Шифрованная файловая система

Шифрованная файловая система (EFS) позволят шифровать файлы и каталоги, сохраненные на диске.

  • Советы по использованию шифрованной файловой системы находятся в разделе Советы и рекомендации.
  • Справочные сведения по выполнению конкретных задач см. в разделе Инструкции.
  • Общие сведения см. в разделе Основные понятия.
  • Инструкции по устранению неполадок содержатся в разделе Устранение неполадок.


Советы и рекомендации

Убедитесь, что файлы, предназначенные для шифрования, созданы и зашифрованы.

  • Зашифруйте папки перед созданием в них важных файлов для обеспечения максимальной безопасности. Данная процедура позволяет создавать зашифрованные файлы и их данные никогда не будут записаны на диск как обычный текст.
  • Зашифруйтe папку «Мои документы», если большинство документов сохранено в ней. Это гарантирует шифрование личных документов по умолчанию. Для перемещаемых профилей пользователей эту операцию следует выполнять, только если папка «Мои документы» перенаправлена в сетевое размещение.
  • Шифруйте папки вместо отдельных файлов, чтобы временные файлы, создаваемые программами в процессе редактирования, также были зашифрованы.

Управление закрытыми ключами для обеспечения безопасности файлов

  • Назначенный агент восстановления должен экспортировать сертификат восстановления данных и закрытый ключ на диск, сохранить его в безопасном месте и удалить сертификат восстановления данных из системы. В этом случае восстановить данные системы может только пользователь, имеющий физический доступ к закрытому ключу восстановления данных.
  • Количество назначенных агентов восстановления по возможности должно быть минимально. В результате, ключи больше защищены от криптографической атаки и уровень гарантии, что зашифрованные данные не будут расшифрованы недопустимым методом, выше.
  • Используйте службы сертификации корпорации Майкрософт для управления файловой системой EFS, а также сертификатами и закрытыми ключами агента восстановления данных (DRA).

Постоянное обеспечение безопасности и надежности хранения данных.

  • Зашифруйте важные данные на компьютерах, подключенных к домену. Эта процедура защищает данные при автономных криптографических атаках.
  • Используйте протокол IPSec, чтобы убедиться, что данные остались зашифрованными при передаче по сети. Кроме того, для хранения зашифрованных данных в Интернете можно использовать файловую систему EFS совместно с протоколом WebDav.
  • Регулярно архивируйте все содержимое сервера, на котором хранятся серверные зашифрованные данные. При этом в случае восстановления данных можно восстановить профили, содержащие ключи расшифровки.

Шифрование файлов при отключенной программе «Восстановление системы»

  • Отключите программу «Восстановление системы» перед шифрованием файлов, за которыми эта программа ведет наблюдение. После зашифровки файлов запустите программу «Восстановление системы». В результате зашифрованные файлы нельзя будет восстановить в незашифрованном виде.
  • Чтобы зашифровать такие типы файлов, за которыми ведет наблюдение программа «Восстановление системы», поместите файлы на том, за которым наблюдение не ведется. Дополнительные сведения см. в разделе Общие сведения о восстановлении системы.


Инструкции

  • Шифрование и расшифровка файлов
  • Копирование и перемещение шифрованных файлов и папок
  • Восстановление файлов и папок
  • Право на шифрование и расшифровку файлов


Шифрование и расшифровка файлов

  • Шифрование файла или папки
  • Расшифровка файла или папки
  • Включение шифрования файлов на удаленном сервере
  • Шифрование файла или папки на удаленном компьютере


Шифрование файла или папки

Рисунок Microsoft Windows

Чтобы зашифровать файл или папку

  1. Откройте проводник Windows.
  2. Щелкните правой кнопкой мыши файл или папку, которые требуется зашифровать, и выберите из контекстного меню команду Свойства.
  3. На вкладке Общие нажмите кнопку Дополнительно.
  4. Установите флажок Шифровать содержимое для защиты данных.

Примечания

  • XOX
  • Файлы и папки могут быть зашифрованы только на томах с файловой системой NTFS.
  • Сжатые файлы и папки не могут быть зашифрованы. Если шифрование выполняется для сжатого файла или папки, файл или папка преобразуются к состоянию без сжатия.
  • Не могут быть зашифрованы файлы с атрибутом «Системный» и файлы в структуре папок системный корневой каталог.
  • Когда шифруется отдельный файл, система запросит подтверждение необходимости зашифровать также и папку, содержащую этот файл. Если подтверждение получено, все файлы и подпапки, добавляемые в папку в будущем, будут зашифрованы при добавлении.
  • Когда шифруется папка, система запросит подтверждение необходимости зашифровать также файлы и подпапки в данной папке. Если подтверждение получено, все файлы и подпапки, расположенные в папке, шифруются, так же как и все файлы и подпапки, которые будут добавлены в папку в будущем. Если выбрано шифрование только папки, все файлы и подпапки в данной папке остаются незашифрованными. Однако любые файлы и подпапки, добавляемые в папку в будущем, будут зашифрованы при добавлении.

См. также


Расшифровка файла или папки

Рисунок Microsoft Windows

Чтобы расшифровать файл или папку

  1. Откройте проводник Windows.
  2. Правой кнопкой мыши щелкните зашифрованную папку или диск, затем выберите команду Свойства.
  3. На вкладке Общие нажмите кнопку Дополнительно.
  4. Снимите флажок Шифровать содержимое для защиты данных.

Примечание

  • XOX
  • Когда расшифровывается папка, система запросит подтверждение необходимости расшифровывать также файлы и подпапки в данной папке. Если выбрано расшифровывание только папки, зашифрованные файлы и папки в расшифрованной папке остаются зашифрованными. Однако новые файлы и папки, создаваемые в расшифрованной папке, не будут зашифровываться автоматически.

