IBM 客户端安全软件 V5.4 (ibm client security software)

caicai

IBM 客户端安全软件只能在包含 IBM 嵌入式安全子系统的 IBM 计算机中使用。该软件由应用程序和组件组成，这些应用程序和组件使 IBM 客户机能够通过安全硬件芯片而不是通过易受攻击的软件来保护它们的敏感信息。

IBM 客户端安全软件必须安装在客户机上并且必须授权用户使用该软件之后才能保护客户机的用户信息。易于使用的“安装向导”会指导您完成整个安装过程。

警告：必须至少授权一个客户机用户在安装过程中使用 UVM。如果没有授权用户在客户端安全软件初始设置时使用 UVM，则将不应用您的安全设置并且不保护您的信息。

如果您在没有授权任何用户的情况下完成“安装向导”，请关机并且重新启动系统；然后从 Windows“开始”菜单运行“客户端安全安装向导”并且授权一个 Windows 用户使用 UVM。这将使 IBM 客户端安全软件能够应用您的安全设置并且保护您的敏感信息。

本发行版中的新增内容
IBM 密码管理器 1.4 包含在 CSS 安装包中

在选定 IBM 计算机上的 UPEK 集成指纹阅读器

一次单击安装将安装所有必须的文件

支持可变长度管理员密码

针对初学的使用者新的配置选项：典型配置

在本发行版中仅 National TPM 和 Atmel TPM 受支持

在本发行版中支持 ThinkPad BIOS 超级口令

注：如果您使用的是带有不符合 TCG 的安全芯片的 ThinkPad 或 NetVista 计算机，则必须使用客户端安全软件 5.3。客户端安全软件 5.4 将不能在这些计算机上成功安装。

结合本发行版使用所需的软件版本
IBM 密码管理器 R1.4

IBM 文件和文件夹加密 R2.10

CSS V5.4 中的已知问题或限制
不支持多个指纹阅读器
客户端安全软件 5.4 在一台计算机上不同时支持多个指纹软件。要使用不同的指纹阅读器，必须卸载当前的指纹软件。

在转移用户证书之后无线网络连接失败
长时间不输入口令而保留口令对话打开可能导致您的无线网络连接失败。如果该情况发生，则请在 IBM 用户验证管理工具（UVM）验证后禁用并重新启用无线适配器。

尝试同时右键单击加密可能失败
尝试使用右键单击按钮同时加密多个文件可能导致加密失败。如果第一个文件非常大时，这很可能发生。如果该情况发生，则请使用右键单击按钮单独加密文件。

指纹或智能卡覆盖受限用户的密码
当管理员使用管理员控制台更新用户指纹或智能卡覆盖密码时，将生成更新文件并将其放置在用户存档目录中。然后最终用户必须将该更新文件从存档复制到系统的正确目录中。这样做的通常方法是在用户配置实用程序中选择从存档复原用户配置。然而，该选项只对在计算机上具有管理员权限的用户可用。受限用户无法获取更新的覆盖密码。受限用户必须让管理员手动将相应文件复制到系统的 Windows 目录中。

访客用户无法使用文件和文件夹加密或密码管理器实用程序
文件和文件夹加密或密码管理器实用程序不允许访客用户访问，即使访客用户帐户显示在管理员实用程序中。

漫游限制

使用 CSS 漫游服务器

无论何时有人尝试登录 CSS 漫游服务器时，都将显示 CSS 管理员密码提示。然而，可以在不输入该密码的情况下正常使用计算机。

在漫游环境中使用 IBM 客户端安全密码管理器

在漫游环境中，使用 IBM 客户端安全密码管理器存储在一个系统上的密码可以在其它系统上使用。当用户在漫游网络中登录到其它系统（如果存档可用）时，自动从存档检索新条目。因此，如果用户已登录到一个系统上，则必须先注销并且再次登录才能使任何新条目在漫游网络上可用。

Internet Explorer 证书和漫游刷新延迟

Internet Explorer 证书在存档中每 20 秒刷新一次。当漫游用户生成一个新的 Internet Explorer 证书时，该用户在另一个系统上导入、复原或更改其 CSS 配置之前必须等待至少 20 秒。在 20 秒刷新时间间隔之前尝试这些操作中的任一操作都将导致证书丢失。同样，如果生成证书时用户没有连接到存档，则该用户应该在连接到存档后等待 20 秒以确保证书在存档中更新。

