您的PC安全吗?商用PC安全措施全面评析

前言:

　　您的PC安全吗?当企业或个人选购PC的时候普遍提出了这个问题，于是乎一个新的名词----“安全PC”出现了。

　　何为安全PC?广而论之，安全PC是一个宽泛的概念，在设计中强调安全思想的台式机都可以使用这个称谓，但今年市场上火热的“安全PC”是个狭义概念，专指配备了TPM安全芯片的产品。采用TPM安全芯片的台式机实现多种硬件级的安全功能:如文件加密、身份验证等，当然，为了对得起“安全PC”这个称号，除TPM安全芯片这个主要特征外，安全PC还具备了其他多种普通PC不具备安全功能，如安全系统、各种安全应用软件、丰富的物理安全措施等。

　　因此今天，我们就与大家探讨一下目前商用PC常用的几种安全防护措施，让大家对所谓的“安全PC”有个初步的了解。

1、机箱锁口

　　很多商用PC产品都具备机箱锁口，只需购买一把普通的圈锁就能将机箱盖锁死，就可以阻止非授权用户打开机箱，这样可以防止机箱内配件被盗或硬盘信息被盗;选够特制的圈锁，还可以将键盘鼠标也保护起来。这项设计对网吧和学校机房等地方来说，实用意义巨大。

　　不过，普通的机箱锁口其实仅仅是一种心理的防护措施，一把小小的螺丝刀就可以将普通的圈锁撬开。考虑到这一点，厂商们又推出了更安全的电磁锁、密码锁等技术。比如HP Compaq dc7600就提供独特的电磁锁，电磁锁作用和普通机箱锁相似，用于防止非授权用户打开机箱盗取配件和信息，电磁锁与主板相联，通过软件控制，因此在防盗措施上更灵活。

　　目前这种安全措施已经普遍应用于目前的商用电脑上了。当然这种方法只是未雨绸缪罢了。毕竟从根本上无法确保硬盘数据的安全!好在，电脑厂商们也推出更为有效的保密技术。

2、Smart card 智能安全系统

　　“道高一尺，魔高一丈”，机箱锁口总是处于被动的地位、很轻易被人从外围破解，而且最重要的硬盘数据并没有处理保护状态。于是，“Smart card 智能卡安全系统”，一个全新的名词出现了

注:智能卡硬件结构

　　SmartCard到底是何方神圣?光听名字就知道它很神吧，如果把它直译成中文就叫智能卡，其外型就和一般信用卡大小一样，但是多了一块指甲大小的IC芯片后，会让原本普通的一张卡片变成拥有数据控管与逻辑运算的能力。一定有人马上会问，那我们一般常用的电话IC卡上头也有一颗芯片，那是不是也叫作SmartCard?与普通的IC卡相比，Smart Card IC卡最大特点是本身已包含了CPU、ROM、EEPROM、RAM等组件，这使得Smart Card就有如一台可随身携带的微型电脑一般，可用来储存及处理重要资料。所谓的SmartCard不但自己有内存可以储存数据，也有对外的通讯接口，更厉害的是它自己具备了数据处理能力，也就是类似CPU的功能。另外在安全性方面，如果有任何人要对它不敬，想要欺负它，那它便会启动自我毁灭系统，任谁也都别想窃取卡片上面的数据。比如，HP的dc7600商用电脑就提供此功能。

　　在电脑启动前，进行SmartCard授权，将 SmartCard验证延伸到启动前的环境。通过 2个阶段验证:您有什么(SmartCard)和您知道什么(PIN 号)，提供增强的启动前安全性， 而用户验证信息是保存在SmartCard上的，因此 会绝对更安全。当然，此类保密技术存在一定的弊端。首先你的SmartCard卡不能和电脑放在一块儿，使用仍不是很方便。不过说到其安全性倒是不错，如果有人想要强行进入系统，该软件会把电脑中的信息全部销毁，虽说给您会带来一定损失，但是总比机密泄露要强得多了。安全性总体来说相当不错，只是实际操作起来有点繁琐。

