TP的密码, 一直是一个比较热门的话题, 三天二头就会有XD出来问怎么清除密码之类的问题. 这几天更是接二连三有XD被密码方面的问题所困扰, 有的还要破费500元去换芯片, 等等. 有鉴于此, 特写此文, 以期给各位TPer一个参考. (只是本人的一些想法和看法, 大家共勉, 呵呵)
1) 一台THINKPAD上都有哪些密码?
硬件方面, 大概有以下这些: BIOS开机密码, BIOS超级密码, 硬盘用户密码, 硬盘超级密码. 安全芯片的密码, 以及专用硬件的密码(如指纹识别硬件等等).
软件方面, 主要有这些: WINDOWS登录密码, EMAIL帐号的密码(包括OUTLOOK, OUTLOOK EXPRESS, LOTUS等邮件客户端的登录密码和POP3帐号密码). 论坛的登录密码, 以及各种专用软件的登录密码.
本文的讨论对象, 只限于上面提到的硬件密码. 对于软件的密码, 不在本文的讨论范围之内.
2) BIOS密码的作用和关系
上面提到, 一台TP的BIOS里面, 包括数个密码. 那么这几个密码分别是做什么的? 它们之间的关系是怎么样?
在这里先不说安全芯片的密码和指纹硬件的密码. 因为不是每一台TP都有这二种硬件. 这些特殊的密码, 留到最后我们再来讨论一下.
好了, 现在我们有四个密码, 分别是开机密码(Power on password, 以下简称POP), 超级密码(Supervisor password, 以下简称SP), 硬盘用户密码(HDD User password, 以下简称HUP), 和硬盘超级密码(HDD Supervisor password, 以一简称HSP.
相应地, 这四个密码的作用与相互关系大概是这样的:
POP, 如果设定后, 则电脑开机时(就是从关机状态上电, 也就是冷启动), 就要输入这个密码, 才能开机, 进入操作系统.
SP, 如果设定后, 则BIOS的设定功能受到限制. 当需要修改BIOS里面的一些关键设定的时候, 就要求输入这个密码. 这个密码在进入BIOS时才需要. 如果开机时按F1, 就会进入BIOS. 如果设定了SP, 就会在这个时候要求输入. 但在这个时候, 如果输入POP, 也可以进入BIOS设定界面, 但有些功能会受到限制.
HUP, 主要控制对硬盘的存取. 也就是说, 在HDD上电时, 要输入这个密码, 才能获得对HDD的存取.
HSP, 主要用于修改HUP.
3) 几个密码的保密强度的现状
上述的几个密码, 虽然都是密码, 但保密的强度很明显是不同的. 根据现在的情况来看, 它们的现状是:
POP, 保存在BIOS管理的RAM中, 也就是一般说的CMOS里面. (现在电脑用的CMOS, 实际上是个由电池供电的SRAM+其它的一些电路, 如RTC(实时时钟)等等). 如果CMOS掉电, 则这些内容就会消失了. 包括时钟与日期, 也同时消失.
SP, 保存在BIOS的FLASH芯片里. 放电对它没有影响. 当然, 它是以加密的形式存放的. 所以, 好象没有人可以从FLASH的内容里面恢复出它, 但是可以通过更换一片FLASH BIOS芯片的方式来替换它(换成一个已知的密码或是换成不加密的状态)
HUP和HSP, 都是保存在硬盘里面. 这个是由ATA规范规定. 现在似乎不太清楚具体保存的物理位置, 有说是在硬盘的盘体上, 也有说在硬盘里面的FIRMWARE里面等等. 当然, 连放在哪里都不知道, 就更无从说破解之类的了.
4) 几个密码的使用
由上一节中几个密码的保密强度, 可以看出它们不同的使用范围和方式.
