概览

概覽

secWall數據安全系統，採用最新的數據安全理論，獨創了多項國際領先的安全技術，有效解決了目前資訊安全領域突出的數據竊密、惡意攔截、非法侵入等問題。主要用於資訊系統的數據保密和操作保護。既可應用於軍隊、公安、銀行、政府機關等保密要求較高的高端領域，也可以為企事業單位、個人提供可靠的資訊安全保障。

secWall系統安全和易用兼備，徹底改變了資訊安全產品安全性和易用性總是背道而馳的尷尬局面。secWall不需要使用者具有資訊安全理念和技術背景，用戶甚至不需要知道自己使用的數據是不是加密數據，因為secWall安全系統保密的數據或文檔合法用戶可以直接使用，不改變數據原來存放的位置，也不改變用戶原來的操作方式和使用習慣。所有的與數據安全相關的工作都由secWall系統在後臺自動完成和保障。

secWall IC是 secWall 系統使用的標識用戶身份的硬體。

secWall 系統主要技術特徵：

Ø 即插即用的保密文檔

secWall IC使用USB介面，sceWall 系統把USB介面的即插即用特性擴展到保密文檔上。用戶只需要插上IC，保密的文檔無需解密就可以正常使用；拔掉IC，保密的文檔就地消失。這一特性源於 secWall 系統採用了業界領先的即時加解密技術。即時加解密技術加密時不需要搬動檔案的位置，使用時也不需要事先解密。由於這種先進技術的引入，secWall 系統具有很多一般加密系統無法做到的新特徵。

ü 可以加密其他應用程式的程式或數據檔案

如企業現有ERP系統、CAD系統、MIS系統、財務系統等，也可以加密與用戶個人相關的郵件、即時聊天記錄、上網歷史記錄、通訊錄、網上銀行用戶端等。可以加密其他應用軟體程式和數據的特性使 secWall 系統真正成為安全平臺級的應用，用戶可以與自己的實際應用環境組合出千變萬化的安全解決方案。

ü 可以以檔案、檔案夾或邏輯盤符（驅動器）為單位進行加密

secWall 加密物件的最小單位是單個檔案，最大可以是驅動器。在 secWall 環境下，未授權的用戶不能進入加密和驅動器和檔案夾，也不能存取加密檔案。在 secWall 安全環境失效（如：自主卸載 secWall 系統、拆卸數據硬碟進行暴力性攻擊）時，加密檔案以密文形式存在，攻擊者無法獲得加密檔案的內容

ü 自動加密操作員新建和保存的檔案

secWall 加密的檔案夾或驅動器具有保密繼承屬性，任何在加密檔案夾或驅動器下生成的檔案或檔案夾都會保持加密狀態。管理員只需要進行一次加密，以後操作員新生成的檔案都會自動加密。這一特性使保密可靠性與實際操作員無關，不會因為操作員的操作失誤或操作員的保密能力意識欠缺等原因導致機密數據的流失。

ü 可以加密網路上的共用檔案

“共用不保密，保密難共用”是長期困擾數據保密領域的難題， secWall 系統的即時加解密技術同樣適用於網路共用檔案。這一特性為“保密資源在有限範圍內共用”這一企業應用難題提供了完美的解決方案。

Ø 高強度分組加密技術

secWall 採用了符合AES標準的高強度分組加密技術，採用128分組和256位元密鑰對數據進行全程編碼加密。有關保密強度的數據請參閱附錄中的《AES標準》。

Ø 同時支持多個加密通道

secWall 採用證書管理加密密鑰，secWall IC可以同時存儲16組證書，16組證書對應16個相互獨立的加密通道，這16個加密通道可以同時工作互不干擾。結合 secWall 對網路檔案的加密支援，secWall 在企業級應用中可以精確控制保密資源的流動範圍。

Ø 支援IC管理員與IC用戶（操作員）分組許可權管理

secWall 在支援IC集中管理，由IC管理員分配IC用戶的許可權。企業用戶可以通過以下方式限制操作員的使用權限和增強系統安全性。

² 拔離IC鎖屏

² 強制IC登錄認證

² 隱藏加密檔案或檔案夾

² 封閉可移動記憶體（軟碟、U盤、光碟、遠端網路驅動器等）

² 禁用個人證書

² 禁止更改IC登錄資訊

² 啟用IC持有人身份認證（PIN）

Ø 支援電子郵件附件加密

secWall 支持把一個或多個檔案或檔案夾加密成一個包裹式檔案（打包加密），通常這個打包檔案作為電子郵件的附件傳送。使用 secWall 郵件查看器（SMViewer），可以把加密郵件發送給沒有安裝 secWall 系統的聯繫人。

警告：使用 secWall 系統前，請認真閱讀本手冊，按手冊說明安裝使用產品。

版權所有　© 2003 – 2007 萬華數據科技有限公司

注：

Windows, Windows 2000, Windows XP, Windows 2003是Microsoft Corporation的注冊商標或商標。

Pentium是Intel Corporation的注冊商標。

其他未注明的注冊商標或商標所有權歸屬各自擁有公司。


新特征

新特徵

1． IC集中管理（專業版）

secWall 專業版在新版本中為IC集中管理作了大規模改進。包括支援發行記錄的新版IC管理器和全新的管理員安裝工具。

1） 全新的管理員安裝工具

使用管理員安裝工具，IC管理員可以定制客戶機的安裝軟體，IC管理員可以在定制時指定客戶機的默認許可權，IC管理員不需要象老版本那樣在客戶機軟體安裝完成後再在客戶機上設置默認許可權。

若需要瞭解IC管理員在定制安裝時可以指定的更多客戶機許可權，請參閱本手冊的《管理員安裝》部分。

2）新版IC管理器

新版的IC管理器引入了發行歷史記錄管理，能夠記錄IC的發行履歷。通過IC發行歷史管理，IC管理員可以將IC資料恢復到歷次發行中的每一天。

更多新版IC管理器的特徵，請參閱《IC管理器》部分。

3）更多的IC用戶許可權控制

IC管理員可以通過設置IC控制器IC用戶可以使用的許可權。IC用戶的“secWall 系統設定”工具可以使用的功能將受到IC上賦予用戶的許可權制約。有關IC上用戶許可權的分配對“secWall 系統設定”工具的影響，請參閱《IC管理器》和《secWall 系統設定》部分。

2． 部分介面新特徵

1） 文件產生器

新版文件產生器在加密收藏夾中可以顯示加密文檔案更多的資訊。可以手工添加和刪除加密檔案在加密收藏夾中的快捷方式。

2） secWall 系統設定

secWall 系統設定中現在可以更改IC用戶綁定的系統帳戶。

注意：IC用戶是否可以更改登錄帳戶是由IC管理員設定的，如果“更改IC登錄帳戶”按鈕不可用，可能是IC管理員不允許IC用戶自行更改IC上的用戶登錄資訊。


安装secWall

安裝 secWall

軟硬體環境要求

安裝 secWall 系統對電腦軟硬體的要求。

secWall 軟體安裝

軟體安裝的步驟。

secWall 管理員安裝

管理員定制用戶端安裝。


软硬件环境要求

軟硬體環境要求

Ø 作業系統：Windows 2000/XP/ 2003。

Ø 中央處理器（CPU）：Intel Pentium 166以上。

Ø 記憶體（RAM）：32MB以上。

Ø 硬碟：最少20MB空閒空間。

Ø 光碟驅動器：CD或相容的驅動器。

Ø USB介面：至少一個符合USB1.1以上規範的介面。


secWall 软件安装

secWall 軟體安裝

提示1：軟體安裝之前，請不要把IC插入到電腦。安裝程式在安裝過程中會自動安裝硬體驅動程式，在安裝程式提示你插入IC時再插。

提示2：安裝程式需要系統管理員許可權，否則安裝會失敗。如果你沒有系統管理員許可權，請不要運行安裝程式。

(1) 將 secWall 安裝光碟放入電腦的光碟驅動器內（圖2-1）

圖2-1

(2) 一般情況下，安裝程式將自動運行。如果你的系統關閉了光碟的自動運行特徵，請從Windows資源管理器中打開光碟驅動器，找到AutoRun.exe檔案，雙擊這個檔案運行它（圖2-2）。

