个人计算机网络隐私保护，就是指按照制定的隐私保护策略，使用相应的隐私保护技术，将用户的网络隐私妥善保管、安全传输，以及阻止来自物理和互联网的攻击的一个处理过程。它的目的就是通过对用户计算机隐私实施必要的保护来将隐私泄漏机率控制在用户自己可以接受的水平。
隐私保护策略和保护技术，不可能保证用户的计算机网络隐私一点都不会泄漏。这是由于互联网络本身设计的开放性和隐私泄漏途径的多样性，以及不断出现的新的攻击方法所造成的。但不管怎么样，实施必要的隐私保护能将隐私泄漏的风险降低到用户所能接受的水平。
同时，你还应当明的是，一定的隐私保护方法会对用户计算机及互联网的应用造成一定的不方便的，以及隐私的保护有可能要花费一定的费用的。因此，你在制定隐私保护策略时，应当在可接受的隐私安全性与计算机网络使用方便性，以及可接受的隐私安全性与最大的隐私保护支出这两个方面做一个合适的权衡。
一、
制定个人计算机网络隐私保护策略
对个人计算机网络隐私进行保护时，先制定一个适合用户本身实际需求的隐私保护策略，是一个非常明智的方法。一个好的适合你自己的隐私保护策略，能在整个隐私保护过程当中，指导你按计划有序地对各种要保护的隐私实施相应的保护技术。
由于每个用户所拥有的隐私的具体内容及内容的重要程度都不相同，因此，是不可能存在一个适合全部网络用户的通用隐私保护策略的。但是，制定个人计算机网络隐私保护策略时，还是可以按照下面的这几个步骤来进行的：
1、调查你有哪些隐私保存在了计算机当，确定要保护的具体隐私内容，并将它们按重要程度进行分类；
2、分析你要保护的隐私可能会受到的威胁，并了解这些要面对的威胁是否有方法能够应对；
3、根据分析结果，并且根据自己能在隐私保护中投入的资金的最大限度，来为每个级别的隐私内容确定一个自己可以接受的保护目标；
4、分别为每个级别的隐私保护目标制定具体的保护策略。隐私保护策略的制定时应当尽量详细，针对每种威胁应当注明具体的保护技术。
5、将每个分级策略整合起来，构成一个完整的用户隐私保护策略；
个人计算机网络隐私保护策略是一个不断循环的过程，不是一个静止的，一成不变的方案。这是由于保存在你的计算机当中的属于你的隐私内容是会不断的增加或减少，隐私内容的重要程度也是不断的变化的，而且，新的攻击方法也会不断的出现。因此，你不得不根据实际情况不断调整你的隐私保护策略，这样才能保证你的隐私保护策略总能最有效地防范你的网络隐私被泄漏。
二、个人计算机网络隐私保护技术
当你制定好隐私保护策略后，你就应该按照这个策略中所指定的隐私保护技术，对你的不同级别的隐私内容进行具体的安全防护工作。
隐私保护技术会随着所要应用到的计算机的操作系统类型的不同而不同的。鉴于现在大部分的个人网络用户，都是使用Windows操作系统。因此，在下面的讲述中，如果没做特别的说明，那么所说的隐私保护技术，都是针对Windows操作系统而言的。
我们已经知道，威胁用户网络隐私的主要有两个方面，一个是来自直接接触的物理威胁，一个是来自互联网攻击的威胁。下面，我们就分别来了解用什么隐私保护技术可以防范这两个方面的威胁。
1、防范直接接触用户计算机的物理攻击威胁
当一个窃密者能够直接接触到用户的计算机时，他（她）会通过下面的方法得到用户保存在计算机当中的隐私：
（1）、可以直接得到计算机中与用户隐私相关的所有的图片、视频、音频文件，以及Word、Excel文档及其它文本文档。或者其它与用户单位、工作相关的机密文件。
（2）、得到用户保存在计算机当中的网络应用或系统应用的用户名和密码文档。（3）、通过数据恢复软件对系统所有分区进行扫描，从中找到有用的信息进行恢复。
（4）、查找Internet临时文件、浏览器历史记录来了解用户的互联网操作习惯，以及获得用保存在用户计算机当中的Cookie文档，以便可以实施Cookie欺骗攻击。
（5）、通过系统中记录的其它用户操作痕迹记录，如最近打开的文档、Word等办公软件的最近编辑记录、视频播放软件的播放记录，以及图像处理软件最近的浏览和打开图片文件记录等等，来轻易得到用户的隐私文件。
