数据加密的基本思想是通过变换信息的表示形式来伪装需要保护的敏感信息，使非授权者不能了解被保护信息的内容。网络安全使用密码学来辅助完成在传递敏感信息的的相关问题，主要包括：

 (I)机密性(confidentiality)

　　仅有发送方和指定的接收方能够理解传输的报文内容。窃听者可以截取到加密了的报文，但不能还原出原来的信息，及不能达到报文内容。

 (II)鉴别(authentication)

　　发送方和接收方都应该能证实通信过程所涉及的另一方，通信的另一方确实具有他们所声称的身份。即第三者不能冒充跟你通信的对方，能对对方的身份进行鉴别。

 (III)报文完整性(message intergrity)

　　即使发送方和接收方可以互相鉴别对方，但他们还需要确保其通信的内容在传输过程中未被改变。

 (IV)不可否认性(non-repudiation)

　　如果我们收到通信对方的报文后，还要证实报文确实来自所宣称的发送方，发送方也不能在发送报文以后否认自己发送过报文。

 加密算法

  加密技术根据其运算机制的不同，主要有对称加密算法、非对称加密算法和单向散列算法。其中各有优缺点，他们之间协合合作，共同实现现代网络安全应用。

  对称密码算法

  对称密码体制是一种传统密码体制，也称为私钥密码体制。在对称加密系统中，加密和解密采用相同的密钥。

  (I) 凯撒密码Casesar cipher:

　将明文报文中的每个字母用字母表中该字母后的第R个字母来替换，达到加密的目的。

  (II) DES,3DES和AES

　DES(Data Encryption Standard) 算法是美国政府机关为了保护信息处理中的计算机数据而使用的一种加密方式，是一种常规密码体制的密码算法，目前已广泛使用。该算法输入的是64比特的明文，在64比特密钥的控制下产生64比特的密文；反之输入64比特的密文，输出64比特的明文。64比特的密钥中含有8个比特的奇偶校验位，所以实际有效密钥长度为56比特。

   1997 年RSA数据安全公司发起了一项“DES 挑战赛”的活动，志愿者四次分别用四个月、41天、56个小时和22个小时破解了其用56bit DES算法加密的密文。即DES加密算法在计算机速度提升后的今天被认为是不安全的。

   3DES 是DES算法扩展其密钥长度的一种方法，可使加密密钥长度扩展到128比特（112比特有效）或192比特（168比特有效）。其基本原理是将128比特的密钥分为64比特的两组，对明文多次进行普通的DES加解密操作，从而增强加密强度。

   AES(Advanced Encryption Standard)是2001年NIST宣布的DES后继算法。AES处理以128bit数据块为单位的对称密钥加密算法，可以用长为128,192和256位的密钥加密。

   NIST估计如果用能在1秒钟内破解56bitDES算法的计算机来破解128位的AES密密钥，要用大约149 亿万年时间。

   对称算法最主要的问题是：由于加解密双方都要使用相同的密钥，因此在网络安全中，发送、接收数据之前，必须完成密钥的分发。因而，密钥的分发便成了该加密体系中的最薄弱因而风险最大的环节。各种基本的手段均很难保障安全、高效地完成此项工作。在对称算法中，尽管由于密钥强度增强，跟踪找出规律破获密钥的机会大大减小了，但密钥分发的困难问题几乎无法解决。如，设有n方参与通信，若n方都采用同一个对称密钥，一旦密钥被破解，整个体系就会崩溃。优点是对称加密算法效率高，速度快。对称加密算法用于对数据内容加密，解决上文中提到的机密性功能需求问题。

   在应用对称加密算法时，密钥的长度越大，破解难度就越大，相对来说越安全。但同时会降低系统的运行效率。同时计算机的运行速度成线性增长，网格等技术的出现使得现在的对称加密算法越来越受到威胁。对称密钥生存周期很好的解决了这个问题：我们每隔一段时间（比如一小时）更换一个对称密钥，即在第三方破解之前就更换了新的密钥。这样就解决了这个难题。

  不对称密码学

   传统的对称加密算法遇到了密钥分发管理的难题，最优秀的算法，如果密钥在分发、传发泄漏，则整个安全体系则毁于一旦。不对称加密算法则有效的避免了其分发管理密钥的难题。不对称密码学中使用到一对公钥(public key)和私钥(private key)组合。用公钥加密的密文只能用私钥解密，反之，用私钥加密的密文只能用公钥解密。在操作过程中，我们把公钥向外界发布，让外界都知道，自己保存私钥，只有自己才能知道。如果A要发一份秘密信息给B，则A只需要得到B的公钥，然后用B的公钥加密秘密信息，此加密的信息只有B能用其保密的私钥解密。反之，B也可以用A的公钥加密保密信息给A。信息在传送过程中，即使被第三方截取，也不可能解密其内容。

 （I）RSA

   RSA(取Ron Rivest,Adi Shamir和Leonard Adleman三创始人字句首字母)几乎已经成为了公开密钥密码体制的代名词。RSA是一种公开密钥加密体系，它的应用原理是：

   先由密钥管理中心产生一对公钥（public-key）和私钥(Private-key)，称为密钥对。方法如下：先产生两个足够大的强质数p、q。可得p与q的乘积为 n=p×q。再由p和q算出另一个数z=(p-1)×(q-1)，然后再选取一个与z互素的奇数e，称e为公开指数；从这个e值可以找出另一个值d，并能满足e×d=1 mod (z)条件。由此而得到的两组数(n，e)和(n，d)分别被称为公开密钥和秘密密钥，或简称公钥和私钥。

   目前的公钥密码算法都是基于一些复杂的数学难题，例如目前广泛使用的RSA算法就是基于大整数因子分解这一著名的数学难题。公钥密码体系的优点是能适应网络的开放性要求，密钥管理简单，并且可方便地实现数字签名和身份认证等功能，是目前电子商务等技术的核心基础。其缺点是算法复杂，加密数据的速度和效率较低。因此在实际应用中，通常将对称加密算法和非对称加密算法结合使用，利用对称加密算法来进行大容量数据的加密，而采用RSA等非对称加密算法来传递对称加密算法所使用的密钥，通过这种方法可以有效地提高加密的效率并能简化对密钥的管理。

 (II) 鉴别与签名

   对称密码学解决了数据机密性的功能要求，不对称密码学则相应的解决了签别和不可否认性等功能需求。

   在不对称密码学中，用自己公钥加密的数据只有自己才能打开，我们就可以把我们自己的公钥放在网上，通信的对方可以用自己的公钥加密数据，密文只有我们自己才能打开，达到了加密数据而不需要通过一种十分可靠的方式来传递对称密钥的作用。反之，如果我们使用私钥来加密消息，通信的对方用公钥来解密消息，就可以达到鉴别的作用。因为能用公钥解密消息，说明数据一定是我自己加密的，前提是这些加密并不为保护数据内容，只为确认、鉴别我的身份而用。这样我们也可以用对称算法作数字签名 (digital signature)，用私钥加密报文，就可以让对方确认我的身份。如果A用其私钥加密了某信息，B用A的公钥钥密后“阅读”A的信息，则A就不能否认其给A发过过信息。

