为什么数据加密无法替代全面安全措施

  我在计算机行业呆了这么久，已经看过太多的技术起起落落，改头换面。无疑，这些技术里最有趣的一个，是数据加密技术；然而，普通用户至今依旧不能较好的掌握它。

　　出现这个问题的部分原因可能是因为许多IT专业人员都从安全供应商那里获取数据加密的有关信息。而在我曾参加过的安全研究班中，从未有安全供应商强调过数据加密决不是一个全面企业安全体系的替代品。只有在某些别无选择的情况下，使用数据加密才有意义；很多时候，你甚至根本不需要使用数据加密。可能你从未在任何安全供应商的研究班里听到过这些说法，那是因为他们一心只想销售产品，而我只想教你些东西。知道何时应当使用数据加密

　　数据加密其实没有多大用处，除非你用它来减轻特定的风险，或者是法律要求你必须这么做。事实上，如果你施行数据加密时，如果不考虑它会如何影响其他功能，它反而会大大增加企业其他方面的风险。

　　一个典型的数据加密误用的例子，是IT专业人员在非必需的情况下应用加密文件系统。Windows以及几乎所有的主流操作系统，都能支持加密文件系统，但大多数公司将发现难以寻找到该技术的普遍应用点。虽然如此，许多公司依旧采用加密文件系统，因为他们相信如果一旦系统泄密的话，此技术可以保护他们的资料安全。但这一点其实是错的，现实的安全观点是首先应当保证你的系统不会泄密。有了一个使用加密技术的文件系统，绝不能成为放松系统更新以及疏于打补钉的理由。同样，勤做备份也是必需的，因为一旦哪天你丢失了解密的密钥，你的数据也就完蛋了。

　　某些特定的情形下，应用数据加密是必要的。然而，许多IT 专家之所以决定应用数据加密，只是因为他们假定使用了该技术后，他们的安全性会得到“提升”。 举例来说，一个公司部署了一个使用IPSEC（网络通讯数据加密技术）的VPN系统，如果它的病毒扫描工具仅仅在防火墙边界检查电子邮件，那么这个系统将无法防范蠕虫或病毒的攻击。一个解决办法是在电子邮件服务器端也执行病毒与蠕虫扫描，像在网络周围一样；这可以保证内部电子邮件被正确的进行恶意内容扫描。重新考虑使用SSL传递敏感数据

　　许多IT专业人员错误的认为如果他们使用SSL提交资料，他们的数据将是安全的。其实关于SSL，有两点说法是正确的：SSL加密使得截取数据更加困难(若使用SSL V3，则截取是近乎不可能的)；SSL比明码通信的数据传输方式更安全。但是，一旦数据在SSL连接的另一端被收到并且解密，你就无法再控制这个数据了。如果你的Windows系统感染了一个击键记录型木马，那么在浏览器中，即使使用SSL会话传递你的信用卡号和密码，也无法阻止你的信用卡被盗。

　　由于人们普遍的相信SSL能提供安全，所以越来越多新的网络骗局都在利用SSL欺诈人们的个人信息。SSL无法提供比单纯数据传输保密更多的安全性。真正的问题在于：数据传输完毕后，会发生些什么?使用压缩程序加密电子邮件

　　安全的电子邮件是公司需要进行教育的另一领域。大多数公司的大多数电子邮件系统，其实并不需要PGP或者内部公共密钥加密系统来保证电子邮件安全。

　　当某人需要安全的发送一个Word文档或者Excel电子数据表，我通常建议他们使用WinZip或者WinRAR的数据加密功能，并且把正规的文本电子邮件作为一个附件进行发送。当接受者获得电子邮件后，他们使用一个预先约定的解密口令对压缩包解密。这个方法谈不上完美，但其安全性足以将危险降低到最低限度。

　　我必须强调，数据加密技术仅仅是因特网全面安全解决方案中的一个工具。不管销售人员如何竭力推销，谨记在互联网安全中，最基本的因素是人，而非技术。