圖2-2

(3) 點擊“安裝萬華數據安全牆 secWall”運行安裝程式，等待安裝程式載入直到顯示歡迎介面（圖2-3）。

圖2-3

(4) 單擊“下一步”按鈕，顯示許可證協定（圖2-4）。

圖2-4

請認真閱讀許可證協議中的所有條款。你必須接受許可證協議中的所有條款才能繼續安裝。如果你不接受許可證協議，請不要安裝本系統。

(5) 單擊“下一步”按鈕，選擇安裝檔案夾的位置（圖2-5）。

圖2-5

(6) 點擊“下一步”，顯示安裝確認畫面（圖2-6）。

圖2-6

(7) 點擊“安裝”按鈕，安裝程式開始複製檔案到你的電腦（圖2-7）。

圖2-7

(8) 檔案複製完成後，安裝程式將啟動IC設置嚮導(集成快閃記憶體盤的IC不需要安裝硬體驅動程式，請直接跳轉到完成頁面)。

如果你是第一次使用 secWall IC，請在電腦的任意一個USB埠插入IC，並按嚮導提示完成IC硬體驅動程式的安裝（圖2-8）。如果你的IC已經使用過而且不需要更改IC設置，請按“跳過”完成安裝（圖2-15）。安裝完成後也可以使用IC管理器設置IC（參考“IC管理器”）。

圖2-8

① 如果你需要設置IC，請把 secWall IC插入到任一USB埠。

② 如果你不是第一次使用，並且不需要重新設置IC，請按跳過直接完成安裝(圖2-14)。

如果你是第一次使用IC，系統硬體驅動嚮導會提示你發現新硬體（圖2-9），並為你自動安裝驅動程式（圖2-10）。

圖2-9

圖2-10

硬體驅動程式嚮導在不同的系統中可能會有所區別，在Windows XP中彈出（圖2-11）對話方塊，選擇“自動安裝軟體（推薦）”。因為 secWall 安裝程式已經設置好了硬體驅動程式的安裝環境，系統將自動安裝硬體驅動程式，按“下一步”完成硬體驅動程式的安裝（圖2-12）。

圖2-11

圖2-12

(9) 按“下一步”，安裝程式將引導你建立IC用戶帳戶（圖2-13），IC持有者將使用這個帳戶登錄電腦。這裏的用戶名和密碼是用戶登錄電腦時的用戶名和密碼。如果用戶需要登錄到域，同時可以輸入功能變數名稱。對於第一次使用的IC，系統還可以在IC上創建一個默認證書。

注意：如果IC上已經有用戶帳戶，用戶必須輸入PIN碼的情況下才可以改寫用戶帳戶。如果IC上的PIN碼檢驗沒有開啟，這裏將不能改寫IC。

圖2-13

(10) 點擊“下一步”，secWall 安裝完成（圖2-13）。用戶必須重新啟動電腦，secWall 系統才能工作。

圖2-14


secWall 管理员安装

secWall 管理員安裝

（僅適用於專業版/數據伺服器版）

使用 secWall 管理員安裝，管理員可以定制 secWall 客戶機的默認許可權。

將 secWall 光碟放到CD驅動器，secWall 安裝會自動運行。點擊“secWall 管理員安裝”。如果你的CD不能自動啟動，請打開 secWall 光碟，找到“Autorun.exe”，雙點擊運行它。你也可以直接運行X:\BIN\NetSetup.exe啟動 secWall 管理員安裝（X是光碟盤符）。

客戶機選項

Ø 啟用IC登錄身份驗證

如果選取，客戶機安裝後將啟用IC登錄。選取這個選項後，可以同時設置以下兩個選項。

ü 啟用拔離鎖屏

客戶在拔出IC時自動鎖定電腦。

ü 顯示 secWall 徽標

在客戶機登錄介面顯示 secWall 的圖示標識 secWall 已經載入。

Ø 隱藏未授權的加密物件

如果選取，客戶機上當前沒有許可權操作的加密檔案將自動隱藏；如果不選取，非授權用戶可以看到這些加密檔案，但不能訪問這些加密檔案。

Ø 默認的記憶體安全設置

客戶機安裝 secWall 軟體後默認的記憶體存取許可權設置。包括軟碟、移動記憶體（基於USB、1394等熱插拔埠的移動硬碟、U盤、讀卡器等）、CD/DVD、網路驅動器等。

有禁止使用移動存儲的企業或部門級應用可以在網路安裝時指定禁用全部可移動記憶體，而在需要使用這些移動記憶體的用戶的IC上開放相應的移動記憶體存取許可權，從而達到移動記憶體區分不同用戶開放的目的。

Ø 客戶默認安裝目錄

客戶機默認的安裝目錄。如果設定，客戶機在安裝時將不再詢問用戶安裝到什麼位置。如果不設置，客戶機將在安裝時詢問。

Ø 設定IC用戶

安裝在檔案複製結束後引導用戶設定IC綁定的系統帳戶。

如果IC管理員在分發IC時已經設置好IC用戶的帳戶，應該清除這個選項。如果IC管理員僅分發加密證書，IC用戶帳戶由IC用戶在安裝軟體時自己設定，則應該選取這個選項。

Ø 安裝IC管理器

客戶機系統中安裝IC管理器。

IC管理器僅供IC管理員使用，所以IC管理員一般不需要在每個用戶端安裝IC管理器。

Ø 啟用用戶端卸載保護

啟用用戶端卸載保護後，客戶機必須輸入管理員指定的卸載密碼才能卸載 secWall 軟體。

用戶端安裝檔案複製到

定制的用戶端安裝包複製的位置。管理員一般把定制的安裝包複製到檔案伺服器上的共用目錄中，客戶機可以連接到這個共用目錄安裝 secWall 用戶端軟體。


secWall系统设定

secWall系統設定

安裝了 secWall 系統軟體，程式組中會出現“secWall 系統設定”的快顯功能表 。可以使用這個工具對 secWall 系統進行快速設置。在使用這個工具時，你必須是IC的合法持有者。如果當前用戶沒有通過 secWall 系統的身份驗證，這個工具將不能被打開。

從“開始”功能表=>“所有程式”=>“萬華數據安全牆”程式組中啟動“secWall 系統設定”。

啟動“secWall 系統設定”時，IC必須插在電腦上，並且通過了用戶身份認證。否則，“secWall 系統設定”工具將不能打開（如下圖）。

“secWall 系統設定”顯示的頁面與當前secWall系統的版本相關。如果是專業版或數據伺服器版，IC管理員也可以關閉一些設定功能，從而使一些設定頁面不可見或不可用。


IC 用户设置

IC 用戶設置

注：普及版僅有IC用戶頁，沒有證書設置和介面擴展頁

圖3-1

IC用戶：包括以下功能選項。

Ø 自動登錄

自動登錄可以通過插入IC到電腦替代用戶從鍵盤輸入用戶名和密碼進行Windows身份驗證。啟用自動登錄，你必須輸入正確的登錄密碼。

注意：(1) 更改該選項重啟動後才有效。(2) 集成U盤的IC不能鎖屏。

啟用強制硬體驗證可以增強系統的安全性。強制IC驗證打開時，用戶不能通過鍵盤輸入帳號的方式驗證身份，只有在電腦上插入正確的IC才能使用電腦（圖3-2）。

圖3-2

Ø PIN設定：

個人身份識別碼，用於驗證IC持有者的合法身份，開啟PIN驗證可以有效防止IC丟失或被盜後有人冒充IC持有者的合法身份。

當IC是PIN驗證處於開啟狀態時，用戶把IC插入到電腦時系統會提示用戶輸入PIN碼以驗證用戶的合法身份（圖3-3）。

圖3-3

如果要啟用PIN驗證，選取“啟用PIN驗證”並輸入PIN碼。

注意：請牢記你設定的PIN，否則你的IC將可能無法使用。


证书设置

證書設置

圖3-4

secWall 使用加密證書加密檔案。標準版IC上可裝載兩組證書，一組為私用證書，另一組為公用證書。私用證書在IC出廠時已經固化，用戶不能修改私用證書。公用證書由用戶自己生成或與其他人交換，用於不同用戶之間共用加密資料。