　(III)CA （Certification Authrity）

   公钥加密体系理论上非常安全，操作过程中有可能会受到中间人攻击(man-in-the-middle attack)。

   比如B要发一个保密信息给A,所以第一步A把自己的公钥Ka发给B。在这一过程中，如果窃听者H 截取到其公钥，然后伪装成A，将自己的公钥Kh发给B。B将敏感信息用Kh加密后发给A，此过程中，窃听者H截取密文后用H的私钥解密得到信息内容，然后用A的公钥Ka加密得到密文,自己伪装成B发给A，A用自己的私钥顺利的解开了密文。在此过程中，A与B通讯顺利，也感觉不到H的存在，但A与B的信息却被窃听者窃取。

   CA的出现有效的解决了中间人的攻击。CA(certification authrity)把一个特定的实体和公钥绑在一起。我们把信任建立在一个大家都信任的第三方，从信任第三方来达到信任对方的目的。如果我们想发放自己的公钥，则用自己的相关身份信息和自己的公钥到一家权威机构（比如像派出所这样的机构）办一个数据证书。权威机构核实你的身份以后，用其权威机构的私钥来加密你的数据证书。如果你要把你的公钥传送给对方，只需要将自己的数据证书传递给对方，对方用权威机构的公钥解密即可得到你身份的相关信息和公钥。而权威机构的公钥则更加透明，比如可以刊登在报纸上让大家都知道。我们的系统本身也带有一些权威机构的公钥，这些在我们装好系统就已经存在了。

   单向散列算法

   对称加密算法和非对称加密算法有效的解决了机密性，不可否认性和签别等功能，单向散列算法则有效的解决了完整性的问题。

    单向散列算法，又叫HASH算法，用HASH函数对一段数据进行一次运算，得到一段固定长度的报文摘要(message digest)，任意两个不同的数据得到两个不同的摘要，或者一个数据内容发生一个bit的变化，生成的摘要都截然同。这样就可以达到确认数据完整性和没有被恶意或者无意识修改的作用。常用的HASH算法有：

 （I）MD5

   MD5是由 Ron Rivest 设计的可产生一个 128 位的散列值的散列算法。MD5设计经过优化以用于Intel处理器。

  (II)SHA-1。

   SHA-1是由NSA设计的，并由NIST将其收录到 FIPS 中，作为散列数据的标准。它可产生一个 160 位的散列值。SHA-1是流行的用于创建数字签名的单向散列算法。

   同时日常数据交换中很多数据交换并不需要加密，不对称算法开销大，能过完成对数据加密/解密来达到签名的作用也大可不必。从报文和其摘要的单一对应关系，我们可以对摘要进行签名。对摘要进行不对称加密算法的系统开销要远小于对原报文的加密开销。

一 什么是文件加密：

  文件加密简单地说就是对原来为明文的文件按某种算法进行处理，使其成为不可读的一段代码，通常称为“密文”。使其只能在输入相应的密钥之后才能显示出本来内容，通过这样的途径达到保护数据不被人非法窃取、阅读的目的。该过程的逆过程为解密，即将该编码信息转化为其原来数据的过程。

 二 为什么要加密：

  我们知道在互联网上进行文件传输、电子邮件商务往来存在许多不安全因素，特别是对于一些大公司和一些机密文件在网络上传输。而且这种不安全性是互联网存在基础——TCP/IP协议所固有的，包括一些基于TCP/IP的服务；所以为了保证安全，我们必须给文件加密。

  加密在网络上的作用就是防止有用或私有化信息在网络上被拦截和窃取。一个简单的例子就是密码的传输，计算机密码极为重要，许多安全防护体系是基于密码的，密码的泄露在某种意义上来讲意味着其安全体系的全面崩溃。通过网络进行登录时，所键入的密码以明文的形式被传输到服务器，而网络上的窃听是一件极为容易的事情，所以很有可能黑客会窃取得用户的密码，如果用户是Root用户或Administrator用户，那后果将是极为严重的。

   解决上述难题的方案就是加密，加密后的口令即使被黑客获得也是不可读的，加密后的标书没有收件人的私钥也就无法解开，标书成为一大堆无任何实际意义的乱码，这样即使被盗也不会有损失。所以加密对于保护文件是相当的重要。

   在这里需要强调一点的就是，文件加密其实不只用于电子邮件或网络上的文件传输，其实也可应用静态的文件保护，如PIP软件就可以对磁盘、硬盘中的文件或文件夹进行加密，以防他人窃取其中的信息。

 三 加密的方法：

   加密技术通常分为两大类：“对称式”和“非对称式”

   对称式加密，通常称之为“Session Key ”这种加密技术目前被广泛采用，它的特点是文件加密和解密使用相同的密钥，即加密密钥也可以用作解密密钥，这种方法在密码学中叫做对称加密算法，对称加密算法使用起来简单快捷，密钥较短，且破译困难，除了数据加密标准（DES），另一个对称密钥加密系统是国际数据加密算法（IDEA），它比DES的加密性好，而且对计算机功能要求也没有那么高。IDEA加密标准由PGP（Pretty Good Privacy）系统使用。

   非对称式加密，非对称加密算法需要两个密钥：公开密钥（publickey）和私有密钥（privatekey）。公开密钥与私有密钥是一对，如果用公开密钥对数据进行加密，只有用对应的私有密钥才能解密；如果用私有密钥对数据进行加密，那么只有用对应的公开密钥才能解密。因为加密和解密使用的是两个不同的密钥，所以这种算法叫作非对称加密算法。非对称加密算法实现机密信息交换的基本过程是：甲方生成一对密钥并将其中的一把作为公用密钥向其它方公开；得到该公用密钥的乙方使用该密钥对机密信息进行加密后再发送给甲方；甲方再用自己保存的另一把专用密钥对加密后的信息进行解密。甲方只能用其专用密钥解密由其公用密钥加密后的任何信息。非对称加密算法的保密性比较好，它消除了最终用户交换密钥的需要，但加密和解密花费时间长、速度慢，并不太不适合于对文件加密而只适用于对少量数据进行加密。

