智能加密

2017-03-31 09:56:32

CHIP新電腦 2017年3期

黑客和情報機構越來越容易獲得我們的數據，但是如果使用正確的工具，我們可以輕松地加密各種數據，將系統上的所有數據保護起來。下面，CHIP將分享一下各種環境下數據加密的方法，或許能夠有助于大家更好地保護自己的數據。

當愛德華·斯諾登發現情報機構秘密收集個人用戶的數據之后，他有一個目標：讓這些機構今后不可以繼續肆無忌憚地收集用戶數據。目前來看，斯諾登無法完成他的使命，世界各地的情報機構并沒有因為他公開的信息而受到限制，即使當初有也只是暫時性的。現在，這些情報機構不僅沒有繼續受到限制，甚至還獲得了更大的權限。無論在德國還是在美國，情報機構都獲得了更多監視的權利，而英國在這方面更是一直處于領先地位：英國情報機構收集大量數據的行為是受到法律所允許的，斯諾登稱之為“西方民主歷史上最極端的監視”。

當然，也有一些信奉“事無不可對人言”的人甚至支持數據收集，但是他們沒有意識到，當情報機構能夠肆無忌憚地收集數據并完全不受限制地監視一個人以及他的所有聯系人甚至是包括聯系人的聯系人時，數據被濫用和分析出現錯誤的風險將會是巨大的，也是可怕的。即使在德國，雖然擁有了世界上最好的數據保護法之一，然而數據仍然受到威脅，例如在新的德國聯邦智能服務功能法規之下，當德國人的數據存儲在云端時，這些數據很可能就不再受到數據保護法的保護，因為數據可能位于其他法律管轄的區域。

為此，我們需要使用可靠的方法來保護自己的數據，例如斯諾登自己也推薦的方法：加密。毫無疑問，幾乎所有人都知道加密可以簡單有效地保護自己的數據，但是由于怕麻煩，很多用戶并不準備使用加密功能來保護自己的數據。不過，實際上我們可以輕松地使用加密的方法來保護自己的數據。

下面，CHIP將告訴大家如何保護本地電腦、智能手機或云中的數據。這些方法使用起來很簡單，只需要花費一點時間，即可確保我們的數據不會被情報機構所利用以及被黑客和各種各樣的騙子所獲取。

保護電腦和筆記本電腦上的數據

讓我們從Windows開始，保護家庭電腦上的數據最簡單直接的方法是加密整個硬盤驅動器，不過，加密存儲敏感數據的文件夾也是很有意義的，特別是當電腦比較舊的時候。下面，我們將為大家介紹這兩種方法。

使用硬件加密

加密硬盤驅動器的任務比人們想象的更容易，因為現在的硬盤設備有自己的加密方法。許多硬盤驅動器支持Opal安全子系統級別（Security Subsystem Class，簡稱SSC）標準，可以通過數據存儲設備的控制器直接加密驅動器，完全不需要操作系統界入。需要加密硬盤驅動器的用戶可以通過制造商網站查看自己使用的產品是否支持相關標準并獲取能夠激活該功能的工具，例如三星的Magician，激活該功能，硬盤驅動器將要求我們選擇密碼，密碼的驗證將發生在操作系統啟動之前，可以確保不會受到操作系統上惡意程序的影響，但是我們必須始終牢記：不要對硬盤驅動器同時使用任何其他加密系統（例如Windows BitLocker），否則很可能會出現問題。事實上，有許多用戶聲稱在這種情況下丟失了數據。此外，我們應該在準備刪除硬盤驅動器之前停用加密，因為解密軟件通常只有在硬盤驅動器作為引導介質時才能夠正常工作。如果通過USB將硬盤驅動器連接到另一臺計算機上，那么硬盤驅動器看起來會像是完全空白的。

使用軟件加密硬盤驅動器

Windows也提供了內部的功能BitLocker用于加密硬盤驅動器，然而此功能僅適用于專業版和企業版。為此，我們使用其他版本的用戶，可以考慮使用VeraCrypt（veracrypt.codeplex.com）作為替代方案。