（5）、得到用户上网账号和密码，或者IP地址和DNS地址和主机名。
（6）、了解用户使用的操作系统类型，主机硬件信息、安装的软件信息，以及系统中已经启动的服务及端口，使用的安全措施，存在的漏洞等等信息。
（7）、为了能长久控制用户主机或为了能得到更多的用户隐私信息，他（她）会在用户的计算机当中安装一些后门、特洛伊木马程序及网络嗅探软件，用来监听键盘输入、分析进出用户计算机网络接口的数据包和进行运行控制。
（8）、当完成所有的工作后，窃密都会清除自己在用户计算机当中的操作痕迹，然后将找到的用户的隐私文件拷贝到相应的移动存储设备上带走。
一个窃密者，如果能够直接接触用户计算机，可能还会得到比上面列出来的更多与用户密切相关的重要隐私。不过，得到隐私的多少及重要程度，是由用户保存在计算机当中的隐私文件的多少和重要性来决定的。但不管怎么说，任何保存在我们计算机当中的隐私都是不可这么轻易被他（她）们获得的，我们应当使用以下所示的方法来防范这种攻击。
防范直接物理攻击的首要方法，就是尽量防止你的计算机被窃密者直接接触到。如果你认为你的计算机不可避免会被其它人（包括潜在的窃密者）直接接触到，那么，就应当继续使用下面的保护技术来防范：
（1）、首先第一步就是要保证如果他（她）们没有经过你的许可，就一定不能进入系统。你可以通过下面的方法来做到：
1）、防止会通过其它引导方式进入系统。其它引导方式就是指通过光盘、U盘来引导。你可以在主板BIOS设置中，禁用除硬盘以外的其它所有可引导设备的设置，然后设置BIOS进入密码。并且，为了防止通过直接对CMOS电池放电来解密，还应当使用机箱电磁防盗锁，以及使用BIOS电磁锁。
2）、为计算机中的所有可用账户，包括默认的administrators账户都应当设置强壮的登录密码。
（2）、应用数据加密技术。
在Windows操作系统下，有以下几种文件加密方法：
第一种数据加密方法，使用操作系统本身所具有的文件及文件夹加密功能。
如果你所有的硬盘分区全部使用NTFS文件格式，那么，你可以使用NTFS文件系统的EFS加密特性，来直接对要加密的文件和文件夹进行加密。其具体步骤如下：
1）、打开资源管理器，导航到要加密的文件或文件夹所在位置，然后用鼠标右键单击此文件或文件夹，在弹出的快捷菜单中选择“属性”菜单。
2）、在打开的属性对话框中的“常规”选项卡上，单击“高级”按钮，就会打开的高级属性对话框，在此对话框中选择“加密内容以便保护数据”的复选框，然后单击“确定”按钮。
3）、此时，会出现一个“确认属性更改”的对话框。在这个对话框中，有两个单选项给你选择。如果你只想加密这个文件夹，就选择“将更改仅应用于此文件夹”的单项选择框；如果你想在加密此文件夹的同时也加密整个文件夹中的内容，你应当选择“将更改应用于此文件夹、子文件夹及文件”的单项选择框。
5）、在做出选择后，单击“确定”按钮后即可完成文件或文件夹的加密设置。
当一个文件或文件夹被EFS加密后，如果系统当中的一个非授权用户，想将加密文件或文件夹中的文件或整个加密文件复制到硬盘分区中的其它地方时，就会弹出一个错误复制的警告信息，提示此文件或文件夹是加密文件夹，不能被非授权用户复制。同理，如果系统中一个非授权用户想打开加密的文件或文件夹中的文件时，也会弹出一个不能被非授权用户打开的警告提示框。
XP操作系统下的EFS文件及文件夹加密方式，并不能阻止被系统中其它用户所查看，也不能阻止系统中的其它用户在此加密文件夹下添加他（她）们的文件。并且，这些其它用户添加的文件也不能被你打开。但是，你可以设置这个加密文件可以被哪些用户所共享，这时，所有共享此加密文件夹的所有用户保存的文件都可以被你所操作。
