-
Файловая система с шифрованием в ос Windows.
CryptoAPI в EFS
-
автоматическая генерация асимметрических ключей обмена и сертификата открытого ключа при первом обращении пользователя к услугам EFS (шифровании первой папки или файла);
-
автоматическая генерация случайного сеансового ключа перед шифрованием файла, указанного пользователем;
-
автоматическое шифрование и расшифрование в прозрачном режиме на уровне файла или папки (гарантируется, что для зашифрованного файла все созданные на его основе временные файлы также будут зашифрованы);
-
возможность вызова функций шифрования и расшифрования с помощью контекстного меню Проводника Windows и программы командной строки cipher;
-
доступ к закрытому ключу обмена пользователя со стороны операционной системы возможен только во время сеанса его работы в системе, т.к. он шифруется на системном ключе, выводимым из пароля пользователя и его идентификатора безопасности (SID).
Архитектура EFS
Другие особенности EFS
-
Перед передачей по сети файлы расшифровываются (в Windows Vista/7/8 есть возможность передачи зашифрованных файлов).
-
Возможен совместный доступ к зашифрованным файлам из числа пользователей, имеющих сертификаты открытых ключей EFS на данном компьютере (начиная с Windows XP).
-
Для восстановления зашифрованных файлов возможно включение политики агента восстановления (в домене).
Шифрование файла в EFS
-
Генерация случайного сеансового ключа FEK (File Encryption Key).
-
С его помощью зашифровывается файл.
-
Экспортируется из криптопровайдера сеансовый ключ в блобе, зашифрованном с помощью открытого ключа обмена пользователя.
-
Записывается этот блоб на диск вместе с самим зашифрованным файлом в качестве одного из его атрибутов.
Расшифрование файла в EFS
-
Импорт блоба с сеансовым ключом шифрования файла в криптопровайдер, используя при этом закрытый ключ обмена пользователя.
-
Выполняется расшифрование файла с помощью сеансового ключа.
Политика агента восстановления
-
Открытый ключ агента восстановления реплицируется на все компьютеры домена, а закрытый ключ сохраняется у администратора или на специально выделенном компьютере.
-
Сеансовый ключ шифрования файла экспортируется из CSP еще раз – теперь в блобе, зашифрованном на открытом ключе агента восстановления, и этот блоб записывается в качестве еще одного атрибута зашифрованного файла.
-
При необходимости восстановления зашифрованного файла сеансовый ключ импортируется в криптопровайдер с использованием закрытого ключа агента восстановления.
Недостатки EFS
-
при выборе пользователей, которым разрешен доступ к зашифрованному файлу, нельзя использовать определенные в системе группы;
-
нет возможности предоставить совместный доступ к зашифрованной папке;
-
возможна потеря доступа к зашифрованным данным при переустановке операционной системы или назначении пользователю нового пароля администратором;
-
пользователь не предупреждается о важности резервного копирования закрытого ключа EFS на носителе (например, флэш-диске), отличном от жесткого диска, содержащего операционную систему (этот недостаток исправлен в Windows Vista/7/8, где также реализована возможность смены закрытого ключа пользователя с сохранением копии старого закрытого ключа).