Server安全性技术概观.docx

Windows Server安全性技術概觀Microsoft 公司發行日期：2002年7月摘要企業結合了內部網路、外部網路與網站，而擴大了傳統區域網路 (LAN) 的範圍。如此一來，強化的系統安全性扮演了比以往更加重要的角色。Microsoft® Windows® Server 2003 提供許多新功能和改良的特點，這些功能和特點結合之後，可以建立更安全的交易進行平台。本文件為討論為組織部署Windows Server提供重要安全性效益的工具和程序。包括：驗證、存取控制、安全性原則、稽核、Active Directory®、資料保護、網路資料保護、公開金鑰基礎架構 (PKI) 和信任。本文件是最終文件的初期版本，在最終的商業版本發行之前可能會有許多變更。本文件中所包含的資訊內容，僅係Microsoft公司對各項討論議題於發行當日所持的看法。由於 Microsoft公司必須隨著市場的變更而改變，所以上述資訊不應被視為是Microsoft公司的某種承諾，而Microsoft公司也無法保證在產品發行之後，相關資訊的正確性和精確度。本文件僅適用於資訊用途，Microsoft公司對此文件不做任何擔保，不論其為明示或默示者。使用者有責任遵守所有應當遵守之智慧財產法。本文件包含所有受到版權保護的所有資訊，未經Microsoft公司的書面許可，嚴禁以任何形式、方法 (包括電子、機械、影印或其他方法)，或出於任何目的，複製、保存或輸入於檢索系統。Microsoft公司可能擁有專利、專利權應用、商標、版權、或其他本文件中所提及之智慧財產權。除非有Microsoft公司出具的使用授權合約，本文件無法提供您這些專利、商標、版權、或其他知識財產的合法使用權。本文件中所描述的公司、組織、產品、人名和事件等範例皆屬虛構。皆無意暗示或不該揣測任何實際的公司、組織、產品、人名或事件。© 2002. Microsoft公司，版權所有，並保留一切權利。Microsoft、Active Directory、Authenticode、Visual C#、Windows、Windows標誌、與 Windows NT 均為 Microsoft公司在美國及 (或) 其他國家的註冊商標或商標。本文中所提到的真實公司和產品名稱，可能係其專屬公司的商標。目錄簡介1效益3驗證4驗證類型4Internet Information Services安全性4互動式登入4網路驗證4單次登入5雙因素驗證 (Two-factor Authentication)5智慧卡5使用智慧卡登入網域5以物件為基礎的存取控制6存取控制概念6權限6物件的擁有權7權限繼承7有效權限7使用者權利8物件稽核8安全性原則9安全性設定管理員 (Security Configuration Manager)9安全性設定和分析9安全性分析9安全性設定9稽核10建立策略10接受稽核的日常事件10實作稽核原則10Active Directory 與安全性12資料保護13加密檔案系統 (EFS)13加密及解密13EFS 功能13透過TCP/IP網路傳送加密資料14使用EFS加 / 解密資料14備份及修復加密資料14數位簽章15CAPICOM15網路資料保護17網際網路通訊協定安全性 (IPSec)17路由及遠端存取服務17網際網路驗證服務 (IAS)17公開金鑰基礎架構 (PKI)19未經授權存取的機會19關鍵問題19何謂PKI?19為何需要部署 PKI19實作PKI19憑證19憑證服務21憑證範本21憑證自動註冊22Web註冊網頁22智慧卡支援22公開金鑰原則23信任24信任方向24信任類型24單向信任24雙向信任25信任關係25樹系信任25樹系信任效益25樹系信任關係25總結26相關連結27簡介企業結合了內部網路、外部網路與網站，而擴大了傳統區域網路 (LAN) 的範圍。如此一來，強化的系統安全性扮演了比以往更加重要的角色。為了提供安全的電腦環境，Windows Server 2003 作業系統將會提供許多重要的新安全性功能，並且改善 Windows 2000 Server 原本所擁有的安全性功能。