Lotus Notes 密码和安全证书漫游

如果已启用 Lotus Notes 支持，则 UVM 将存储用户的 Lotus Notes 密码。用户登录 Lotus Notes 将不需要输入他们的 Notes 密码。他们将被要求输入自己的 UVM 口令、指纹、智能卡等（根据安全策略设置）以获取对 Lotus Notes 的访问权。

如果用户在 Lotus Notes 中更改他的 Notes 密码，则将用该新密码更新 Lotus Notes 标识文件并且该新 Notes 密码的 UVM 副本也会得到更新。在漫游环境中，用户的 UVM 安全证书将在该用户可以访问的漫游网络的其它系统上可用。如果带有更新密码的 Notes 标识文件在其它系统上不可用，则 Notes 密码的 UVM 副本也可能与漫游网络中其它系统上的标识文件中的 Notes 密码不匹配。如果出现该情况，则用户将无法访问 Lotus Notes。

如果带有更新密码的用户 Notes 标识文件在另一系统上也不可用，则应将更新的 Notes 标识文件复制到漫游网络中的其它系统上以使标识文件中的密码与 UVM 存储的副本匹配。或者，用户也可以从“开始”菜单运行“修改安全设置”并且将 Notes 密码改回原来的值。然后，可以通过 Lotus Notes 再次更新 Notes 密码。

登录漫游环境时安全证书的可用性

当存档位于网络共享时，一旦用户拥有对该存档的访问权，就可以从该存档下载用户安全证书的最新集合。登录时，用户对网络共享还没有访问权，所以系统登录完成后才能下载最新安全证书。例如，如果 UVM 口令已在漫游网络中的其它系统上更改或者新的指纹已在其它系统上注册，则登录过程完成后那些更新才可用。如果更新的用户安全证书不可用，则用户应该尝试使用先前的口令或者其它注册指纹来登录系统。登录完成后，用户的更新安全证书将可用并且将向 UVM 注册新的口令和指纹。

在漫游环境中使用 Netscape

如果在漫游环境中使用 Netscape，则漫游网络中的所有系统必须使用相同版本的 Netscape。安全证书无法在不同版本（例如 4.8 和 7.1）上使用

复原密钥

执行密钥复原操作后，在您可以继续使用客户端安全软件之前，必须重新启动计算机。

本地和域用户名

如果域和本地用户名相同，则您应该对这两个帐户使用相同的 Windows 密码。因为 IBM 用户验证管理工具仅为每个标识存储一个 Windows 密码，所以用户应该对本地和域登录使用相同的密码。否则当他们在本地和域登录之间切换时（已启用 IBM UVM 安全 Windows 登录替换时），将提示他们更新 IBM UVM Windows 密码。

CSS 不提供用同一个帐户名分别登记域和本地用户的能力。如果您尝试用相同的标识登记本地和域用户，则显示以下消息：选择的用户标识已配置。在一个系统上，CSS 不允许分别登记公共域和本地用户标识，这样公共用户标识就有权访问相同的安全证书集（如证书、存储的指纹等）。

重新安装 Targus 指纹软件

如果 Targus 指纹软件被除去并且重新安装，则必须手动添加启用客户端安全软件中的指纹支持所需要的注册表项以启用指纹支持。下载包含所需注册表项的注册表文件（atplugin.reg）并且双击该文件以使注册表项合并到该注册表中。提示时，单击是以确认该操作。必须重新引导系统以使客户端安全软件能够识别更改并启用指纹支持。

注：您必须具有系统管理员权限才能添加这些注册表项。

Targus USB 指纹阅读器

如果更改 Targus USB 指纹阅读器所连接的端口，则 IBM 用户验证管理工具可能在识别用户指纹时遇到问题。如果发生这种情况，则将 USB 阅读器切换回以前连接的端口。