此时，你可能会通过设置加密文件夹的隐藏属性来隐藏这个文件夹，以便系统中的其它用户不能看到它。但是，当这些系统用户也具有管理员权限时，他（她）们同样可以通过设置允许显示隐藏文件及文件夹的方法，来看到这些设置了隐藏属性的加密文件和文件夹。这种文件及文件夹的隐藏方式，只适合对XP操作系统不太熟习的用户有效，不能完全依靠它来保护你的重要隐私文件。此时就应该使用另一种加密方式。
第二种数据加密方法，通过加密软件对文件及文件夹进行加密。
现在，可以在Windows操作系统下使用的文件加密软件有很多，其中效果最好的是使用生成加密虚拟盘技术的加密软件。它们主要生成一个独立的使用强壮的密码加密了的虚拟盘，当用户正常挂载这个加密虚拟盘后，就可以如对待普通硬盘分区般来对它进行操作。所有放到这个加密虚拟盘中的文件都会被自动加密，当用户打开这些文件是又会自动被解密，加密和解密操作不需要用户参与。当用户取消加密虚拟盘的挂载后，它就会从资源管理器中消失。这类软件中最出色的代表之一就是一款叫TrueCrypt的软件，它有着上述所说内容的全部功能。你可以从www.truecrypt.org上下载它，现在最新版本是4.3a。它的安装非常简单，只要按安装程序的提示就可以完成安装。安装完成运行它后，就会出现如图1所示的程序主界面。
图1 TrueCrypt的主界面
现在我们就通过它来创建一个加密的虚拟盘及使用这个加密虚拟盘。具体步骤如下所示：
1）、在如图1所示的程序主界面中，单击“create volume”按钮，打开如图2所示的创建新加密卷的向导。在此界面中，有两个基本的选项，“create a standard truecrypt volume”(创建一个标准的加密卷)和“create a hidden truecrypt volume”（创建一个隐藏的加密卷）。在本例中，选择“create a standard truecrypt volume”选项，然后单击“Next”按钮，就会进入向导模式选择的界面。在此界面中，也有两个基本选项，如果你没有什么特别需求，可以按默认设置直接单击“Next”按钮继续进行下一步的加密卷的创建工作。
图2 选择加密创建类型的界面
2）、此时，会出现如图3所示的“volume location”（卷位置）的指定界面。在此界面中，如果你想将某个分区的可用空间全部用来作为一个加密卷，那么，你就可以单击此界面中的“select device…”按钮来选择这个分区。如果你只想创建一个指定大小的加密卷，那么，你可以通过单击此界面中的“select file …”来指定文件保存的位置和文件名。在本例中使用文件方式，并指定为“E:\mydoc\myvolme”。指定完成后按“Next”按钮。
图3 卷位置指定界面
3）、接下就会会出一个提示界面，直接按此界面中的“Next”按钮就会进入如图4所示的“Outer Volume Encryption Options”（输出卷加密选项）的界面。在此界面中的“Encryption Algorithm”的组合框中选择一种加密方式，在本例中为“AES”，然后在“Hash Algorithm”组合框中选择一种Hash类型，在本例中为“RIPEMD-160”。然后单击“Next”按钮继续完成加密卷的创建。
图4 输出卷加密选项界面
4）、到这一步，就会出现一个让你指定“Outer Volume Size”（输出卷大小）的界面，如图5所示。卷大小可以按KB或MB这两种单位来指定，你应当根据卷文件保存分区的剩余空间，以及你想要保存的隐私文件的大小，来决定要创建一个多大的加密卷。在本例中，由于只是做一个例子，笔者在文本框中按MB单位输入了200的数字，这就是说只创建一个200MB大小的加密卷。指定完输出卷的大小后，按“Netx”进入下一个创建步骤。
图5 输出卷大小界面
5）、此时，就会出现一个如图6所示的输入密码的界面。在此界面中的“password”文本框中输入要设置的密码。这个密码是你在挂载这个加密卷时要求输入的，因此，为了安全，你应当设置得非常强壮，不能太过简单。在此例中，为了方便只使用了由1到8的数字作为密码。接着在“confirm”文本框中重新输入一次设定的密码，然后按“Next”按钮。
