12、深入了解 Windows 2000 文件加密系统

深入了解 Windows 2000 文件加密系统

1. 引言

在当今计算机广泛使用，尤其是笔记本电脑普及的时代，数据安全成为了每个人关注的焦点，不仅仅是系统管理员。虽然防火墙、Windows NT 操作系统的强制登录和文件访问控制等措施在一定程度上保障了数据安全，但并不能完全防止数据被未经授权的访问。例如，小偷可以通过其他操作系统的工具绕过 NTFS 的访问控制来获取数据，笔记本电脑的易被盗取性也增加了数据泄露的风险。

传统的物理安全方式，如锁好存放设备的房间并限制设备外出，虽然能保护数据，但严重影响了设备的便携性，在现代社会已不适用。而市面上许多第三方文件加密产品，多基于密码密钥，安全性较低，容易被暴力破解，且使用时需要用户手动加密和解密文件，操作繁琐，还可能出现用户忘记密码导致数据无法恢复的问题。

Windows 2000 引入了文件加密系统（EFS），将加密功能集成到操作系统中，部分代码运行在受保护模式下，避免用户访问内核模式导致系统崩溃，为加密数据提供了前所未有的安全保障。

2. 使用文件加密系统

Windows 2000 支持的文件加密系统是 NTFS 文件系统的一项新安全特性，结合了公钥加密和私钥加密，能快速加密数据并抵御密码分析专家的攻击。美国用户购买 Windows 2000 可获得 56 位标准 DES 算法，也可获取 128 位加密 DES 算法；在获得出口许可前，国际用户将使用 40 位 DES 算法。

若用户离职、私钥损坏或意外删除，Windows 2000 可实现数据恢复。这并非安全漏洞，因为微软通过编写代码建立了加密数据恢复策略（EDRP），在工作组环境中，系统会自动在本地机器上设置 ED