本文件為討論部署Windows Server的組織所提供重要安全性效益的工具和程序。內容包括：驗證、存取控制、安全性原則、稽核、Active Directory®、資料保護、網路資料保護、公開金鑰基礎架構 (PKI) 和信任。高可信賴電腦運算 (Trustworthy Computing)病毒的存在與軟體的安全性是一場永無止息的挑戰。為了迎接這些挑戰，Microsoft 推出高可信賴電腦運算(Trustworthy Computing)，作為自己所有產品面對挑戰的主要措施。高可信賴電腦運算(Trustworthy Computing)是一種開發的架構，由安全和可信賴的電腦和軟體所驅動，這種安全和可信賴的程度，好比您每天在家使用的裝置和設備。雖然目前沒有真正的高可信賴電腦運算平台，但是 Windows Server 2003 的基本重新設計，卻可視為實現這項願景的穩健步驟。共通語言執行環境 (Common Language Runtime)共通語言執行環境 (CLR，Common Language Runtime) 軟體引擎是 Windows Server 2003 的關鍵要素，同時有助於確保安全的電腦環境。可降低由一般程式設計錯誤引起的錯誤和安全漏洞次數，進而減少攻擊者能夠利用的弱點。CLR也會確認應用程式可以執行而不發生錯誤，並會檢查適當的安全性使用權限，確定程式碼只能執行適當的作業。能夠確認應用程式可以毫無錯誤地執行，並進行適當的安全性權限檢查，以確保程式碼僅執行適當的操作。為完成上述工作，CLR會進行如下的檢查：程式碼下載或安裝的來源；程式碼是否擁有信任開發人員的數位簽章；經過數位簽章後，程式碼是否曾遭修改。安全程式碼基於對提供可靠、安全和高可信賴電腦運算的承諾，Microsoft重新檢查過Windows Server 系列產品的每一行程式碼，使其成為強化功能的一環，並判斷出可能發生錯誤及容易被利用的弱點所在之處。本文件包括本文件包括以下主題：· 安全性效益· 驗證· 存取控制· 安全性原則· 稽核· Active Directory 與安全性· 資料保護· 網路資料保護· 公開金鑰基礎架構(PKI)· 信任效益Windows Server 2003 將提供更安全且經濟的交易進行平台。效益說明 降低成本這可歸功於簡化的安全性管理程序，例如，存取控制清單、憑證管理員 (Credential Manager) 及公開金鑰基礎架構 (PKI)。執行開放式標準IEEE 802.1X 通訊協定讓保護企業環境內的無線 LAN 不受竊聽威脅的工作，變得更加容易。如需其他支援標準資訊，請查閱：RFCs 2459、3280、2797、2527和 公開金鑰密碼編譯標準 (PKCS) 1、5、8、10、12。保護行動電腦和其他新裝置加密檔案系統 (EFS)、憑證服務和自動智慧卡註冊等安全性功能，使得保護所有裝置的安全性變得更容易。EFS 為加密和解密儲存於 NTFS 磁碟區檔案的核心技術。只有加密保護檔案的使用者才可以開啟和使用該檔案。憑證服務是核心作業系統的一部份，其允許企業以其本身的憑證授權單位 (CA) 行動，並核發和管理數位憑證。自動憑證註冊和自我登錄授權功能，透過新增另一個驗證層，為企業使用者提供增強的安全性。除了簡化的安全性程序，也是注重安全性的組織所另外必須進行的程序。部署Windows Server系列產品所獲得的安全性效益，將在下列章節中討論。驗證驗證是判別自稱為某人或某事之實體或物件的程序。程序對象包括確認資訊的來源和完整性，例如，檢查數位簽章，或是檢查使用者或電腦的識別。驗證是系統安全性的根基。能對任何有意登入網域或存取網路資源的使用者進行識別確認。Windows Server 系列產品驗證使得單次登入功能可應用在所有網路資源。有了單次登入功能，使用者只需使用單一密碼或智慧卡登入一次網域，就能在網域內通過任何電腦的驗證。驗證類型當要驗證使用者身份時，隨著情況不同，就會使用不同的業界標準驗證類型。Windows Server系列產品所支援的驗證類型包括：驗證協定說明Kerberos V5驗證使用於密碼或智慧卡進行互動式登入的協定。也是網路服務驗證的預設方式。