☰

Windows XP 全盘加密 - 有哪些选项？

tag-icon • tag-icon windows windows-xp encryption disk-encryption
Windows XP 全盘加密 - 有哪些选项？

有人要求我研究适用于移动用户的全盘加密软件。我们在域中运行 Windows XP SP3 PC，据我了解，我们不会升级到 Vista，目前也没有升级到 Windows 7 的计划。这似乎排除了 Bitlocker。我们想研究两种不同类型的解决方案：

  1. 一种 Active Directory 集成解决方案，可同步域帐户和密码，以便单点登录到 PC。此解决方案应允许域管理员访问任何加密驱动器，如果可以将解密/加密磁盘访问权限委托给服务台上的非域管理员，则可获得加分。
  2. 解决方案可以在每台 PC 上单独运行，也可以在某种工作组模式下运行，允许使用单个主密码解密笔记本电脑的驱动器。与域用户帐户和密码同步也很好，可实现最终用户单点登录。

解决方案必须可靠（例如，当用户在路上被迫更改其域密码时不会丢失密码同步。）这是一家小店，因此易于管理非常重要。

当权者可能会因为 TrueCrypt 最近的安全漏洞而将其排除在外，但就这个问题而言，我想听听它如何满足这些要求。BitLocker 也是如此 - 它可能因为缺乏升级 Windows 的意愿而被排除在外，但我对它在 Vista/Windows 7 上的表现很感兴趣。

答案1

为什么，TrueCrypt！

加密整个分区或存储设备，例如 USB 闪存驱动器或硬盘驱动器。

在没有管理员权限的情况下使用 TrueCrypt

在 Windows 中，没有管理员权限的用户可以使用 TrueCrypt，但必须由系统管理员在系统上安装 TrueCrypt。原因是 TrueCrypt 需要设备驱动程序来提供透明的即时加密/解密，而没有管理员权限的用户无法在 Windows 中安装/启动设备驱动程序。

系统管理员在系统上安装 TrueCrypt 后，没有管理员权限的用户将能够运行 TrueCrypt、挂载/卸载任何类型的 TrueCrypt 卷、从中加载/保存数据以及在系统上创建文件托管的 TrueCrypt 卷。但是，没有管理员权限的用户无法加密/格式化分区、无法创建 NTFS 卷、无法安装/卸载 TrueCrypt、无法更改 TrueCrypt 分区/设备的密码/密钥文件、无法备份/恢复 TrueCrypt 分区/设备的标头，也无法以便携模式运行 TrueCrypt。

。

系统加密涉及预启动身份验证，这意味着任何想要访问和使用加密系统、读取和写入存储在系统驱动器上的文件等的人，每次在 Windows 启动（启动）之前都需要输入正确的密码。预启动身份验证由 TrueCrypt 启动加载程序处理，它位于启动驱动器的第一个轨道和 TrueCrypt 救援磁盘上。

域访问是在预启动登录之后。

然而，如果用户需要更改密码并且雇主希望知道该密码，那么这就是雇主信任用户/雇员的问题。

答案2

我们用Guardian Edge 加密 Plus我工作的地方。它非常易于使用，并且具有您正在寻找的单点登录功能。我已经在几台笔记本电脑上设置并使用了它，并且对它的无干扰性印象深刻。除了最初的加密之外，它的操作很少被注意到，并且（根据我的经验）从未影响过系统的整体性能。

答案3

我们正在使用PGP 全盘加密我工作的地方。我没有直接参与它的设置，所以我不能给你很多细节。我知道它是针对我们的 AD 基础设施进行身份验证，但它不进行单点登录，因为 PGP 层发生在 Windows 启动之前的启动时，因此在任何 Windows 网络连接之前。

答案4

指出最终通过 U 选择的产品可能会有所帮助美国政府的“SmartBuy”计划。这些产品被选中用于保护 DAR（静态数据），并且都根据安全需求、价格等进行了审查。从机构网站：

产品有：
* Mobile Armor LLC 的数据装甲
* Safeboot NV 的 Safeboot 设备加密
* 信息安全公司的秘密特工
* SafeNet Inc. 的 SafeNet ProtectDrive
* Encryption Solutions Inc. 的 SkyLOCK At-Rest
* SPYRUS Inc. 的 Talisman/DS 数据安全套件
* WinMagic Inc. 的 SecureDoc
* CREDANT Technologies Inc. 的 CREDANTMobile Guardian
* GuardianEdge Technologies 的 GuardianEdge。

明显缺失的是：普吉岛太平洋（我非常尊重 PGP，所以我不知道为什么它们被省略了）和BitLocker（较新的产品，但可在企业环境中部署和管理，并且对于配备 TPM 的机器非常有吸引力）。

此外，我没有看到提到基于硬件的解决方案，例如Seagate 的 Momentus FDE 硬盘使用 Wave Systems 的管理软件（或 Secude 的 FinallySecure）。新购买的机器可以使用这些驱动器，而现有机器则使用基于软件的 FDE（我相信 FinallySecure 为这些混合环境提供了集成管理）。

相关内容