大小，同时为加密盘设置密码，并选择文件系统。最后，点击“Format”格式化创建的虚拟磁盘并退出向导。

对于创建生成的虚拟磁盘文件，需要加载后方能使用。在TrueCrypt主界面下方点击“Select File”，找到前面创建生成的文件并打开，然后点击“Mount”，并输入正确的密码加载该虚拟磁盘。此时，TrueCrypt界面会显示新的X盘的一些信息，同时在“我的电脑”可以看到多出了一个“本地磁盘X”。将需要保护的文件全部移到X盘后，就可以关闭该虚拟磁盘了。使用右键单击系统托盘区上TrueCrypt的图标，选择“Dismount X：”，然后退出即可。

TrueCrypt除了创建虚拟磁盘外，没有什么多余的附加功能。不过，它允许用户选择不同的加密算法，这也可以说是软件的一个亮点。

对于这款虚拟加密磁盘工具，迄今为止还没有传出可以通过特殊方法破解的消息，这也从侧面反映出这款软件具有相当不错的安全性。当然，暴力破解仍是不得不考虑的问题，因此密码的长度、复杂性也是这类软件不得不考虑的一个问题。

 

Dekart Private Disk

虽然Dekart Private Disk功能上类似其他加密程序，但坦率地说，至少有一项特性使得它不值得推荐。
　　首先，Dekart Private Disk的功能组合只比本文介绍的两款免费/开源产品实用了一点。用户可以创建虚拟加密卷、备份加密磁盘的卷头、根据用户活动来控制磁盘的安装及卸载，等等。惟一真正重要、而其他产品没有的特性就是“磁盘防火墙”(Disk Firewall)，你可以用来授予或拒绝某些程序访问加密卷。
　　最能表明Private Disk在开发当初没有真正考虑安全的地方在于“恢复选项”(recovery option)，它试图通过对密码实施蛮力(brute-force attack)攻击来确定私密磁盘的密码。任何专业的加密产品根本不会有这样的功能。这好比你为前门买了把锁定插销，发现它还带了一套撬锁工具——“生怕你丢了钥匙”。
　　既然在其他地方免费就能获得Private Disk的绝大部分特性，说不定其他地方得到了更好的实现，就很难对这种收费程序表示认可。

 

DriveCrypt

ecureStar公司的DriveCrypt其主要功能类似TrueCrypt和下面介绍的FreeOTFE——你可以从文件或者整个磁盘来创建加密容器、把一个加密驱动器隐藏在另一个里面，等等。至于比较先进的功能，比如整个磁盘加密，需要添加DriveCrypt PlusPack(185美元)。至于DriveCrypt提供的额外功能值不值得购买，那是仁者见仁的问题，因为许多人觉得免费产品具有的功能组合同样够用了。

　　如果你之前用过类似产品，那么标准版DriveCrypt的大部分加密功能表现会如你所料。可以在文件或者分区中创建虚拟加密磁盘、一段时间没有使用后自动锁住磁盘，还能在磁盘里面创建隐藏磁盘。DriveCrypt还让你可以把该产品的之前版本(ScramDisk和E4M)创建的磁盘安装上去，所以如果你从这两个版本程序中的某一个迁移到新版本，不会觉得备受冷落。

　　它具有免费产品没有的一些功能，包括能够对现有加密磁盘随意调整容量大小以及管理员密钥代管服务(不过后者在TrueCrypt和FreeOTFE中也能实现，只需手动备份卷头)。

　　DriveCrypt特有的另一项特性就是：你可以创建“DKF访问文件”，该文件允许第三方不需要卷密码，就可以访问加密卷。DKF密钥可以附加各种限制——它可以使用自己的密码(与你自有磁盘上的密码无关)、X天后到期失效，或者只能在某个时间段有效。这样，就有可能为访问加密驱动器提供一定的控制权。

　　要注意的是：默认状态下，该程序使用分区号0x74来标记已经过加密的整个分区——这样，该程序就比较容易识别及安装加密分区，但也意味着可能敌意的第三方极容易知道某个卷由DriveCrypt经过了加密。幸好，你可以通过设置程序选项来挫败这种行为……你可能应该这样，因为只有你才应当知道什么是加密容器、什么不是。

　　DriveCrypt最吸引人的地方就是能够把.WAV文件转变成用隐匿技术来加密的容器，无论文件是从光盘上抓过来的，还是重新创建的。每个样本的4位或者8位用于存储数据，所以一个700MB大的.WAV文件(长度相当于一张音乐光盘)可用来存储350MB或者175MB。因而生成的文件仍可以播放，但音频质量会受到一定程度的影响。(注意事项：使用普通光盘音乐文件恐怕不是个好主意，因为攻击者即便不能解密，也可以拿来光盘上抓过来的内容与你的文件进行比对，确定里面有没有隐藏数据。自己录音也许更好。)

 

国内一款免费文件夹加密软件：私房文件夹加密软件