Secure Sockets Layer/Transport Layer Security (SSL/TLS) 驗證使用於使用者想存取安全Web伺服器時的協定。NTLM 驗證使用於當用戶端或伺服器端執行舊版Windows時的協定。摘要式驗證 (Digest Authentication)摘要式驗證使用MD5 雜湊法或訊息摘要方式，跨網路傳送憑證。Passport 驗證提供單次登入服務的使用者驗證服務。Internet Information Services安全性當使用Internet Information Services (IIS)，驗證在安全性上扮演至關重要的角色。IIS 6.0是功能齊備的Web伺服器，提供Microsoft .NET Framework、既有Web應用程式和Web Services的基礎架構。IIS 6.0 經過最佳化，可在主機環境下執行Web應用程式和Web Services。許多內建於IIS的新功能強化了安全性、可靠性、管理能力和效能。使用IIS，可以將個別Web 應用程式或多個網站區隔成獨立Web Services處理序，直接與作業系統的核心程式溝通。獨立Web Services處理序保護單一應用程式或網站，不受到伺服器上的Web Services或其他Web 應用程式干擾。IIS更具備狀態監視能力，可發覺、修復和防範Web 應用程式錯誤。就Web伺服器而言，安全性是一大考量，您可運用IIS來防範Web伺服器遭受來自真實世界的攻擊。IIS是提供輕鬆管理安全伺服器所必需工具與功能的堅固平台。互動式登入互動式登入是向使用者的本機電腦或Active Directory 帳戶，確認使用者身份識別。網路驗證網路驗證是向使用者正在存取的網路服務，確認使用者身份識別。為了提供這類驗證，安全性系統中包括下列驗證機制： · Kerberos V5· 公開金鑰憑證· Secure Sockets Layer/Transport Layer Security (SSL/TLS) 摘要· NTLM (使用於相容Windows NT® 4.0架構系統) 單次登入單次登入讓使用者在網路上存取資源時，無須重複提出憑證的作法得以實現。對Windows Server系列產品來說，使用者存取網路資源時只需驗證一次，之後的驗證動作對使用者而言近乎無形。 雙因素驗證 (Two-factor Authentication)Windows Server系列產品的驗證方式還包括了雙因素驗證，例如，智慧卡。智慧卡智慧卡是種可拒絕竄改及可攜式的使用方法，專門提供安全的解決方案，以應用在例如，用戶端驗證、登入Windows Server網域、程式碼簽名和保護電子郵件之類的工作。支援密碼編譯的智慧卡是公開金鑰基礎架構 (PKI) 核心功能之一，Microsoft已經將此功能整合在Windows XP和 Windows Server 系列產品。智慧卡可提供： · 為保護私密金鑰和其他個人資訊格式的拒絕竄改儲存。· 將有關驗證、數位簽章及金鑰交換等安全機密運算，和其他電腦不必非知道不可的部分獨立分開。讓這些操作都是直接在智慧卡上進行。 · 可在辦公用電腦、家用電腦和行動電腦之間，容易攜帶憑證及其他私密資訊。 使用智慧卡登入網路提供一個強而有力的驗證方式，因為它在對網域中使用者進行驗證時，是使用以密碼編譯為基礎的身份識別及持有驗證方式。舉例來說，如果有意圖不軌人士獲得某個使用者密碼，他只需使用該密碼就能在網路上假冒該使用者的身份。許多人都喜歡使用方便記憶的密碼，這卻讓密碼的體質先天不良，而且容易遭受攻擊。就智慧卡而言，同樣地這位意圖不軌人士，他必須同時取得使用者的智慧卡和個人識別碼 (PIN)，才能順利模仿該使用者的身份。要同時取得這兩種資料的限制大大提高了被攻擊的困難度，因為必須新增另一個資訊層，才會完全模仿他人身份。還有另一項優點就是，當發生連續幾次PIN輸入失敗後，智慧卡就會被鎖住，想要用字典攻擊法 (dictionary attack) 來對付智慧卡的成功機率非常低。(注意：PIN並不只是一串數字，也可以使用字元。) 智慧卡也能夠防禦未偵測到的攻擊，因為有心人士必須取得智慧卡才有機會攻擊，而使用者很容易就察覺到智慧卡是否遺失。