См. также


Включение шифрования файлов на удаленном сервере

Рисунок Microsoft Windows

Чтобы включить шифрование файлов на удаленном сервере

  1. Откройте оснастку Пользователи и компьютеры Active Directory.
  2. Найдите имя удаленного сервера, правой кнопкой мыши щелкните имя и выберите команду Свойства.
  3. Установите флажок Доверять компьютеру делегирование.

Примечание

  • XOX
  • Для запуска оснастки «Пользователи и компьютеры Active Directory» откройте подключение к удаленному рабочему столу контроллера домена Windows 2000 или рядового сервера, на котором установлены средства администрирования Windows 2000. Для выполнения данной процедуры необходимо войти в систему на сервере в качестве администратора домена.
  • При шифровании файлов на сервере WebDAV нет необходимости, чтобы компьютеру было доверено делегирование.
  • Нельзя настроить компьютер для шифрования в другом лесе, даже если установлены доверительные отношения.

См. также


Шифрование файла или папки на удаленном компьютере

Рисунок Microsoft Windows

Чтобы зашифровать файл или папку на удаленном компьютере

  1. Откройте проводник Windows.
  2. В меню Сервис выберите команду Подключить сетевой диск и затем следуйте инструкциям в диалоговом окне Подключение сетевого диска.
  3. Щелкните правой кнопкой мыши файл или папку, которые требуется зашифровать, и выберите из контекстного меню команду Свойства.
  4. На вкладке Общие нажмите кнопку Дополнительно.
  5. Установите флажок Шифровать содержимое для защиты данных.

Примечания

  • XOX
  • Файлы и папки могут быть зашифрованы только на томах с файловой системой NTFS.
  • Сжатые файлы и папки не могут быть зашифрованы. Если шифрование выполняется для сжатого файла или папки, файл или папка преобразуются к состоянию без сжатия.
  • Не могут быть зашифрованы файлы с атрибутом «Системный» и файлы в структуре папок системный корневой каталог.
  • В среде домена удаленное шифрование выключено по умолчанию. Чтобы разрешить шифрование для конкретного компьютера, администратор домена может сделать этот компьютер доверенным для делегирования. Для получения дополнительных сведений обратитесь к администратору сети.
  • Когда шифруется папка, система запросит подтверждение необходимости зашифровать также файлы и подпапки в данной папке. Если подтверждение получено, все будущие файлы и подпапки, добавляемые к папке, будут зашифрованы автоматически.
  • Программы, создающие временные рабочие файлы, могут поставить под угрозу безопасность шифрования файла. При работе с такими программами используйте шифрование на уровне папки, а не отдельных файлов.

См. также


Копирование и перемещение шифрованных файлов и папок

  • Копирование зашифрованного файла или папки
  • Перемещение зашифрованного файла или папки


Копирование зашифрованного файла или папки

Рисунок Microsoft Windows

Чтобы скопировать зашифрованный файл или папку

  1. Откройте проводник Windows.
  2. Выберите зашифрованный файл или папку, которую следует скопировать.
  3. В меню Правка выберите команду Копировать.
  4. Откройте папку или диск, где требуется сохранить копию.
  5. В меню Правка выберите команду Вставить.

Примечания

  • XOX
  • Зашифрованный файл или папка расшифровываются, если они копируются на том, не являющийся томом с файловой системой NTFS. Исключение составляет копирование в папку WebDAV на сервер.

См. также


Перемещение зашифрованного файла или папки

Рисунок Microsoft Windows

Чтобы переместить зашифрованный файл или папку

  1. Откройте проводник Windows.
  2. Выберите зашифрованный файл или папку, которую следует переместить.
  3. В меню Правка выберите команду Вырезать.
  4. Откройте папку или диск, куда требуется переместить файл или папку.
  5. В меню Правка выберите команду Вставить.

Примечания

  • XOX
  • Зашифрованный файл или папка расшифровываются, если они перемещаются на том, не являющийся томом с файловой системой NTFS.

См. также


Восстановление файлов и папок

  • Восстановление зашифрованного файла или папки назначенным агентом восстановления
  • Восстановление зашифрованного файла или папки без сертификата шифрования файла.
  • Создание резервной копии ключей восстановления, используемых по умолчанию, на гибком диске
  • Добавление агента восстановления для локального компьютера
  • Изменение политики восстановления для локального компьютера
  • Добавление агента восстановления для домена
  • Изменение политики восстановления для домена


Восстановление зашифрованного файла или папки назначенным агентом восстановления

Рисунок Microsoft Windows

Чтобы восстановить зашифрованный файл или папку

  1. Используйте программу «Архивация данных» или другое средство архивации для восстановления пользовательской архивной версии зашифрованного файла или папки на компьютер, где размещен сертификат восстановления файла.
  2. Откройте проводник Windows.
  3. Правой кнопкой мыши щелкните зашифрованную папку или диск, затем выберите команду Свойства.
  4. На вкладке Общие нажмите кнопку Дополнительно.
  5. Снимите флажок Шифровать содержимое для защиты данных.
  6. Сделайте резервную копию расшифрованного файла или папки и возвратите резервную копию пользователю.

Примечания

  • XOX
  • Резервная копия расшифрованного файла или папки может быть возвращена пользователю как вложение в сообщение электронной почты, на гибком диске или как общий файл в сети.
  • Также можно транспортировать закрытый ключ и сертификат агента восстановления, импортировать закрытый ключ и сертификат, расшифровать файл или папку и удалить импортированный закрытый ключ и сертификат. В ходе данной процедуры закрытый ключ менее защищен, чем в выше описанной, и не требует никаких операций архивации и сохранения или перемещения файла.
  • Агенту восстановления следует использовать команду Экспорт из объекта MMC «Сертификаты» для экспорта на гибкий диск сертификата восстановления файлов и закрытого ключа. Храните гибкий диск в безопасном месте. Если сертификат восстановления файлов или закрытый ключ на компьютере поврежден или удален, можно использовать команду Импорт из объекта MMC «Сертификаты» для замены поврежденного или удаленного сертификата и закрытого ключа файлами, заархивированными на гибком диске.
  • Для получения сведений об использовании сертификатов в MMC щелкните ссылку «См. также».

