16. Efs, причины появления. Механизмы работы
Можно ограничить доступ к конф инфе в нтфс, если винда - единственная ОС, которая может быть запущена и если жесткий диск не может быть физически удален. При наличии средств доступа к файлам можно обойти блок. Способ главный решить эту проблему - шифрование данных, при этом. Проблемы:
]. Ручной режим шифрования, дешифрования.
Возможность утечки информации(через файла подкачки, где остаются ключи шифрования, временные файлы)
Слабая защищенность(нужно запоминать большое кол-во паролей)
Возможность восстановления данных.
С 2000 появилось новое СЗИ – Файловая система шифрования. Позволяет хранить файлы и папки в шифрованном виде.
EFS основывается на симметричной криптографии. У каждого юзера есть открытый ключ и личный ключ. ОС получает доступ к личному ключу только на время работы пользователя в системе. Личные и открытые ключи генерируются когда пользователь впервые воспользовался функцией шифрования. Они связываются с с SID и остаются неизменными на все время существования записи.
Процесс шифрования:
Сами файлы шифруются быстрым симметричным алгоритмом при помощи случайно сгенерированного файлового ключа шифрования файлов. Винда 2000 и XP использовали 128битный алгоритм DESX. Теперь дополнительно используется tripleDES, а по умолчанию является AES. При этом ключ шифрования далее сам шифруется с помощью ассиметричного алгоритма RSA на открытом ключе пользователя и записывается в спец. поле DDF (data decryption field). Начиная с XP можно работать с шифрованным файлов - полей ДДФ может быть несколько. Дальше это шифруется на открытом ключе и записывается в поле (DRF -data recover field).
EFS работает как драйвер на уровне ядра. Когда пользователь или приложение обращается к зашифрованному файлу драйверы NTFS вызывают EFS, которые осуществляют симметричное шифрование. Для ассиметричного шифрования ключа шифрования файла. EFS обращается к работающему на уровне пользователя базе криптографических служб микрософта. Обращение идет через локального администратора безопасности LSA.
ЕFS можно отключать и подключать с помощью параметра EFS configuration, после чего необходимо перезагрузить комп. При этом включении нельзя шифровать новые файлы и расшифровывать зашифрованные. ПРи этом сами ключи как личные, так и открытые, сохраняются и после включения ифс пользователи снова смогут работать с ранее зашифрованным файлом.
Процесс расшифровки начинается с расшифровки сеансового ключа шифрования, который может выполнить только пользователь, зашифровавший файл, так как личный ключ только у него. ЛК хранится либо на смарт-карте, либо в безопасной области памяти.Расшифрованный файловый ключ используется для расшифровки самого файла. Процесс восстановления аналогичен процессу шифровки с той разницей, что для расшифровки ФК используется личный ключ и используется поле DRF.
Процесс расшифровки:
EFS позволяет начать шифрование без помощи админа. EFS автоматически генерирует пары ключей и при необходимости сама подписывается.
Начиная с висты в EFS появились новые возможности:
Шифруется теперь и файл подкачки с которого ранее можно было получить часть информации.
Если ранее ключи шифрования оставались с кэшем на время всего сеанса работы пользователя, то теперь его можно очищать либо через некоторый промежуток времени, либо после блокировки рабочей станции.
Можно управлять параметрами сертификата и личным ключом с помощью групповых политик.
Личные ключи ЕФС теперь могут храниться и на смарт-картах.
Встроенный режим работы с ключом размещен на смарт-карте, которая может кэшироваться в защищенной области памяти до окончания сеанса работы пользователя.
Если ранее при передаче файлов с ЕФС на удаленный сервер, он и там оставался зашифрованным, но при передаче он расшифровывался, передавался в открытую и шифровался уже в конце. Теперь используют протокол smp2 и по сети идет шифрованный файл.
Появился мастер ЕФС повторной генерации ключа, который позволяет задействовать новый ЛК. При этом не нужно все перешифровывать, сохраняется старый ЛК для доступа к шифрованным файлам.