BIOS 超级用户口令

IBM 客户端安全软件 5.3 及更早版本不支持在某些 ThinkPad 系统上可用的 BIOS 超级用户口令功能。如果启用 BIOS 超级用户口令，则对安全芯片的任何启用和禁用都必须从 BIOS Setup 程序来进行。当设置了 BIOS 超级用户密码时，在交互式安装过程中将不会启用 IBM 嵌入式安全子系统。

使用 Netscape 7.x

Netscape 7.x 与 Netscape 4.x 运作情况不同。在启动 Netscape 时不出现口令提示。相反，仅在需要的时候才装入 PKCS#11 模块，所以口令提示仅在执行需要 PKCS#11 模块的操作时出现。

使用软盘进行存档

如果在配置安全软件时指定软盘作为存档位置，则当配置过程将数据写入软盘时将会遇到长时间的延迟。其它某些介质（例如网络共享或 USB 存储钥匙）可能是绝佳的存档位置。

注册智能卡

在用户可以成功地使用智能卡进行验证之前，必须向 UVM 注册该智能卡。如果某智能卡分配给多个用户，则只有最后注册该卡的用户才能使用该卡。所以智能卡应该只注册给一个用户帐户。

使用智能卡验证

如果需要智能卡进行验证，UVM 会显示请求智能卡的对话框。将智能卡插入阅读器后会显示请求智能卡 PIN 的对话框。如果用户输入不正确的 PIN，UVM 将再次请求智能卡。必须取出智能卡并再次插入然后再重新输入 PIN。用户必须不断地取出并再次插入该智能卡，直到输入该智能卡的正确 PIN。

加密后加（+）字符显示在文件夹上

加密文件或文件夹后，Windows“资源管理器”会在文件夹图标之前显示一个额外的加（+）字符。刷新“资源管理器”窗口后该额外字符会消失。

在右键单击加密后的文件计数

当尝试使用右键单击加密功能加密多个文件时，如果被加密文件中的任何文件为禁止的类型，如 DLL、VxD、SYS 等，此操作可能失败。当右键单击操作失败时，显示在错误窗口中的未加密文件数可能不正确。

存档用户安全证书

IBM 客户端安全软件通过频繁地将系统上的信息备份到（在配置安全子系统过程中指定的）存档目录中尝试使存档中的备份信息保持最新。如果该存档目录存储在可移动介质驱动器（如 USB 存储钥匙）或者网络共享上，则存档目录可能不是始终都可用。如果 CSS 无法访问存档目录，则将显示一条消息表明该存档不可用。单击取消将只取消备份某特定文件的尝试，而 CSS 可能正在尝试备份多个文件，这样该消息可能多次出现。为了避免在存档不可用时该消息反复出现，请选中不再显示此消息复选框。该警告消息将不再出现。

Windows XP Home 受限用户限制

Windows XP Home 受限用户无法更新其 UVM 口令、Windows 密码或无法使用用户配置实用程序更新其密钥存档。

当安装新的系统板时，可能发生系统 POST 190 错误。

要清除 POST 错误，请完成以下过程：

重新启动计算机。

得到提示时按 F1 进入 BIOS Setup Utility。

退出 BIOS Setup Utility。

退出 BIOS Setup Utility 时将清除 POST 错误。


CSS 5.4：支持的 GINA
IBM Access Connections GINA（qcongina.dll）

Utimaco SafeGuard Easy GINA（sslogon.dll）

Atheros Wireless GINA（athgina.dll）

Intel Wireless GINA（iWPDGina.dll）

从 R4.0x 升级
要完全除去客户端安全软件，只需要从“控制面板”的“添加/删除程序”applet 卸载客户端安全软件 R4.0x。重新启动计算机后，可以通过“安装向导”安装和配置客户端安全软件 R5.4。