POP, 因为放电就可以取消这个密码, 所以, 很明显, 这个密码的保密程度是很有限的. 所以, 这个主要用于日常一般的防护, 也就是, 可以防止非授权人员在偶然情况下打开你的电脑. 比如, 放在办公室的电脑, 你中午去吃饭的时候留在桌子上了. 这个时候, 一个POP就足以保护了. 当然, 这是指一般的办公室环境, 别人不会拿螺丝刀对付你桌面上的电脑. 在家里的话, 如果家里除了你, 别人对电脑方面的了解, 对多只限于拨号上网浏览(大部分情况). 这个就可以了.
SP, 这个密码不是平时使用的. 主要作用是保护你的POP. 因为, 现在已经可以经由换芯片破解SP, 所以它的保密程度是中等. 如果你的电脑不会离开你相当长的时候, 并且还要完好地回来(简单地说, 如果你的电脑不丢的话), 这个密码可以很好地保护你的电脑不被开机了.
HUP和HSP. 注意, SP只是保护电脑不被开机, 但即使你的电脑开不了机, 如果把你的电脑里面的硬盘取下来, 放在别的电脑上, 那么, 硬盘里面的内容还是可以存取的(注意, 是可以存取, 还可以经由软件加密的方式, 对硬盘上的数据进行保护)
HSP是保护HUP不被更改. 只是在修改密码时才起作用. 上电的时候, 输入HSP, 不能进入硬盘的.
5)密码的合理设置和使用
从上文的叙述中, 想必大家对几个密码的情况已经有了基本的了解. 这里再小结一下使用的基本原则和注意事项.
对于普通的笔记本电脑使用者, 如一般的的办公室用户及家庭用户, 建议设立POP, 就是开机密码了. 虽然没有什么特别的机密, 但电脑里, 特别是笔记本电脑里, 还是有很多的个人隐私的. 所以加一个上电密码就可以阻止无关人员打开你的电脑. 当然, 这个还需要与WINDOWS里面的屏保密码配合使用, 这样, 当你偶尔离开电脑里, 别人也看不到里面的内容了. 而一旦不小心忘了这个开机密码, 也不会有太大的问题, 放一下电就可以了.
那么SP是干什么的呢? SP的愿意是给电脑的管理员用的. 举例来说, 一个单位有很多电脑, 每个用户有他自己的开机密码, 但管理员就有所有电脑的SP, (通常是一样的). 这样, 当这个用户的密码遗失或是特殊原因下这个用户的密码不可得, 就可以用管理员密码打开电脑了.
对于有更高的保密要求的用户, 就要用到硬盘密码了. 就是HUP和HSP. 注意, 对硬盘内的数据, 只有硬盘密码才能起到保护作用, 无论是POP还是SP, 保护的是电脑本身而不是你硬盘里面的数据. 也就是说, POP和SP是保护电脑不被非授权人员使用, 但硬盘里面的数据, 这二个密码是没有任何保护作用的. 或者, 从另一个角度来看, 如果要保护硬盘里面的数据, 只要有HUP就可以了. 这一个密码, 就足以对硬盘的数据提供很高的保护了. 即使没有设置POP, 开机的时候, 还是要输入HUP才能进入系统的.
那么HSP呢? 这个的作用与SP的类似, 但是是针对硬盘的. 注意, 输入HSP不能存取硬盘里面的数据. 这个密码只是用于修改HUP.
6) 更高的保密要求
从上文的叙述中, 大家应该已经很清楚这几个密码了. 到这里为止, 一般用户的保密要求已经完全可以得到满足了. 因为到目前为止, HUP还没有公开的解密算法, 所以, 从这个意义来说, 只要加了HUP, 那么这个硬盘里面的数据, 除了知道密码的人, 就没有人可以存取了...
但是, 这个世界上的保密和解密, 永远是一对共生的兄弟. 拿我们的例子来说, HUP是保护硬盘数据的最后一道防线, 而且这道防线也很坚固, 没有人可以破. 但是, 为了使用中的方便, 一般用户都习惯于把这个密码设成与POP一样. 这样做有一个好处, 就是开机的时候, 只要输入一次密码就可以了. BIOS自动把这个密码与HUP比较, 如果符合的话, 就直接进入了. 而POP, 已经知道是存放在BIOS管理的RAM中, 它的保密强度与HUP就差得远了. (作者注: 所以, 这个输入一次密码用二次的功能, 虽然方便了用户, 但实际上却降低了系统的安全程度, BIOS厂家应该在下一代的产品, 对这一点进行改进. 至少提供一个选项).