使用智慧卡登入網域使用智慧卡登入網域時，使用者不需按下CTRL+ALT+DEL按鍵，只要將智慧卡插入讀卡機，而電腦就會提示使用者輸入個人識別碼 (PIN)，而不是輸入使用者名稱和密碼。以物件為基礎的存取控制伴隨使用者驗證的方式，管理員有權控制在網路內存取資源或物件。為達此目的，管理員會將安全性描述元指派給儲存在Active Directory中的物件以達成控制。安全性描述元載明了被授與可以存取物件的使用者和群組，以及這些使用者和群組被授與的特定存取權限內容。安全性描述元還紀錄了物件稽核的各種存取事件。物件對象包括使用者、電腦和組織單位 (OUs)。經由管理物件屬性，管理員可以設定權限，指派所有權以及監視使用者存取。管理員不但能夠控制特定物件的存取，還可以控制特定物件的存取屬性。舉例來說，透過物件安全性描述元的正確組態，使用者就能存取資訊的子集，例如，員工姓名和電話號碼，而不是居住地址。為安全防護電腦及資源，您必須考慮那些權限可以讓使用者擁有的問題。· 您可以保障一台電腦或多台電腦，只需授與使用者或群組明確的權限即可。 · 您可以保障單一物件，例如，一份檔案或資料夾，只需授權允許使用者或群組可以對該物件執行特定動作即可。存取控制概念建立存取控制的重要概念如下： 權限權限定義了授與使用者或群組對物件或物件屬性的存取類型。例如，財務部被授與對檔案Payroll.dat有讀取 (Read) 和寫入 (Write) 的權限。權限可套用到任何安全物件上，例如，檔案、Active Directory物件或登錄物件。權限可以被授與任何使用者、群組或電腦。指定群組權限就是最佳的實例。您可以將物件權限指定給：· 網域的群組、使用者和特別身份識別。 · 網域及任何受信任網域的群組和使用者。 · 物件所在電腦的本機群組和使用者。物件權限會根據物件類型不同而有所差異。舉例來說，登錄機碼權限就不同於檔案權限。通用權限。然而，有些權限對大多數物件類型是常見的。通用權限包括： · 讀取權限· 修改權限 · 變更擁有者· 刪除 設定權限。當設定權限時，是在指定群組和使用者的存取等級。舉例來說，您可以設定讓某個使用者能夠讀取某檔案內容，讓另一位使用者能夠修改該檔案，同時不准除了這兩個以外的使用者存取這份檔案。您也可以在印表機上設定類似權限，使得特定使用者可以設定管理印表機，而其他使用者只能執行列印動作。變更權限。如果需要變更個別物件的權限時，可以利用適當工具來變更權限。例如，為變更檔案權限，可以先執行Windows檔案總管，接著點選檔案名稱，並按下滑鼠右鍵，然後按一下屬性。請在安全性標籤中變更檔案權限。物件的擁有權在物件建立的同時，擁有者的指派工作也就完成。預設情況下，物件建立者即是物件擁有者。不論物件設定的權限為何，物件擁有者永遠可以變更物件的權限。權限繼承繼承功能使得管理員可輕鬆地指派及管理權限。該功能會在容器(Container)內自動產生物件，以繼承該容器全部的可繼承權限。舉例來說，資料夾中的檔案，在建立檔案的同時，就繼承了該資料夾的權限。但前提下，只有可繼承權限才會被檔案繼承。有效權限Effective Permissions標籤是Windows Server一個新的進階選項。可以清楚看見套用在一個既定的物件的安全性原則的所有權限，包括來自安全性群組成員的權限。Effective Permissions標籤請參閱圖1。圖 1. 設定有效權限檢視使用者或群組的有效權限：1. 在Effective Permissions標籤，按一下Select按鈕，接著開啟Select User or Group對話方塊。2. 在Name視窗中，請輸入要Effective Permissions對話方塊中檢視的對象名稱，對象可以是內建的安全性原則、群組或使用者。3. 您也可以選擇性地按一下Object Types按鈕，接著點選Built-in security principals、Groups或Users。4. 按一下OK鍵。注意：如果安全性原則是以網路為基礎，可以按一下Locations並點選目標物件，或是一起輸入網域名稱和群組名稱，例如，reskitusers。