http://hi.baidu.com/xinye/blog/item/e434874497a5eb4b510ffe09.html

Office2007终极防护技巧全接触(上)

2009年02月21日 星期六 上午 10:59

【IT168 产品应用】有很多方法都能够在网络层面上保护你的文件，但如果能够实施多层次的安全防护手段以确保问及那不会遭到恶意窜改或是误落他人之手，这样会让人们更加放心。Office 2007向用户们提供了多种数据保护特性，包括加密、限制格式和编辑以及数字签名。下面我们就要来深入地研究一下，如何将这些保护手段发挥到极致。     在如今的商业环境中，我们对办公软件的期待决不仅仅是收发电子邮件的能力、排版文档、制作工作表以及创建幻灯片这么简单。我们还需要有办法保护这些文件不受非授权人的访问，感染恶意代码，以及防止我们的文件被共享的对象将其滥用。     在现代网络中，已经有很多的安全手段能够帮助我们保护我们的文件。防火墙帮助我们限制入侵者访问我们存储文件的网络；杀毒软件帮助我们检查文档和电子邮件中的病毒及其它恶意软件；IPSec则能够用来加密数据，以防数据在网络中被捕获到时能够在包级被查看；访问控制、文件级别许可以及EFS加密则能够阻止组织中未被授权的人访问文件。     但是，最好的安全防护方法应该是一个多层级的，并且其中的层级越多越好。即使在现在的操作系统中都内置了一些网络安全的保护功能，但人们仍然会寻求其它的安全应用程序。微软的Office 2007中就有许多数据保护的特性，它们能够帮助你将那些用Word、Excel和PowerPoint创建的文件的机密性和完整性。在这篇文章中，我们将会看到如下内容：     如何使用文档加密来用密码保护文档。     如何限制对文档的格式和编辑。     如何使用数字签名来确保文档和信息不会在传输过程中被窜改。     同时，在接下来的文章中，我们还会阐述以下内容：     在文档和信息被拷贝、转存或将它们发送给其他人时，如何使用信息权限管理（IRM）来得到相关消息。     在将文档发送给其他人之前，如何查验文档中隐藏的个人信息。     如何使用受信中心来保护你的隐私，并防止有害内容侵入文档。 文档加密/密码保护     Office 2003中的密码保护通常都是遭到人们所批评的，因为它的加密性非常薄弱。尽管它使用了128位加密密钥的RC4算法流密码、初始矢量（IV）以及你每次加密时所使用的密钥流。这也就意味着黑客能够通过对比一个受密码保护文件的两个版本来将密码进行破解。如果你没有黑客的技术怎么办呢？没有问题，很多软件都能够作为“密码还原工具”来将Office 2003的密码破解。     Office 2007使用的是128位加密密钥和SHA-1散列的AES（高级加密标准）。为了能够具备更有力的保护功能，你可以通过编辑注册表或使用组策略来创建256位程度的密钥。这样就增强了用密码保护的文件的安全性，特别是在你使用了较长、较复杂的密码时。     与早先版本的Office的兼容性     如果你想将加密的文件与那些还在使用旧版本Office的用户共享那要怎么办呢？使用Office XP或Office 2003的用户如果想要打开使用Office 2007加密的文件只有在如下情况可行：     他们运行的操作系统能够支持AES（Windows XP SP2、Windows Server 2003或是Windows Vista）。     他们安装了为Word、Excel和PowerPoint 2007文件格式所开发的Microsoft Office兼容包（这可以在微软的网站上下载到）。     如何在Office 2007中加密一个文件     要在Word、Excel或是PowerPoint中用密码加密文件，可以先点击Office程序窗口中左上角的Office按钮。选择“准备>加密文档”。如图1所示。     图1 在Office按钮中选择“准备”来加密文档       在输入密码的区域输入一个保密性较好的密码，至少八个字符，可混用大小写字母、数字以及符号，如图2所示。当提示出现时再次输入同样的密码。       图2 输入保密性强的密码来保护你的文档       你可以以Office 2007文件的格式（.docx、.xlsx或者是.pptx）来存储文件，也可以以Office 97—2003的格式（.doc、.xls或者是.ppt）来存储文件，你会看到一个对话框，它会建议你XML格式的保密性最佳，接着询问你是否要转化为XML文件格式来增强文档的安全性。     