Domů

WindowsXP

Encrypting File System (EFS)

• Používáním šifrování souborů na discích NTFS znemožníme ostatním uživatelům od přečtení obsahu těchto souborů. I při jakémkoliv oprávnění k souboru je přístup pro ostatní uživatele pracující na vašem počítači odepřen. Nastavení a používání EFS pro uživatele není nic složitého, stačí nastavit atribut šifrování a se soubory lze pracovat stejně jako s jinými nezašifrovanými soubory. Hlavní využití najde EFS u citlivých dat na přenosných počítačích pro případ krádeže, samozřejmostí bývá u sítí nebo počítačích s požadavkem na vyšší zabezpečení, ale i doma ho můžete využít pro větší soukromí. Zvýšení zabezpečení přináší i menší starosti s možným špatným oprávněním.

• Princip - Při šifrování dat je uživateli od služby EFS automaticky vytvořen certifikát EFS vázající k sobě soukromý a veřejný klíč uživatele. Každý soubor nebo složka jsou zašifrovány podle svého unikátního šifrovacího klíče (FEK - File Encryption Key) který je chráněn pomocí veřejného klíče uživatele, který data zašifroval. Data jsou chráněna symetrickým šifrováním, které je mnohem rychlejší než asymetrické používané pouze pro ochranu šifrovacího klíče (FEK). Přístup k datům je možný pouze po přihlášení uživatele který data zašifroval, uživatelům určených ke sdílení šifrovaných souborů (Windows XP) a agentům obnovení. K dešifrování klíče FEK je nutný použít soukromý klíč příslušný k certifikátu EFS nebo agenta obnovení EFS.

Nastavení nebo zrušení používání šifrování souborů

• 1. Vybrat objekt pro který chcete nastavit šifrování (soubor, složku nebo více označených objektů) 

• Vyvolat místní nabídku k označeným objektům (pomocí pravého tlačítka myši) a zvolit Vlastnosti (Properties). 

Z karty Obecné (General) zvolit Upřesnit (Advanced..)

 (Windows 2000 vs XP)

• Zaškrtnout nebo zrušit zaškrtnutí Šifrovat obsah a zabezpečit tak data (Encrypt contents to secure data). K zašifrování nebo dešifrování souborů lze také použít příkaz Cipher.

• Dotaz zda se má uplatnit šifrování pouze na soubor, na celou složku nebo soubory složky a podsložky. Doporučeno je používání pro celé složky.

• Pod Windows XP je v upřesnění atributů navíc tlačítko Podrobnosti (Details). Zde můžeme: a.) Určit více uživatelů mající přistup k přístupu k šifrovanému souboru. b.) Zobrazení uživatelů a agentů obnovení (Data Recovery Agent) oprávněných k dešifrování souboru (ve Windows 2000 je nutné použít efsinfo).

• 2. Příkaz Cipher

• 3. Aktivací nabídky šifrování v místní nabídce (Q241121)

Varování

• Použití šifrování může být při nesprávném používání nebezpečné.

• Certifikáty jsou vždy pro jednoho uživatele a aktuální instalaci OS. Při reinstalaci OS, odstraněním nebo nesprávné manipulaci s certifikátem, poškozením profilu uživatele, resetováním hesla nebo vznik jiné situace mající za následek problémy s dešifrováním jsou data obvykle nenávratně ztracena.

• Resetováním hesla uživatele je přístup k šifrovaným souborům znemožněn a obnova je pak možná pouze s použitím agenta obnovení!

• Experimenty - Nesprávné nastavení a různé pokusy při práci se šifrováním a certifikáty můžou vést ke ztrátě dat. Zálohujte šifrovaná data a certifikáty pro agenty obnovení (popř. uživatelů).

Optimální postup pro nastavení šifrování

• 1. - Vytvoření a nastavení agenta obnovení

• 2. - Zálohování certifikátu agenta obnovení a export soukromého klíče mimo počítač

• 3. - Nastavení šifrování

• 4. - Záloha certifikátu a soukromého klíče uživatele.