См. также


Восстановление зашифрованного файла или папки без сертификата шифрования файла.

Рисунок Microsoft Windows

Восстановление зашифрованного файла или папки без сертификата шифрования файла.

  1. XOX
  2. Используйте программу архивации для создания копии файла в случае его потери или повреждения.
  3. Отправьте исходный зашифрованный файл назначенному агенту восстановления.
  4. Агент восстановления должен использовать свои сертификты и закрытые ключи для расшифровки файла.
  5. Агент восстановления должен отослать расшифрованный файл обратно, используя любой назначенный способ передачи файлов.

Примечания

  • XOX
  • Администратор локального компьютера является агентом восстановления по умолчанию, если компьютер не находится в среде домена Active Directory. В среде домена Active Directory администратор, который вошел в первый контроллер домена, является агентом восстановления по умолчанию.
  • Отправить файл назначенному агенту восстановления можно несколькими способами, включая архивацию файла на ленту или гибкий диск.
  • Файлы, заархивированные с помощью программы архивации или других средств, остаются зашифрованными в месте размещения заархивированных файлов. Исходные файлы можно расшифровать или изменить, не влияя на зашифрованное состояние резервных копий.
  • Зашифрованные файлы или папки могут быть восстановлены самостоятельно, если на гибком диске хранится резервная копия сертификата шифрования файла и закрытого ключа в файле формата .pfx. Используйте команду Импорт из объекта MMC «Сертификаты» для импорта файла .pfx с гибкого диска в хранилище Личные.
  • Для получения сведений об использовании сертификатов в MMC щелкните ссылку «См. также».

См. также


Создание резервной копии ключей восстановления, используемых по умолчанию, на гибком диске

Рисунок Microsoft Windows

Чтобы создать резервную копию ключей восстановления, используемых по умолчанию, на гибком диске

  1. Нажмите кнопку Пуск, выберите команду Выполнить, введите mmc и нажмите кнопку OK.
  2. В меню Консоль выберите команду Добавить/удалить оснастку и нажмите кнопку Добавить.
  3. В группе Добавить изолированную оснастку выберите Сертификаты нажмите кнопку Добавить.
  4. Установите переключатель в положение моей учетной записи пользователя и нажмите Готово.
  5. Щелкните Закрыть, затем OK.
  6. Дважды щелкните Сертификаты — текущий пользователь, дважды щелкните Личные и дважды щелкните Сертификаты.
  7. Выберите сертификат, имеющий текст Восстановление файлов в столбце Назначение.
  8. Щелкните сертификат правой кнопкой, выберите Все задачи, а затем Экспорт.
  9. Следуйте инструкциям мастера экспорта сертификатов для экспорта сертификата и связанного закрытого ключа в файл формата .pfx.

Примечания

  • Эта операция должна быть выполнена с учетной записью агента восстановления, у которого есть сертификат восстановления и закрытый ключ в личных хранилищах.
  • Перед внесением любых изменений в политику восстановления, используемую по умолчанию, проверьте безопасность ключей восстановления, используемых по умолчанию. В домене ключи восстановления, используемые по умолчанию, хранятся на первом контроллере домена. Администратор домена по умолчанию является агентом восстановления.
  • Для получения сведений об использовании сертификатов в MMC щелкните ссылку «См. также».

См. также


Добавление агента восстановления для локального компьютера

Рисунок Microsoft Windows

Чтобы добавлить агента восстановления для локального компьютера

  1. Нажмите кнопку Пуск, выберите команду Выполнить, введите mmc и нажмите кнопку OK.
  2. В меню Консоль выберите команду Добавить/удалить оснастку и нажмите кнопку Добавить.
  3. В группе Добавить изолированную оснастку выберите Групповая политика нажмите кнопку Добавить.
  4. Проверьте, чтобы в поле Объект групповой политики был отображен «Локальный компьютер» и нажмите кнопку Готово.
  5. Щелкните кнопку Закрыть, затем кнопку OK.
  6. В дереве консоли щелкните подузел Политики открытого ключа.

    7. Где?

    • Политика «Локальный компьютер»
    • Конфигурация компьютера
    • Конфигурация Windows
    • Параметры безопасности
    • Политики открытого ключа
  7. В области сведений щелкните правой кнопкой мыши Агенты восстановления шифрованных данных.
  8. Выберите команду Добавить в контекстном меню и следуйте инструкциям мастера добавления агента восстановления.

Примечания

  • XOX
  • Добавление агента восстановления из файла идентифицирует пользователя как USER_UNKNOWN. Это происходит потому, что имя не сохраняется в файле.
  • Перед добавлением или созданием агента восстановления необходимо задать конфигурацию групповой политики на компьютере. Для получения дополнительных сведений о групповой политике щелкните ссылку «См. также».
  • Сообщите мастеру добавления агента восстановления имя пользователя с опубликованным сертификатом восстановления. Другим способом является использование мастера для поиска файлов с расширением .cer, содержащих сведения о добавляемом агенте восстановления.