现在，当你或其他人要打开这个文件时，一个对话框就会弹出，提示你输入密码，如图3所示。       图3 在打开文件时必须输入密码       除了你可以对文档设置密码来进行加密之外，Office 2007还能够允许你设置文件共享密码。之前所说的加密指的是打开文档时需要密码，而文件共享密码则是在修改时才需要输入密码的。     要对文件设置修改密码，你需要使用到“另存为”对话框中的“工具”，这也能够作为另一个设置打开密码的方法。在文档中，你只需要点击Office按钮并选择“另存为”，接着，在“另存为”对话框中，输入文件的名称，点击“工具”旁的向下方向键，接着选择“常规选项”，如图4所示。     图4 另一处设置密码的地方就是通过“另存为”对话框的“常规选项”       在常规选项对话框中，你可以输入打开密码或修改密码，如图5所示。       图5 你可以在此设置打开密码和修改密码       要注意的是，设置文件共享密码的话，它并没有对文件进行加密，因此它并不是一个安全的方法。在“常规选项”对话框中，你还可以打开“受信中心”的“宏设置”，这我们将在后文进行阐述。 设置格式和编辑的限制条件         点击“常规选项”中的“保护文档”按钮，就能够打开限制格式和编辑窗格，这也能够在Ribbon中的“视图”内的“文档保护”中进行选择。有时，你会希望将文档分发给其他人，但不希望他们对其中的格式进行修改，或者是想要限制他们仅能够做某些编辑，例如插入批注。     你可以通过如图6所示的任务窗格选择并应用格式和编辑设置。     图6 点击“文档保护”按钮能够打开“限制格式和编辑”任务窗格       你可以将格式限制为你所指定的样式，如图7所示。     图7 你可以选定一些样式来限制文件的格式       这能够防止其他人更改文档的样式，或是直接将格式应用到你的文档中。你也可以选择是否“允许自动套用格式替代格式设置限制”，“阻止主题或方案切换”以及“阻止快速样式集切换”。而在默认情况下，这些选项都是没有选中的。     如果文档所包含的格式或样式是你所不允许的，你就会被询问是否需要移除它们。     你可以对编辑作出如下限制：     不允许任何更改（只读）     修订     批注     填写窗体     如果你希望文档中的某些部分能够让其他人自由地进行编辑，那么你可以指定这些选择部分作为不受限制的部分，或者是你可以仅允许特定的人来更改文档中的这个部分。这些设置都能够在“限制格式和编辑”任务窗格中的“例外项”内进行选择。     你可以在例外项的选框中钩选中“每个人”，也可以点击“更多用户”之后，输入用户的名字，这样，你所指定的这些人就能够编辑你所选择的文档部分。     通过这个特性，你可以允许一个人编辑文档中的一个选择部分，而让另一个人编辑另一个选择部分。例如，你可以让公司中的法律部门编辑一段关于处理法律问题的文档，但不允许他们去修改文档中关于技术问题的部分。     当你设置完限制条件以及例外项之后，点击“是，启动强制保护”按钮。接着，在启动强制保护对话框中，你就可以选择是使用密码还是用户验证来对文件进行保护。     图8 你可以使用密码或是用户验证来强制格式和编辑的保护   数字签名     数字签名能够用来证实文档创建者以及邮件发送者的可靠性，确保信息未受入侵而感染，内容没有在发送之后遭到秘密修改。但对一个文档签名并不代表对其加密。     数字签名如何工作     数字签名使用的名叫证书授权（CA）的受信第三方签发的数字证书。CA是一个运行着证书服务软件的服务器，例如包含在Windows 2000 Server和Widows Server 2003中的证书服务。 CA可以是在内部的，运行在公司本地局域网中的一台计算机上，或者它也可以是外部或者公共的CA，例如VeriSign、Thawte和其它公司所运行的。无论是哪种方式，CA都是用来验证和证明那些它所签发的数字证书的用户或计算机身份的。     数字证书是基于非对称式或公共密钥加密技术的。证书中班汉了用户的名称以及一个关联到用户用来签名文档的私钥的公共密钥，以及一串的数字、失效日期，还有CA的数字签名。     与早先版本的Office的兼容性     虽然早期版本的Office也支持数字签名，但它们使用的数字签名是不同格式的。Office 2007使用的是XMLDSig格式，这与之前的版本是无法兼容的。也就是说，如果一个用户使用的是Word 2003，他想打开一个在Office 2007中签名了的文档，那么这时就会出现一个对话框，提示这个用户，数字签名已经丢失了。     