明確指定正確物件類型及所在位置，對搜尋的結果影響重大。如果沒做好，就會出現錯誤訊息以及建議您在進行下次搜尋前請先重新修改搜尋條件。使用者權利使用者權利授與在電腦環境中的使用者和群組，享有指定權限及登入權利。物件稽核您可以稽核使用者對物件的存取權。然後使用事件檢視器查看安全性記錄中的安全性相關事件。 安全性原則如果要控制本機電腦或多台電腦的安全性，可以經由控制：密碼原則、帳戶鎖定原則、Kerberos原則、稽核原則、使用者權利以及其他原則等來達成此目的。為了建立系統範圍原則，您可以：使用安全性範本，使用安全性設定和分析套用範本，或是編輯本機、組織單位或網域的原則。安全性設定管理員 (Security Configuration Manager)安全性設定管理員 (Security Configuration Manager) 工具組可以建立、套用、及編輯本機、組織單位或網域的安全性變數。安全性設定管理員 (Security Configuration Manager) 工具組元件說明安全性範本定義範本的安全性原則。這些範本可套用於群組原則或本機。群組原則的安全性設定擴充編輯網域、網站或組織單位的個別安全性設定。本機安全性原則編輯本機的個別安全性設定。Secedit 命令在命令提示方式下，自動化安全性設定工作。安全性設定和分析安全性設定和分析 (Security Configuration and Analysis) 為分析和設定本機系統安全性的工具。 安全性分析電腦的作業系統和應用程式是動態狀態。例如，您必須暫時變更安全等級，才可以立即解決管理或網路問題。然而，變更後常常不能回復成原有設定。這就表示該電腦不再符合企業安全性的需求。定期分析使得管理員可以追蹤並確保每台電腦的適當安全性等級，因為這是企業風險管理方案的一環。管理員可以調整安全性等級，更重要的是，還能偵測出可能隨時間所產生的系統安全性疏失。安全性設定和分析可以快速地檢視安全性分析結果。它顯示出配合現有系統設定所提出的建議，並使用視覺化旗標或註解來標示在現有設定中，不符合適當安全等級的任何區域。安全性設定和分析還能夠解決分析結果中的差異問題。安全性設定安全性設定和分析還可以直接設定本機系統安全性。經由使用個人資料庫，可以匯入使用安全性範本工具中所建立的安全性範本，並將其套用至本機。如此可以使用範本中指定等級，立即設定系統安全性。稽核稽核提供追蹤潛在安全性問題的方法，並協助確保使用者的責任感，同時提供安全疏失事件的證據。為有效稽核，您必須建立稽核原則。建立原則是要求您決定需要稽核對象是屬於哪種事件類別，以及哪種物件和存取。建立策略您的原則應該建立在策略之上。舉例來說，您可以決定，您想知道是誰存取系統或是存取系統特定資料，或者是對偵測那些未經授權想竄改作業系統的行為。接受稽核的日常事件最常接受稽核事件的類型是：· 使用者登入和登出系統。 · 使用者帳戶和群組的管理· 存取物件，例如，檔案和資料夾。 實作稽核原則當您要實作稽核原則時：· 開發您的稽核策略。決定您想要稽核的行為模式。· 只要選擇和您的稽核策略相符合的稽核類別。· 選擇安全性紀錄的適當檔案大小和保留原則。您可以查看安全性紀錄，並使用事件檢視器設定其紀錄檔的大小和保留原則，請參閱圖2。· 如果您決定要稽核目錄服務存取或物件存取，請決定要監視那個物件，當作是策略的一環。並決定需要稽核的最低存取數目，以滿足策略目標。更重要的是，您不應該稽核超出需求的任何物件或存取，因為這樣會造成在忙碌的機器上的稽核檔會很快就達到資料已滿情況。· 部署您的原則。您可以在獨立的機器上使用本機安全性原則工具進行部署，或者在網域上使用群組原則部署。· 定期重新檢查您的安全性紀錄。如果您從來都不檢視紀錄檔，那麼稽核就不會有任何意義。而事件紀錄收集系統則能夠協助將檢視紀錄檔變成可管理的工作。· 如果必要時，請調整原則。其中可能包括新增、移除稽核原則中的物件或存取，或是啟用、禁用稽核類別。在重新檢視紀錄檔後，您才會知道，相較於期望值，您應該要收集更多或更少的資訊。圖2. 設定安全性紀錄檔大小和保留原則Active Directory 與安全性Active Directory服務確保管理員輕鬆有效地管理使用者驗證和存取控制。 