注：secWall 普及版僅有一組私用證書，沒有“證書設置”頁。

Ø 生成公用證書

如果用戶還沒有生成公用證書，按“生成公用證書”按鈕可以生成公用證書。如果用戶IC上已經有公用證書存在，該按鈕將生成新的公用證書，而舊的公用證書將被刪除。

注意：如果加密證書被刪除，使用這個加密證書加密的檔案就都不能使用了。推薦你在請在刪除前使用“導出公用證書”先備份公用證書。

Ø 導入公用證書

如果要使用先前導出的公用證書，或者其他人提供的公用證書，可以使用“導入公用證書”將這個檔案形式的證書導入到IC上。

點擊“導入公用證書”按鈕（圖3-5）

圖3-5

指定要導入證書檔案的位置，並輸入這個證書的加密密碼，按“確定”按鈕將該證書導入為公用證書。

如果導入的證書檔案中包含多個證書，你必須選擇一個要導入的證書名稱（圖3-6）。

圖3-6

注意：導入公用證書同樣會覆蓋IC上已經存在的公用證書，如果你IC上的公用證書有用，請先備份IC上的公用證書。

Ø 導出公用證書

導出IC上的公用證書到檔案，用於備份公用證書或與其他人共用加密檔案。

點擊“導出公用證書”按鈕，指定導出的檔案名和證書的加密密碼，按確定導出公用證書（如圖3-7）。

圖3-7

如果IC上沒有公用證書，“導出公用證書”按鈕不能使用。


界面扩展

介面擴展

圖3-8

secWall 標準版可以通過介面擴展設置 secWall 與作業系統的集成介面外觀。

注：secWall 普及版不能設定介面擴展外觀。

Ø 右鍵菜單

在資源管理器中使用右鍵功能表可以快速操作感興趣的檔案或檔案夾，同時還可以為右鍵功能表指定樣式。

Ø 加密圖示

可以給加密文檔圖示選擇添加一個加密標誌以區分加密檔案（圖3-9）。你可以選擇這個標誌的樣式，也可以不使用加密標誌。

注意：改變這個設置須重新登錄才能生效。

圖3-9


本机安全设置

本機安全設置

圖7-2

注意：如IC管理員不允許用戶更改本機安全設定，“本機安全”頁將不可見（參考“IC管理器”）。

本機安全包括以下功能選項。

Ø IC身份驗證

當啟用“IC身份驗證”時，用戶只要插入IC，自動登錄系統；拔掉IC，將自動默認鎖屏。安裝完本軟體，會默認選擇此項。

當選中“登錄時強制IC硬體驗證”選項時，在重新啟動或者登出進入系統時，登錄用戶名和密碼框變成灰色（圖7-3），不可以通過鍵盤輸入帳號的方式進入系統，只有插入正確的IC，通過IC身份認證後才能進入系統。

當選中“解鎖電腦時強制IC硬體驗證”選項，在電腦被鎖定時，不可通過鍵盤輸入帳號解鎖，只有插入IC，才能解鎖系統(圖7-4)。

當選中“IC拔離時不鎖定系統”選項時，IC拔離電腦時，不自動鎖定電腦。IC拔離鎖定電腦可以增強系統的安全性。如果需要自動鎖定，不要選擇核取方塊選項。

圖7-3

圖7-4

Ø 自動隱藏

自動隱藏打開時，如果當前用戶不具備操作加密文檔的許可權，用戶將看不到這些加密文檔。

例如：文檔A採用證書1加密，文檔B採用證書2加密。如果當前用戶IC沒有插在電腦上，文檔A和文檔B都不顯示；如果用戶的IC插在電腦上，IC上有證書1，則文檔A會顯示，如果IC是有證書2，則文檔B會顯示。

如果自動隱藏關閉，系統顯示所有加密檔案的名稱。但用戶不能存取沒有加密證書的加密檔案或檔案夾。

Ø 移動存儲

移動存儲選項中包含“存儲器安全”設置項(圖7-5)，存儲器安全主要針對可移動存儲設備的存取限制，以防止內部機密資料的外泄。存儲器安全策略分為“有IC”（IC用戶通過身份驗證）和“無IC”（IC沒有插或IC身份驗證沒有通過）兩種情況。這裏設置的是“無IC”的安全策略。“有IC”的安全策略由IC管理員設定(參考“IC管理器”)。

存儲安全策略有下列選項:

正常：該類型存儲設備可以正常讀取和寫入資料。

唯讀：只能從該類型存儲設備讀取資料到電腦，而不能把電腦上的資料複製或存儲到該類型存儲設備。

禁用：禁止該存類型儲設備的使用。

圖7-5


界面扩展

介面擴展

圖7-6

可以通過介面擴展設置 secWall 與作業系統的集成介面外觀。

Ø 右鍵菜單

在資源管理器中使用右鍵功能表可以快速操作感興趣的檔案或檔案夾，同時還可以為右鍵功能表指定樣式。

Ø 加密圖示

可以給加密文檔圖示選擇添加一個加密標誌以區分加密案（圖7-7）。你可以選擇這個標誌的樣式，也可以不使用加密標誌。

注意：改變這個設置須重新登錄才能生效。

圖7-7


IC用户设置

IC用戶設置

圖7-8

設置IC用戶的名稱和身份(圖7-8)。

Ø 登錄信息：

系統使用用戶名、密碼和功能變數名稱驗證用戶身份。secWall IC上的密碼和系統中的用戶密碼自動同步，用戶需要修改登錄密碼時可以直接按“Ctrl+Alt+Del”修改自己的帳戶密碼（這是作業系統修改密碼的方法）。如果用戶需要更改登錄帳戶，請點擊“更改IC登錄帳戶”按鈕(圖7-9)。如果IC管理員不允許用戶自行更改登錄資訊，“更改IC登錄帳戶”按鈕將不可用。請參考“IC管理器”。

圖7-9

Ø PIN設定：

個人身份識別碼，用於驗證IC持有者的合法身份，開啟PIN驗證可以有效防止IC丟失或被盜後有人冒充IC持有者的合法身份。 在IC管理器中也可設定PIN碼請參考“IC管理器”。

當IC是PIN驗證處於開啟狀態時，用戶把IC插入到電腦時系統會提示用戶輸入PIN碼以驗證用戶的合法身份（圖7-10）。

圖7-10

注意：如果用戶的PIN碼連續3次輸錯，IC將被鎖定(圖7-11)。IC管理員可以通過IC管理器解鎖被鎖定的IC(請參照IC管理器)。

圖7-11

PIN有多種驗證方式，安全級別依次遞增。

無效：secWall 系統認為IC總是安全的，不作PIN驗證。用戶在確保IC安全的前提下可以選擇這個選項。

關機或重啟後有效：只在電腦下次開機時才需要檢驗PIN碼。

IC拔離系統後XXX分鐘後有效：IC在拔離系統指定的時間後再次插入需要用戶輸入PIN碼。XXX是用戶指定的時間長度，以分鐘為單位。這個選項可以和“關機或重啟動後有效”同時使用。

