WINDOWS 2003加密文件系统-EFS

前言

您的计算机中总会有一些您不希望别人看到的个人隐私或秘密. 因此，当然，您必须将其放置到位. 够了吗当然不是. 也有安全措施. 设置NTFS权限？这是个好主意，但是如果笔记本电脑被盗了怎么办？公司中的公用计算机或网吧计算机又如何呢？解决数据安全性的唯一方法是加密. 但是第三方加密软件不仅昂贵，而且麻烦. 真的没有好办法吗？不用担心，Microsoft已经为您找到了解决方案. 在WIN2000中，它开始提供系统自己的加密文件系统EFS. 在WIN2003中，此功能得到了进一步开发. 下面我们带您了解EFS的奥秘.

简单的操作

有些简单，如何加密文件. 使用加密文件系统有两个先决条件:

系统应使用NTFS分区，FAT分区不支持EFS

系统必须具有DRA（数据恢复代理）

知识: DRA-数据恢复代理，数据恢复代理是非常重要的角色，它可以帮助您解密由于丢失用户证书而无法打开的加密文件. 出于安全原因，当不存在DRA策略时，EFS系统将无法运行. 默认情况下，本地本地管理员在独立模式下为DRA，而域的默认域管理员在域环境中为DRA.

1. 在资源管理器中操作

首先，让我们从一个简单的例子开始. 我们可以在资源管理器中加密和解密文件. 此操作与设置文件属性一样方便. 请看图片:

在文件或文件夹的属性中选择“高级”，选择加密选项，然后确认. 您可以选择是加密文件还是文件夹. 建议您加密文件夹. 这样会更安全.

加密的文件在WIN2003中显示为绿色，在WIN2000中保持不变. 选中后，该属性将被加密.

注意: 不能同时选择加密和压缩属性！文件的解密与加密相同，如下所示:

2. 命令行操作

通过命令行加密和解密文件更加方便快捷. 适合高级用户.

系统使用CIPHER命令执行加密和解密操作.

[代码]

E: \ DocumentsandSettings \ Administrator>密码/？

显示或更改NTFS分区上目录[文件]的加密

CIPHER [/ E | / D] [/ S: directory] ​​[/ A] [/ I] [/ F] [/ Q] [/ H] [路径名[...]]

CIPHER / K

CIPHER / R: 文件名

CIPHER / U [/ N]

CIPHER / W: 目录

CIPHER

/ X [: efsfile] [文件名]

/ A对文件和目录进行操作. 如果父目录未加密，则在修改加密文件后，

可能被解密. 建议您对此文件和父目录进行加密.

/ D解密指定的目录. 该目录将被标记，以便随后添加的文件不会被加密.

/ E加密指定的目录. 该目录已标记为可以加密随后添加的文件.

/ F强制对指定对象执行加密操作，即使这些对象已被加密也是如此. 默认为

跳过加密对象的方式.

/ H显示具有隐藏或系统属性的文件. 默认情况下，这些文件将被忽略.

/ I即使发生错误，也继续执行指定的操作. 在默认模式下，遇到CIPHER

发生错误时停止.

/ K为运行CIPHER的用户创建一个新的加密密钥. 如果选择此选项efs文件丢失，它将被忽略

所有其他选项.

/ N此选项只能与/ U一起使用. 这将防止密钥被更新. 此选项用于查找本地磁盘

所有加密文件位于

.

/ Q仅报告最重要的信息.

/ R生成EFS恢复代理密钥和证书，然后将它们写入.PFX文件

（包括证书和私钥）和.CER文件（仅包括证书）. 管理员可以向EFS报告

恢复策略添加.CER内容，为用户创建恢复代理，并导入.PFX以恢复单个文件.

/ S在已知目录和所有子目录中执行指定的操作.

/ U尝试将所有加密文件包括在本地磁盘上. 用户文件是否为加密密钥或恢复码

受管密钥发生更改，它将更新为当前密钥. 除/ N外，此选项不能为

与其他选项一起使用.

/ W从整个卷上所有未使用的磁盘空间中删除数据. 如果选择此选项，它将

忽略其他选项. 指定的目录可以位于本地卷上的任何位置. 如果是另一个

卷上目录的安装点，该卷上的数据将被删除.

/ X将备份EFS证书和密钥至文件名. 如果提供了EFS文件，它将

备份用于加密此文件的当前用户证书. 否则，用户当前的

将被备份

EFS证书和密钥.

目录目录路径.

文件名是不带扩展名的文件名.

路径名指定模式，文件或目录.

efsfile加密的文件路径.