 四 加密技术中的摘要函数：

   摘要是一种防止改动的方法，其中用到的函数叫摘要函数。这些函数的输入可以是任意大小的消息，而输出是一个固定长度的摘要。摘要有这样一个性质，如果改变了输入消息中的任何东西，甚至只有一位，输出的摘要将会发生不可预测的改变，也就是说输入消息的每一位对输出摘要都有影响。总之，摘要算法从给定的文本块中产生一个数字签名（fingerprint或message digest），数字签名可以用于防止有人从一个签名上获取文本信息或改变文本信息内容和进行身份认证。摘要算法的数字签名原理在很多加密算法中都被使用，如SO/KEY和PIP（pretty good privacy）。

   现在流行的摘要函数有MAD和MAD，但要记住客户机和服务器必须使用相同的算法，无论是MAD还是MAD，MAD客户机不能和MAD服务器交互。

   MAD摘要算法的设计是出于利用32位RISC结构来最大其吞吐量，而不需要大量的替换表（substitution table）来考虑的。

   MAD算法是以消息给予的长度作为输入，产生一个128位的"指纹"或"消息化"。要产生两个具有相同消息化的文字块或者产生任何具有预先给定"指纹"的消息，都被认为在计算上是不可能的。

   MAD摘要算法是个数据认证标准。MAD的设计思想是要找出速度更快，比MAD更安全的一种算法，MAD的设计者通过使MAD在计算上慢下来，以及对这些计算做了一些基础性的改动来解决安全性这一问题，是MAD算法的一个扩展。

 五 数据加密的标准：

   最早、最著名的保密密钥或对称密钥加密算法DES(Data Encryption Standard)是由IBM公司在70年代发展起来的，并经政府的加密标准筛选后，于1976年11月被美国政府采用，DES随后被美国国家标准局和美国国家标准协会（American National Standard Institute，ANSI）承认。 DES使用56位密钥对64位的数据块进行加密，并对64位的数据块进行16轮编码。与每轮编码时，一个48位的"每轮"密钥值由56位的完整密钥得出来。DES用软件进行解码需用很长时间，而用硬件解码速度非常快。幸运的是，当时大多数黑客并没有足够的设备制造出这种硬件设备。在1977年，人们估计要耗资两千万美元才能建成一个专门计算机用于DES的解密，而且需要12个小时的破解才能得到结果。当时DES被认为是一种十分强大的加密方法。

   另一种非常著名的加密算法就是RSA了，RSA(Rivest-Shamir-Adleman)算法是基于大数不可能被质因数分解假设的公钥体系。简单地说就是找两个很大的质数。一个对外公开的为“公钥”（Prblic key） ，另一个不告诉任何人，称为"私钥”（Private key）。这两个密钥是互补的，也就是说用公钥加密的密文可以用私钥解密，反过来也一样。

   假设用户甲要寄信给用户乙，他们互相知道对方的公钥。甲就用乙的公钥加密邮件寄出，乙收到后就可以用自己的私钥解密出甲的原文。由于别人不知道乙的私钥，所以即使是甲本人也无法解密那封信，这就解决了信件保密的问题。另一方面，由于每个人都知道乙的公钥，他们都可以给乙发信，那么乙怎么确信是不是甲的来信呢？那就要用到基于加密技术的数字签名了。甲用自己的私钥将签名内容加密，附加在邮件后，再用乙的公钥将整个邮件加密（注意这里的次序，如果先加密再签名的话，别人可以将签名去掉后签上自己的签名，从而篡改了签名）。这样这份密文被乙收到以后，乙用自己的私钥将邮件解密，得到甲的原文和数字签名，然后用甲的公钥解密签名，这样一来就可以确保两方面的安全了。

     看过了上面的介绍，相信你对文件加密已经有了一定的了解，为了文件传输的安全，为了企业机密不被泄露，请给你的文件加密。

　　无论你现在使用的操作系统是什么，总有一些通用的加强系统安全的建议可以参考。如果你想加固你的系统来阻止未经授权的访问和不幸的灾难的发生，以下预防措施肯定会对你有很大帮助。

 1、使用安全系数高的密码

  提高安全性的最简单有效的方法之一就是使用一个不会轻易被暴力攻击所猜到的密码。

  什么是暴力攻击?攻击者使用一个自动化系统来尽可能快的猜测密码，以希望不久可以发现正确的密码。使用包含特殊字符和空格，同时使用大小写字母，避免使用从字典中能找到的单词，不要使用纯数字密码，这种密码破解起来比你使用母亲的名字或你的生日作为密码要困难的多。

   另外，你要记住，每使你的密码长度增加一位，就会以倍数级别增加由你的密码字符所构成的组合。一半来说，小于8个字符的密码被认为是很容易被破解的。可以用10个、12个字符作为密码，16个当然更好了。在不会因为过长而难于键入的情况下，让你的密码尽可能的更长会更加安全。

  2、做好边界防护

   并不是所有的安全问题都发生在系统桌面上。使用外部防火墙/路由器来帮助保护你的计算机是一个好想法，哪怕你只有一台计算机。

   如果从低端考虑，你可以购买一个宽带路由器设备，例如从网上就可以购买到的Linksys、D-Link和Netgear路由器等。如果从高端考虑，你可以使用来自诸如思科、Foundry等企业级厂商的可网管交换机、路由器和防火墙等安全设备。当然，你也可以使用预先封装的防火墙/路由器安装程序，来自己动手打造自己的防护设备，例如使用m0n0wall和IPCoP。代理服务器、防病毒网关和垃圾邮件过滤网关也都有助于实现非常强大的边界安全。

   请记住，通常来说，在安全性方面，可网管交换机比集线器强，而具有地址转换的路由器要比交换机强，而硬件防火墙是第一选择。

  3、升级您的软件

   在很多情况下，在安装部署生产性应用软件之前，对系统进行补丁测试工作是至关重要的，最终安全补丁必须安装到你的系统中。如果很长时间没有进行安全升级，可能会导致你使用的计算机非常容易成为不道德黑客的攻击目标。因此，不要把软件安装在长期没有进行安全补丁更新的计算机上。

  同样的情况也适用于任何基于特征码的恶意软件保护工具，诸如防病毒应用程序，如果它不进行及时的更新，从而不能得到当前的恶意软件特征定义，防护效果会大打折扣。

  4、关闭没有使用的服务

  多数情况下，很多计算机用户甚至不知道他们的系统上运行着哪些可以通过网络访问的服务，这是一个非常危险的情况。

  Telnet和FTP是两个常见的问题服务，如果你的计算机不需要运行它们的话，请立即关闭它们。确保你了解每一个运行在你的计算机上的每一个服务究竟是做什么的，并且知道为什么它要运行。

   在某些情况下，这可能要求你了解哪些服务对你是非常重要的，这样你才不会犯下诸如在一个微软Windows计算机上关闭RPC服务这样的错误。不过，关闭你实际不用的服务总是一个正确的想法。