經由物件和使用者憑證的存取控制，Active Directory提供了使用者帳戶和群組資訊的保護儲存。因為Active Directory不但保存使用者憑證，還保存了存取控制資訊，讓登入網路的使用者同時取得驗證與授權以存取系統資源。舉例來說，當使用者登入網路時，安全系統會以Active Directory所存放的資訊對使用者進行驗證。然後，在使用者想要存取網路的某項服務時，系統就會檢查該服務的判別存取控制清單(DACL，Discretionary Access Control List) 定義屬性。由於Active Directory讓管理員建立群組帳戶，管理員能更有效地管理系統安全性。例如，藉由調整檔案權限，管理員可以允許群組的所有使用者能讀取該檔案。按照這種作法，是根據群組成員關係為基礎來存取Active Directory的物件。資料保護儲存的資料 (連線或離線) 可利用加密檔案系統 (EFS) 和數位簽章加以保護。儲存的資料安全性則是有關使用加密格式在磁碟儲存資料的能力。加密檔案系統 (EFS)使用EFS，資料會以加密方式儲存在磁碟中。EFS利用公開金鑰加密法對本機NTFS資料進行加密。加密及解密· 加密是轉換資料格式，讓其他使用者無法讀取的程序。一旦使用者加密某個檔案後，不論檔案何時存入磁碟中，檔案都會自動保持加密狀態。· 解密是將資料從加密格式轉換回原有格式的程序。一旦使用者解密某個檔案後，不論檔案何時存入磁碟中，檔案都會自動保持解密狀態。EFS 功能EFS 提供下列功能：· 使用者能在檔案存入磁碟時進行加密。進行加密非常簡單，只要在檔案的Properties屬性對話方塊中勾選想要的核取方塊就可以，如圖3所示。圖 3. 加密檔內容以保護資料安全· 存取加密的檔案既快速又簡單。當使用者從磁碟上存取資料時，可以使用純文字讀取資料。· 自動完成資料加密並且提供使用者透明的存取方式。 · 經由清除檔案Properties對話方塊中的Encryption核取方塊，使用者就可主動解密檔案。· 管理員可修復其他使用者所加密的資料。這是為確保萬一加密資料的使用者帳戶不存在了或遺失私密金鑰時，仍可存取資料。 透過TCP/IP網路傳送加密資料加密檔案系統 (EFS) 只在資料儲存在磁碟時進行加密。如果要在透過TCP/IP網路傳輸資料時進行資料加密，就必須具備兩項選擇性功能：網際網路通訊協定安全性 (IPSec) 和 PPTP 加密。使用EFS加 / 解密資料您可以使用 EFS進行下列操作：· 加密資料 · 存取加密的資料· 複製、移動或重新命名加密的資料· 解密資料加密資料。EFS的預設組態是不需耗費任何管理資源，而使用者可以立即加密檔案。EFS會自動產生一對加密金鑰給使用者，以防萬一其中一把金鑰遺失。EFS 可以使用Data Encryption Standard (DESX)，或是Triple-DES (3DES)，做為加密演算法。您可以使用Windows 檔案總管或命令列公用程式Cipher.exe，為資料夾或檔案加密。如需更多使用Cipher.exe的資訊，請在命令列提示中鍵入cipher /?。使用者可以利用設定檔案和資料夾的加密屬性，對其加密，就像是在設定如唯讀、壓縮或隱藏之類的屬性。如果使用者加密某資料夾時，包含在該資料夾底下，所有現存或是新增的檔案與子資料夾都會自動被加密。建議使用者直接對資料夾加密即可。已經壓縮的檔案或資料夾也不能被加密。如果使用者想要加密已經壓縮的檔案或資料夾，該檔案或資料夾會被解壓縮。而且，標示要加密的資料夾也不是真的被加密。只有在資料夾中的檔案以及新增或被搬移到資料夾中的檔案都被加密，那麼整個資料夾才算完成加密。存取加密資料。使用者存取加密檔案就像存取未加密檔案方式一樣。因此，當使用者存取磁碟所儲存的加密檔案時，可使用一般方式讀取檔案內容。當使用者再次將檔案儲存回磁碟中，EFS會再次加密該檔案。複製、移動或重新命名加密資料。複製或移動未加密的檔案到已加密的資料夾中，這些檔案會自動被加密。然而，如果將加密的檔案複製或移出資料夾後，則不會自動解密。