使用智能卡提供BitLocker驱动器加密功能

最新推荐文章于 2024-07-25 10:25:15 发布

weixin_33912246

最新推荐文章于 2024-07-25 10:25:15 发布

阅读量1.9k

点赞数

文章标签：操作系统运维

本文链接：https://blog.csdn.net/weixin_33912246/article/details/85154352

版权

本文详细介绍了如何在企业环境中利用BitLocker驱动器加密功能，结合Active Directory和企业证书服务器，通过智能卡来保障数据安全。文章涵盖了配置AD与证书服务器、添加BitLocker功能、创建BitLocker证书模板、用户申请证书、使用智能卡加密驱动器以及恢复密钥管理等多个步骤，旨在确保企业数据在丢失或设备损坏时仍能受到保护。

摘要由CSDN通过智能技术生成

“黄金有价、数据无价”，从一个方面说出了数据的重要。为了保护重要的数据不丢失或损坏，应该将数据保存在不同的位置并分别备份。但是，既然数据如此重要，怎么保护数据的安全呢？如果才能保证数据不被非法复制呢？

如果将数据保存在计算机硬盘上，是设置BIOS密码开机密码，还是设置密码操作系统登录密码，亦或是使用第三方软件加密数据呢？

如果将数据保存在U盘或活动硬盘中，或者笔记本电脑中，一旦这些设备丢失怎么办？与此同时，保存在这些设备上的数据是否会给你带来更大的损失呢？

即便没有丢失，如果你的计算机、笔记本出了问题，例如需要重装系统，在找人安装系统的过程中，你的相片或其他重要的资料，是不是会被人拷贝复制呢？

本文介绍使用Windows内置的BitLocker驱动器加密，保护计算机本地硬盘、活动硬盘（包括U盘）数据安全。

1 什么是BitLocker驱动器加密？

BitLocker驱动器加密是从Windows Vista操作系统开始提供的一个必不可少的安全功能，该功能帮助保护存储在固定和可移动数据驱动器以及操作系统驱动器上的数据。BitLocker有助于防范“脱机***”，即通过禁用或阻止已安装的操作系统而展开的***，或通过实际取走硬盘来单独***数据而展开的***。对于固定和可移动数据驱动器，BitLocker帮助确保用户只有在拥有所需密码、智能卡凭据或者在拥有合适密钥的计算机上使用受BitLocker保护的数据驱动器时才能够在驱动器上读取数据和将数据写入到驱动器。如果您的组织包含运行先前版本Windows的计算机，BitLocker To Go读取器可用于允许那些计算机来阅读受BitLocker保护的可移动驱动器。

要在计算机上启用BitLocker驱动器加密，需要软件与硬件两方面的支持。对于软件，则需要操作系统是Windows Vista/7/8/2008/2008 R2/2012；对于硬件，要求启用BitLocker驱动器加密的计算机上内置TPM芯片。对于没有集成TPM芯片的计算机，则可以采用智能卡，也可以使用U盘存储BitLocker驱动器密钥。

TPM通过与BitLocker操作系统驱动器保护交互帮助在系统启动时提供保护。这对于用户是不可见的，用户登录体验并未改变。但是，如果启动信息发生更改，则BitLocker将进入恢复模式，您需要输入恢复密码或恢复密钥才能重新访问这些数据。

受信任的平台模块(TPM，Trusted Platform Module)是一种微芯片，使计算机能够利用高级安全功能，例如BitLocker驱动器加密。已将TPM内置到某些新型计算机中。请检查随计算机附带的信息，以查看计算机是否安装了 TPM。

当前一些品牌的笔记本或商用台式机，配备用TPM兼容的芯片。对于大部分的家用计算机、笔记本电脑则没有兼容的TPM芯片。如果要启用BitLocker驱动器加密功能，可能采用U盘存储密钥，对于企业用户来说，则可以通过配备智能卡、为智能卡申请BitLocker驱动器加密证书的方式，保护企业或个人数据。本文通过图2-1的拓扑介绍，在企业中配置BitLocker驱动器加密的方式。

图2-1 BitLocker驱动器加密功能

在图2-1中，一台Active Directory服务器，该服务器安装Windows Server 2008 R2操作系统，并安装企业证书服务器，网络中操作系统使用Windows 7或Windows 8操作系统。企业中的每个员工配备智能卡，并自行从企业网络申请BitLocker驱动器加密证书，加密员工计算机及可移动设备磁盘，达到保护数据安全的目的。

2配置Active Directory与企业证书服务器

如果向智能卡写入“BitLocker驱动器加密”证书，则需要“企业证书服务器”，而“企业证书服务器”则需要Active Directory的支持。所以，要为企业网络构建用智能卡实现BitLocker驱动器加密的体系架构，则需要Active Directory及企业证书服务器。在本文中，Active Directory的配置与企业证书服务器的安装不做过多介绍。