微软产品支持分析电子月刊 : Windows Vista

在Windows Vista环境下如何使用BitLocker 的“恢复密码“

Support News Editor — Tue, 29 May 2007 09:39:00 GMT

用户在Windows Vista启用 BitLocker时, 会弹出一个友好的界面要求用户创建“恢复密码“。用户可能此时会有疑问“这个恢复密码是什么，并且我改如何处理这个密码呢？”。

首先，让我们了解一下BitLocker系统。BitLocker有两个主要的功能：1)硬盘加锁：可以有效的保护笔记本丢失或者被盗时数据窥取；2)使用“启动过程检查”确保系统启动时的完整性。该检查用于检测在操作系统加载前是否有外界的攻击威胁存在。

如果在启动过程中的检查和启用BitLocker的检查一致的话，系统将正常启动。如果检查发生变化， BitLocker将进入“恢复模式”。几种情形可以导致这种情况的发生，一些情形时无害的，比如将BitLocker保护的磁盘移到一台新机器上；而有时却是有害的，比如RootKit袭击。有关更完整的恢复情形，请参考BitLocker技术概要。

在“恢复模式”，除非您提供“恢复密码”，加密数据不会解锁，或者插入一个包含“恢复密码“的U盘，或者人工键入密码。此时，启动PINs和密钥在”恢复模式“里面并不工作。这会引出两个关键点:

Ø 如果“恢复密码“而且系统进入”恢复模式“，数据无法挽回。

Ø 如果他人获取您的“恢复密码“，他能很容易对您的系统作任何改变并绕开BitLocker (这种情形相当于Windows XP的管理员密码被窃)。

于是您会注意到一个很有趣的问题：期望保护“恢复密码“，但是又要确保不能让它易于被攻击。把密码直接保存在电脑上显然不是个好的安全措施,那么我们有没有其他的选择途径呢? 下面提供几个选项供大家参考:

Ø 将“恢复密码“保存在U盘上,并把U盘放在一个安全的地方

Ø 将“恢复密码“打印出来,藏在某个文件柜里

Ø 将“恢复密码“烧在一张CD上(或者一个存放在一张软盘上),把碟片放在某个安全之处

Ø BitLocker也支持对”活动目录”服务器的自动备份

以上就是在一个商业环境里面备份“恢复密码“的推荐方案.

任何时候在使用“恢复密码“时,您都需要记住两点:备份和存放在安全之处。

访问Exchange服务器与Self-Signed证书

Support News Editor — Tue, 29 May 2007 09:23:00 GMT

- 如何在Vista上面安装Self-Signed证书使之成为根信任证书

如果你的Exchange服务器使用的是Self-Signed证书，无论你用Outlook或者是OWA来收发电子邮件，你都必须安装这个证书使之成为根证书，这样RPC over Http才能工作。这篇文章解释了如何在Vista上面安装Self-Signed证书从而可以正常访问Exchange服务器。

1. 使用以下URL访问OWA https://host.domainname.com/exchange

由于你的Self-Signed证书不被信任，你会看到一个类似于上面的一个画面。

2. 选择”Continue to this website”

这是你会看到OWA登陆界面。

3. 在地址栏上点击“Certificate Error”选择”View certificates”

如果你看不到”Install Certificate”选项，关闭IE7,使用Administrator权限启动IE7在做一遍。

4. 选择 "Install Certificate".

5. 启动Certificate Import Wizard. 确保选择选项 “Place all certificates in the following store”,选择”Browse…”

6. 选择”Trusted Root Certification Authorities”

7. 点击Finish关掉Certificate Import Wizard.

8. 选择”Yes”, 安装certificate

9. 如果你想确认证书是否被安装，你可以打开certificates snap in，你会看到证书保存在Certificates – Current User – Trusted Root Certification Authorities – Certificates.

提示:

(1) 你也可以拷贝证书到Local computers certificate store,这样这个机器的所有用户都可以使用这个证书。

(2) 你也可以创建一个组策略，导入证书到"Computer Settings\Windows Settings\Security Settings\Public Key Policies\Trusted Root Certification Authorities". 使用组策略可以将证书引用到域里面的机器。

丢失默认用户目录下的NTUSER.DAT文件导致Windows Update出错

Support News Editor — Wed, 23 May 2007 05:56:00 GMT

Symptom

========

You may receive 0x8007003 errors when installing windows updates.

From Windows Update.log file, you can find the error information as below:

2007-03-17 12:14:47:639 6128 a54 Handler Post-reboot status for package
Package_for_KB932246~31bf3856ad364e35~x86~~6.0.1.2: 0x80070003.
2007-03-17 12:14:47:639 6128 a54 Handler WARNING: Got extended error:
"POQ Operation LoadDefaultUserHive"

Cause:

=======

This error can happen if the ntuser.dat file is missing from the \user\default folder. Some users have deleted it or for some reason it’s missing.

Solution:

=======

The solution is very simple. Just creating that folder and copying over a ntuser.data in default user folder from another machine.