總是有效：secWall 系統每次在IC插入系統時都要驗證PIN。

當用戶啟用了PIN驗證後，應該輸入一個PIN碼，“PIN設定”和“重複”框內PIN碼必須一致。用戶應該牢記這個PIN碼，secWall 系統會按用戶設定的驗證方式校驗這個PIN碼。


证书设置

證書設置

圖7-12

證書管理，包括證書的添加、修改、刪除，證書導入和導出。（圖7-12）

密鑰直接顯示的是個人證書，以“*”號表示的是公用證書。公用證書由IC管理員用IC管理器發行（參考IC管理器中的證書管理）。通過“證書設置”頁用戶只能設定屬於自己的個人證書。當IC管理員不允許使用個人證書時， “證書設置”頁將不可見（圖7-13）。

圖7-13

Ø 添加：

單擊“添加”按鈕，彈出圖7-14對話方塊，可以在此添加證書，

² 證書名稱：證書名稱不能與已經存在的證書重名。

² 有效期：指證書可以用來加密的時間長度。超過有效期的證書不能再用於加密，但可以用於解密。

² 密鑰：自動生成，如果不滿意可以按“自動生成”按鈕重新生成。

單擊“確定”就可完成證書的添加。

圖7-14

Ø 修改：

選中一個現有的證書，單擊“修改”按鈕，彈出圖7-15對話方塊：

圖7-15

可以修改證書的名稱、有效期和密鑰。單擊“確定”就可完成修改。

注意：請慎重使用修改證書。修改證書一般僅用於修改名稱和有效期，如果修改了密鑰，修改前加密的檔案將不能打開。

Ø 刪除：

選中一證書，單擊“刪除”按鈕，彈出7-16對話方塊：

圖7-16

單擊“確定”，刪除此證書；“取消”，取消此次操作。

注意：證書刪除後，使用該證書加密的檔案將不能打開。請解密該證書加密的檔案後再刪除證書。

Ø 導入證書：

單擊“導入證書”按鈕，彈出圖7-17如下對話方塊：(參考證書管理)

圖7-17

選擇要導入證書的存放位置，可通過單擊“流覽”選擇，同時必須提供這個證書在導出時的加密密碼，點擊“確定“就可以把證書加入到證書資訊列表中了。

Ø 導出證書

選中一個現有證書條目，單擊“導出證書”，彈出如下對話方塊：(參考證書管理)

圖7-18

為導出的證書指定一個檔案名，可通過“流覽”選擇。同時應該為導出的證書指定加密密碼，單擊“確定”按鈕，證書將被導出為檔案。你可以把這個證書檔案分發給需要和你共用保密資料的其他人。


文档管理器

檔案管理器

檔案管理器是 secWall 系統的集成用戶環境，方便用戶對加密文檔的管理。

啟動檔案管理器：單擊“開始”→“程式”→ “萬華數據安全牆” →“secWall 檔案管理器”

圖4-1

檔案管理器的操作方式與Windows資源管理器類似。在位址欄中可以直接輸入檔案路徑，也可以從下拉清單選取（圖4-2）。檔案管理器初始視圖顯示收藏主頁（已加密的文檔列表）。

圖4-2

在檔案管理器中可以直接對文檔進行加密或解密。一些使用滑鼠右鍵菜單不能加密的物件（如桌面上的快捷圖示，啟動功能表中的程式組等）都可以在檔案管理器中加密。


文档加密

文檔加密

選中一個檔案夾，用戶可以通過檔案管理器的功能表、工具條按鈕、右鍵功能表多種方式來對檔案/檔案夾進行加密操作。

⑴．檔案管理器菜單： 單擊“檔案”→“加密”（如圖4-3）

圖4-3

⑵．工具條按鈕：點擊工具條上“加密按鈕”。(如圖4-4)

圖4-4

⑶．滑鼠右鍵功能表：用戶選中一個檔案/檔案夾−>單擊滑鼠右鍵，即顯示右鍵功能表（如圖4-5）

圖4-5

上述三種加密操作都將彈出加密對話方塊，如圖4-6所示：

圖4-6

Ø 加密證書

加密證書是加密的必要條件，選擇一個加密證書，按“加密”按鈕對文檔進行加密。

如果加密檔案僅供個人使用，推薦選用私用證書。如果加密文檔需要和他人共用，請使用公用證書加密。

加密後的檔案夾或檔案可以通過屬性來查看所用的加密證書資訊，選中加密的檔案，點擊“右鍵”→“屬性”或屬性欄上的“屬性”圖示（圖4-7）。

圖4-7

屬性中顯示檔案的加密資訊。

加密IC：用於加密這個檔案的IC硬體序列號

加密時間：該加密檔案加密的時間

防寫：如果在加密時選取了“其他IC用戶不能修改加密檔案”，這個選項為“是”，否則為“否”（該選項標準版不能設置）。

下載保護：如果加密時選取了“禁止通過網路遠端下載”，這個選項為“是”，否則為“否”（該選項僅資料伺服器版可以設置）。

證書名稱：用於加密這個檔案的證書名稱

編碼演算法：加密採用的編碼演算法

證書有效期：加密證書的有效期

Ø 加密選項

加密文檔案時的可選項(圖4-8)。

圖4-8

其他IC用戶不能修改加密檔案：指用其他IC用戶只能查看，不能修改這個加密檔案（唯讀）。

徹底銷毀原文件：檔案加密時在原文件的物理存儲位置執行抹除操作，抹除後的檔案任何片斷都無法復原。

忽略已加密的檔案：加密過程中不對已經加密的檔案重新加密。

在公共收藏夾中添加快捷方式：多用戶公用同一電腦時，其他用戶可以在加密收藏夾中看到你加入到公共收藏夾中的加密檔案快捷方式。

Ø 錯誤處理

在加密過程中遇到錯誤，有以下4種處理方式(圖4-9)。

圖4-9

記錄錯誤並繼續加密：記錄發生的錯誤，繼續加密。

停止加密：遇到錯誤停止加密。

停止並取消所有已經完成的加密：發生錯誤停止加密，並撤銷已經完成的加密。

詢問我怎麼做：發生錯誤彈出錯誤處理對話方塊，詢問用戶怎樣操作(圖4-10)。

圖4-10


文档解密

文檔解密

在檔案管理器中對於已加密過的檔案/檔案夾用戶也是可以通過3種方式來進行解密操作。

⑴．檔案管理器菜單：單擊“文件”→“解密”（圖4-11）

圖4-11

⑵．工具條按鈕（圖4-12）：

圖4-12

⑶．滑鼠右鍵功能表：（圖4-13）

圖4-13


加密邮件包

加密郵件包

在檔案管理器中有兩種途徑來進行對文檔加密為郵件包。

⑴．檔案管理器菜單：單擊“文件”→“加密郵件包”（圖4-14）

⑵．滑鼠右鍵功能表→“加密郵件包”（圖4-15）

圖4-14 圖4-15

圖4-16

彈出加密郵件對話方塊(圖4-16)輸入或通過“流覽”選擇檔案的存放位置和檔案名，選擇適當的加密演算法和加密證書。點擊“確定”就可以保存成一個MMP檔案。

MMP檔案類似于壓縮包，可以作為郵件附件進行發送。

注：secWall普及版不能生成加密郵件包。


加密文件包并发送

加密檔案包並發送

單擊“檔案”→“加密檔案包並發送”，彈出圖4-16對話方塊。點擊“確定”後檔案管理器將啟動郵件發送程式，啟動的郵件發送程式和你的郵件軟體相關，這裏啟動的是Outlook Express（圖4-17）。你加密的郵件包將作為這個郵件的附件發送給你的聯繫人。

注：secWall 普及版不能使用加密郵件。

圖4-17


使用Shell集成

Ø 將 secWall 檔案管理器中的物件拖放到Windows資源管理器視窗

可以把 secWall 檔案管理器中的專案拖放到Windows資源管理器視窗，secWall 檔案管理器會把當前選擇的專案複製到Windows資源管理器視窗的指定位置 。

