-- 作者：ytree
-- 發佈時間：2006 04 17 2:14 PM
-- 【轉貼】SafeGuard Easy 4.11使用经验
产品主页：
hxxp://www.utimaco.com/C12570CF0030C00A/CurrentBaseLink/W26K9K5M068OBELEN
应redgiant版主要求，将SafeGuard的使用经验写了下来。
附安装过程一份。希望使用它的朋友一起交流！
把文章直接附出来方便不下附件的人阅读吧：SafeGuard使用经验
SafeGuard本身是一种对磁盘加密的工具，据称可以完全加密，没有程序可以破解，就连修复、恢复硬盘数据的厂商对其也没有办法，本人还真碰上过两回。这在公司管理层对数据敏感的环境下是有一定作用的。因为员工不可能使用了笔记本后不拿出去公司，拿出 来了后又不可能没有丢失的可能。平常情况下，本本丢失了后，硬盘放在硬盘盒后完全可以读出来。对于公司数据的安全是相当有害的。我想，SG完全可以满足这方面的应用了。
有其利必有其弊，计算机界中事物总是矛盾并存的。应版主要求，我将一些使用上的经验再汇总一下。写这稿的过程中，我翻了一下说明书才发现自己还有许多功能没有应用上去，比如网络集中管理等。这在大型企业集中管理应用是非常迫切的。只是本人精力实在有限，但 相信以后会有机会与大家一起进步的。
一些注意点
安装过程：
• 安装过程中有一个Secure Aotu Logon组件，不建议使用。我在一台本本上选择后，发现Safeguard会在启动windows后试着自动登录。这在主人开机离开时是有一定风险的。
• 如果需要网络集中管理，那么Server connection和administrative tool将很有必要试着安装上去。SG可以通过网络集中管理安装、维护软件在各个客户端上的应用。
设置过程：
• 第一个界面选择需要慎重！！我已经说过了，对于DELL, IBM等本本都有一个隐含的分区，这个分区万万不可以进行加密，否则这块硬盘上的数据几乎要全部完蛋。所以建议只对Partitions进行加密。第一个Standard加密，和老版本的SG里的completely几乎是一致的，这个就会对隐含分区加密 了。
在常规设置中，一般要以安全为主要设得死死的。
• Password at system start，不知道设成no会有什么后果？？设成Yes了后，机器自检后马上进入SG登陆界面。
• Hidden password entry设成no,密码会以*来显示；设成yes后，输入密码时的情景跟在Linux下面输密码一样，屏幕上没有反应。
• 最小密码长度有两种情况对待。如果用户不可以更改密码的话，取6-8位复杂密码即行。我们单位用户密码都是管理员指定八位随机产生带数字和大小写字母的。那在这里只要简单的只要简单地设置长度即行。如果用户可以更改密码，注意常规设置中其它选项，可以规定密码历史，带多少字符或者数字等等。这在一定程度上可以控制用户选 择复杂的密码。
• 在Undesirable passwords里，可以加载一个文本文件。这个文本文件可以放在服务器上，里面记载着那些缺乏安全意识的用户，经常使用的密码。最典型的就是12345， 12345678， 87654321等。当然通过上面的复杂程度设置，这一道没有太大的必要。
• 在Identification里，可以在SG登陆界面上写在一些公司的信息。有道德的人捡到后开机，看到这个会不会还给你呢？
• 在MBR中，对于MBR保护选择忽略更改。有一些我就看到一台IBM的本本在反复的启动
进入加密设置：
进入后可以看到，这个软件也可以对移动介质进行加密。我还没有对移动介质进行过加密 ，所以这里只说说硬盘。
• 加密算法建议选择Blowfish 16，对比下来这种算法好像最经得住破。
• Keys，这是进行加密时需要的一组密钥，可以选择随机（你也看不到）
• 在Drives中，把硬盘上的所有分区进行加密吧。这里虽然可以指定分区，于是有人建议用户把数据放在C盘以外，不把C盘加密了。这样做似乎可以解决系统坏掉了后重装简单？其实不然，解决的步骤还是和加密了C盘后一样！稍后我再讲讲吧。而且对于IMA P用户，下载的邮件和缓存文件夹，里面一样存在着敏感数据！所以建议选择所有分区吧。在这里，隐含分区是看不到的。
