来源:安全中国

工具一、TrueCrypt 5.1a                  工具二、Windows Vista BitLocker 
工具三、Dekart Private Disk 1.2     工具四、DriveCrypt 
工具五、FreeOTFE 3.00                  工具六、PGP Desktop专业版 
工具七、7-Zip 

TruCrypt、PGP、FreeOTFE、BitLocker、DriveCrypt和7-Zip，这些加密程序提供了异常可靠的实时加密功能，可以为你确保数据安全，避免数据丢失、被偷以及被窥视。 

    很少有IT专业人士还需要数据安全方面的培训，但是我们常常听说这样的事件：电脑或者硬盘被偷或丢失，里面存储了明文格式的数据，没有经过加密。

    幸好，实时数据加密如今不再是某种奇异、成本高昂的技术。有些加密程序不是仅仅对单个文件进行加密，还能在文件里面、甚至直接在分区上创建虚拟磁盘，写入到虚拟磁盘上的任何数据都自动进行加密。在现代的硬件上，加密所需的开销极小；再也不需要使用专用硬件来进行加密。

    本文介绍了用于创建及管理加密卷的应用程序，从Windows Vista自带的BitLocker加密程序，到用于加密电子邮件和即时消息的性能成熟的PGP桌面套件。你甚至不用花钱，就能获得异常可靠、良好实现的整个磁盘加密功能——不过在企业环境下，像可管理性或者支持服务这些特性完全值得花钱购买。

    工具一、TrueCrypt 5.1a

    费用：免费/开源

    网址：www.truecrypt.org

    TrueCrypt有足够充足的理由成为你最先试用的整个磁盘或者虚拟卷加密解决方案。除了免费和开源这两大优点外，该程序编写巧妙，非常易用，还有丰富的数据保护功能，是对整个系统（包括操作系统分区）进行加密的一种有效方法。

    TrueCrypt让你可以选择先进加密标准（AES）、Serpent和Twofish等算法，这些算法可以单独使用，也可以采用不同组合（名为“级联”）；还可选择Whirlpool、SHA-512和RIPEMD-160等散列算法。实际的加密有三种基本方法：可以把文件作为虚拟加密卷安装上去；可以把整个磁盘分区或者物理驱动器变成加密卷；还可以加密工作中的Windows操作系统卷，不过存在一些局限性。

    加密卷可以用密码来保护；作为一个选项，也可以用密钥文件来保护，从而加强安全——比如可移动USB驱动器上的文件，这样你就可以建立一种双因子验证。如果创建了一个独立的虚拟卷，可以使用任何大小或者命名惯例的文件。该文件由TrueCrypt本身创建而成，然后经格式化，确保它看上去与随机数据毫无区别。

    TrueCrypt的目的在于，任何经过加密的卷或者硬盘不会一眼就能看出来。没有明显的卷头、所需文件扩展名或者其他识别标记。唯一的例外就是加密的引导卷，引导卷里面有TrueCrypt引导装入程序——但这个产品将来的版本不可能隐藏整个卷、使用USB拇指驱动器或者光盘上的外部引导装入程序。说到那里，你也有可能创建在“旅行者模式”下使用的自我加密的USB驱动器——里面有TrueCrypt可执行文件的拷贝，可在任何机器上安装上去及运行，只要用户拥有管理员权限。

    TrueCrypt还包括了所谓的“似是而非的否认”（plausible deniability）特性，最重要的就是能够把一个卷隐藏在另一个卷里面。隐藏卷有自己的密码，你没有办法确定某个TrueCrypt卷里面是不是隐藏了另一个卷。不过，如果你把太多的数据写入到外面那个卷，可能会破坏那个隐藏卷——但是作为一项保护措施，TrueCrypt提供了一个选项：你在安装外面那个卷时，可以把隐藏卷作为只读卷安装上去。

    如果你在使用系统磁盘加密，实际的加密过程需要一段时间，不过这个过程可以暂停，需要时恢复加密（你可能在晚上需要对上锁房间里面的PC进行这种操作）。这个程序会坚持要求创建急救光盘，那样万一遇到灾难，可以用来引导电脑（一个缺点是：你无法对从非Windows引导装入程序来实现双引导的Windows系统进行加密。）

工具二、Windows Vista BitLocker

    费用：包含在Vista终极版和Vista企业版内

    网址：technet.microsoft.com/en-us/windowsvista/aa905065.aspx

    只有Vista的企业版和终极版才有Vista自带的BitLocker，它是专门为了执行系统卷加密而设计的。它的初衷不是主要用于加密可移动卷，也无法像本文介绍的其他产品那样让你可以创建虚拟加密卷。它在开发当初就考虑到了集中管理，通过活动目录和组策略来实现管理。

    不像TrueCrypt的系统磁盘加密，设置BitLocker需要目标系统中至少有两个卷：一个卷用来存放引导装入程序，另一个卷用来存放加密的系统文件。现有系统可使用BitLocker驱动器准备工具（如今微软为支持BitLocker的系统提供了这个额外工具）重新进行分区；但如果你在处理没有准备好的系统，也可以手动设置分区。

    用BitLocker对卷进行加密时，会出现三个基本选择，涉及如何授权用户来访问加密卷。如果电脑有可信计算模块（TPM），那么它可以结合个人身份识别号（PIN）代码一起使用。第二个选择是创建一个可移动USB驱动器，里面含有授权数据，然后该数据与PIN结合使用，但使用这种方法的前提是相应电脑可以从USB连接的设备引导。如果你决定用这种方法，BitLocker会在磁盘加密前进行引导测试，确保系统可从USB设备引导。第三个选择就是用户只要输入PIN，不过这个PIN会相当长（25个字符以上），而且只能由操作系统来分配。

    与其他任何整个磁盘加密系统一样，最慢的部分实际上是对驱动器进行加密；我那75GB硬盘容量的笔记本电脑大约用了三个半小时才加密完毕。幸好，BitLocker可以在其他工作处理的同时，在后台执行这项任务；甚至可以关闭系统，然后以后需要时恢复加密过程（我的建议是：晚上就让电脑留在上锁的房间，进行加密）。如果管理员需要访问或者解密某个卷，该卷的加密密钥也可保存到活动目录存储库中。如果你不在活动目录域中，也可以手动把密钥备份到文件中——当然，该文件应严加保护。

    最后，尽管BitLocker最初的保护对象仅仅是操作系统卷，但也可以通过Vista的命令行界面，手动用它对非系统卷进行加密。

工具三、Dekart Private Disk 1.2

    费用：每个用户45美元

    网址：www.dekart.com

    虽然Dekart Private Disk功能上类似其他加密程序，但坦率地说，至少有一项特性使得它不值得推荐。

    首先，Dekart Private Disk的功能组合只比本文介绍的两款免费/开源产品实用了一点。用户可以创建虚拟加密卷、备份加密磁盘的卷头、根据用户活动来控制磁盘的安装及卸载，等等。惟一真正重要、而其他产品没有的特性就是“磁盘防火墙”（Disk Firewall），你可以用来授予或拒绝某些程序访问加密卷。

    最能表明Private Disk在开发当初没有真正考虑安全的地方在于“恢复选项”（recovery option），它试图通过对密码实施蛮力（brute-force attack）攻击来确定私密磁盘的密码。任何专业的加密产品根本不会有这样的功能。这好比你为前门买了把锁定插销，发现它还带了一套撬锁工具——“生怕你丢了钥匙”。

    既然在其他地方免费就能获得Private Disk的绝大部分特性，说不定其他地方得到了更好的实现，就很难对这种收费程序表示认可。

[1] [2] 下一页