 5、使用数据加密

   对于那些有安全意识的计算机用户或系统管理员来说，有不同级别的数据加密范围可以使用，根据需要选择正确级别的加密通常是根据具体情况来决定的。

   数据加密的范围很广，从使用密码工具来逐一对文件进行加密，到文件系统加密，最后到整个磁盘加密。通常来说，这些加密级别都不会包括对boot分区进行加密，因为那样需要来自专门硬件的解密帮助，但是如果你的秘密足够重要而值得花费这部分钱的话，也可以实现这种对整个系统的加密。除了boot分区加密之外，还有许多种解决方案可以满足每一个加密级别的需要，这其中既包括商业化的专有系统，也包括可以在每一个主流桌面操作系统上进行整盘加密的开源系统。

    在我们对机密隐私数据进行信息化管理的过程中，加密已成为不可或缺的重要一步。机密隐私数据，除了常规加密手段以外，还应选择可靠的专业加密软件。在此建议用户选择专业的、采用国际标准算法的的大狼狗加密专家等加密软件（www.dalanggou.com ）！以防止加密的文件被破解。

  6、通过备份保护你的数据

    备份你的数据，这是你可以保护自己在面对灾难的时候把损失降到最低的重要方法之一。数据冗余策略既可以包括简单、基本的定期拷贝数据到CD上，也包括复杂的定期自动备份到一个服务器上。

    对于那些必须保持连续在线服务不宕机的系统来说，RAID可提供自动出错冗余，以防其中一个磁盘出现故障。

   诸如rsync和Bacula等免费备份工具可以把任意复杂级别的自动备份方案整合在一起。诸如Subversion之类的版本控制工具可以提供灵活的数据管理，因此你不仅能够在另一台计算机上进行备份工作，而且你能够不用费事的让多台计算机的系统可以对同一个数据保持同步。通过这种方式来使用subversion，让我在2004年我的工作笔记本的硬盘损坏的情况下，数据幸免于难，这也说明了对关键数据进行定期备份的重要性。

    7、加密敏感通信

    用于保护通信免遭窃听的密码系统是非常常见的。针对电子邮件的支持OpenPGP协议的软件，针对即时通信客户端的Off The Record插件，还有使用诸如SSH和SSL等安全协议维持通信的加密通道软件，以及许多其他工具，都可以被用来轻松的确保数据在传输过程中不会被威胁。

    吉大正元“大狼狗加密系列”产品中大狼狗安全邮件专家（http://www.dalanggou.com/web/cpjs4.htm ）能实现对邮件的全程保护，采用高强度PKI加密技术，可以有效解决邮件传输中的各种泄密问题！

   当然，在个人对个人的通信中，有时候很难说服另一方来使用加密软件来保护通信，但是有的时候，这种保护是非常重要的。

    8、不要信任外部网络

     在一个开放的无线网络中，例如在你本地具有无线网络的咖啡店中，这个理念是非常重要的。如果你对安全非常谨慎和足够警惕的话，没有理由说在一个咖啡店或一些其他非信任的外部网络中，你就不能使用这个无线网络。但是，关键是你必须通过自己的系统来确保安全，不要相信外部网络和自己的私有网络一样安全。

    举个例子来说，在一个开放的无线网络中，使用加密措施来保护你的敏感通信是非常必要的，包括在连接到一个网站时，你可能会使用一个登录会话cookie来自动进行认证，或者输入一个用户名和密码进行认证。还有，确信不要运行那些不是必须的网络服务，因为如果存在未修补的漏洞的话，它们就可以被利用来威胁你的系统。这个原则适用于诸如NFS或微软的CIFS之类的网络文件系统软件、SSH服务器、活动目录服务和其他许多可能的服务。

    从内部和外部两方面入手检查你的系统，判断有什么机会可以被恶意安全破坏者利用来威胁你的计算机的安全，确保这些切入点要尽可能的被关闭。在某些方面，这只是关闭不需要的服务和加密敏感通信这两种安全建议的延伸，在使用外部网络的时候，你需要变得更加谨慎。很多时候，要想在一个外部非信任网络中保护自己，实际上会要求你对系统的安全配置重新设定。

   9、使用不间断电源支持

    如果仅仅是为了在停电的时候不丢失文件，你可能不想去选择购买UPS。实际上之所以推荐你使用UPS，还有更重要的原因，例如功率调节和避免文件系统损坏。由于这种原因，确保使你的操作系统能够提醒你它什么时候将关闭，以免当电源用尽的时候你却不在家中，还要确保确保一个提供功率调节和电池备份的UPS。

    一个简单的浪涌保护器还不足以保护你的系统免遭“脏电”的毁坏。记住，对于保护你的硬件和你的数据，UPS都起着非常关键的作用。

   10、监控系统的安全是否被威胁和侵入

    永远不要认为：因为你已经采取了一系列安全防护措施，你的系统就一定不会遭到安全破坏者的入侵。你应该搭建起一些类型的监控程序来确保可疑事件可以迅速引起你的注意，并能够允许你跟踪判断是安全入侵还是安全威胁。我们不仅要监控本地网络，还要进行完整性审核，以及使用一些其他本地系统安全监视技术。

    根据你使用的操作系统不同，还有很多其他的安全预防措施。有的操作系统因为设计的原因，存在的安全问题要大一些。而有的操作系统可以让有经验的系统管理员来大大提高系统安全性。不过，无论你的使用的是像微软的Windows和苹果的Mac OSX，还是使用的像Linux、FreeBSD等开源操作系统，当你在加固它们的安全的时候，以上建议都是必须牢记心头的。

 一、可靠性

   可靠性是网络信息系统能够在规定条件下和规定的时间内完成规定的功能的特性。可靠性是系统安全的最基于要求之一，是所有网络信息系统的建设和运行目标。网络信息系统的可靠性测度主要有三种：抗毁性、生存性和有效性。

   抗毁性是指系统在人为破坏下的可靠性。比如，部分线路或节点失效后，系统是否仍然能够提供一定程度的服务。增强抗毁性可以有效地避免因各种灾害(战争、地震等)造成的大面积瘫痪事件。

   生存性是在随机破坏下系统的可靠性。生存性主要反映随机性破坏和网络拓扑结构对系统可靠性的影响。这里，随机性破坏是指系统部件因为自然老化等造成的自然失效。

   有效性是一种基于业务性能的可靠性。有效性主要反映在网络信息系统的部件失效情况下，满足业务性能要求的程度。比如，网络部件失效虽然没有引起连接性故障，但是却造成质量指标下降、平均延时增加、线路阻塞等现象。