См. также


Изменение политики восстановления для локального компьютера

Рисунок Microsoft Windows

Чтобы изменить политику восстановления для локального компьютера

  1. Нажмите кнопку Пуск, выберите команду Выполнить, введите mmc и нажмите кнопку OK.
  2. В меню Консоль выберите команду Добавить/удалить оснастку и нажмите кнопку Добавить.
  3. В группе Добавить изолированную оснастку выберите объект Групповая политика нажмите кнопку Добавить.
  4. Проверьте, чтобы в поле Объект групповой политики был отображен Локальный компьютер и нажмите кнопку Готово.
  5. Щелкните кнопку Закрыть, затем кнопку OK.
  6. В объекте Политика «Локальный компьютер» выберите Политики открытого ключа.

    Где?

    • Политика «Локальный компьютер»
    • Конфигурация компьютера
    • Конфигурация Windows
    • Параметры безопасности
    • Политики открытого ключа
  7. В дереве консоли выберите узел Агенты восстановления шифрованных данных и выполните одно из следующих действий.
    • Для назначения пользователя дополнительным агентом восстановления с помощью мастера добавления агента восстановления щелкните кнопку Добавить.
    • Для запроса нового сертификата восстановления файлов с помощью мастера запроса сертификатов нажмите кнопку Создать. Чтобы выполнить эту процедуру, необходимо иметь соответствующие разрешения на запрос сертификата и центр сертификации должен быть настроен на выпуск сертификатов такого типа.
    • Чтобы удалить политику EFS и всех агентов восстановления, нажмите Удалить политику. При выборе данного параметра пользователь не сможет шифровать файлы на компьютере.

Важно!

  • Перед изменением политики восстановления следует создать на гибком диске резервную копию ключей восстановления.

Примечания

  • XOX
  • Компьютер выпускает используемый по умолчанию самозаверяющий сертификат, который указывает на локального администратора, как на агента восстановления по умолчанию. Если пользователь, который первый раз вошел в систему после установки, создает вторую учетную запись с помощью мастера создания нового пользователя, то вторая учетная запись становится агентом восстановления по умолчанию.
  • Если сертификат агента восстановления по умолчанию удален и другого агента в политике нет, компьютер будет иметь пустую политику восстановления. Пустая политика восстановления озаначает, что агента восстановления не существует. Это отключает EFS и, следовательно, запрещает пользователям шифровать файлы на этом компьютере.
  • В домене политика восстановления, используемая по умолчанию, внедряется при настройке первого контроллера домена. Администратор домена выпускает самозаверяющий сертификат, который указывает на администратора домена, как на агента восстановления. Чтобы изменить политику восстановления для домена, используемую по умолчанию, войдите в первый контроллер домена с учетной записью администратора.
  • Изменения в сертификат восстановления файла можно внести, щелкнув сертификат правой кнопкой мыши и затем нажав Свойства. Например, сертификату можно дать понятное имя и ввести текстовое описание.

См. также


Добавление агента восстановления для домена

Рисунок Microsoft Windows

Чтобы добавить агента восстановления для домена

  1. Откройте оснастку Пользователи и компьютеры Active Directory.
  2. Щелкните правой кнопкой домен, политику восстановления которого требуется изменить, и выберите команду Свойства.
  3. Откройте вкладку Групповая политика.
  4. Щелкните правой кнопкой политику восстановления, которую требуется изменить, и выберите команду Изменить.
  5. В дереве консоли выберите Агенты восстановления шифрованных данных.

    6. Где?

    • Конфигурация компьютера
    • Конфигурация Windows
    • Параметры безопасности
    • Политики открытого ключа
    • Агенты восстановления шифрованных данных
  6. В области сведений щелкните правой кнопкой, выберите команду Добавить и следуйте инструкциям.

Примечания

  • XOX
  • Для запуска оснастки «Пользователи и компьютеры Active Directory» откройте подключение к удаленному рабочему столу контроллера домена Windows 2000 или рядового сервера, на котором установлены средства администрирования Windows 2000. Для выполнения данной процедуры необходимо войти в систему на сервере в качестве администратора домена.
  • Данную операцию можно выполнить на любых сайтах, доменах и подразделениях из леса Active Directory.
  • Добавление агента восстановления из файла идентифицирует пользователя как USER_UNKNOWN. Это происходит потому, что имя не сохраняется в файле.
  • Перед добавлением или созданием агента восстановления необходимо задать конфигурацию групповой политики на компьютере. Для получения дополнительных сведений о групповой политике щелкните ссылку «См. также».

См. также


Изменение политики восстановления для домена

Рисунок Microsoft Windows

Чтобы изменить политику восстановления для домена

  1. Откройте оснастку Пользователи и компьютеры Active Directory.
  2. Щелкните правой кнопкой домен, политику восстановления которого требуется изменить, и выберите команду Свойства.
  3. Откройте вкладку Групповая политика.
  4. Щелкните правой кнопкой политику восстановления, которую требуется изменить, и выберите команду Изменить.
  5. В дереве консоли выберите Агенты восстановления шифрованных данных.

    6. Где?

    • Конфигурация компьютера
    • Конфигурация Windows
    • Параметры безопасности
    • Политики открытого ключа
    • Агенты восстановления шифрованных данных
  6. В области сведений правой кнопкой мыши щелкните агента восстановления шифрованных данных и выберите соответствующую команду.

Важно!

  • Перед изменением политики восстановления следует создать на гибком диске резервную копию ключей восстановления.

Примечания

  • XOX
  • Для запуска оснастки «Пользователи и компьютеры Active Directory» откройте подключение к удаленному рабочему столу контроллера домена Windows 2000 или рядового сервера, на котором установлены средства администрирования Windows 2000. Для выполнения данной процедуры необходимо войти в систему на сервере в качестве администратора домена.
  • Чтобы увидеть сделанные изменения, щелкните объект Агенты восстановления шифрованных данных правой кнопкой мыши.
  • В домене политика восстановления, используемая по умолчанию, внедряется при настройке первого контроллера домена. Администратор первого домена выдает самозаверяющий сертификат, который указывает на администратора домена, как на агента восстановления. Чтобы изменить политику восстановления для домена, используемую по умолчанию, войдите в первый контроллер домена с учетной записью администратора.