因為檔案會保留其加密屬性，除非有明確解密動作或是搬移到非NTFS磁碟區，加密狀態才會解除。同樣地，重新命名加密檔案並不會變更加密狀態。 解密資料。經由清除檔案Properties對話方塊中的Encryption核取方塊，使用者就可解密檔案。一經解密，檔案會保持解密狀態直到再次加密。檔案不會自動重新加密，即使它是位於一個已經加密的目錄下也一樣。使用者可以使用清除檔案Properties對話方塊中的Encryption核取方塊，或是使用命令列公用程式Cipher.exe，為檔案加密。備份及修復加密資料與EFS有關的主要管理工作為：· 備份和重新儲存加密檔案· 修復加密資料· 設定修復原則備份及還原加密檔案。加密檔案的備份副本會被加密，並且提供您可以使用 Windows XP備份程式。當還原加密資料時，在經過還原操作後，資料仍保持加密狀態。 修復加密資料。資料修復程序不需要取得原來對檔案加密的使用者，其所擁有的私密金鑰就可解密檔案。 您可能使用修復代理進行資料修復的情況如下： · 使用者離職。· 使用者遺失私密金鑰。· 執法機關要求。為了修復檔案，修復代理會：1. 備份加密檔案。 2. 把備份副本移動到安全系統。 3. 在該安全系統中匯入修復憑證和私密金鑰。 4. 重新還原備份檔案。5. 使用Windows 檔案總管或EFSCipher指令，為檔案加密。設定修復原則。您可以使用群組原則嵌入式管理單元，定義網域成員伺服器、或是獨立或工作群組伺服器所使用的修復原則。您可以要求修復憑證，或是匯出及匯入修復憑證。 您可能想將修復原則的管理，委派給指定的管理員。儘管您應該限制授權給某位管理員可以修復加密資料，允許多位管理員可以扮演修復代理，如果需要修復時，可提供替代來源。數位簽章 數位簽章 (Digital Signatures) 可確保資料完整性與來源。數位簽章提供資料從簽署後就未曾被修改的強力保證，並確保簽署資料的人員或實體的身份無誤。這種方法能為安全電子商務交易，提供必要完整且不可或缺的重要安全功能。數位簽章通常在資料以純文字或未加密格式進行傳送時使用。資料以純文字或未加密格式傳送時，雖然訊息本身具有敏感度，卻無法保證已經過加密。因為在傳送的電腦環境中，可以想見網路上的任何人都能利用適當存取途徑，不論授權與否，讀取或修改純文字。這就是為何必須確保資料仍舊維持原始格式且並非由冒充身份所發送的充足理由。CAPICOMWindows Server包含支援 CAPICOM 2.0。支援CAPICOM 2.0使得應用程式開發人員可以在簡單易用的COM介面下，使用CryptoAPI的強固驗證和密碼編譯功能。使用該功能，應用程式開發人員可以輕鬆地將數位簽署和加密功能一起整合在應用程式。因為CAPICOM是以COM作為基礎，應用程式開發人員可在不同的程式化環境下使用該功能，例如，Visual C# ® 開發工具、Visual Basic® .NET開發系統、Visual Basic®、Visual Basic Script、Jscript® 開發軟體和其他環境。 CAPICOM功能為何？· 數位化簽名及使用智慧卡或軟體金鑰檢查自定資料· 數位化簽名及使用Authenticode® 技術檢查可執行檔· 雜湊自定資料· 圖形顯示憑證選擇及詳細資訊· 管理並搜尋 CryptoAPI 憑證儲存· 使用密碼、公開金鑰及憑證加密/解密資料網路資料保護經由驗證通訊協定可安全防護網站的網路資料 (區域網路和子網路)。如果需要更高的安全層級，您可以選擇加密網站的網路資料。利用網際網路通訊協定安全性 (IPSec)，您可以為網域內的特定用戶端，或所有用戶端加密所有網路通訊。網站的進出網路資料 (跨內部網路、企業外部網路或Internet閘道)，可使用下列功能來確保其安全性：· 網際網路通訊協定安全性 (IPSec)。以密碼編譯為基礎的保護服務及安全性協定組件。 · 路由及遠端存取服務。設定遠端存取協定與路由。· 網際網路驗證服務 (IAS)。提供撥接使用者安全性及驗證。 網際網路通訊協定安全性 (IPSec)基於安全網路連線的長期努力目標，IPSec是以密碼編譯為基礎的保護服務及安全性協定組件。因為IPSec 要求不能修改應用程式或通訊協定，因此可以輕易在現有網路上部署IPSec。