    可靠性主要表现在硬件可靠性、软件可靠性、人员可靠性、环境可靠性等方面。硬件可靠性最为直观和常见。软件可靠性是指在规定的时间内，程序成功运行的概率。人员可靠性是指人员成功地完成工作或任务的概率。人员可靠性在整个系统可靠性中扮演重要角色，因为系统失效的大部分原因是人为差错造成的。人的行为要受到生理和心理的影响，受到其技术熟练程度、责任心和品德等素质方面的影响。因此，人员的教育、培养、训练和管理以及合理的人机界面是提高可靠性的重要方面。环境可靠性是指在规定的环境内，保证网络成功运行的概率。这里的环境主要是指自然环境和电磁环境。

  二、可用性

   可用性是网络信息可被授权实体访问并按需求使用的特性。即网络信息服务在需要时，允许授权用户或实体使用的特性，或者是网络部分受损或需要降级使用时，仍能为授权用户提供有效服务的特性。可用性是网络信息系统面向用户的安全性能。网络信息系统最基本的功能是向用户提供服务，而用户的需求是随机的、多方面的、有时还有时间要求。可用性一般用系统正常使用时间和整个工作时间之比来度量。

   可用性还应该满足以下要求：身份识别与确认、访问控制(对用户的权限进行控制，只能访问相应权限的资源，防止或限制经隐蔽通道的非法访问。包括自主访问控制和强制访问控制)、业务流控制(利用均分负荷方法，防止业务流量过度集中而引起网络阻塞)、路由选择控制(选择那些稳定可靠的子网，中继线或链路等)、审计跟踪(把网络信息系统中发生的所有安全事件情况存储在安全审计跟踪之中，以便分析原因，分清责任，及时采取相应的措施。审计跟踪的信息主要包括：事件类型、被管客体等级、事件时间、事件信息、事件回答以及事件统计等方面的信息。)

  三、保密性

   保密性是网络信息不被泄露给非授权的用户、实体或过程，或供其利用的特性。即，防止信息泄漏给非授权个人或实体，信息只为授权用户使用的特性。保密性是在可靠性和可用性基础之上，保障网络信息安全的重要手段。

   常用的保密技术包括：防侦收(使对手侦收不到有用的信息)、防辐射(防止有用信息以各种途径辐射出去)、信息加密(在密钥的控制下，用加密算法对信息进行加密处理。即使对手得到了加密后的信息也会因为没有密钥而无法读懂有效信息)、物理保密(利用各种物理方法，如限制、隔离、掩蔽、控制等措施，保护信息不被泄露)。

    四、完整性

   完整性是网络信息未经授权不能进行改变的特性。即网络信息在存储或传输过程中保持不被偶然或蓄意地删除、修改、伪造、乱序、重放、插入等破坏和丢失的特性。完整性是一种面向信息的安全性，它要求保持信息的原样，即信息的正确生成和正确存储和传输。

    完整性与保密性不同，保密性要求信息不被泄露给未授权的人，而完整性则要求信息不致受到各种原因的破坏。影响网络信息完整性的主要因素有：设备故障、误码(传输、处理和存储过程中产生的误码，定时的稳定度和精度降低造成的误码，各种干扰源造成的误码)、人为攻击、计算机病毒等。

   保障网络信息完整性的主要方法有：

   协议：通过各种安全协议可以有效地检测出被复制的信息、被删除的字段、失效的字段和被修改的字段;

   纠错编码方法：由此完成检错和纠错功能。最简单和常用的纠错编码方法是奇偶校验法;

    密码校验和方法：它是抗撰改和传输失败的重要手段;

    数字签名：保障信息的真实性;

    公证：请求网络管理或中介机构证明信息的真实性。

    五、不可抵赖性

     不可抵赖性也称作不可否认性，在网络信息系统的信息交互过程中，确信参与者的真实同一性。即，所有参与者都不可能否认或抵赖曾经完成的操作和承诺。利用信息源证据可以防止发信方不真实地否认已发送信息，利用递交接收证据可以防止收信方事后否认已经接收的信息。

     六、可控性

     可控性是对网络信息的传播及内容具有控制能力的特性。

     概括地说，网络信息安全与保密的核心是通过计算机、网络、密码技术和安全技术，保护在公用网络信息系统中传输、交换和存储的消息的保密性、完整性、真实性、可靠性、可用性、不可抵赖性等。

   脆弱环节一：没有设置主机管理员密码或者设置的太过于简单。

    其实，根据权威部门的调查报告显示，给企业造成的安全威胁的因素80%是来自于企业的内部，或者说就来自于企业用户的终端主机上。为什么会如此呢？这主要是因为很多企业网络管理人员，太过于重视外界的攻击，把企业的门户保护的好好的，就疏忽了来自于企业内部的不稳定因素。

    最常见的就是管理员密码没有设置或者设置的太过于简单，让别人不用花多少时间就可以取得系统的管理员权限。

    我们都知道，对于Windows操作系统，其实任何操作系统都一样，一般有两种角色，一是系统管理员角色，他具有对整个操作系统进行管理与配置的权限，包括注册表等的更改权限。另一个是用户操作权限，其又包括普通用户、超级用户等角色，这些角色下，一般不具有多操作系统进行管理的权限，但是对于正常办公来说，权限已经足够。

    现在的问题是，在系统安装完毕之后，默认情况下都会建立一个管理员用户，问题就是出在这个管理员用户身上。

     一是对于这个管理员用户，很多系统管理员会忘记设置密码，因为默认情况下，操作系统是不会提醒管理员设置密码。正是因为如此，所以，攻击者可以非常轻松的就获取到操作系统的管理员权限。如此造成的后果，就是攻击者可以利用管理员的权限登陆到用户的终端上，然后在系统中部署一些木马或者网络窃听软件，从而，给企业的网络就造成了一些不稳定因素。

     二是管理员用户密码设置的过于简单。有些系统管理员虽然设置了管理员用户的密码，但是，设置的非常的简单。如用纯数字密码。了解一些密码破解知识的人，相信都会了解，如果设置了一个八位纯数字的密码，则借助于密码破解工具，则只需要半天的时间就可以破解这个密码，可见，若采用纯数字的密码是非常危险的。另外，就是有些系统管理人员喜欢把整个公司所有终端的管理员密码设置为一样，如都是“welcome”作为系统管理员用户的密码。如此的话，只要破解一台电脑的密码的话，则其他客户端电脑也都破解了。这也是一种非常危险的做法。