说到这里, 插一句话. 就是关于BIOS密码的破解. 大家一定在网上看到过,有人可以破解一些型号的密码, 不是换芯片, 而是真正的破解. 就是把数据读出来, 然后还原出原来的密码. 具体的过程是, 它提供一个硬件, 你自己操作, 读出一个文件后, 发给那个人. 他算出密码后, 再告诉你. 当然, 这个要收取30$. 我们关心的是破解的过程. 在这个例子里面, 它的那个硬件装置, 是接在那个存放密码的EEPROM上面, 然后, 在BIOS读取密码的过程上, 截获BIOS与EEPROM的通讯过程, 里面就包含了密码的加密形式(密文). 通过一定的算法, 就可以还原出原来的密码了(明文).
把这二件事情结合起来, 我们就看到问题了. HUP与POP一样, 然后POP有可能被还原, 然后, 硬盘的加密就被破坏了. 那么怎么解决这个问题? 怎么保证更高的加密强度?
7) 安全芯片
对于上面提出的问题, 答案就是进一步的硬件加密方法. 其中一个比较常见的也是现在可以见到的一个, 就是IBM的安全芯片(Security chip).
安全芯片是个什么东西? 简单地说, 安全芯片是一个在硬件级别上做了加密处理的密码计算及存储芯片. 这是有二层意思. 第一是密码计算及存储. 没有这个芯片的话, 密码的比较是由主处理器完成的. 在上面的例子里, BIOS从EEPROM中读取密文, 还原后与用户的输入比较来确定用户输入是否正确. 在这个过程中, 不可避免地要通讯的过程. 在这个通讯的过程上, 密文会被暴露. 那么, 安全芯片呢? 安全芯片里面包含了一个专门的处理器(CPU)和存储器(FLASH/EEPROM). 密码存放在里面, 计算与比较等全部在这个芯片里面完成. 整个过程没有对外的通讯(指密文和明文都不会在芯片外面出现). 这样就避免了通讯截获的破解了.
第二层意思是说, 这个芯片在制造过程中, 在硬件级别上已经作了保护, 使得直接从物理上对存储器的读取变成不可能或非常困难. 这个是指打开芯片, 对里面的存储器的物理结构进行直接的读取而言了.
上面提到, 可以对通讯进行截获. 事实上, 即使避免了通讯被截获的过程, 还是可以把EEPROM直接打开, 用电子显微镜对里面的结构进行观察而获取里面的内容的. 安全芯片在这个级别上进行了处理(主要是用金属层覆盖了里面的电路层, 使得观察和溶解都变成困难和不可能).
当然, 无论用什么硬件, 最后总要与软件打交道的. 所以, 安全芯片要配合专门的软件(如IBM提供的专门软件), 才能把这个加密与系统结合起来. 其实, 任何的加密都不是完美的. 只是一个强度问题. 也就是说, 如果一个加密的方法, 没有取巧的方法可以破, 而只能用暴力方法来破解. 那么这个方法是成功的. 而完成暴力算法所需要的时间, 就是这个算法的强度了. 目前的加密算法, 都是利用一些数论中的基本原理来完成的. 按照目前的计算能力, 都需要天文数字的时间才能解开, 那么我们就认为这个算法是安全的. 比如, 有个XD提到的MD5. 下面有人跟贴说他可以解, 我真的是很佩服. 不知道是不真的. 大家也听说了, 前一段时间, DES被破的事情, 但不知道有多少人知道, 这个破解是用了几万台电脑, 花了多少时间得到的一个例子. 所以说, 对于大部分来说, 三重DES算法还是足够安全的.