Poznámky

• Používání šifrování: 1. Pouze NTFS nelze použít na systému souborů FAT. 2. Nelze použít v kombinací s kompresí (musíte se rozhodnout mezi kompresí nebo šifrováním). 3. Nelze použít na OS Windows XP Home Edition. (pouze pro OS Windows 2000 a Windows XP Professional.) 4. Nelze šifrovat soubory cestovních profilů a soubory ve složce %Systemroot%.

• Šifrovací Standard: 1. Algoritmus Data Encryption Standard (DESX) (56bit). 2. Pro USA je k dispozici balíček Enhanced CryptoPAK rozšiřující funkci šifrování pomocí klíče 128bit. 3. Pro Windows XP je možné použít algoritmus TripleDES (Zásady skupiny - Konfigurace počítače\Nastavení systému Windows\Nastavení zabezpečení\Místní zásady\Možnosti zabezpečení\Kryptografie systému: K šifrování, výpočtu hodnoty hash a k podepisování používat algoritmus vyhovující standardu FIPS

• Přenos po síti - Šifrování je určeno pro zabezpečení dat na místním počítači. Data nejsou chráněna při přenosu po síti. Pro šifrování přenosu dat po síti je doporučeno použít IPSec nebo používat webové složky WebDAV.

• Zálohování - Soubory a složky lze zálohovat v zašifrované podobě pomocí příkazu programu ntbackup. Pro čtení či obnovení na cílovém počítači je vyžadován certifikát pro uživatele či agenty obnovení uložený na zvláštním mediu a bezpečném místě. Použití zálohování je i vhodný způsob pro přenos mezi počítači v případě kdy nemáte přenosný disk s NTFS nebo síť.

• Důvody pro agenti obnovení - Data můžou být sice důvěrná, ale obvykle je jejich obsah spojován s firmou kdy je nutné je zpřístupnit i pro jiné uživatele. Nejčastějším důvodem je nepřítomnost oprávněné osoby ve firmě (delší dovolená, ukončení pracovního poměru, nemoc, smrt,..).

• Staré a nové certifikáty - Soubory jsou zašifrovány určitým certifikátem, ne uživatelem. Než starý certifikát definitivně odstraníte musíte si být jisti zda jste skutečně rozšifrovali všechny soubory vztahující se k tomuto certifikátu.

• Rozpoznání šifrovaných souborů - Šifrování je označováno jako transparentní: Oprávněný uživatel na první pohled nepozná zda se jedná o šifrované nebo normální soubory. Neoprávněnému uživateli se zobrazí odepření přístupu. Soubory lze odlišit: 1. Nastavení odlišné barvy pro šifrované a komprimované soubory. 2. Podle stavu zaškrtnutí šifrování ve vlastnostech souborů. 3. Příkazem Cipher. 4. Příkazem EFSInfo.

• K šifrování potřebujete taky oprávnění - Např. pro uživatele pod Windows XP s limitovaným přístupem (Restricted User - Users Group) nelze použít šifrování v některých adresářích - skupina Users nemá patřičné oprávnění NTFS. Pro šifrování potřebujete mít právo zapisovat atributy souborů nebo složek. Nové soubory vytvořené právě přihlášeným uživatelem lze šifrovat.

Doporučení

• Nastavení odlišné barvy zobrazení komprimovaných souborů v průzkumníku - Zobrazované soubory se při prohlížení disků zobrazí zeleně. Toto se nastaví v Nastavení složky - zobrazení - Ukázat zašifrované a komprimované soubory jinou barvou (Folder Options - View - Show encrypted or compressed NTFS files in color). (Pro Windows XP, ve Windows 2000 jsou zobrazovány jinou barvou pouze komprimované soubory - obrázek najdete v článku komprese).