     三是没有为普通用户设置合适的权限。普通的员工需要管理员权限吗？当然不需要。但是，在实际工作中，有些人为了自己省力一点，如安装软件之类的不用自己出马，让员工自己安装。所以，就给他们的帐户有了管理员的权限。如此，如果他们接收了带病毒的垃圾邮件，或者通过U盘等工具从外面带回来了一些木马，则这些病毒与木马马上可以利用系统登陆帐户的管理员权限更改系统配置，从而达到其在操作系统中生根发芽的目的。等到起在操作系统中安家后，其就成为了企业网络安全的一大隐患，因为其在必要的时候，随时可以发起一些攻击，如DDOS、ARP攻击等等，从而导致企业网络运行的不正常；也可以利用键盘记录软件，非法获取用户的帐户与密码等等。

      综上所述，我们发现，由于管理员用户管理不当，给企业造成了很大的安全隐患。为此，针对这个管理员用户配置，笔者有如下建议：

      一是更改管理员用户的名字。默认情况下，微软操作系统安装后，其管理员用户名为固定的，就是“administrator”，这个用户隶属于管理员组。而且，无论是木马或者病毒在攻击之前，都会试着去寻找是否存在这个用户名，若存在的话，则会尝试破解这个用户名的密码。为此，我们若能够把这个用户名改掉，改成其他的名字，如此的话，木马与病毒就不知道那个用户名具有管理员权限，只好一个个的破解过去，这会大大的增加他们攻击的成本。我比较喜欢的做法是，先把这个管理员用户改名，然后再建立一个“admininstrator”帐户，并为其设置比较复杂的密码。但是，其权限只有普通用户，甚至只有GUEST组的权限。如果攻击者花了很多时间破解这个用户名与密码，破解后才发现这个用户是个伪管理员用户，只有GUEST权限时，他们会气个半死。这也可以算是报了我们一箭之仇。

      二是为管理员权限的帐户设置比较复杂的密码。对于企业来说，还需要注意，就是不能够为每台主机的管理员帐户设置相同的密码，这是一件很忌讳的事情。笔者现在的做法是，利用一个密码生成工具，根据主机的IP地址（我们采用固定的IP地址），生成一个8位数的字符与数字混合的密码。这即方便了我们的管理，也提高了安全性。

      三是为用户配置合理的权限。给用户最小的权限，不仅可以提高系统以及网络的安全性能，而且，也可以防止用户对电脑进行一些不必要的修改，如更改IP地址或者电脑名等等，从而造成网络地址或者名字的冲突等等。我在公司里给用户配置的一般都是普通用户组（USER组）的权限，最多只给与POWERUSER组的权限。这里要特别强调一点，不要给他们配置Administrator组的权限。

     脆弱环节二：对于移动存储设备缺乏管理。

    现在U盘、存储卡等设备的流行，是大大方便了用户的办公，但是，也给我们网络安全带来了很大的挑战。正如我们上面所说的，企业很大一部分安全威胁都来自于企业内部。那么，这80%的安全威胁中，又有很多来自于U盘等移动存储设备。

     为什么这么说呢？因为在企业边界网络安全设置的比较完善的时候，则木马或者病毒只有通过内部才能够攻击企业的网络。那么这些木马与病毒如果进入到企业的内部网络呢？很明显，通过U盘等移动存储设备，木马与病毒可以轻松的绕过企业的防火墙等安全设备，进入到企业的内往。U盘等移动存储设备，成为了传播病毒或者木马的最好的载体。

     一方面，员工有时候出差在外，或者在家里办公，没有受到企业防火墙的保护，则他们的U盘等存储设备，在使用的过程中，就很可能受到病毒或者木马的感染。然后，当他们拿回道自己的公司，开始使用的时候，就有可能把病毒或者木马传染给他们的主机。然后，病毒与木马再通过主机等发散出去。

      另一方面，员工通过U盘等存储工具，可以很方便的把企业的一些机密文件复制或则转移到U盘上。如此的话，若员工把这些资料拿出去卖钱，则会给企业带来很大的损失。企业机密信息的泄漏，这也已经成为了威胁企业网络安全的另一大杀手。

      可见，移动存储设备已经逐渐成为了黑客、木马或者不良员工作案的工具之一。所以，我们在日常工作中，需要加强对这些移动设备的管理。

    1、没有特殊必要的话，不要让用户使用USB设备。现在很多移动存储设备都是采用USB接口的。若我们能够在不影响工作的情况下，禁用掉这个USB接口的话，则就不用担心来自于移动存储设备的威胁了。我们可以通过BIOS、或者其它控制手段，把USB接口禁用掉，从而限制用户使用移动存储设备。

     2、当用户一定要使用USB设备时，采取强制杀毒的策略。我们可以通过技术手段，当用户接收带附件的邮件需要病毒扫描。同样，我们也可以利用技术手段，来控制用户使用U盘等存储设备时，必须要先进行病毒扫描，才能够使用。如当他们从U盘中复制一个文件到电脑主机上的话，需要先对这个文件进行病毒查杀，以确保这个文件没有已知的病毒，从而提高系统的安全性，减少U盘等设备的不良影响。

      3、采用文件加密手段，防止员工通过移动存储设备泄漏公司信息。我们都知道，U盘等设备由于体积小、容量大，所以，若利用它来复制公司机密文件的话，则是很方便地一个作案工具。所以，若允许员工使用U盘等存储工具的话，则就需要在文件级别上，设置一些安全策略。如对文件进行EFS加密或者设置复杂的密码，让他们及时获得这些文件，但是也打不开，只能够干瞪眼。特别是对于一些关系到企业生存发展的机密文件，最好采用EFS加密手段。因为采用EFS加密技术加密过的文件，一般文件离开主机（确切的来说，是某个帐户）的话，其它人就无法打开，这是一种很好的文件保护手段。

    如果你不确定自己的电脑是否收到威胁，你还敢使用网上银行查阅帐户余额，购买电影票或是其它电子商务交易吗?可能不是这样吧。那么家庭用户应当如何做呢?

    首先，如果你不确定电脑是否受到威胁，姑且就这样认为吧。那么你需要备份数据，格式化驱动，然后重新安装操作系统和必要的程序。可能你会认为这是矫枉过正，但是唯有如此才能确开始就是安全的。备份IE收藏夹，个人照片，文件等等。你可以使用文件搜索找出最近几个月修改的文件，你会发现其中很多是你需要备份的，但是你也可能因此而漏掉一些重要数据。

     把必要的安装程序列一个清单以便重装。在Windows操作系统中，你可以从“控制面板”中的“更改或删除程序”里开始，但是也可以在目录菜单和硬件目录中寻找一下。使用过的和必要的密码也要列一个清单。一般来说软件使用的都是密码自动登录，很长一段时间可能你都忘记了密码，在你需要的时候就只能痛哭了。