如何对Office 2007的文档添加数字签名     你可以对Word、Excel和PowerPoint 2007的文档以及Outlook 2007的电子邮件信息添加数字签名。     在Outlook中，你可以对个别的邮件信息使用数字签名，也可以让Outlook对所有发送出去的邮件使用数字签名。要个别地对邮件使用签名，先创建一封邮件信息，接着点击Office按钮后选择“属性”，点击选择“安全性”选项卡。在对话框中，钩选中“为此邮件添加数字签名”。     图9 你可以发送一封纯文本的签名邮件或是要求此邮件的S/MIME回执       如果你还没有与你要用来发送邮件的电子邮件地址相关联的数字证书，你就会在发送邮件是看到一个“无效证书”提示，它会告诉你要如何获取一个数字标识来使用这个帐户，如图10所示。     图10 如果你使用的电子邮件账户没有数字ID，你会得到无效证书的提示       小贴士：你可以从Thawte为个人电子邮件获得一个免费的数字标识。     要自动地对所有发送出去的邮件都添加数字签名，你可以使用受信中心，这方面我们将在下篇文章中阐述。     你有两种方式对Word、Excel或PowerPoint的文件添加数字签名：     全透明方式     使用签名行     全透明的签名对文档的有效性和完整性所提供的保证就是，让其在文档中是不可见的。签名按钮会在应用程序窗口底部的状态栏中显示。当你添加了签名之后，文档就会变成只读属性而无法更改。     要添加一个全透明的签名，你可以点击左上角的Office按钮，并选择“准备>添加数字签名”，如图11所示。     图11 通过Office按钮菜单就能够对Word、Excel和PowerPoint的文件添加数字签名       如果你还没有对这个文档进行过保存，你会被提示说你必须在签名之前对其进行保存，接着“另存为”对话框就会弹出让你进行操作。此时，“签名”对话框也会出现，显示出要签名在文档中的用户名，并且提供给你一个空间，让你输入对文档签名的理由，如图12所示。     图12 点击“签名”按钮即可对文档添加签名       你可以点击“更改”按钮来更改用户名，但仅能够更改为具备证书的用户。要对文件进行签名，则点击“签名”按钮。此时，一个“签名确认”的对话框会弹出，提示你签名已经与文档一起被保存。如果该文档发生了更改，签名也会随之失效，并且当任何人打开这个文档时都会得到提示。如果签名中存在任何问题，“签名”的任务窗格就会显示出来，指出其中存在的问题。     状态栏中一个红色的按钮就表明文档已经被签名。     你也可以对一个文档添加数字签名行，因此，签名者能够添加他们自己的数字签名。要完成此操作，点击Ribbon上的“插入”选项卡，点击“签名行”，接着选择“Microsoft Office签名行”。这样就会打开一个“签名设置”对话框，如图13所示。     图13 你可以插入任何人能够在其中对文档签名的签名行       在此，你可以插入签名者的名字、职务、电子邮件地址以及对签名人的特别说明。你也可以在一个文档中插入多个签名行。     如果你愿意的话，你也可以允许签名人在“签署”对话框中添加注释，你也可以让Office应用程序在签名行中自动插入日期。     签名行被插入文档中后如图14所示。     图14 签名行会被插入到文档中等待用户签名       当你双击签名行的时候，“签名”对话框会出现，如图15所示。     图15 “签名”对话框允许签名人在签名行中签名       文档签名人可以通过以下的一种方式对文档进行签名：     在签名区域中输入他/她的名字     在Tablet PC中用笔手写他/她的名字     插入一个包含有他/她手写签名的图像文件     在文档被签名之后，一个对话框会弹出提示你签名已经与此文档一起保存，如果你之前有选择插入日期的话，还会提示你日期已经插入到之前输入或者是手写入文档的签名，如图16所示。     图16 输入或手写的签名会出现在文档中并与文档一同保存       当这个文档在office 2007中打开时，“签名”任务窗格则会出现在窗口的右边，提示你这个文档已经受到签名保护。任何更改都将使数字签名失效，而签名的红色图标则会出现在状态栏中，如图17所示。     图17 “签名”任务窗格指示了签名的有效性 总结         在Office 2007中有很多内置的功能能够用来保护你的文档和电子邮件信息。在这篇文章中，我们对其中三种做了详述：文档加密、限制格式和编辑以及数字签名。在下一篇文章中，我们将接着叙述一下信息权限管理（IRM）、在发送信息前对文档进行个人信息检查以及受信中心的使用。