См. также


Право на шифрование и расшифровку файлов

Рисунок Microsoft Windows

Чтобы получить право на шифрование и расшифровку файлов

  1. Откройте проводник Windows.
  2. В области сведений щелкните правой кнопкой мыши зашифрованный файл, который нужно изменить, и выберите команду Свойства.
  3. На вкладке Общие нажмите кнопку Дополнительно.
  4. В диалоговом окне Дополнительные атрибуты и нажмите кнопку Подробнее
  5. Чтобы разрешить пользователю изменить этот файл нажмите кнопку Добавить и выполните следующие действия.
    • Для добавления пользователя, чей сертификат на этом компьютере, выберите сертификат и нажмите кнопку ОК.
    • Для просмотра сертификата на данном компьютере перед добавлением его к файлу выберите сертификат и затем нажмите кнопку Просмотр сертификата
    • Для добавления пользователя из Active Directory нажмите кнопку Найти пользователя и затем кнопку ОК.
  6. Чтобы запретить пользователю изменять выберите имя пользователя и нажмите кнопку Удалить.

Примечания

  • XOX
  • Нельзя группам предоставлять право доступа к шифрованию файлов.
  • У всех пользователей, имеющих право шифрования и расшифровки файлов, сертификат должен быть на компьютере. Подробные сведения по копированию сертификата на компьютер см. в разделе «См. также»

См. также


Основные понятия

В этом разделе рассмотрены следующие темы.

  • Общие сведения о шифровании файловой системы
  • Использование шифрованной файловой системы


Общие сведения о шифрованной файловой системе

Рисунок Microsoft Windows

Общие сведения о шифрованной файловой системы

Шифрованная файловая система (EFS) обеспечивает ядро технологии шифрования файлов, используемой для хранения шифрованных файлов на томах файловой системы NTFS. После того как файл или папка зашифрованы, с ними работают так же, как и с другими файлами или папками.

Шифрование является прозрачным для пользователя, зашифровавшего файл. Это означает, что перед использованием файл не нужно расшифровывать. Можно, как обычно, открыть файл и изменить его.

Использование EFS сходно с использованием разрешений для файлов и папок. Оба метода используются для ограничения доступа к данным. Но злоумышленник, получивший несанкционированный физический доступ к зашифрованным файлам и папкам, не сможет их прочитать. При его попытке открыть или скопировать зашифрованный файл или папку появиться сообщение, что доступа нет. Разрешения для файлов и папок не защищают от несанкционированных физических атак.

Шифрование и расшифровывание файлов выполняется установкой свойств шифрования для папок и файлов, как устанавливаются и другие атрибуты, например «только чтение», «сжатый» или «скрытый». Если шифруется папка, все файлы и подпапки, созданные в зашифрованной папке, автоматически шифруются. Рекомендуется использовать шифрование на уровне папки.

Файлы и папки могут также быть зашифрованы или расшифрованы с помощью команды cipher. Дополнительные сведения см. в разделе Cipher. Дополнительные сведения о возможностях управления см. в разделе Управление и администрирование.

При работе с зашифрованными файлами и папками следует учитывать следующие сведения и рекомендации.

  • Могут быть зашифрованы только файлы и папки, находящиеся на томах NTFS. Т. к. протокол WebDAV работает с файловой системой NTFS, для шифрования файлов с помощью протокола WebDAV требуется система NTFS.
  • Сжатые файлы и папки не могут быть зашифрованы. Если шифрование выполняется для сжатого файла или папки, файл или папка преобразуются к состоянию без сжатия.
  • Зашифрованные файлы могут стать расшифрованными, если файл копируется или перемещается на том, не являющийся томом NTFS.
  • При перемещении незашифрованных файлов в зашифрованную папку они автоматически шифруются в новой папке. Однако обратная операция не приведет к автоматической расшифровке файлов. Файлы необходимо явно расшифровать.
  • Не могут быть зашифрованы файлы с атрибутом «Системный» и файлы в структуре папок системный корневой каталог.
  • Шифрование папки или файла не защищает их от удаления. Любой пользователь, имеющий права на удаление, может удалить зашифрованные папки или файлы. По этой причине рекомендуется использование EFS в комбинации с разрешениями системы NTFS.
  • Могут быть зашифрованы или расшифрованы файлы и папки на удаленном компьютере, для которого разрешено удаленное шифрование. Однако если зашифрованный файл открывается по сети, передаваемые при этом по сети данные не будут зашифрованы. Другие протоколы, например SSL/TLS или IPSec, должны использоватся для шифрования данных, передаваемых по сети. Протокол WebDAV позволяет локально зашифровать файл и передать его в зашифрованном виде.


Использование шифрованной файловой системы

В этом разделе рассмотрены следующие темы.

  • Шифрование и расшифровка данных
  • Восстановление данных
  • Управление сертификатами


Шифрование и расшифровка данных

Шифрованная файловая система (EFS) позволяет безопасно хранить данные. EFS делает это возможным, благодаря шифрованию данных в выбранных файлах и папках NTFS.

Поскольку EFS интегрирована в файловую систему, ею легко управлять, она надежна и прозрачна для пользователя. Это особенно удобно для защиты данных на компьютерах, которые могут оказаться уязвимыми для кражи, таких как переносные компьютеры.

Файлы и папки на томах с файловой системой FAT не могут быть зашифрованы или расшифрованы. EFS также разработана для безопасного хранения данных на локальных компьютерах. Поэтому она не поддерживает безопасную передачу файлов по сети. Другие технологии, например, протокол IPSec, можно использовать совместно с EFS для обеспечения альтернативного решения. Дополнительные сведения о протоколе IPSec см. в разделе Протокол IPSec (Internet Protocol security).