Ø 將加密文件從Windows資源管理器拖放到 secWall 檔案管理器的“加密文件收藏夾”

secWall 檔案管理器將重建這個加密檔案的快捷方式。

Ø 從Windows資源管理器中快速啟動檔案管理器的功能

² 使用Windows資源管理器的上下文功能表可以快速啟動 secWall 檔案管理器的加密、解密、加密發送等功能（參考右鍵功能表功能）。

² 從Windows Explorer視窗中雙點擊副檔案名為MMP的檔案，會自動在 secWall 檔案管理器中打開這個檔案。


系统设置

系統設置

單擊“選項”→“系統設置”，彈出圖4-18對話方塊：

圖4-18

Ø 外觀

“整行選擇”：選中此項時，選擇檔案時是整行顯示，如圖4-19所示：

圖4-19

“可調整列順序”：選擇此項，可以調整列的顯示順序，如圖4-20所示，圖4-19是“名稱”列在最前面，圖4-20調整為“類型”列在最前面。

圖4-20

“格線”：選擇此項後，列表有細的格線，如圖4-21所示：

圖4-21

“熱跟蹤”：選擇此項後，當前選擇的專案將跟蹤滑鼠的移動。

Ø 操作

圖4-22

“允許對唯讀屬性檔案加密”：默認情況下，系統不能改寫唯讀檔案。選擇這個選項後，secWall 對唯讀檔案可以進行加密處理。

“允許對系統屬性檔案加密”：secWall 默認情況下不對系統屬性的檔案進行加密處理，因為這些檔案可能是作業系統的關鍵檔案，有可能在系統啟動時用到。如果你確定某些系統屬性的檔案加密後不影響使用，可以選中這個選項，secWall 將允許對系統屬性的檔案進行加密。

“Shell右鍵功能表使用默認加密”：選擇這個選項後，在Windows Explorer中使用右鍵快顯功能表加密文檔案時，secWall 將使用默認選項加密文檔案而不提示用戶更改加密選項。

Ø 演算法

圖4-23

內置：是 secWall 自帶的演算法。

外掛插件：指用戶可以通過第三方進行自己設定演算法。


右键菜单功能

右鍵功能表功能

此項功能必需在“萬華數據安全牆”中選中“使用右鍵功能表”，具體設置方法請參閱介面擴展－》右鍵菜單。

右鍵加密/解密

在Windows資源管理器中使用滑鼠右鍵的上下文功能表進行加密/解密操作。

右鍵拖放

在Windows資源管理器中使用滑鼠右鍵進行拖放操作。


右键加密/解密

右鍵加密/解密

選中一個或多個檔案或檔案夾，在選中的檔案或檔案夾上單擊滑鼠右鍵，如下圖所示：

圖5-1

在彈出的功能表中選中“萬華數據安全牆”，出現第二級菜單（圖5-1）。

如果所選中是沒有經過加密的檔案，在第二級菜單中不會出現“解密”選項。

如果所選中的是未加密的檔案夾，第二級菜單中會出現“解密”選項。

如果所選中的是已加密的檔案或檔案夾，則不會出現“加密”選項。

Ø 加密

單擊加密，出現加密對話方塊（圖5-2）。

如果文件產生器選項設置中選擇了“Shell右鍵功能表使用默認加密”，加密對話方塊將不出現，secWall 將使用默認的選項加密。

圖5-2

選擇合適的選項，具體的選項功能及其設置方法請參閱“文檔案加密”的有關內容。單擊“加密”顯示加密進度資訊（圖5-3）

圖5-3

暫停： 可以暫停加密操作的進行

取消： 停止加密操作

詳細資料： 顯示/不顯示詳細的加密狀態和錯誤資訊

Ø 解密

單擊解密，顯示解密進度（圖5-4）。

圖5-4

Ø 加密發送

請參閱“加密檔案包並發送”


右键拖放

右鍵拖放

選中一個或多個檔案或檔案夾，在選中的檔案或檔案夾上按住滑鼠右鍵拖動至另一文件夾，彈出如圖5-5所示菜單。

圖5-5

Ø 加密複製

把選擇的檔案或檔案夾複製到指定的檔案夾中，同時對複製的內容進行加密。這個操作不影響原文件的狀態。選擇這個功能表，彈出如圖5-2所示的介面（請參閱文檔案加密節）。

Ø 加密移動

與“加密複製”功能相似，不同之處是原始的檔案被刪除，只保留加密後的檔案。


IC管理器

(IC管理器是專業版/數據伺服器版元件，普及版和標準版無IC管理器)

IC 管理器是IC管理員專用工具，可以對IC進行各種設置。如密碼的更改，證書的設置/備份，IC的備份。

啟動IC管理器，輸入IC管理器密碼（圖8-1）。IC管理器密碼用於保護IC管理器發行IC的歷史記錄。當第一次使用IC管理器時，IC發行歷史記錄不存在，默認的密碼為空。

圖8-1

用戶在運行IC管理器時請確保IC插在電腦的USB埠上。

如果IC管理員密碼錯誤，IC管理器都顯示如下畫面（圖8-2）。

如果管理員密碼連續3次驗證失敗，IC管理器會自動退出。

圖8-2


IC管理员设置

IC管理員 密碼設置

圖8-3

〔1〕 .修改管理員密碼

點擊“更改密碼”按鈕，可以修改IC管理員密碼（圖8-4）。

圖8-4

兩次輸入的密碼必須一致，否則不能修改密碼(圖8-5)。

圖8-5


IC管理员设置

發行歷史

發行歷史保存IC的發行履歷。通過IC發行歷史管理，IC管理員可以將IC資料恢復到歷次發行中的每一天(圖8-6)。

IC的歷史記錄是指當用戶改變了IC資訊(如證書發生了變化)並寫入IC時，會在IC發行歷史中增加一條記錄；當IC裏的數據沒有發生變化時(如用戶姓名等發生變化)，不會添加新的記錄，而是在原記錄上直接修改，並更新發行時間為當前系統時間。

圖8-6

〔1〕.抽取

指將一條IC歷史記錄資訊還原到IC資訊視圖。

操作步驟：

（1）： 選取一條IC歷史記錄。

（2）： 點擊“抽取”按鈕，提示你抽取成功(圖8-7)。

圖8-7

（3）： 如果需要恢復到IC，點擊工具欄裏“IC寫入”。

〔2〕.詳細

選擇一條記錄，按“詳細”按鈕。詳細指用來描述IC用戶的各項資訊，如用戶名，部門，聯繫方式，備註等，便於管理員對IC的辨別和管理(圖8-8)。

圖8-8

〔3〕.備份

對IC發行歷史記錄進行備份。

按“備份”按鈕，選擇備份檔案存放的位置，並設置備份檔案的密碼(圖8-9)。

你可以將過時的歷史記錄備份存檔案。然後使用“清理”功能清理掉過時的歷史記錄。在需要使用這些歷史記錄時可以使用“恢復”功能重新導入這些歷史記錄。

圖8-9

操作步驟：

（1）：輸入導出 的歷史備份檔案的存放位置。

（2）：輸入備份檔案的密碼，兩個密碼必須一致。

（3）：按“確定”按鈕備份當前歷史記錄。

〔4〕.恢復

將歷史記錄的備份檔案導入到當前的發行歷史中(圖8-10)。

图8-10

操作步驟：

（1）：輸入要導入的歷史備份檔案路徑。

（2）：輸入此備份檔案備份時的密碼

（3）：按“確定”按鈕導入IC歷史備份檔案。

〔5〕.清理

清除IC發行歷史記錄。

按“清理”按鈕，彈出介面(圖8-11)，可以指定的日期為界進行清理，選定的日期之後的歷史記錄將被保留。如果不選擇保留日期，則僅保留最每個IC的最後一次發行記錄。

圖8-11


用户信息设置

IC資訊設置

包括存儲設備安全策略、IC資訊、IC的導入/導出(圖8-12)。

圖8-12

⑴．存儲設備安全策略

可以對存儲設備的使用進行限制。可控制的類型包括軟碟、可移動記憶體（U盤、MP3、SmartCard、CF、SD等）、光碟驅動器、網路驅動器等。 選擇“禁止用戶更改本機安全設定”時，在“secWall系統設定”裏的“本機安全”頁面將不可用，IC用戶不能更改本機安全選項。