要使用VeraCrypt加密系統分區或整個硬盤，可以在下載安裝VeraCrypt之后通過主菜單選擇“Create volume”，然后在下一步“Encrypt the system partition or entire system drive”中選擇需要加密的驅動器，如果要加密整個硬盤與Windows分區，那么選擇“Encrypt the whole drive”，并按照設置向導的提升進行操作即可。

注意：VeraCrypt會詢問是否也加密隱藏的分區，當我們選擇是時將加密硬盤驅動器上包括恢復分區（如果有的話）在內的所有分區。另外，對話結束后VeraCrypt將創建一個救援光盤，以防我們忘記密碼。為此，我們將需要一張空白的光盤。

加密單個文件夾

如果電腦比較老和速度比較慢，那么我們應該避免完全加密硬盤，此時創建所謂的“加密容器”或許是更有意義的。“加密容器”可以被加載到系統中作為一個虛擬分區，而實際存儲在數據載體上的只是一個單一的文件，“加密容器”中的文件僅可以使用VeraCrypt通過正確的密碼驗證后加載訪問。要創建一個容器，可以在VeraCrypt的主菜單中選擇“Create an encrypted file container”，然后根據程序的說明提示操作即可。

保護移動系統

移動設備尤其容易受到以竊取數據為目的的攻擊，因為它們大多包含大量敏感的個人數據。盡管如此，大部分設備卻并不能夠很好地保護數據，尤其是采用開放式架構的Android更容易被攻擊，因而我們需要采取有效的措施保護移動設備上的數據。

保護iOS免受攻擊

使用蘋果的移動設備我們不需要尋找什么加密工具，因為設備本身具備加密功能，但是加密功能只有在我們使用密碼保護設備時才有效。在加密的情況下，即使美國聯邦調查局想要進入系統也會有一些困難。事實上，如果所有者決定使用自己創建的字母數字代碼組合來加密系統，那么被破譯的可能性更低。要設置密碼，我們可以打開“設置”，選擇“TouchID與密碼”，驗證后進入選擇“更改密碼”，再次驗證并選擇下方的“密碼選項”，即可通過“自定字母數字密碼”創建一個更高強度的密碼來保護數據。

接下來，我們可以在本地電腦上啟動iTunes，備份并為備份數據創建密碼保護，這樣即使蘋果公司也無法訪問我們的數據。

保護Android

Android也有內置加密功能，可以通過“設置|安全|加密手機”設置激活它。不過，使用該功能加密也有一定缺陷：首先，該功能并不是所有Android智能手機都可以使用的，眾所周知，Android手機并不是全部可以更新到新的版本;其次，在某些情況下，使用加密選項可能會導致性能下降。

然而，如果不使用該功能，在Android手機上保護數據會比iOS手機上更困難一些。不過，無論如何，我們首先要做的是不要將智能手機的數據備份到Google，其原因與iOS的相同。我們可以通過類似MyPhoneExplorer（www.fjsoft.at）這樣的軟件將數據備份到電腦上，該軟件可以為幾乎所有的Android設備創建備份，并且甚至可以通過無線網絡來進行備份。在啟動桌面軟件之前，我們應該先在智能手機上安裝MyPhoneExplorer的Android應用程序。接下來，打開桌面版本的MyPhoneExplorer，通過“File|Connect”與智能手機的應用建立連接，接下來，可以使用“File|Settings|Multi-Sync”選擇需要的文件進行備份。

加密云數據

如果我們使用Dropbox或Google Drive等云服務存儲自己的數據，那么第三方很可能可以查看這些數據，要防止這種情況的發生，我們應該加密上傳的數據。

使用加密軟件

我們可以使用Boxcryptor軟件（www.boxcryptor.com）來加密上傳到云服務上的數據，這聽起來似乎很復雜，但是其實很簡單：我們需要做的只是在終端設備上安裝Boxcryptor軟件，然后軟件將為我們加密和解密上傳到云服務上的數據。