Использование ключей шифрования

Пользователю достаточно один раз задать шифрование файла, и фактический процесс шифрования и расшифровки данных будет для него полностью прозрачным. Пользователям не обязательно понимать весь процесс. Однако следующее объяснение шифрования и расшифровки данных может оказаться полезным для администраторов.

Шифрование файлов происходит следующим образом.

  • Каждый файл имеет уникальный ключ шифрования файла, который позже используется для расшифровки данных файла.
  • Ключ шифрования файла сам по себе зашифрован — он защищен открытым ключом пользователя, соответствующим сертификату EFS.
  • Ключ шифрования файла также защищен открытым ключом каждого дополнительного пользователя EFS, уполномоченного расшифровывать файлы, и ключом каждого агента восстановления.

Инструкции по шифрованию файла или папки см. в разделе Чтобы зашифровать файл или папку.

Сертификат и закрытый ключ системы EFS могут выдать несколько источников, включая созданные автоматически сертификаты и сертификаты, выданные центрами сертификации корпорации Майкрософт или другими центрами сертификации. Дополнительные сведения о сертификатах других центров сертификации и файловой системе EFS см. в статье Q273856 «Поддержка шифрованной файловой системы сторонними центрами сертификации» в базе знаний (Microsoft Knowledge Base) (http://www.microsoft.com/).

Расшифровка файлов происходит следующим образом.

  • Для расшифровки файла необходимо сначала расшифровать его ключ шифрования. Ключ шифрования файла расшифровывается, если закрытый ключ пользователя совпадает с открытым.
  • Не только пользователь может расшифровать ключ шифрования файла. Другие назначенные пользователи и агенты восстановления также могут расшифровать файл, используя собственный закрытый ключ.

Инструкции по расшифровке файла или папки см. в разделе Чтобы расшифровать файл или папку.

Закрытые ключи содержатся в защищенном хранилище ключей, а не в диспетчере учетных записей безопасности (SAM) или в отдельном каталоге.

Хранение зашифрованных файлов на удаленных серверах

Если пользователям рабочей среды Windows XP нужно хранить зашифрованные файлы на удаленных серверах, полезно знать следующее.

  • В Windows XP поддерживается хранение зашифрованных файлов на удаленных серверах.
  • Пользователи могут удаленно использовать шифрованную файловую систему, когда оба компьютера являются членами одного леса Windows XP.
  • Зашифрованные данные не шифруются при передаче по сети, а только при сохранении на диске. Исключения составляют случаи, когда система включает протокол IPSec или протокол WebDAV. IPSEC шифрует данные при передаче по сети TCP/IP. Если файл был зашифрован перед копированием или перемещением в папку WebDAV на сервере, он останется зашифрованным при передаче и во время хранения на сервере.
  • Зашифрованные файлы недоступны для клиентов Macintosh.
  • Не поддерживается хранение сертификатов и закрытых ключей шифрованной файловой системы на смарт-картах.
  • Не поддерживается усиленная защита закрытых ключей для закрытых ключей EFS.

Прежде чем файлы на удаленных серверах смогут шифроваться пользователями, администратор должен назначить удаленный сервер доверенным для делегирования. Это позволит всем пользователям шифровать файлы на этом сервере. Дополнительные сведения см. в разделах Чтобы включить шифрование файлов на удаленном сервере и Чтобы зашифровать файл или папку на удаленном сервере.


Восстановление данных

Восстановление очень важно, если данные зашифрованы сотрудником, который ушел или потерял закрытый ключ. Восстановление данных доступно для шифрованной файловой системы (EFS) как часть общей политики безопасности для системы. Например, если утерян сертификат шифрования файлов и связанный закрытый ключ (из-за сбоя диска или по какой-либо другой причине), восстановление данных возможно с помощью лица, назначенного агентом восстановления. Организация может после увольнения сотрудника восстановить данные, зашифрованные им.

Политика восстановления

Файловая система EFS использует политики встроенного восстановления данных. Recovery policy — это политика открытого ключа, которая обеспечивает назначение одной или нескольких учетных записей пользователя агентами восстановления шифрованных данных.

Политика восстановления по умолчанию настроена локально для автономных компьютеров. Для компьютеров, которые являются частью сети, политика восстановления настраивается на уровне домена, организационной единицы или отдельного компьютера и применяется ко всем компьютерам, работающим под управлением Windows XP, в пределах области влияния. Центр сертификации (ЦС) выдает сертификаты восстановаления, и для управления ими используется оснастка «Сертификаты».

В доменеWindows XP политика восстановления, используемая по умолчанию, внедряется при настройке первого контроллера домена. Администратор домена выпускает самозаверяющий сертификат, который указывает на администратора домена, как на агента восстановления. Чтобы изменить политику восстановления для домена, используемую по умолчанию, войдите в первый контроллер домена с учетной записью администратора. В политику в любое время можно добавить дополнительных агентов восстановления и удалить исходного агента.

Поскольку подсистема безопасности Windows XP обрабатывает приведение в исполнение, репликацию и кэширование политики восстановления, пользователи могут реализовывать шифрование файлов на системах, которые временно работают автономно, например на переносном компьютере. Этот процесс аналогичен входу в учетную запись домена с помощью кешированных сведений. Дополнительные сведения см. Чтобы изменить политику восстановления для локального компьютера и Чтобы изменить политику восстановления для домена.