正常：不限制存儲設備的使用

唯讀：對應的存儲設備只能讀取、不能寫入

禁用：對應的存儲設備不能使用

這裏設置的存儲設備安全策略是針對有IC（IC用戶身份驗證通過）的情況。無IC（IC沒有插或IC沒有通過身份驗證）的安全策略設定請參考“secWall系統設定”。

⑵．IC信息

IC資訊裏包括IC的狀態與IC的有效期。IC的狀態分為“正常”與“鎖定”，管理員在此可控制IC是否可用。設置此IC的有效期，IC用戶僅在設定的有效期內可以被系統識別。如果不需要為IC指定有效期限，清除“有效期”上的選取標記。

⑶．IC導入

從外部檔案中導入IC內容（ 圖8-13）。IC的導入/導出功能主要用於IC的備份和複製的功能。

注意：IC導入時，當前的IC內容將被覆蓋，備份導入後當前IC上的所有內容將被替換成備份檔案的內容，在此操作前請慎重。

操作步驟：

（1）：輸入導入備份檔案路徑。

（2）：輸入此備份檔案的加密密碼

（3）：按“確定”按鈕導入IC備份檔案。

圖8-13

〔4〕．IC導出

將IC 的內容導出到檔案，用於備份此IC(圖8-14)。用戶可以用此備份檔案導入至其他IC達到複製IC的目的。

注意：請妥善保管好你導出的備份檔案，並牢記此備份檔案的密碼，將其放于安全的地方。

圖8-14

操作步驟：

（1）：輸入導出備份檔案的存放位置。

（2）：輸入備份檔案的密碼，兩個密碼必須一致。

（3）：按“確定”按鈕進行備份檔案的導出。


用户信息设置

用戶資訊設置

設置用戶登錄系統的用戶名、密碼，以及PIN驗證碼。

圖8-12

⑴．用戶資訊設置

“用戶名”、“密碼”、“域”必須與用戶在系統內的帳戶相一致，如果用戶要登錄到域，同時還必須填入登錄的功能變數名稱。如果IC上的用戶資訊和系統當前登錄的用戶資訊不一致，用戶將不能使用IC自動登錄和拔離鎖屏功能。

⑵．禁止用戶更改IC用戶帳戶

如果管理員選擇了此項，那麼使用這個IC的用戶不能通過“secWall 系統設定”自行更改登錄帳戶，secWall 系統設定“IC用戶”頁“更改IC登錄帳戶”按鈕將不可用(圖8-13)。如不選擇此項，用戶可以通過 secWall 系統設定更改登錄帳戶（參考 secWall 系統設定－>IC用戶）。

圖8-13

⑶．PIN碼設定

PIN碼用於驗證IC持有者的合法身份,它有4個安全級別（圖8-14），用戶可以通過“secWall 系統設定”自行設定（參考 secWall 系統設定－>IC用戶）。

圖8-14


证书管理

證書管理

secWall 專業版 、 數據伺服器版 IC可以存放16組證書（圖8-15）。

圖8-15

⑴. 添加/修改證書

按“添加”或“修改”按鈕，可以添加或修改證書，也可雙擊一行進行添加或修改。

證書的添加/修改的操作方式與“secWall 系統設定”相同（參考系統設定－>證書設置），不同的是，IC管理員設定的證書具有“公用證書”屬性。以公用證書屬性發行的證書寫入IC後，IC用戶可以操作這個公用證書加密的檔案，但IC用戶不能查看（“secWall 系統設定”中公用證書內容以星號“*”表示）、修改、刪除、和導出公用證書本身。

圖8-16

⑵. 刪除證書

從證書列表中選擇需要刪除的證書，點擊“刪除證書”按鈕。系統將提示是否確實要刪除此證書（圖8-17），確認後證書被刪除。

圖8-17

注意：證書刪除後，用這個證書加密的文檔會無法打開，刪除前請確認你不需要這個證書了。

⑶. 證書導入

證書的導入/導出功能方便不同用戶之間證書的複製和分發，相同的證書擁有者可以共用使用這個證書加密的資料（參考系統設定－>“證書設置”）。

操作步驟：

①. 點擊“證書導入”按鈕，系統彈出“證書導入”對話方塊（圖8-18）；

②. 輸入要導入證書的路徑；

③. 輸入要導入證書檔案的加密密碼；

④. 確定。

圖8-18

系統將備份檔案中的證書導入到當前列表中的空白證書區。

如果導入的證書和當前IC中存在的證書名字相同，會出現如下對話方塊提請用戶為證書改名或選擇跳過導入這個重名證書（圖8-19）

圖8-19

⑷. 證書導出

用於證書備份或向其他用戶分發證書（圖8-20）（參考系統設定－>“證書設置”）。

操作步驟：

①．在證書列表框中選擇所需要導出的證書；

②．單擊“證書導出”按鈕 -> 彈出“證書導出對話方塊”；

③．輸入所需要導出證書的存放位置；

④．輸入此次證書備份的密碼。此密碼在證書導入時需要驗證。

圖8-20

注意：公用證書導出成檔案後，如果從“secWall系統設定”的“證書設置”中導入，公用證書屬性無效。從文件導入的公用證書轉化為IC用戶的私用證書。

⑸.禁止使用個人證書

當IC用戶選擇此項時，在secWall系統設定中，“證書設置”這個頁面將不可見(圖8-21)（參考系統設定－>“證書設置”）。

圖8-21


IC写入

IC寫入/讀取

IC寫入指用戶通過IC管理器對IC的各項設置的更改需要寫入IC後才能生效。如果用戶沒有做任何更改，IC管理器功能表“操作”中的 “寫入IC” 為灰色（圖8-22），如果用戶作了更改，“寫IC”變成有效狀態（圖8-23） ；同樣在工具欄裏“IC寫入” 也作同步形式(圖8-24) 。

IC讀取指讀取此時插在電腦上的IC的數據。它的顯示特性與IC寫入差不多。如下圖所示。

圖8-22 圖 8-23

圖 8-24

當用戶退出IC管理器，IC管理器檢測到用戶更改了設置並且沒有寫入IC時，IC管理器將提示用戶（圖8-25）。點擊“是”保存設置的修改，點擊“否”放棄對IC設置的修改，點擊“取消”退出此對話方塊。

圖8-25

當用戶更改了IC裏的數據時，如你想返回到原來IC的設置狀態，按“IC讀取”按鈕，原來IC的數據將覆蓋新的IC數據(圖8-26)。

圖8-26


系统设定

系統設定

在IC管理器的功能表“查看”中，選擇“系統設定”項，打開如下圖(圖8-27)。

圖8-27

⑴. IC密碼生成方式

分為兩種，一是當前的IC管理器密碼。系統自動獲取IC管理器的密碼，使IC的密碼與IC管理器當前的密碼一致。

另一種是固定密碼，管理員可以自行輸入密碼，可以與IC管理器的密碼不同。

⑵. IC歷史記錄更新時提示輸入關聯資訊

有三種狀態，選擇“不提示”時，IC歷史記錄更改時不彈出提示資訊；選擇“僅在不存在時提示”是指歷史記錄裏沒有此IC的資訊時彈出提示資訊；“總是提示”指不管歷史記錄裏有沒有此IC有資訊，只要修改了此IC，寫入時，就會彈出提示資訊。