     有心人一般会在重装之前准备好所有的驱动。有时候网上下载所需的网卡是很困难的。

     安装和配置基于主机的防火墙要禁止远程连接，一般来说默认设置都没有打开。

      在重装操作系统之后，使用开发商的自动升级程序安装最新的补丁和升级。然后重装应用程序和升级等等。这一步很关键。

      保证你的应用程序，甚至你的浏览器插件被适当地安装和升级。打开操作系统和应用程序的自动升级功能，以保证及时的更新。

       密码的设置不要过于简单。至少包含10个字符，如果有必要的话，可以加上复杂的字母。电脑的密码不应该和你网上使用的密码是一样。确保管理员或是根密码的绝对安全。

      创设一个非管理员用户账号进行日常事务，只有在需要的时候才使用管理员账号。如果你与孩子们共享电脑，不要告诉他们管理员帐户或是密码。即使你真的想这样做的话，你的电脑将不再安全。你宁可再给他们买一台电脑，孩子们天性好奇，不管什么程序都往上面安装。很多时候就安装了恶意软件。

      安装反恶意软件的软件(杀毒软件，反垃圾邮件软件，反网络钓鱼软件等)。反恶意软件的软件远不够完美，但是没有它又万万不能。怎么样选择这些产品?选择排名前10的厂商，虽然不能否认10名开外也有很好的产品，真正的好产品将慢慢进入到前十。

     最后，备份数据要放在安全固定的地方，有密码保护或是加密(家之外的地方)。这样即使电脑或是家里出了什么事，也可以保证数据的安全。

     如果你真的这样做了，你的付出是值得的，电脑速度越来越快，并且是安全的。真如此，有何乐而不为呢?马上采取行动吧!

    既然面对这样的现实，那么在降低企业磁带加密风险时就应该考虑到如下几个问题：

   是不是所有的信息都要加密?

　理论上是这样的，但是这会导致成本的上升的计算机性能的下降，因为你要使用各种各样的加密技术。实际实施中这是一个难题。如果你的回答是“No”，那么你就不得不在数据的分类和必须保护的数据之间寻找到平衡点。一般说来，如果能够有效的减少加密数据的规模无疑是大有裨益的。

    使用经济有效的磁带加密技术会收到良好的效果吗?

　现在人们可以有很多选择，包括使用备份程序加密，基于网络的存储区加密程序，植入式的SAN(存储区域网络开关加密技术)开关加密技术，还有使用内置加密技术的磁带。每一项都会增加整体的备份结构的成本：对更快的服务器的需求，额外的SAN开关端口的需要，更新的和昂贵的磁带驱动，以及额外的管理机制。当你在选择不同的系统时，一定要仔细考虑这些因素。

    谁来管理加密密鈅?

　除了性能之外，还有一个最值得关注的问题，那就是磁带机密的密鈅管理问题。最最实际的角度看，密鈅应该集中管理，那么加密政策就可以一以贯之并且由不同的部门管理而不是以往的单一备份管理。但是，这可能会导致操作上的难题，如果没有处理好的话，就会导致大量数据不能加密的风险。因此，一些组织正考虑将密鈅的管理添加到备份程序或是磁带库里面。从企业或是组织的角度来看，最重要的了解自身的情况然后选择一个最适合自己的加密方式。

      在建立自己企业的加密系统之前，其它一些需要考虑的问题还有很多。应该让存储在磁带上的数据持续时间长一些，考虑安全管理政策的持续性，可操作性以及成本的控制。这些问题都会让你在以后避免不必要的麻烦。

   迷失方向一：注重边界安全，忽视内部威胁

   笔者在企业网络安全管理这个领域内，也是有一定的知名度的。平时在跟一些网络安全管理人员讨论企业网络安全话题的时候，发现大家更多的是关注企业网络边界的安全，而忽视了来自于企业内部的安全威胁。

   但是，根据有关权威部门的统计，企业网络的安全威胁，真正的来自外部的威胁只占到20%，而80%的网络安全威胁事件来自于企业内部。来自互联网的攻击，无论是木马、黑客还是恶作剧，都是很少，而且，对企业造成的影响也不是很大。但是，来自于企业内部的安全威胁则日益突出。特别是员工随意把企业内部的机密信息泄露、甚至转卖给企业的竞争对手，给企业造成了很多的损失。现在就有很多类似的官司。如前不久就有一家公司的销售经理离职的时候，复制了公司的所有客户信息与产品信息，离职后自己开办了企业，挖走了公司很多的客户。也有公司的技术骨干被企业的竞争对手挖走，随着他们的离职，很多技术资料也被他们带了过去，从而引发了官司。这里虽然也有人员管理上的问题，但是电子文档管理不完善，这也是导致企业损失的一个不可推卸的失误。

    为此，笔者认为，相对于企业外网而言，内部的威胁应该更应该引起网络安全管理人员的重视。

    如如何对电子文档进行管理，限制无关人员的访问，特别是对于电子文档的复制、分发等需要进行严格的控制。如如何对于移动设备存储进行管理，U盘等移动设备由于其体积小、容量大，所以是用来存储电子文档最好的工具之一，所以网络安全管理人员需要采用有效的措施来规范移动存储设备的使用，必要的时候禁用他。

   对于如何应对企业内部的安全威胁，笔者有如何建议：

    1、对电子文档进行安全等级管理。对于安全等级级别高的电子文档，如客户信息、产品研发信息等等，需要采用加密等手段来保护文件的安全。如采用WINDOWS操作系统的EFS加密技术和大狼狗加密专家，当这些机密文件脱离特定的用户，在其他电脑上都无法打开利用EFS加密和大狼狗加密过的文件。这无疑是保护企业机密文件安全的一种很好的手段。

    2、规范移动存储设备的使用。在一般情况下，需要禁止使用移动存储设备。如我公司现在就是禁止各种移动存储设备的使用，包括移动硬盘、U盘、MP3、外置刻录光驱等等，都无法使用。这个技术手段也很简单，就是禁用掉主机的USB接口即可。

    3、监控企业员工的邮件。除了移动存储设备外，电子邮件也逐渐在成为企业信息安全带头号杀手之一。电子邮件由于其隐蔽性高、使用方便等等，已经开始对企业的信息化安全产生了重大的威胁。所以，在有必要的情况下，需要对企业重要部门的员工邮件进行监控。笔者现在的企业，采用的安全规则是，一般员工的话，都不能发送外部邮件，只有内部员工之间的邮件可以对发。而有权限发送外部邮件的员工，他们的邮箱都受到监控，什么时候给什么人发送了什么内容的邮件，都可以追踪到。如此的话，就可以最大限度的减少员工利用电子邮件工具泄露企业机密信息。

