EFS技术的应用

在Windows 2000中，Microsoft采用了基于公钥加密技术的加密文件系统（EFS）. 在Windows XP中，已对加密文件系统进行了进一步改进，以使多个用户可以同时访问加密文档. 但是，在使用EFS加密文件时，还会带来很多麻烦，例如在重新安装系统后无法打开EFS加密的文件夹.

1. 备份和导入密钥以解密

单击“开始→运行”，在“运行”对话框中输入“ certmgr.msc”以打开证书管理器，打开“证书→当前用户”下的“个人→证书”，只要您已完成加密操作，在右窗口中将有一个与用户名同名的证书（如果有多个证书，请选择“预期目的”作为“加密文件系统”）.

选择证书后，右键单击鼠标，选择“所有任务→导出”，在弹出的“证书导出向导”中，选择“导出私钥”，然后输入密码以保护导出的私钥为向导要求. 存储为PFX后缀文件.

如果加密文件帐户存在问题，或者在重新安装系统后需要访问或解密以前的加密文件，只需右键单击备份证书并选择“ Install PFX”，系统将弹出在“证书导入向导”中，键入导出证书时用于保护备份证书的密码，然后选择让向导“根据证书的类型，自动选择证书存储区域”. 完成后，您可以访问以前加密的文件.

2. 可靠的EFS加密

除非没有备份，否则几乎不可能解密EFS. 尽管Internet上有许多流行的方法，但是可行性很小. 建议您不要浪费时间. 因为在Windows 2000 / XP中，每个用户都有一个SID（安全标识符，安全标识符）以区分各自的身份，所以每个人的SID是不同且唯一的. 首次加密数据时，操作系统将基于加密器的SID生成用户密钥，并将公用密钥和密钥分开存储，以供用户加密和解密数据. 如果在重新安装系统之前未备份当前密钥，则实际上意味着无论如何都无法生成先前的用户密钥，并且解密后的文件不仅需要公用密钥，还需要密码，因此根本无法打开. 以前由EFS加密的文件夹.

EFS加密是安全可靠的，那么，删除用户帐户后，就像开头提到的那样，您可以重新创建一个相同的用户吗？答案是肯定的，尽管重新创建的用户与以前的用户相同. 用户具有相同的名称，但是系统不会分配相同的SID（请记住，除非是克隆系统，否则不可能具有相同的SID !！ ），因此密钥也不同，因此自然无法打开加密文件.

1. 文件加密和证书备份

1）我们可以在资源管理器中对文件进行加密和解密，此操作与设置文件属性一样方便，非常方便

在文件或文件夹的属性中选择“高级”，选择加密选项，然后确认. 您可以选择是加密文件还是文件夹. 建议您加密文件夹. 这样会更安全.

加密的文件在WIN2003中显示为绿色，在WIN2000中保持不变. 选中后，该属性将被加密.

注意: 不能同时选择加密和压缩属性！文件解密与加密相同

2）通过命令行加密和解密文件更方便，更快捷. 适合高级用户.

系统使用CIPHER命令执行加密和解密操作.

显示或更改NTFS分区上目录[文件]的加密

CIPHER [/ E | / D] [/ S: directory] ​​[/ A] [/ I] [/ F] [/ Q] [/ H] [路径名[...]]

CIPHER / K

CIPHER / R: 文件名

CIPHER / U [/ N]

CIPHER / W: 目录

CIPHER

/ X [: efsfile] [文件名]

/ A对文件和目录进行操作. 如果父目录未加密，则在修改加密文件后，

可能被解密. 建议您对此文件和父目录进行加密.

/ D解密指定的目录. 该目录将被标记，以便随后添加的文件不会被加密.

/ E加密指定的目录. 该目录已标记为可以加密随后添加的文件.

/ F强制对指定对象执行加密操作，即使这些对象已被加密也是如此. 默认为

跳过加密对象的方式.

/ H显示具有隐藏或系统属性的文件. 默认情况下，这些文件将被忽略.

/ I即使发生错误，也继续执行指定的操作. 在默认模式下，遇到CIPHER

发生错误时停止.

/ K为运行CIPHER的用户创建一个新的加密密钥. 如果选择此选项，它将被忽略

所有其他选项.

/ N此选项只能与/ U一起使用. 这将防止密钥被更新. 此选项用于查找本地磁盘

所有加密文件位于

.

/ Q仅报告最重要的信息.

/ R生成EFS恢复代理密钥和证书，然后将它们写入.PFX文件

（包括证书和私钥）和.CER文件（仅包括证书）. 管理员可以向EFS报告

恢复策略添加.CER内容，为用户创建恢复代理，并导入.PFX以恢复单个文件.

/ S在已知目录和所有子目录中执行指定的操作.

/ U尝试将所有加密文件包括在本地磁盘上. 用户文件是否为加密密钥或恢复码

受管密钥发生更改，它将更新为当前密钥. 除/ N外，此选项不能为

与其他选项一起使用.