要完成以下过程，需要配置 R4.0x 时创建的公钥和私钥。请确保它们可用。

要除去客户端安全软件 R4.0x，但将现有的安全数据用于 R5.4，请完成以下过程：

更新存档信息。
在除去客户端安全 R4.0x 之前，确保存档信息为最新。该操作可以通过完成以下过程来实现：

单击开始 > 程序 > IBM 客户端安全软件 > 客户机实用程序。

单击更新存档按钮。这样就更新了备份信息。请记录存档目录。

退出实用程序。

使用以下过程从计算机除去现有的客户端安全软件：

从“控制面板”使用“添加/删除程序”除去 IBM 客户端安全软件。

提示重新引导时选择“否”。

使用“开始”菜单关闭系统。

使用以下过程清除嵌入式安全芯片：

对系统加电。

在启动过程中按 F1 进入 BIOS Setup Utility。

转至 Security Chip Settings 并清除安全芯片。

退出 BIOS Setup 然后系统将重新引导。

注：可能需要在启动过程中按住 Fan 键。芯片清除过程根据系统的不同而变化。请参阅计算机随附的用户指南。

使用以下过程安装 IBM 客户端安全 R5.4：

运行 R5.4 安装程序。

提示时重新引导。重新引导后将自动启动“客户端安全安装向导”。

请不要运行该“安装向导”。而是单击取消退出。

使用以下过程临时备份缺省安全策略：

使用 Windows 资源管理器转至 IBM 客户端安全软件安装目录（缺省目录为 c:\program files\IBM\security）。

右键单击 UVM_Policy 文件夹并选择复制。

右键单击桌面并选择粘贴。这将在桌面上创建一个临时备份。请注意现有的安全策略将被新的缺省值替换。

使用以下过程从 R4.0 复原设置：

从“控制面板”选择“IBM 嵌入式安全系统”，然后输入芯片密码。

单击密钥配置按钮。

选择是从密钥存档复原密钥。

提供 R4.0 存档目录的位置。

提供配置 R4.0x 时创建的公钥和私钥文件的位置。会通知您将为新的发行版更新您的存档。

单击确定。

提供创建新（R5.4）密钥存档的位置。确保在与现有的 R4.0x 密钥存档位置不同的位置创建密钥。如果您已经具有为另一个系统上的 R5.4 创建的管理员密钥，可以选择使用现有的 CSS 密钥对存档并提供现有密钥的位置。

单击下一步。将转换和复原您的存档。

完成时退出应用程序。

复原策略设置。

使用 Windows 资源管理器转至 IBM 客户端安全软件安装目录（缺省目录为 c:\program files\IBM\security）。

使用鼠标左键，将 UVM_Policy 文件夹从桌面拖到 IBM 客户端安全软件安装目录。

对于所有警告都回答“是”。

现在您的安全数据已经从 R4.0 迁移到了 R5.4。

如果您以前在 R4.0x 中更改了安全策略，则可能要通过从“控制面板”运行“IBM 嵌入式安全子系统”来重新提交安全策略设置。单击配置应用程序支持和策略，然后单击应用程序策略，然后单击编辑策略。

caicai

该文件包含关于 IBM(R) 客户端安全文件和文件夹加密（FFE）实用程序的最新信息。FFE 实用程序提供了强大的方法来保护存储在您的计算机上的文件和文件夹。使用 FFE 实用程序之前，理解产品提供的保护能力以及任何限制是重要的。

结合本发行版使用的受支持的软件版本
TPM 系统上 IBM 客户端安全软件 R5.3 或更高版本

用法注释
FFE 实用程序与 IBM Rescue and Recovery 程序完全兼容。

当文件从受保护的文件夹复制到不受保护的文件夹时，该文件自动解密。同样，当文件从不受保护的文件夹复制到受保护的文件夹中时，该文件自动加密。

已知的问题或限制
FFE 与可热交换的硬盘驱动器的不兼容性

在有关运行 FFE 的计算机的某些情况中，可能未正确识别热添加硬盘驱动器（例如，当 Windows 运行时插入），并作为未格式化地呈现给 Windows。要纠正该情况，请重新引导连接有硬盘驱动器的计算机。要允许正确使用热添加的硬盘驱动器，请确保驱动器 C: 上的文件系统（例如，FAT32 或 NTFS）和热添加的硬盘驱动器上的分区相同。

在右键单击加密后的文件计数

当尝试使用右键单击加密功能加密多个文件时，如果被加密文件中的任何文件为禁止的类型，如 DLL、VxD、SYS 等，此操作可能失败。当右键单击操作失败时，显示在错误窗口中的未加密文件数可能不正确。