為了使用第二層通道通訊協定 (L2TP) 的虛擬私人網路 (VPN) 連線作業，IPSec提供了電腦等級的驗證和資料加密。在L2TP連線建立前，IPSec就在您的電腦與L2TP架構的VPN伺服器間進行溝通。這種溝通同時安全防護了密碼及資料。L2TP 使用以標準的PPP架構驗證協定，例如：可延伸驗證通訊協定 (EAP)、Microsoft Challenge Handshake Authentication Protocol (MS-CHAP)、 MS-CHAP 版本2、CHAP、Shiva Password Authentication Protocol (SPAP) 和使用 IPSec 的密碼驗證通訊協定 (PAP)。加密作業是由IPSec安全性關聯 (SA) 所決定。安全性關連 (SA) 是由目標位址、安全性通訊協定以及唯一識別值 (又稱為安全參數索引 (SPI) 的組合。可使用的加密方式包括：· 使用56位元金鑰的資料加密標準 (DES，Data Encryption Standard)。· 使用三個56位元金鑰，專為高度安全性環境所設計的Triple DES (3DES)。路由及遠端存取服務Windows Server系列產品的路由及遠端存取服務 (Routing and Remote Access) 服務是功能齊備的軟體路由器，也是提供路由與內部網路使用的開放平台。透過使用安全的VPN連線，它提供了區域網路 (LAN) 和廣域網路 (WAN) 環境，或在網際網路上的企業路由服務。路由及遠端存取服務服務的優勢之一，就是整合在Windows Server系列產品之中。該服務提供許多降低成本的功能，並且可以和各式硬體平台及數百種網路卡共同使用。路由及遠端存取服務搭配應用程式介面 (APIs) 而變得更具延展性，讓開發人員可以建立客製化網路解決方案，新的協力廠商家也可以使用，並參與成長中的開放式內部網路企業。網際網路驗證服務 (IAS)包括在Windows Standard Server、Windows Enterprise Server和Windows Datacenter Server的網際網路驗證服務 (IAS)，就是Microsoft一個遠端驗證撥號使用者服務 (RADIUS) 伺服器和代理的實作範例。作為RADIUS伺服器。在各種網路存取類型上，包括：無線、驗證交換、遠端撥接存取和 VPN 連線，IAS執行了集中化的連線驗證、驗證與帳戶處理。作為RADIUS 代理。IAS可將驗證及帳戶訊息轉寄給其他RADIUS伺服器。RADIUS是一種Internet Engineering Task Force (IETF) 標準。公開金鑰基礎架構 (PKI)電腦網路不再是一個封閉的系統，因為只要使用者出現在其上，就代表了使用者的身份表徵。在這資訊互動的時代，企業網路可能包含內部網路、Internet 網站以及企業外部網路，這些都有潛在可能，會被那些未經授權並且不懷善意想要檢視或者修改企業的數位資訊的使用者，想要存取的網路資源。未經授權存取的機會目前存在著許多淺在機會，可能發生未經授權存取網路資訊的情況。常會有使用者想要試圖監視或修改例如電子郵件、電子商務交易、檔案傳送等的資訊流。您的組織可能會和合作夥伴共同進行一些規模及時間都有限制的專案，在這裡面，可能有些合作夥伴您根本就不熟悉，但無論如何，您還是必須讓這些人存取您某些的資訊資源。如果您的使用者需要記住一大堆密碼以使用不同的安全系統，他們就會常常選擇一些容易被破解或是常見密碼以方便記住。但這樣的作法，不僅提供入侵者輕鬆容易破解的密碼，還讓入侵者可以存取多個安全系統及儲存資料。關鍵問題系統管理員如何確認存取資訊者的身份、如何能確認使用者輸入的身份、以及如何控制使用者有權利存取哪些資訊？另外，系統管理員如何在組織內輕鬆安全地傳送及管理身份識別憑證？這些問題可利用計畫周詳的公開金鑰基礎架構 (PKI) 滿足需求。何謂PKI?公開金鑰基礎架構 (PKI) 是由數位憑證、憑證授權單位 (CAs) 及其他註冊授權單位 (RAs) 所組成的系統，並且對於使用公開金鑰密碼編譯的電