　　后来，有些厂商就推出了更先进的安全保密措施----嵌入式安全子系统。

3、嵌入式安全系统

　　这里谈到的嵌入式安全系统就是开头我们提到的TPM安全芯片方案。谈到内置安全芯片，我们先说说TCPA(Trusted Computing Platform Alliance，可信运算平台联盟)安全标准。TCPA原是一个联盟，是由Compaq 公司、 Hewlett-Packard 公司、IBM 公司、Intel 公司和 Microsoft 公司在 1999 年成立的，以便为互通性的硬件及软件建立开放式的产业标准。该联盟定义出信任运算的概念，并将它发展成为一项安全标准，并推出了可信运算小组标准( TCG ( Trusted Computing Group ) Standard ) 1.2 版限定了对受保护数据的存取，验证计算机身份，并管理用户密码，包括Intel、IBM、HP、AMD、Sony、Sun Micro及微软等信息大厂都是这个组织的支持厂商。TCG的产品为TPM(Trusted Platform Module，可信平台模块)，这是一个可附加在一个平台上的硬件设施，包括加密引擎，以及储存保护。

　　具体地说，TPM是一种安全密钥生成器和一种支持工业标准的加密应用编程接口(API)的密钥缓存管理器件。TPM以硬件来生成、存储和管理密钥，并利用系统平台的余下资源来“加固”以前那些只依靠软件加密算法并将密钥存储在不安全的存储器中的许多应用。在只对数据和文件采取软件加密的嵌入式系统中，密钥通常被存储在不安全的存储器中，因而很容易被剽窃。密钥还可以被存储在可移动介质上，如智能卡等，但这些器件很容易放错地方，而且成本远远高于TPM。TPM可以将密钥存储在受TPM控制器及TPM防窜改电路保护的非易失性存储器中，包括存储根密钥、签名密钥及其它敏感数据等。

注:联想商用PC等国内品牌常采用的“恒智”国产安全芯片

　　目前，方正、联想、HP等商用电脑都引入了此类TPM式嵌入式安全芯片。与其他安全子系统的根本性区别是，在这一新型解决方案中，PC端应用软件的关键代码和数据“消失”了，它们被安全地移植到加密锁的硬件中保护起来。在需要使用时，应用软件可以通过功能调用引擎来指令加密锁运行硬件中的关键代码和数据并返回结果，从而依然可以完成整个软件全部的功能。由于这些代码和数据在PC端没有副本存在，因此解密者无从猜测算法或窃取数据，从而极大程度上保证了整个软件系统的安全性。另外，这种嵌入式安全子系统采用加密的微处理器，能够更迅速的传递信息。

4、双网隔离技术

　　在Internet时代，网络安全永远是企业最关注的核心问题。随着Internet和电子商务的不断发展，在企业网络中最容易出现安全故障的环节恐怕要数分布广泛、数量众多的商用电脑。作为企业系统不可或缺的重要部分，商用电脑的安全性日益成为企业网络安全的关键。那么，究竟如何保障商用电脑的安全应用呢?此时，电脑厂商就推出了双网隔离技术。

　　自出现以来，目前双网隔离这种成熟的技术已经发展到了第三代。第一代双网隔离技术采用硬盘电源切换技术，技术简单、成本低廉，但是容易损坏硬盘，目前这种技术已经被淘汰;第二代双网隔离技术采用切换硬盘电源+切换硬盘数据线的方式，是一种过渡性的技术，是厂商切换数据线技术没有研究成熟，切换效果不好，隔离不彻底，只能再加上切换硬盘电源作为辅助。