访客用户无法使用文件和文件夹加密或密码管理器实用程序
文件和文件夹加密或密码管理器实用程序不允许访客用户访问，即使访客用户帐户显示在管理员实用程序中。

“未加密的文件”计数不正确
文件和文件夹加密（FFE）实用程序计数已加密的文件。它还计数未加密的文件（因为这些文件已禁止文件扩展名）。当文件未加密时，FFE 实用程序在未加密的文件总结中将其计数两次。

FFE 与 IBM Rapid Restore(TM) PC 和 IBM Rapid Restore Ultra 3.0 或较早版本的不兼容性
IBM Rapid Restore PC 和 IBM Rapid Restore Ultra 是备份和复原应用程序，这些应用程序可使用户避免由于操作系统故障而导致的数据丢失。客户端安全文件和文件夹加密实用程序与这两个应用程序中的任何一个都不兼容。这两个应用程序安装到已安装 FFE 的计算机上时不受支持。FFE 是与 IBM Rapid Restore Ultra 4.0 及更高版本兼容。

要点：如果使用 IBM Rapid Restore PC 或者 IBM Rapid Restore Ultra 3.0 或较早版本备份受 FFE 保护的文件和文件夹，则很可能发生数据丢失。

FFE 与 Grisoft AVG 6.x 和 Grisoft AVG 7.x 的兼容性限制
当安装了 Grisoft AVG 反病毒软件时，在受保护的文件夹中的 MS Office 文件可能不能正确解密。要解决该问题，禁用 AVG V6.x 的 AVG 控制中心应用程序中的“检查宏病毒”，并禁用 AVG V7.x 的 AVG 控制中心应用程序中“AVG 驻留保护”的“扫描文档”。

重命名并禁用 FFE 加密的文件或文件夹
在没有首先将用 FFE 保护的任何文件或文件夹解密之前，请勿禁用 FFE。如果禁用 FFE 后重命名任何 FFE 加密的文件或文件夹，则取消保护文件或文件夹所需的种子数据将丢失。

右键单击加密的兼容性
除 FFE 以外，IBM 客户端安全软件还提供通过右键单击加密功能保护个别文件的能力。用户不应将通过右键单击加密功能保护的文件复制到受保护的文件夹中。如果将通过右键单击加密功能保护的文件复制到受 FFE 保护的文件夹中，则可能出现数据丢失。使用 FFE 保护或取消保护时，请勿执行任何右键单击加密的操作。

移动加密的文件和文件夹

IBM FFE 实用程序不支持：

在受保护的文件夹中移动文件和文件夹
在受保护和不受保护的文件夹之间移动文件或文件夹

如果您尝试执行这两种不受支持的“移动”操作中的任何一种，操作系统将显示拒绝访问消息。该消息是正常的并且只是提供不支持该“移动”操作的通知。如果您尝试将不受保护的文件夹移动到受保护的文件夹中，则会在受保护位置创建空文件夹，但随后显示拒绝访问的消息。

作为备用使用“移动”操作，请执行以下操作：

将受保护文件或文件夹复制到新的位置。
使用 Shift+Del 组合键删除原始文件或文件夹。

删除加密的文件和文件夹
要确保在“回收站”中没有剩下任何未加密的敏感文件或文件夹，您应该使用 Shift+Del 组合键删除受保护的文件和文件夹。Shift+Del 按键顺序执行无条件删除操作，并且不会试图将已删除文件放置到“回收站”中。

Microsoft 加密文件系统（EFS）的兼容性
IBM 文件和文件夹加密（FFE）和 Microsoft 加密文件系统（EFS）提供相似但又有所区别的文件加密功能。如果受 EFS 保护的文件被复制到受 FFE 保护的文件夹中，则可能出现意外的结果。请勿在相同的系统上同时使用这两种解决方案。

使用命令提示符更改目录
使用命令提示符时，可能会遇到将活动目录更改为受保护子文件夹的问题。最好使用 Microsoft(R) Windows(R) 资源管理器访问受保护的文件夹和子文件夹。

缩写的文件名
客户端安全文件和文件夹加密实用程序不支持依赖于短文件名（例如，长文件名 longfilename.txt 缩写为短文件名 longfi~1.txt 时）的应用程序。