/ W从整个卷上所有未使用的磁盘空间中删除数据. 如果选择此选项，它将

忽略其他选项. 指定的目录可以位于本地卷上的任何位置. 如果是另一个

卷上目录的安装点，该卷上的数据将被删除.

/ X将备份EFS证书和密钥至文件名. 如果提供了EFS文件，它将

备份用于加密此文件的当前用户证书. 否则，用户当前的

将被备份

EFS证书和密钥.

目录目录路径.

文件名是不带扩展名的文件名.

路径名指定模式，文件或目录.

efsfile加密的文件路径.

没有参数，CIPHER将显示当前目录及其包含的文件的加密状态. 您可以使用多个目录名称和通配符. 多个参数之间必须有空格.

解密是相似的，所以我在这里不做. 请自己动手. 除了加密和解密之外，CIPHER命令还可以备份密钥并生成DRA证书.

注意: 使用EFS后，请务必记住备份用户证书和DRA证书.

知识: DRA-数据恢复代理efs文件丢失，数据恢复代理是非常重要的角色，它可以帮助您解密由于丢失用户证书而无法打开的加密文件. 出于安全原因，当不存在DRA策略时，EFS系统将无法运行. 默认情况下，本地本地管理员在独立模式下为DRA，而域的默认域管理员在域环境中为DRA.

3）备份方法: 使用证书管理工具certmgr.msc导出证书，

注意: 请务必记住要导出私钥，否则证书备份将毫无意义.

带有私钥的证书称为数字ID，在访问之前必须先用密码保护.

除了备份用户自己的证书之外，您还需要备份系统在安装系统时创建的DRA证书. 这是丢失用户证书后的最后依靠. 备份方法与上面相同.

2. 共享加密文件

默认情况下，加密程序只能访问加密文件. 在此应注意，加密文件的透明访问者是加密用户，而不是加密文件夹的所有者. 换句话说，我是您在一个加密的文件夹中创建了一个文件，并且该文件只能由我访问，而您不能访问它. （加密的文件夹不会拒绝未加密用户的访问）. 还应注意，尽管加密文件可以限制未授权用户的访问，但是不能限制具有访问权限的用户删除或重命名. 因此，加密通常与NTFS权限结合使用. 如果出于特殊原因需要与朋友共享加密文件怎么办？

首先，您的朋友还必须具有EFS证书（EFS证书是系统在首次使用加密文件时创建的）. 然后，您的朋友需要将证书备份给您（此时备份的证书可以没有私钥），获得证书后，将其安装在系统中，并使用加密文件中的详细信息添加证书. 朋友EFS证书.

禁用加密文件系统

由于加密文件系统取决于用户证书efs文件丢失，因此用户经常在某些网络共享文件夹上创建或设置加密文件. 一旦用户证书丢失，将带来无法弥补的损失，因此一些公司经常要求关闭EFS系统，以下是几种关闭EFS系统的方法:

1）禁止加密单个文件夹

为单个文件夹禁用加密的方法非常简单. 将以下内容复制到记事本，然后将desktop.ini文件保存在要加密的文件夹中.

[color = red]

[加密]

禁用= 1

[/ color]

加密完成后，您会看到目录下的子目录已加密，但目录本身未加密.

2）DC或OU中禁止加密，您需要在注册表中创建以下密钥:

HKLM \ SOFTWARE \ Microsoft \ WindowsNT \ CurrentVersion \ EFS \ EfsConfiguration

禁用: 0x00000001

3. EFS有多安全？

EFS加密文件系统在证书机制（PKI）下工作，并且具有很高的安全性. 由于EFS系统使用用户的SID及其密码加密主密钥，因此EFS的加密强度很大程度上取决于加密的用户密码强度. 建议使用强密码强度，这将提高EFS的安全性. 此外，EFS证书存储在用户配置文件中. 重新安装系统或升级DC之前，请确保导出证书，并尽量不要破坏原始用户配置文件. 实践证明，如果丢失了用户证书的副本并破坏了用户配置文件，则几乎不可能恢复EFS文件.

4. EFS文件证书丢失的处理

一旦EFS用户证书丢失，您可以将先前备份的用户证书导入个人证书区域以对其进行解密. 如果没有证书备份，则可以导入系统的DRA证书. 为了以防万一，应在系统安装完毕并从运行系统中删除后备份系统的DRA证书.

注意: DRA证书无关，可以将其导入任何用户的个人证书区域中.

如果暂时找不到合适的DRA证书并且无法解密文件，则将禁止移动或复制EFS加密文件. 您可以使用系统随附的备份工具备份和保存EFS文件，以供以后解密.

注意: 尽管不能移动或复制EFS加密文件，但可以将其删除或重命名.

5. 注意事项

a）不加密系统文件夹

b）不要加密临时目录

c）个人文件夹应始终加密

d）部署EFS之前，必须定义合适的DRA

e）必须备份用户证书和DRA证书

f）尝试避免在使用EFS之后重新安装系统，并在重新安装之前解密文件.

g）加密的文件系统未加密传输过程

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/sanxing/article-265832-1.html