Агенты восстановления

Агентом восстановления называется пользователь, уполномоченный расшифровывать данные, зашифрованные другим пользователем. Агентам восстановления не нужны никакие другие разрешения для выполения задачи. Использование агента восстановления может потребоваться, например, если сотрудник покидает организацию и остающиеся после него данные нужно расшифровать. Прежде чем добавлять в домен агента восстановления, необходимо убедиться, что каждому агенту восстановления был выдан сертификат X.509 версии 3.

У каждого агента восстановления есть специальный сертификат с соответствующим закрытым ключом, позволяющий восстанавливать данные в области влияния политики восстановления. Агенту восстановления следует использовать команду Экспорт из объекта MMC «Сертификаты» для создания в безопасном месте резервной копии сертификата восстановления и закрытого ключа. После создания резервной копии следует использовать объект MMC «Сертификаты» для удаления сертификата восстановления. Если требуется выполнить для пользователя операцию восстановления, следует сначала восстановить сертификат восстановления и связанный закрытый ключ с помощью команды Импорт из объекта MMC «Сертификаты». После восстановления данных сертификат восстановления снова должен быть удален. Нет необходимости повторять процесс экспорта.

Чтобы добавить агентов восстановления в домен, нужно добавить их сертификаты к существующей политике восстановления. Инструкции по добавлению агентов восстановления в домен см. в Чтобы добавить агента восстановления в домен.

Сведения о добавлении и удалении агента восстановления не обновляются автоматически в существующих файлах системы EFS. Данные этих файлов обновляются при следующем открытии файла. Новые файлы используют текущие сведения агента восстановления.


Управление сертификатами

Шифрованная файловая система (EFS) с помощью криптографии открытого ключа шифрует содержимое файлов. В ней используются ключи, полученные от сертификата пользователя и дополнительных пользователей, а также от назначенных агенов восстановления шифрованных данных, которые настроены. Т. к. в сертификатах могут также содержатся сведения о закрытом ключе, сертификаты требуют правильного управления.

Сертификаты и закрытые ключи от всех назначенных агентов восстановления шифрованных данных нужно экспортировать на сьемный диск или хранить в безопасности до тех пор, пока они не понадобятся. Дополнительные сведения см. в разделе Чтобы экспортировать сертификат. При экспортировании сертификата и закрытого ключа убедитесь, что выбранный сертификат содержит Шифрованную файловую систему в предусмотренных назначениях и у него есть соответствующий закрытый ключ. Для посмотра предусмотренных назначений сертификата используйте оснастку «Сертификаты».

Сертификаты и закрытые ключи можно использовать на нескольких компьютерах. Если в сети Windows XP используются перемещаемые профили, сертификат будет доступен на любом компьютере при входе в систему. В противном случае, сертификаты и закрытые ключи необходимо экспортировать и импортировать вручную. Чтобы вручную экспортировать сертификат и закрытый ключ. используйте процедуру, описанную выше. Чтобы импортировать сведения см. раздел Чтобы импортировать сертификат.


Устранение неполадок

Вид неполадки

Кнопка «Дополнительно» недоступна.

Причина. Шифрованная файловая система работает только с файлами и папками на томах с файловой системой NTFS. При попытке зашифровать файл или папку на томах FAT и FAT32, кнопка «Дополнительно» не отображается в свойствах этой папки или файла.

Решение.

  • Преобразуйте этот том в том NTFS с помощью служебной программы преобразования.
    1. Откройте окно Командная строка.
    2. Введите
      convert диск /fs:ntfs
      , где диск — буква соответствующего диска.

См. также. Преобразовать.

При шифровании файла выводится сообщение «Политика восстановления, заданная для системы, содержит неверный сертификат восстановления» или «ERROR_BAD_RECOVERY_POLICY»

Причина. Политика восстановления шифрованной файловой системы (EFS), реализованная на компьютере, содержит один и более сертификат агента восстановления EFS, у которого истек срок действия. Эти сертификаты не могут использоваться.

Решение.

  • Необходимо либо обновить существующие сертификаты, либо создать новые сертификаты для агентов восстановления шифрованной файловой системы и применить эти сертификаты к политике агента восстановления.

См. также. Запрос сертификатов и Обновление сертификатов.

При открытии зашифрованного файла появляется сообщение «Нет доступа».

Причина.. Файл был зашифрован EFS с помощью сертификата открытого ключа и соответствующий закрытый ключ для этого сертификата недоступен на компьютере.

Решение.

  • Найдите закрытый ключ для соответствующего сертификата и импортируйте его на компьютер, используя оснастку «Сертификаты».

См. также. Чтобы импортировать сертификат и раздел «Шифрованная файловая система» на веб-узле Microsoft Resource Kits.(http://www.microsoft.com/)

При шифровании файла на удаленном компьютере появляется сообщение «Ключ не может быть использован в указанном состоянии».

Причина. Оба компьютера должны располагаться на одном домене Active Directory, чтобы использовать шифрованную файловую систему на удаленных ресурсах. Удаленный компьютер также должен быть доведен для делегирования в Active Directory.

Решение.

  • Подсоедините оба компьютра с одному домену Active Directory и доверьте делегирование удаленному компьютеру.

См. также. Чтобы поключиться к домену и Чтобы назаначить удаленный сервер для шифрования файлов.


Безопасное хранение данных

Безопасное хранение данных подразумевает возможность хранения данных на диске в зашифрованной форме. Шифрованная файловая система (EFS) позволяет пользователям зашифровывать данные, хранимые на диске.

Дополнительные сведения об администрировании шифрованной файловой системы содержатся в следующих разделах.

  • Введение в шифрованную файловую систему
  • Шифрование и расшифровка данных с помощью шифрованной файловой системы
  • Архивирование и восстановление данных


Введение в шифрованную файловую систему

Шифрованная файловая система (EFS) позволяет пользователям хранить данные на диске в зашифрованном формате.