　　第三代双网隔离这种在目前具有更高科技含量的技术，采用切换硬盘数据线的方式来实现内外网络的隔离，同前两代技术相比，有其明显的优势。前两代技术利用机械开关控制两个硬盘的供电线路，以此来实现安全环境和不安全环境的绝对隔离，虽然成本较低，但是突然给硬盘断电和加电，硬盘磁头会划伤硬盘，造成硬盘物理损毁或数据丢失，由于数据丢失频繁，过几天就要重新安装内、外网系统，给用户应用造成很大的额外工作负担，而双网隔离技术采用切换硬盘数据线的方式，因为数据线的电压较低，切换时不需要断开硬盘电源，因此切换数据线即安全又不会对硬盘有损伤，而且这种方式兼容性也强，可以兼容用户的各种网络环境、操作系统、硬盘规格等情况。比如，目前，浪潮商用电脑就为用户提供了IDE硬盘隔离、SATA硬盘隔离等多种规格的物理隔离安全解决方案。

5、安全系统及一键恢复功能

　　TPM安全芯片、双网隔离技术能有效地保护数据安全，但对于操作系统的安全，TPM安全芯片目前可应用性不高。Windows无法启动是经常遇到的故障，面对这种情况往往把人急得团团转，安全PC都看到了这个问题的紧迫性，不约而同地选择了这样的方法:预先建立第二个操作系统——安全系统，在Windows倒下时，用它解决问题。

　　其实安全系统是我们给的叫法，其实每个厂商对安全系统的叫法都不一样，如联想的“拯救系统”，方正的“方正智能安全系统”、浪潮的“浪潮PC管理专家”，清华同方的“同方电脑急救中心”，其中联想“拯救系统”是自主研发的产品，其余3款都是与“软通科技”合作开发的产品。这些安全系统的相似性很强，如都基于Linux系统，程序文件都安装在隐藏分区中，都能优先于Windows引导，都提供了图像化的操作界面，功能上都具备C区恢复和C区数据转移功能。

　　注:这些操作界面都是Linux系统，它们被安全PC安装，当你的Windows出现故障时，就可以启动它们来拯救Windows，我们把它们统称“安全系统”。

　　为了让安全系统不被破坏，安全系统一般安装在硬盘的独立分区中，而且这个分区是隐藏的，在Windows下用户无法看到，因此无方对这个分区进行读写操作，普通的分区软件如 PowerQuest PartitionMagic等无法看到和改变这个隐藏分。隐藏分区由安全系统在安装时创建，如“方正智能安全系统”和“同方电脑急救中心”在安装安全系统时会将硬盘最后一个分区转化成它的隐藏分区，对于Windows应用层面来说，它们会让硬盘可用空间变小一些(约减少5～10GB)。在开机时如果你按下相应的按键，程序跳转向安全系统，否则引导Windows;这个跳转功能直接写在主板BIOS中，当主板BIOS自检完成后如果用户按下相应键，程序跳转向安全系统，否则执行主引导记录(MBR)，然后引导Windows。“联想拯救系统”采用此种方式，引导功能在主板BIOS内完成，安全系统不修改硬盘的主引导记录(MBR)，理论上更加安全些。也有的厂商，比如方正、浪潮是采用修改了硬盘的主引导记录，优点是不需要修改主板BIOS，通用性较好，如果软件编写上不设限制，它们可以使用到其他PC上。

　　另外，为了确保硬盘数据的安全备份，商用PC还引入了笔记本电脑的一键恢复功能。一键恢复功能往往也是采用硬盘底层划分镜像，类似RAID 1技术，每份系统数据都保存了100%硬件镜像，在电脑被病毒破坏或攻击后，用户只需重启系统，数据立刻恢复，操作简单。比如，长城、HP、联想商用台式电脑就提供了类似功能。

　　除此之外，电脑上的各种接口对于商业电脑来说，这也是一个最为危险的地方。对于它，商业电脑也采用多种防护方式，如后I/O防护罩，可将后置的众多I/O接口、USB接口及连线锁在防护罩内，有效防止了他人通过I/O接口连接存储设备窃取商业资料。另外在机箱里面，商业电脑多些采用了金属支架、防震导轨、减震支撑等硬件防震手段。