路径名长度限制
当您尝试使用 IBM FFE 实用程序保护文件夹或尝试将不受保护文件夹中的文件或文件夹复制到受保护文件夹，您可能会接收到来自 FFE 实用程序的一个或多个路径名过长的消息。如果您接收到该消息，则您有一个或多个文件或文件夹的路径超出了允许的最大字符长度。要解决问题，请重新安排文件夹结构以缩短其深度，或者缩短一些文件夹名或文件名的长度。

即使显示的路径名比特定于操作系统的字符限制短，您也可能遇到该问题。这是由于在受保护的路径中，从受保护文件夹开始向前，对每个受 FFE 保护的文件和文件夹都在其文件或文件夹名中追加八个字符。这些字符在正常的操作中不可见，但对最大路径长度进行计数时会计入这些字符。出于这个原因，最好使所有受保护文件夹保持在离根尽量近的地方。

使用 Microsoft 资源管理器对文件夹进行保护或取消保护
使用 Microsoft 资源管理器保护或取消保护文件夹时，该文件夹可能暂时从屏幕上消失。在该过程中，所有受保护的文件和文件夹暂时被锁定。要显示该文件夹，请刷新资源管理器。如果您尝试在保护或取消保护文件或文件夹时访问受保护的文件或文件夹，则将显示拒绝访问的消息。

盘符保护
使用 IBM FFE 实用程序只能加密或解密驱动器 C 上的文件和文件夹。IBM FFE 实用程序不支持在任何其它硬盘分区或物理驱动器上的加密。

从受保护文件夹运行应用程序
IBM FFE 实用程序不支持从受保护文件夹运行应用程序。例如，如果您有一个名为 PROGRAM.EXE 的可执行文件, 则您无法从受保护文件夹运行该应用程序。

保护文件夹的问题
如果尝试保护文件夹却接收到表明无法保护文件夹。一个或多个文件可能正在使用的消息，则注销然后重新登录 FFE。如果这样不解决问题，请验证以下内容：

验证当前未在使用文件夹中包含的文件。
验证文件夹中包含的文件都不包含使用缩写的简短格式的文件名。文件名比 xxxxxxxx.xxx 格式长的文件需要进行缩写（例如 adminis~r.exe），此时无法保护这些文件。如果尝试保护包含此类文件的文件夹，则会显示警告消息。为保护该文件夹，必须更改文件名。
验证文件夹中包含的所有文件具有相同语言的文件名。FFE 不支持多种 DBCS 语言的文件名。如果尝试保护一个文件夹，该文件夹包含具有多种 DBCS 语言文件名的文件，则显示警告消息。在可以保护该文件夹之前，所有文件名必须是操作系统的主语言。
如果 Windows 资源管理器显示您尝试保护文件夹的一个或多个子文件夹，请确保您尝试保护的文件夹（而不是任何子文件夹）是突出显示和活动的。

禁用安全芯片时请求口令
禁用安全芯片后，CSS 可能请求口令。单击取消继续。

卸载 IBM FFE 实用程序

在卸载 IBM FFE 实用程序之前，请确保完成以下任务：

使用 IBM FFE 实用程序解密当前受保护的任何文件或文件夹。不这样做可能导致无法卸载 FFE。
请勿在卸载 FFE 之前卸载 CSS。如果在卸载 FFE 之前卸载 CSS，则任何受保护文件夹中的数据将丢失。

caicai

IBM client security software通过IBM 自带的安全芯片，可以更好的保护你的电脑不被非法使用。当别人通过不正当手段进入你的电脑并上网，软件可以及时报告ibm服务中心及公安机关，并确定上网位置，以保护你的计算机。

软件太大，等社区的ftp建立起来，再上传。此期间哪位网友需要可以qq联系（5339697）。

xiaofeng88

安全是好事，千万要记住安全芯片的密码（超级用户），要不然会很麻烦。

lsza

IBM 客户端安全软件只能在包含 IBM 嵌入式安全子系统的 IBM 计算机中使用。该软件由应用程序和组件组成，这些应用程序和组件使 IBM 客户机能够通过安全硬件芯片而不是通过易受攻击的软件来保护它们的敏感信息。