用户设置：
• SYSTEM用户只需要设置一个密码。这个密码非常关键，维护，解密硬盘都需要用得上。建议企业里这个密码统一。即使你不知道用户密码了，你也可以轻松进行维护。
• 用户名及密码。这里可以为同一计算机使用的N个人设置自己的密码。大家要注意到这里有一定的密码策略，还有SG软件使用的权限（默认什么也没有）。如果用户是一个年纪大点的，你设置成了需要复杂，并允许用户下一次登录更改的话，估计你会收到投诉了。
至些，一些重要的设置已经完成，我平时安装设置的注意点也告诉大家了。
Redgiant版主跟我约此稿时，问了我一些问题，于是我做了下面一些冒险地测试。
1、 安装完成后进行磁盘加密时，突然让笔记本掉电（无电池）。重新开机后，一切正常，继续加密。
2、 加密完成后，笔记本突然掉电，那跟windows一个样，就看它能不能撑得住了。
3、 加密过来开始到10%后，我关机把硬盘拿到了硬盘盒里，试着用GHOST或者acronis true image, acronis disk director读，都已经把那个分区认为是已损分区了。但我没有来得及做更多地测试。
4、 windows锁住后，计算机马上受到SG的保护。这时我试着断电。又接到了硬盘盒里进行试着读数据。效果相当好，还是有损分区，一丁点也没有读出来。
Redgiant害人不浅……
经验：
这个讨厌的软件一装，你就不可能用ghost之类的软件进行分区备份或者恢复了。所以，在windows和应用软件装完后，进行一次分区备份后再安装、配置这个软件是比较实际的。
安装完软件后，XP的休眠功能好像无效了，机器再开时还是跟平时一样。
笔记本安装、加密最好需要电源。一般加密时间长短与硬盘容量、速度有关。在我的DELL D600，40G上面加密，用了一小时不到，电池刚刚好∼
system用户密码要统一和保密，跟服务器密码要同样对待。由于我们公司笔记本用户不同，又不是同时购买，所以没有安装服务器商。但如果单位有这个需求，需要进行统一集中管理的话，建议大家可以对比着说明书使用，这样才方便。
一些应急办法：
我们过去的一年中使用SG出过一些事，这里简单说一下。
那张可引导的安装光盘，作用相当大。比如一台笔记本的windows已经崩溃，不能进入系统了。可以用那张光盘引导计算机，在一个简单的界面下面进行解密执行，输入system密码后完成所有硬盘分区的解密过程。这样这块硬盘就跟当初一样了，可以放在硬盘 盒子里进行恢复数据，或者重新安装windows了。可见，system的密码，一定要设置得让人根本猜不到！
如果，你的C盘没有加密，而仅仅加密了以外的分区，当windows崩溃后，不要马上重装系统！否则你的C盘以外的数据将完全丢失！还记得硬盘加密设置时有一对密钥的配置吗？
正确的做法是：仍然使用那张引导光盘进行解密！别无它法。
去年我们还在用3.10老版本装在新型DELL笔记本上，出现了重启后可以进行安全模式，但一正常启动马上蓝屏。解决的办法用98启动盘启动计算机，fdisk /mbr进行恢复后删除那老版本了。所以建议大家试前对硬盘所有数据进行备份��
经验：
这个讨厌的软件一装，你就不可能用ghost之类的软件进行分区备份或者恢复了。所以，在windows和应用软件装完后，进行一次分区备份后再安装、配置这个软件是比较实际的。
笔记本安装、加密最好需要电源。一般加密时间长短与硬盘容量、速度有关。在我的DELL D600，40G上面加密，用了一小时不到，电池刚刚好∼
可能有些人说windows本身EFS加密也不是很好？EFS确实是在NTFS上不错的选择，但据我所知已经有软件可以进行破解了。
系统资源，应该说用户在使用过程中还是感觉不出来，非常透明。
system用户密码要统一和保密，跟服务器密码要同样对待。由于我们公司笔记本用户不同，又不是同时购买，所以没有安装服务器商。但如果单位有这个需求，需要进行统一集中管理的话，建议大家可以对比着说明书使用，这样才方便。
[ 此貼被ytree在2006-04-17 22:20重新編輯 ]
|
》