    迷失方向二：西瓜、芝麻都要

　 在网络安全管理中，很多企业还喜欢面面俱到，只有这么大的胃口，还西瓜、芝麻都想抓在手中。结果呢，就是拣了西瓜丢了芝麻。

      如对于邮件监控来说，很多企业采用的措施是对于所有的员工都采取监控措施。一个公司几百名员工，从大到企业副总、部门经理，小到下面的司机，都对他们进行邮件监控。可是带来的问题就是，如何去查看这些监控信息。若我们不能及时过滤这些监控信息的话，则我们采取邮件监控措施的话，根本没有任何意义。所以，笔者认为，在企业网络安全管理中，没有必要做到面面俱到，而是应该抓重点。

    具体的来说，笔者有如下建议

    一是重服务期安全，轻单机安全。企业的服务期中，存储有企业大量的机密信息。如文件服务器存储有很多企业的机密信息，如产品研发、测试资料等的功能;再如ERP服务器中，存有所有的客户资料、订单信息、产品物料清单等等。在实际工作中，我们应该鼓励用户把相关的资料存储在企业服务器中。因为在服务器上，我们可以采取统一的安全策略，如对相关信息进行及时备份、采取统一的访问控制策略、利用服务期访问日志记录访问信息等等。若管理策略定义的好的话，在服务器上文件的安全性比单机上要高的多。故，在安全管理中，我们应该把管理的中心放到这些服务器中，要采用一切必要的措施，让员工把信息存储在文件服务器上。

     二是对于信息的安全管理要轻重有别。我们都知道，文件访问的效率与安全往往是背道而驰的。当文件安全性级别高，往往就需要添加很多访问的限制，如需要员工凭用户名与密码才能够访问;或者需要用户通过特定的途径才能够访问;或者对于用户访问文件的地点有限制等等。一般来说，安全级别越高的文件，其访问更加复杂，所以，访问效率也就比较低。故我们网络安全人员在设计安全体系的时候，需要在安全性与访问效率之间取得均衡。而取得这个均衡的最好的一个方法，就是对信息实施“轻重有别”的管理方法。就拿笔者公司为例，企业员工的考勤信息一般都是公开的，所以，对这个信息就没有必要采用很强的访问控制策略，只需要限制未经授权的用户更改这个文件即可。而公司工资信息则是保密的，一般只有员工本人与少数的几个人员才能够获悉，所以，对于工资明细这个文件就需要采用比较严格的访问控制策略，对于访问的人员、访问的途径等等都需要进行严格的控制。如此的话，才可以实现企业的要求。故，对企业的信息进行如此分级管理的话，我们就可以把更多的精力放在一些机密性程度比较高的信息上面;同时，对于一些机密程度不高的文件，就可以提高其的访问效率。而不是不管三七二十一，一帮子打死。

      三是必要的时候，把某些部门划为禁区。如笔者现在的企业，产品研发部门是企业的核心，我们企业产品的专利树目在国内企业中是数一数二的，所以对于专利的保护就非常的重视。为了保护这些产品信息，特别是产品配方、产品测试资料的安全性，公司采用了虚拟局域网技术，把研发部门跟财务部门划分成独立的网络，限制其他部门对于这两个部门电脑的访问。如此的话，就把这个两个企业重要部门隔离开来，提高了这些主机的安全性。这对于企业的信息安全起到了很大的保护作用。所以，笔者建议，在网路设计的时候，就需要开始企业网络与信息的安全。在有必要的时候，把一些重要的部门独立的保护起来，从网络底层限制其他用户对其的访问。

      企业这么大多一个信息网络，存在这么多的安全威胁，而且要往往不会配备很多的网络安全人员，一般就一名到两名。很多企业还没有独立的网络安全管理人员，都是网络管理员在兼职。所以，在这种背景下，若还要去争取“面面俱到”的话，则最后的结果必然是功亏一篑，捡了芝麻，丢了西瓜。故笔者在这里强烈建议，我们在设计企业网络安全管理体系的时候，需要轻重有别。大家在考虑问题的时候，可以参考我上面的意见。虽然有些地方可能不是百分之百的准确，可能还有一些没有考虑到的点，但是，我相信，这些方法对于大家从整体上提高网络与信息的安全性，是具有非常好的作用。因为我现在就是这么做的，而且已经取得了非常明显的效果。

    密码是最常见的安全方法，但是对于有决心的窃贼来说，它们实际所能提供的安全性不大。数据加密通过打乱和替换代码来保护数据。这种安全方式的有效性取决于加密算法的有效性，以及处理加密的方式。加密密钥位数越高，所谓的“暴力破解”计算技术就越难发现加密密钥。自从被加密的数据能够成功地通过使用加密密钥予以解码以来，保护这个密钥就成为数据安全的一个关键问题。

     市场上有几种产品是通过在主机系统上运行加密软件来实施数据加密。这种软件在主机系统处理器上加密数据并将加密后的数据存储在一个存储设备中。许多公司生产这种产品，包括BitLocker(使用Window Vista操作系统)，FileVault(使用MacOS X操作系统)和 dm-crypt(用于Linux)。

基于软件的加密

     这种基于软件的加密包可能能保护数据不会被偶尔的恢复数据的尝试所破坏，但是很久以前人们就知道只要使用正确的工具就可以破解这种数据加密。

      例如，加密后的数据可以被存储在一个存储设备中的多个地方，但是被加密文件的一些部分可能会处于存储设备中未被加密的地区。

      今年初，普林斯顿大学的研究者们指出在基于主机的加密中，加密密钥是处于主机的DRAM(动态随机存储器)，而如果有人能够将DRAM中的数据在消散之前便提取出来，那么密钥就会被恢复从而失去数据安全性。在主机关机后，马上就将DRAM冷却，然后将其中的内容克隆到另一个存储设备，就可以从DRAM中恢复数据。

      基于软件的加密方式可能易于被发现和渗透。比如在离开台式机或笔记本的时候关闭电源或者让它们处于休眠状态，可以排除DRAM恢复方法，但是我们需要更多的技术来确保那些需要加密的碎片式文件能够得到完全的保护。

基于硬件的加密

      基于硬件的加密则更难以访问和渗透。Trusted Computing Group(TCG)所推广的一种方式是将加密密钥放在存储设备，而该存储设备也包含一个特殊的能够进行加密/解密的芯片。

      这种设备不会把密钥暴露给主机系统，因此诸如从DRAM中读取密钥的技术无法奏效。同时，硬盘驱动器上的所有的用户数据都可以被加密。希捷、日立和富士通现在也提供带板载加密的笔记本硬盘驱动器。

       包含全驱动器加密的磁盘驱动器可以让计算机用户更加放心。而且，如果存储设备中的密钥在这些产品上被删除，那么由于缺少密钥信息，设备中的数据将无法重新构建或被前面所讨论的“暴力破解”技术所重建。因此，支持TCG的磁盘驱动器可以提供快速的“安全删除”。