没有参数，CIPHER将显示当前目录及其包含的文件的加密状态. 您可以使用多个目录名称和通配符. 多个参数之间必须有空格.

操作示例:

解密是相似的efs文件丢失，所以我在这里不做. 请自己动手. 除了加密和解密之外，CIPHER命令还可以备份密钥并生成DRA证书.

注意: 使用EFS后，请务必记住备份用户证书和DRA证书.

应用技巧和注意点

从上面可以看到，EFS的应用程序非常简单，但是在应用程序中EFS需要注意很多事情. 让我们看一下:

1. 密钥备份

EFS加密系统使用用户证书来执行加密操作. 因此，加密完成后，必须备份用户证书. 否则，一旦用户证书丢失，就无法解密EFS.

备份方法: 使用证书管理工具导出证书，如图所示:

注意: 请务必记住要导出私钥，否则证书备份将毫无意义. 查看图片:

带有私钥的证书称为数字ID，在访问之前必须先用密码保护.

除了备份用户自己的证书之外，您还需要备份系统在安装系统时创建的DRA证书. 这是丢失用户证书后的最后依靠. 备份方法与上面相同.

2. 共享加密文件

默认情况下，加密程序只能访问加密文件. 在此应注意，加密文件的透明访问者是加密用户，而不是加密文件夹的所有者. 换句话说，我是您在一个加密的文件夹中创建了一个文件，并且该文件只能由我访问，而您不能访问它. （加密的文件夹不会拒绝未加密用户的访问）. 还应注意，尽管加密文件可以限制未授权用户的访问，但是不能限制具有访问权限的用户删除或重命名. 因此，加密通常与NTFS权限结合使用. 如果出于特殊原因需要与朋友共享加密文件怎么办？

首先，您的朋友还必须具有EFS证书（EFS证书是系统在首次使用加密文件时创建的）. 然后，您的朋友需要将证书备份给您（此时备份的证书可以没有私钥），获得证书后，将其安装在系统中，并使用加密文件中的详细信息添加证书. 朋友EFS证书. 查看图片:

禁用加密文件系统

由于加密文件系统取决于用户证书，因此用户经常在某些网络共享文件夹上创建或设置加密文件. 一旦用户证书丢失，将带来无法弥补的损失，因此一些公司经常要求关闭EFS系统，以下是几种关闭EFS系统的方法:

1）禁止加密单个文件夹

为单个文件夹禁用加密的方法非常简单. 将以下内容复制到记事本，然后将desktop.ini文件保存在要加密的文件夹中.

[color = red]

[加密]

禁用= 1

[/ color]

示例:

加密完成后，您会看到目录下的子目录已加密，但目录本身未加密.

2）DC或OU中禁止加密，您需要在注册表中创建以下密钥:

HKLM \ SOFTWARE \ Microsoft \ WindowsNT \ CurrentVersion \ EFS \ EfsConfiguration

禁用: 0x00000001

3. EFS有多安全？

EFS加密文件系统在证书机制（PKI）下工作，并且具有很高的安全性. 由于EFS系统使用用户的SID及其密码加密主密钥，因此EFS的加密强度很大程度上取决于加密的用户密码强度. 建议使用强密码强度，这将提高EFS的安全性. 此外，EFS证书存储在用户配置文件中. 重新安装系统或升级DC之前，请确保导出证书，并尽量不要破坏原始用户配置文件. 实践证明，如果丢失了用户证书的副本并破坏了用户配置文件，则几乎不可能恢复EFS文件.

4. EFS文件证书丢失的处理

一旦EFS用户证书丢失，您可以将先前备份的用户证书导入个人证书区域以对其进行解密. 如果没有证书备份，则可以导入系统的DRA证书. 为了以防万一，应在系统安装完毕并从运行系统中删除后备份系统的DRA证书.

注意: DRA证书无关，可以将其导入任何用户的个人证书区域中.

如果暂时找不到合适的DRA证书并且无法解密文件，则将禁止移动或复制EFS加密文件. 您可以使用系统随附的备份工具备份和保存EFS文件，以供以后解密.

注意: 尽管不能移动或复制EFS加密文件，但可以将其删除或重命名.

5. 注意事项

a）不加密系统文件夹

b）不要加密临时目录

c）个人文件夹应始终加密

d）部署EFS之前，必须定义合适的DRA

e）必须备份用户证书和DRA证书

f）尝试避免在使用EFS之后重新安装系统，并在重新安装之前解密文件.

g）加密的文件系统未加密传输过程

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/sanxing/article-265834-1.html