讲到这里, 又要插一个关于加解密的例子. GSM系统的SIM, 在几年前还被认为是完全不可能破解的. 因为, 在当年, 模拟手机分分钟被(子子)机(有的地方叫"并机"的时候, GSM这个安全性, 是以一种很高的姿态进入市场的. 但是, 没有几年过去, 现在, 复制一个SIM卡, 只是几分钟到一二个小时的事情. 我刚刚前几天就买了一套系统, 也就是一个空白卡和一个读卡器, 共花费199元. 在一个小时的时间时, 就读出了我自己的二张卡, 并且成功地把这二张卡复制到了那个空白的卡里面. 这个时候, 我心里其实是很感慨的. 科技的进步和发展, 很多时候, 超越了我们的想象...所以, 在说到我们的安全芯片时也是一样. 只能说"目前"和"现在", 对于以后的发展, 任何断言都可能变成笑柄.
说回到我们的安全芯片, 这个已经是很安全了. 没有去研究倒底有多安全? 所以, 回到开头的问题. 如果你的电脑有更高的安全要求, 那么用这个安全芯片吧. 这是一般用户, 目前可以得到的最高级别的安全保护了. 所以, 如果你的电脑里面的资料, 具有重要的商业价值或是科研价值等等, 就应该考虑使用这个你付钱买来的功能, 来保护你的重要数据.
8) 安全芯片的使用简介
使用起来, 其实是比较简单的. 先去下载软件, 安装后, 可以提供三个功能. 一是对WINDOWS登录的密码保护. 因为, WINDOWS的登录密码, 一般是放在SAM里面的. 这个已经有人可以破了. 所以这个WINDOWS的登录密码是不安全的. 也就是说, 如果你的系统是由SAM来保密的. 那么, 一旦这块硬盘被别人取得, 首先放在另一台电脑, 找到那个SAM文件, 然后, 脱机解密那个SAM文件, 就得到里面的用户名和密码. 然后用这块硬盘开机, 就可以登录和随意存取里面的文件了. 那么用了安全芯片以后, 这个密码就被放在了那个安全芯片里面. 开机的时候, 由那个专用软件接管WINDOWS的登录的模块, 你输入的密码, 由安全芯片比较后, 返回给那个软件, 再决定是不是让你登录.
另一件事, 就是LOTUS NOTES的登录密码. 过程是一样的. 由硬件来决定是不是让你登录NOTES. 这里可能有人会问, 为什么只有NOTES? 答案很简单, 因为, 1)没有软件的配合, 只是简单地传递一下信息, 几下就被从RAM中找到密码或绕过了. (很多软件可以从系统显示的****反查到密码就是这个意思了). 2)NOTES是IBM的产品. 这样, 才能在最底层增加对加密硬件的支持, 从而达到更高的保密性.
第三件事, 就是代为保存一些你指定的密码. 这个意思, 就与浏览器的COOKIE很象. 你告诉它, 哪个软件的哪个输入窗口, 要什么密码. 它就在适当的窗口出现的时候, 替你填写适当的密码. 当然这个密码是保存在那个安全芯片里面的.
另外, 提一下, 系统的安全性, 其实也是有一个ISO标准的. 而IBM的这块安全芯片, 是目前唯一通过这个标准的硬件(?).
以上关于安全芯片的说法, 不是什么权威性的. 只是我自己从IBM的网站看的资料, 然后也试了一下, 再加上GOOGLE来的一些资料的结果. 电脑里面的加密和解密, 其实是一个很前沿的领域. 有很多高手在这里做了很多的研究. 我只是从应用的角度, 跟大家讲一点我自己的体会.
从BIOS密码, 讲到IBM的安全芯片, 希望通过此文, 让广大TP用户, 对于这个与我们息息相关的话题有一些了解和认识, 从来更好地用好你手中的ThinkPad.
PS: 相关的客户端软件下载地址:
https://www6.software.ibm.com/dl/ibmpc/icss-p
|
发表于 2005-8-22 18:35
| 
发表于 2005-8-22 20:53
| 