Шифрование — это процесс преобразования данных в формат, недоступный для чтения другим пользователям. После того как файл был зашифрован, он автоматически остается зашифрованным в любом месте хранения на диске.

Расшифровка — это процесс преобразования данных из зашифрованной формы в его исходный формат. После того как файл был расшифрован, он остается расшифрованным в любом месте хранения на диске.

Шифрованная файловая система (EFS) предоставляет следующие возможности.

  • Пользователи могут зашифровывать свои файлы при сохранении их на диск. Шифрование можно разрешить, установив флажок в диалоговом окне Свойства данного файла.
  • Доступ к зашифрованным файлам можно получить просто и быстро. При доступе пользователей к своим файлам с диска данные отображаются в виде обычного текста.
  • Шифрование данных выполняется автоматически и является полностью прозрачным для пользователя.
  • Для расшифровки файла пользователь должен снять флажок шифрования в диалоговом окне Свойства данного файла.
  • Администраторы могут восстанавливать данные, зашифрованные другим пользователем. Это позволяет получить доступ к данным, если пользователь, зашифровавший данные, в настоящее время не доступен или соответствующий закрытый ключ утерян.

EFS позволяет зашифровывать данные только при сохранении их на диск. Для шифрования данных при их передаче по сети TCP/IP доступны две дополнительных возможности — безопасность протокола IP (IPSEC) и шифрование PPTP.


Шифрование и расшифровка данных с помощью шифрованной файловой системы

Шифрованная файловая система (EFS) имеет следующие возможности.

  • Шифрование данных
  • Доступ к зашифрованным данным
  • Копирование, перемещение и переименование зашифрованных данных
  • Расшифровка данных

Шифрование данных

При использовании стандартной конфигурации шифрованной файловой системы (EFS) никаких действий администратора не требуется — пользователи могут сразу начинать шифрование файлов. Шифрованная файловая система автоматически создает пару ключей шифрования для пользователя, если она отсутствует.

Шифрованная файловая система использует алгоритм шифрования Data Encryption Standard (DESX).

Службы шифрования доступны из проводника Windows. Файлы и папки могут также быть зашифрованы пользователями с помощью функции командной строки cipher. Чтобы получить дополнительные сведения о команде cipher, наберите cipher /? в командной строке.

Шифрование файлов пользователями выполняется установкой свойств шифрования для папок и файлов, как устанавливаются и другие атрибуты, например «Только чтение», «Сжатый» или «Скрытый». Если папка шифруется пользователем, все файлы и подпапки, созданные в зашифрованной папке или добавленные в нее, автоматически шифруются. Пользователям рекомендуется использовать шифрование на уровне папки.

Сжатые файлы и папки не могут быть зашифрованы. Если шифрование выполняется для сжатого файла или папки, файл или папка преобразуются к состоянию без сжатия. Папки, отмеченные для шифрования, фактически не шифруются. Шифруются только файлы в папке, так же, как любые новые файлы, которые создаются или премещаются в папку.

Доступ к зашифрованным данным

Пользователи получают доступ к зашифрованным файлам сразу после расшифровки файлов. Таким образом, когда пользователь получает доступ к зашифрованному файлу на диске, он получает возможность читать содержимое файла обычным способом. При повторном сохранении пользователем файла на диске EFS производит повторное прозрачное шифрование файла.

Копирование, перемещение и переименование шифрованных данных

При копировании или перемещении незашифрованных файлов в зашифрованную папку они автоматически шифруются в новой папке. Однако обратная операция не приведет к автоматической расшифровке файлов. Файлы остаются зашифрованными, пока не будут явно расшифрованы или перемещены с тома NTFS. Переименование файла также не влияет на состояние его шифрования.

Расшифровка данных

Для расшифровки файла нужно снять флажок Шифрование в диалоговом окне Свойства данного файла. После расшифровки файл остается незашифрованным до тех пор, пока он не будет снова зашифрован. Автоматическое повторное шифрование файла невозможно, даже при условии, что этот файл находится в зашифрованной директории.

Для расшифровки файла пользователь должен снять флажок Шифрование в диалоговом окне Свойства данного файла или воспользоваться командой cipher.


Архивирование и восстановление зашифрованных данных

Основными административными задачами при работе с шифрованной файловой системой (EFS) являются архивирование файлов, восстановление зашифрованных файлов и данных, а также настройка политики восстановления.

Архивирование и восстановление зашифрованных файлов

Архивные копии зашифрованных файлов также будут зашифрованы с использованием программы архивации для Windows XP.

После восстановления зашифрованные данные остаются в зашифрованном виде.

Восстановление зашифрованных данных

Восстановление данных подразумевает процесс расшифровки файла без закрытого ключа пользователя, зашифровавшего файл.

Может потребоваться восстановить данные с помощью агента восстановления в следующих случаях.

  • Пользователь покидает организацию.
  • Закрытый ключ утерян пользователем.
  • Получен запрос правительственного учреждения.

При восстановлении файла агентом восстановления выполняются следующие действия.

  1. Архивация зашифрованных файлов.
  2. Перемещение архивных копий в безопасную систему.
  3. Импорт сертификата восстановления и закрытого ключа.
  4. Восстановление архивных файлов.
  5. Расшифровка файлов с помощью проводника Windows или команды EFS cipher.

Настройка политики восстановления

Для определения политики восстановления данных рядовых серверов домена, автономных серверов или серверов рабочих групп можно воспользоваться оснасткой «Групповая политика». Сертификат восстановления можно либо запросить, либо экспортировать и затем импортировать.

Можно делегировать управление политикой восстановления назначенному администратору. Хотя число администраторов, которые могут восстанавливать зашифрованные данные, нужно ограничивать, наличие нескольких агентов восстановления позволяет иметь дополнительный источник, если восстановление необходимо.