图6 密码设置界面
6）、此时，就会出现“Outer Volume Format”（输出卷格式化）的界面。直接按此界面中的“Format”按钮，会先弹出一个警告对话框，如果你所有操作都没有错误，就真接按“是”按钮后就可开始对输出卷进行高级格式化。格式的速度以你指定的输出卷大小来定。
当创建完加密卷后，你就可以开始着手将你硬盘中需要保护的隐私文件全部移动这个加密卷中来进行加密保护了。要完成这个工作，你必要先挂载这个文件。你可按以下的步骤完成加密卷挂载工作：
1）、在TrueCrypt程序主界面中，先在“drive”列表框中为这个要挂载的加密卷指定一个可以使用的分区符号。
2）、然后在程序主界面的“Volume”框中单击“Select File”按钮，指定我们刚才创建的加密卷文件“E:\mydoc\myvolme”。
3）、接着单击程序主界面的“Mount”按钮，就会弹出一个要求输入挂载密码的对话框。在本例中，我们输入1到8的数字后，单击此对话框中的“ok”按钮，就完成加密卷的加载工作。
挂载好加密卷后，当你再打开Windows资源管理器时，就会看到你刚才指定了的新的分区出现在资源管理器当中了。
此时，你就可以将要保护的隐私文件全部复制到这个加密卷当中，然后对隐私的原文件全部进行填零的彻底删除操作。当你完成工作后，可以通过单击程序主界面中的“Dismount”按钮来取消这个加密卷的挂载，然后，这个加密卷就会从你的资源管理器中完全消失。你可以根据你的需要，分别为不同的隐私文件创建多个相应的加密卷，也可以为所有隐私文件创建一个足够容量的加密卷。
在这里需要注意的是，这些创建的加密卷文件是可以被删除的。因此，为了安全，你最好将这些创建好了的加密卷文件备份到光盘等不能擦写的存储媒介中。将这些加密卷文件放到任何可存储媒介当中后仍然是处于加密状态的。还有，你也可 以使用如Nodelete相似的防删除软件来对这些加密卷文件进行防删除保护。
第三种数据加密方法，使用硬件加密方式对硬盘中的文件及文件夹加密。
如果保存在你计算机中的隐私文件非常重要，你不想被你看见，也不想被人拷贝，那么，你就可以使用一新的安全计算机标准—TCG(Trusted Computing Group)。TCG是一个工业的安全计算机标准，也就是可信任计算机群组的总称。按照这种标准生产的计算机本身就包含了非常强壮的安全技术，能保证计算机本身硬件及计算机中的所有软件资源的安全。
TCG计算机使用一种叫TPM（Trusted Paltform Module（可信任平台模块））安全芯片来对硬盘中的数据进行加密。TPM芯片可以插入到主板中或直接焊接到主板上的方式进入到主机当中，还可以将它们与BIOS集成在一起。通过TPM芯片加密过后的数据，离开本机后，数据也是不可能被读取的。现在最新的版本是TPM 1.2安全芯片。同时，TCG计算机一般对机箱使用了防盗电子锁，及对BIOS也使用BIOS电子锁，防止机箱被盗、BIOS被放电等。TCG计算机使用密钥盘来进行用户系统登录认证，有的还会使用生物认证技术来对用户系统登录进行认证，这样就保证系统不会被其它非授权者登录进出。例如现在大多数TCG标准的笔记本电脑使用指纹认证技术。现在，大多数PC生产厂商（如联想、DELL、HP等）都生产TCG标准的计算机，并且，现在这种计算机的价格也不高，完全可以被我们这些普通计算机用户所接受。因此，如果用户保存在计算机上的隐私数据非常重要，为了隐私安全，也为了减轻你的安全防范工作，你完全可以考虑选择使用TCG安全标准的安全计算机。我相信，这种安全计算机也会成为以后PC发展的主要潮流。
本文转自 雪源梅香 51CTO博客，原文链接：
http://blog.51cto.com/liuyuanljy/186419
，如需转载请自行联系原作者