⑶. IC拔出時

選擇保留當前IC視圖，指當IC拔出電腦時，IC管理器裏的每個頁面仍可顯示，裏面的資訊仍可以進行修改，與IC沒拔之前的頁面是一樣的(圖8-28)。

圖8-28

選擇刪除當前IC視圖，指當IC拔出電腦時，IC管理器裏只能看到IC的發行歷史，IC的資訊、用戶、證書頁將不能顯示(圖8-29)。

圖8-29

當選擇提示用戶決定，IC拔出時，彈出提示用戶選擇當IC拔出時是否保留當前IC的視圖對話方塊(圖8-30)。

圖8-30

如選擇了對話方塊裏的“不要再提示”，以後拔出IC時將不再提示用戶選擇，默認執行當前設置。


服务器操作

伺服器操作

(僅適用於 secWall 數據伺服器版)

伺服器端特性

C/S型數據庫加密


服务器端特性

伺服器端特性

如果在伺服器端使用 secWall 加密數據，這些加密的數據即使在網路上共用，任何用戶端如果沒有相對應的加密證書將不能獲取這些加密的伺服器端數據。

伺服器端的加密數據將保持唯讀特性，即使伺服器上以讀寫的授權方式共用這些加密檔案。

secWall 加密的數據在網路上的傳輸始終保持密文狀態，所以可以通過加密伺服器上的敏感數據作為抵禦外部攻擊的手段之一。密文傳輸特性可以防止敏感數據的洩密，而加密數據對遠端網路用戶端的唯讀屬性可以有效防止來自遠端網路的非法入侵者對數據的篡改和破壞。


C/S型数据库加密

C/S型數據庫加密

C/S（用戶端/伺服器）型數據庫檔案是由數據庫伺服器系統基於網路套接字的方式進行分發，唯一對數據庫檔案進行讀寫操作的只有數據庫伺服器自身，用戶端對數據庫的訪問都是通過對數據庫伺服器的請求完成的。所以不要試圖通過對數據庫加密達到不同客戶間的分級許可權管理。如果客戶間需要分級許可權管理，請使用 secWall 專業版使用不同證書加密用戶端。

對大型數據庫檔案加密，必須注意以下幾點：

1．數據庫伺服器一般總是和作業系統同時啟動並且在後臺運行，本身沒有用戶介面，對數據的操作結果要通過用戶端的處理反應。所以用戶端應該檢查每次數據庫操作的結果。加密的數據庫在IC沒有通過驗證時是不能操作的，必須確保用戶端程式能夠正確處理這種情況。

2．secWall IC是即插即用設備，本身可以熱插拔，但數據庫伺服器一般不會動態添加數據庫。因此如果你在數據庫伺服器啟動後才插上IC，你可能需要重新啟動數據庫服務才能正常使用加密數據庫。

3．對於SQL Server這樣使用系統表的數據庫伺服器，強烈建議你不要加密系統數據庫檔案（master.mdf/master.ldf），因為SQL Server在啟動時如果讀取這些系統表不成功會啟動失敗，你必須手工啟動SQL Server服務。

4．在對正在使用的數據庫檔案進行加密或解密操作時，應該先停止該數據庫的使用，推薦的方式是先停止數據庫後臺服務程式，在加密或解密操作完成後再重新啟動數據庫服務。


卸载 secWall

卸載 secWall

萬華數據安全牆 secWall 一旦從系統中卸載掉，所加密的檔案將不再受 secWall 系統的保護。所加密的檔案將不再隱藏，但是由於檔案經過全程編碼，檔案的內容受到保護。強行打開這些加密檔案將是一堆毫無意義的亂碼。

強烈建議用戶在卸載 secWall 之前將所加密的檔案全部解密，否則這些加密檔案數據將可能永久丟失或損壞。


卸载 secWall

卸載 secWall

萬華數據安全牆 secWall 提供了標準的軟體卸載方法。如果確實不再需要使用 secWall 了，可以通過系統控制面板的“添加/刪除程式”卸載 secWall。

注意：卸載 secWall 必須有系統管理員許可權。

圖 6-1

點擊“刪除”，系統將啟動卸載嚮導。

系統將顯示警示消息，確認客戶是否需要卸載萬華數據安全牆(secWall)系統。

圖 6-2

點擊“確定”，萬華數據安全牆（secWall）系統將從你的電腦上卸載。卸載後你應該重新啟動電腦以便系統對鎖定的檔案進行清理。以後在需要時你可以再次安裝萬華數據安全牆（secWall）系統。

圖 6-3

注意：強烈建議你在卸載 secWall 系統前解密所有 secWall 系統加密的檔案，secWall 系統卸載後，你將不能打開這些加密的檔案，系統也不再為加密檔案提供保護。這些加密檔案可能會永久性不可恢復。

你的IC管理員可能設置了卸載密碼，如果設置了卸載密碼，你必須輸入卸載密碼才能卸載 secWall。

圖6-4


附錄

即時加/解密技術概述

編碼技術簡介

先進加密標準（AES）簡介


实时加/解密技术概述

即時加/解密技術概述

在闡述即時加/解密技術之前，先看一下傳統加/解密技術的使用流程。

傳統加/解密技術所加密的檔在使用前，用戶必須先把這個密文檔解密成明文才能使用。如果這個檔需要修改，用戶在完成修改後必須再把修改的結果再次進行加密。

圖1　傳統加/解密技術修改一個加密文檔的流程

即時加/解密技術（Realtime Encrypt/Decrypt，也有國外媒體稱之為On The Fly Encrypt/Decrypt，懸浮加/解密技術）是最近兩年出現的一種全新概念的資料保密技術。從操作者的角度看，即時加/解密技術的最大特點是授權用戶可以直接使用加密檔而不是象傳統加密技術那樣“先解密，後使用，修改完成再加密”。即時加/解密技術必須和作業系統融為一體，因此技術要求比較高。即時加/解密技術的加密和解密過程對操作者來說是隱含的，授權用戶在使用加密檔時和不加密的檔的操作完全相同，操作者完全可以不理會所操作的檔是否經過加密處理。同樣以修改一個加密文檔為例，採用即時加/解密技術後圖1的工作可以簡化為圖2的結果。

圖2　即時加/解密技術修改一個加密文檔的流程

從圖1中還可以看出，傳統加密技術在操作中存在長時間的明文過程，由於加密是靠編碼成密文來達到保密的目的，一旦保密物件還原成明文，就不能再對其進行保護了。這就要求使用者在這個階段要有足夠的保密意識，在使用這些加密的物件時必須保證絕對的安全。但事與願違，使用這些加密文檔的最終用戶往往都不可能具備很強的保密技術和意識，絕大多數洩密事故都是在這個階段產生的。採用即時加/解密技術的系統由於沒有了明文過程，這個問題也就不存在了。同時對用戶也沒有任何保密技術上的要求，所有與保密相關的工作細節由系統自身保證。

舉一個形象的比喻來說明加密技術和竊密者之間的關係。竊密者如同地上的狐狸，沒有加密的資料如同地上的小雞，狐狸可以輕而易舉地抓到小雞，加密後的數據如同天上的小鳥，狐狸要想抓到小鳥就不太容易了，但小鳥也不是什麼時候都安全的，最危險的時候就是小鳥落地的時候。傳統的加密方式加密的資料在使用時必須解密，這時的資料完全恢復成了明文，如同落在地上的小鳥，對狐狸沒有任何防護能力。要想保證小鳥安全，就必須讓小鳥永不落地。傳統的加密方式無法讓小鳥不落地，而即時加解密系統則可以讓小鳥永遠留在天上。

即時加/解密技術的實現

即時加/解密技術的實現目前主要有以下兩種方式：

1．映射檔虛擬碟技術

虛擬碟技術最早應用於虛擬光碟機，如著名的Daemon-Tools，可以把一個光碟鏡像檔虛擬成一個光碟盤符。同樣這種技術也可以用來加密檔，檔加密後就相當於虛擬光碟的鏡像檔，虛擬碟主要用來還原加密檔成明文。