第一步，我們需要安裝Boxcryptor的桌面客戶端，創建一個Boxcryptor賬戶并選擇軟件的授權方式為免費軟件。BoxCryptor將創建虛擬驅動器并將其加載到系統上，例如加載為磁盤“X”，其上是需要被加密的云數據，BoxCryptor所有的加密或者解密操作都在這個虛擬驅動器中進行。要更改云服務，右鍵單擊任務欄中的Boxcryptor圖標，選擇“Settings”，單擊切換到“locations”選項卡，禁用軟件自動選擇的云服務，重新選擇我們需要的云服務。

存儲在Boxcryptor文件夾中的文件將被加密后上傳到我們指定的云服務，要與其他人共享加密的數據，我們需要授予他們訪問權限。為此，在Boxcryptor上下文菜單中選擇“Manage Permissions”，并單擊“Add user”，鍵入他人的電子郵件地址，對方只要也注冊和使用Boxcryptor就能夠訪問經過我們授權訪問的加密文件。

使用手機保護云數據

如果準備在智能手機上訪問加密的云數據，那么我們需要安裝Boxcryptor的應用程序，該服務提供各種常見移動操作系統的應用程序。

安裝后，首先使用我們的Boxcryptor賬戶登錄，在左側啟用菜單列（如果沒有則從左向右滑動），點擊“Add provider”，然后選擇我們在桌面客戶端中添加的云服務提供商。

要從智能手機上傳加密文件到云中，請點擊應用程序主窗口右下角的箭頭，選擇一個或多個文件和文件夾，然后點擊“OK”并選擇“Encrypted upload”。要轉發文件，可以按住文件并點按左下方的共享圖標，然后選擇共享方式。

注意：與桌面版本不同，我們無法使用Boxcryptor應用程序向其他人提供加密文件的訪問權限。轉發文件時，文件將被解密后發送。

加密郵件和郵箱

對于情報機構來說，電子郵件是非常有用的數據來源。某些郵箱甚至可以挖掘出一個人的生命軌跡。此外，電子郵件服務提供商對于用戶數據的保護也嚴重不足，許多更是與情報機構非常配合的數據提供者。為此，我們需要學會如何保護郵件賬戶和發送加密的郵件，不過，在此之前我們可能需要一個新的電子郵件地址，以便能夠實現完美的保護。

創建受保護的郵件賬戶

在情報機構要求的情況下，Gmail和雅虎這些美國的互聯網服務商將允許他們訪問用戶的賬戶，而且根據斯諾登先生的介紹，美國的情報機構對于監控的范圍是非常大的，與被監控人員有聯系的人以及這些人所有的聯系人都可能被納入監控的范圍，這意味著很可能有人可以輕松地訪問我們的電子郵箱。

因而，如果希望避免這種情況的發生，那么我們需要一個可以加密的電子郵箱，例如瑞士提供商Protonmail（protonmail.com）提供的郵件服務。使用該服務我們需要兩個密碼，第一個密碼被用于保護賬戶本身，第二個密碼用于解密郵箱中的內容。通過兩層的加密，Protonmail可以最大限度地保護電子郵箱的安全，但是需要注意，如果我們忘記了密碼，那么所有的數據都將無法訪問。即使瑞士服務提供商愿意將我們的數據交給我們，我們也無法解密數據。

Protonmail的另一個優點是，它可以加密我們與其他人的通信。對于其他Protonmail用戶來說，這是一件簡單的事情，不過，如果收件人不是Protonmail用戶，那么Protonmail將發送一個鏈接，然后用戶可以通過這個鏈接建立與Protonmail服務器的加密連接，并按提示獲取加密的電子郵件。

另外，我們還可以登錄后打開“Account”并在“Allow password recovery”選項上選擇“Disabled”，通過禁止恢復密碼的方式，進一步地避免電子郵件被盜之類的安全問題。