虛擬碟加密檔必須把檔放到虛擬碟上，這個操作實際上是把檔的內容複製到虛擬碟的鏡像中去。在複製到鏡像的過程中可以對檔內容進行編碼操作從而實現對檔的加密。用戶在需要使用這些加密檔時，必須從虛擬碟上存取這些加密檔。

優點：實現簡單，操作方便

缺點：1）加密需要移動檔位置，應用受到限制；2）系統資源開銷較大

應用領域：用戶文檔檔加密

2．檔系統擴展原地加密技術

通過對作業系統檔子系統的擴展，加密時不改變檔在檔系統中的位置，對檔內容直接進行編碼。Microsoft NTFS檔系統內置的檔加密就是採用這種方式。嚴格地說，這種加密方式才是真正意義上的即時加/解密技術。

原地加密的即時加/解密技術理論上可以嵌入任何現有的應用軟體加密而不影響該軟體的運行，這種加密技術可以組合出各種資訊安全行業解決方案，不同的應用場合可以採用不同的保密方案。如和企業ERP軟體組合，可以加密ERP關鍵資料；與辦公軟體組合，可以加密日常機密文檔；與財務軟體組合，可以加密財務資料等。個人用戶可以加密郵件、歷史記錄、像冊、網銀等敏感或隱私資料。沒有許可權的用戶不能訪問這些加密資料，有些系統甚至能夠對非授權用戶自動隱藏加密的檔，對保密資料的保護更為人性化。

優點：平臺級安全解決方案，功能強大

缺點：與作業系統結合緊密，實現技術要求較高

應用領域：應用面廣泛，可以對任何檔加密


编码技术简介

編碼技術簡介

加密技術是依靠加密演算法對原始文檔進行編碼形成密文從而達到加密目的。加密演算法就是通過一組密鑰對原始資訊（明文）進行一系列的數學運算得到另外一組資訊（密文），這就是加密過程。採用同樣的演算法和同樣的密鑰，可以從密文算回原始資訊（明文），這就是解密過程。這種使用同種密鑰進行加/解密操作的演算法也叫對稱加密演算法，“對稱”由加/解密代碼的對稱性而得名。這種演算法特點是加密強度高、速度快，適合於全程編碼。常見的對稱加密演算法有DES，IDEA，Blowfish，RC5等。對稱加密演算法加密和解密採用同一組密鑰，密鑰是解密密文的唯一途徑，所以對稱加密演算法必須保證密鑰的安全。

另外還有一種演算法加密和解密採用不同的密鑰，一組稱為私鑰，是用來加密資料的；另一組稱為公鑰，是用來解密資料的。用戶可以使用公鑰解密密文得到原始資訊，但用戶卻不能利用公鑰生成和密文。因為公鑰是向用戶公開的，所以這種演算法也叫公開密鑰的加密演算法。RSA就是其中應用最廣泛的一種。這種演算法特點是密鑰位元比較長（以RSA為例，一般密鑰都在1024位以上，因為密鑰位短於768位被認為是不安全的），運算速度慢，不適合於對大批資料的處理。主要用於身份認證和數位簽名。

AES（Advanced Encryption Standard，先進加密標準）演算法是美國聯邦標準局於1997年開始向全世界徵集的加密標準，屬於對稱加密演算法，代表了當今最先進的編碼技術。最終獲勝的是RijnDael演算法，其他符合標準的候選演算法還有CAST256，MARS，RC6，Serpent，Twofish等。

完善的加密演算法在理論上是無法破解的，除非使用窮盡法。使用窮盡法破解密鑰長度在128位元以上的加密資料是不現實的，僅存在理論上的可能性。統計顯示，即使使用目前世界上運算速度最快的電腦，窮盡128位元密鑰也要花上幾十億年的時間，更不用說去破解採用256位密鑰長度的AES演算法了。


先进加密标准

先進加密標準（AES）簡介

先進加密標準（AES：Advanced Encryption Standard）是美國政府的標準密碼公共鍵密碼程式（DES：Data Encryption Standard）的後續密碼。由美國的標準化團體NIST（National Institute of Standards and Technology）從1997年開始公開徵集並且開始進行選拔作業。由於DES已經積累了在全球受到廣泛使用的業績，因此AES選拔作業也備受注目。

在選拔初期AES的候補共有15種方式，截止2000年3月，最終候選減少至5種方式。這5種方式包括美國IBM公司的“MARS”；美國RSASecurity的研究開發部門--美國RSA Laboratories的“RC6”；比利時的“Rijndael”；英國／以色列／挪威等公司的“Serpent”；美國的“Twofish”等。日本NTT（日本電信電話）的“E2”曾經在初選階段被選為AES的候補，但未能入選最終候選。

經過3年多的反復選拔，最終選定的密碼演算法為“Rijndael”（發音為“Rhine-doll”。提案者為比利時的JoanDaemen和VincentRijmen）。之前專家們曾預測將AES演算法確定為一種還存在著一些困難。最終結果將很可能會採取多個演算法方式，但結果還是確定為一種演算法。

AES標準可以使用的密鑰長度可以為128位、192位和256位，對應的可用密鑰個數分別是：3.4 ×1038、6.2 ×1057、1.1 ×1077，與DES相比，DES鑰匙長度56位，即約有7.2 ×1016可能鑰匙，故AES 128位鑰匙數約為DES 56位鑰匙數之3.4 ×1038 / 7.2 ×1016 ＝ 4.7 ×1021倍。在90年代末，有名為 “DES CRACKER” 的機器，它宣稱只需數小時就能找出DES所用鑰匙。假設可建造一部可在一秒內測試255個鑰匙，找出DES鑰匙之機器，則此機器約需4.7 ×1021秒 ＝ 4.7 ×1021 / 3.2 ×107年＝ 149 ×1012年，才能找出所用128位之AES鑰匙。149×1012年是多久？大家可由一般相信宇宙誕生至今約小於2 ×1010年（即700億年）來想像。

AES 作為新的美國聯邦資訊處理標準 FIPS (Federal Information Processing Standard)，正式成為認證（Approved）加密演算法，就可被美國政府機構使用於保護具敏感性之資訊。這些政府機構可使用AES或其他認證演算法。民間公司或其他非美國政府機構是被邀請，不是被要求，接納並實作AES 或其他NIST 認證之密碼標準。

更多AES標準的資訊，請訪問NIST官方網站http://www.nist.gov。


常見問題：

怎樣防止別人盜用我的IC？

哪些檔案不能加密？

我們開發的軟體產品光碟是否可以用secWall加密？


怎样防止别人盗用我的IC？

怎樣防止別人盜用我的IC？

IC可以設置個人身份識別碼（PIN），這樣IC在使用時將會要求使用者輸入PIN碼以鑒別IC持有者的身份。盜用者不知道IC持有者設置的PIN碼，也就不能使用這個IC冒充合法持有人的身份了。PIN驗證有開機控制、時間控制、強制驗證等多種安全級別。


哪些文件不能加密

哪些檔案不能加密？

系統啟動所需的引導程式、驅動程式、服務程式不能加密，因為 secWall 使用的IC需要USB介面的支援，所以在USB介面驅動啟動前的所有系統所需的啟動檔案都不能加密。secWall 系統為避免用戶誤操作，對Windows及其以下的檔案加密都是不允許的。有些使用服務程式的第三方軟體其驅動程式不一定安裝到系統目錄下，這些在系統起動時載入的驅動也不應該被加密。


我们开发的软件产品光盘是否可以用secWall加密

我們開發的軟體產品光碟是否可以用secWall加密？

secWall 支援光碟加密。secWall 是採用全程編碼的方式加密數據的，這和軟體狗的控制執行方式加密不同。有關 secWall 加密發行光碟的技術細節和方案請向萬華數據技術支援諮詢。