發送加密郵件

在確保賬戶和郵箱安全之后，下一步我們要學會發送加密郵件。首先，我們需要一個用于加密郵件的密鑰對。我們可以使用Gpg4win（www.gpg4win.org）軟件包和其中包含的Kleopatra工具來創建密鑰對。在Kleopatra，通過“File|New certificate”選項我們可以創建一個新的密鑰對，我們需要為瀏覽器安裝瀏覽器插件Mailvelope，并通過它使用我們創建的密鑰對發送加密電子郵件。Mailvelope有許多配置選項，但是它已經按照常用的郵件提供商進行了預設。我們需要做的只是從Kleopatra導出密鑰加入到插件中，為此，我們需要打開Kleopatra的“My certificate”選項卡，選擇“Export secret keys”并選擇“ASCII coat”選項保存密鑰對。現在，打開Mailvelope的選項，然后單擊“導入密鑰”。完成后，如果我們需要發送加密郵件，則可以照常地登錄到自己的電子郵件服務，相應的選項將在郵件發送時自動顯示，接下來，瀏覽器插件將自動處理加密的過程。

安全通信

加密短信和電話通訊的任務比大部分人想象的更簡單，許多通訊軟件現在已經能夠支持端到端的加密通訊方式。

選擇正確的通訊工具

對于以文本為主的即時通訊工具來說，加密并不是問題，問題是元數據是否會被保存。在本文最后一頁中為大家簡單點評了幾個通訊工具，Signal是相關領域的專業人士所推薦的工具，而且在牛津、昆士蘭和麥克馬斯特大學工作的安全研究人員也都認可這一評估結果。美國法院曾經發傳票要求Signal應用程序的開發商Open Whisper Systems（簡稱OWS）提供兩名用戶的數據，而OWS可以披露的數據只有用戶的注冊時間和最后一次使用服務的時間。

不過，這個軟件有一個致命的缺點，那就是很少有人使用它，我們恐怕無法在上面找到自己的聯系人。不過，該公司開發的通訊協議也用于WhatsApp和Facebook Messenger。而使用該協議可以確保數據以端到端加密的方式安全地傳輸，但是在Facebook Messenger上我們需要手動激活該功能，首先我們需要單擊右上角的圖標，在設置頁面上單擊“私密對話”來激活所需要的功能。另外，需要注意，Facebook保存所有的元數據，所以要真正確保安全，我們可能需要說服自己的聯系人切換到Signal，但許多人可能會選擇繼續使用原來使用的通訊工具，哪怕他們知道這些通訊工具是不安全的。

對于這些即時通訊工具，我們應該盡可能地減少流經服務提供商服務器的數據量，例如我們常用的QQ，我們可以避免自己的QQ聊天記錄被傳輸到騰訊公司的服務器上。首先，我們可以取消“登錄QQ時同步最近聊天記錄”的選項，還可以進一步地選擇“退出QQ時自動刪除所有消息記錄”，或者選擇“啟用消息記錄加密”，避免本地聊天記錄泄密。

如果很幸運我們可以說服與自己溝通頻繁的人開始使用Signal，那么這將是目前在安全和數據保護方面最好的情況。Signal適用于iOS和Android，并且該公司的開發人員計劃很快將發布一個新版本，它將提供類似WhatsApp的易用性。

加密電話

要加密智能手機到智能手機的電話對話，我們并不一定需要購買加密電話。大多數即時通訊工具都支持語音通話功能，我們可以免費使用。除了可以進行加密的語音通話，部分即時通訊工具甚至支持免費的電話功能，我們唯一需要的是一個互聯網連接，但是需要注意，這將產生大約每分鐘1MB的數據流量，如果我們每天使用電話功能一小時，則每月需要的流量將高達1.8GB，因此我們應該盡可能地在使用無線網絡接入時使用電話功能。

我們也有一個小技巧可以減少因而產生的數據量：激活智能手機的“流量節省程序”。通常，應用程序將被限制使用高清語音傳輸，這將降低通話的質量，但是對于語音通話并不會有太大的影響，而通話產生的數據量將明顯降低。

一旦我們按照本文的介紹執行了所有保護措施，那么我們的數據將被接近完美地保護起來。在大多數情況下，即使是情報機構他們也不能掌握我們的數據。雖然沒有絕對安全的保護措施，但是我們加密的數據將是非常難以破解的，因為它們都將被使用最佳的方式加密，起碼它可以說是安全的。