• Používat Šifrování na celých složkách - Pro celé svazky (disky) nelze šifrování nastavit. Lze jej nastavit pro adresáře a soubory. Při volbě složek je zobrazen dialog k určení zda se bude šifrování uplatňovat i na podadresáře a soubory. Doporučením je uplatnění na složky. Pro dokumenty je doporučeno šifrovat adresář My Documents v profilu uživatele nebo jiný adresář používaný pro uživatelovi dokumenty.

• Šifrovat adresáře %Temp% a adresář pro tiskovou frontu - Souvislost s předchozím doporučením šifrování celých adresářů. Při otevírání nebo při tisku jsou vyvářeny dočasné soubory v nezašifrované podobě. 

• Manipulace - Se soubory lze s patřičným oprávněním přístupu přesouvat nebo kopírovat, nelze je však otevřít. Pokud vlastník který nastavil šifrování překopíruje soubory na svazek se souborovým systémem FAT nebo disketu, bude soubor automaticky přesunut v dešifrované podobě.

• Více agentů obnovení - Pro větší zabezpečení možnosti obnovení je doporučeno určit dva nebo více agentů obnovení.

• Pro podnik zvažte instalaci Certifikate Services - Certifikáty pro EFS nejsou podepisovány službou EFS, ale od CA. Správa certifikátů je jednoduší, efektivnější s možností vydávání dalších typů certifikátů.

Exportujte soukromý klíč mimo počítač

• Ponechání soukromého klíče agenta obnovení v počítači není příliš bezpečné. Zjistí-li uživatel jméno a heslo uživatele s certifikátem agenta obnovení může přistupovat ke všem zašifrovaným souborům ke kterým tento agent obnovení náleží. Pokud není potřeba přistupovat a obnovovat zašifrované soubory je doporučeno exportovat soukromý klíč certifikátu k obnovení mimo počítač. Soukromý klíč je po exportu odstraněn a bez něj není možné provést obnovu zašifrovaných souborů. Do doby než klíč importujete zpět, nikdo nebude moci účet agenta obnovení zneužít.

• Přihlaste se k počítači pod účtem agenta obnovení a postupujte podle instrukcí v článku export certifikátu.

Agenti obnovení

• Agentem obnovení je uživatel vlastnící certifikát pro obnovení souborů EFS. Výchozí nastavení se liší:

• Vytvoření agenta: Přihlaste pod uživatelským účtem který chcete používat k obnovení souborů.  V příkazovém řádku použijte příkaz cipher /r:jmeno - Do aktuálního adresáře se po zadání a potvrzení hesla vytvoří certifikát jmeno.cer (Certificate X509) a jmeno.pfx (Personal Information Exchange - standard PKCS #12)

• Ve správě certifikátů (certmgr.msc) otevřete složku Osobní\Certifikáty (Personal\Certificates) a pravým tlačítkem zvolte All Tasks -  Import.. (více článek import)

Zásady skupiny (Zásady obnovení)

• Location: 

Local Computer Policy\Computer Configuration\Windows Settings\Security Settings

\Public Key Policies\Encrypting File System

• Výchozí nastavení pro Windows XP ve skupině je žádný agent obnovení. Data je možné šifrovat, ale v případě potíží s certifikátem uživatele je nelze obnovit do dešifrované podoby.

• Pro přidání agenta obnovení zde použijte pravé tlačítko, zvolte "Add Data Recover Agent" a importujte certifikát pro agenta obnovení (např. jmeno.cer)

• Pro zákaz EFS zvolte "Properties" a zrušte zaškrtnutí volby "Allow to user encrypt files using Encryption File System (EFS)" (Windows XP).

• Location2: 

Computer Configuration \ Administrative Templates \ System \ 

Group Policy - EFS recovery policy processing

Computer Configuration \ Administrative Templates \ System \

Do not automatically encrypt files moved to encrypted folders

Tři možné volby Zásad obnovení (ZO) (Windows XP)

• 1. Politika je uplatňována - Jsou vloženy a zobrazeny certifikáty agenta nebo agentů obnovení. Dostupné volby jsou: 1. Přidat Agenta obnovování dat..  (Add Data Recovery Agents..) 2. Odstranit zásadu (Delete Policy)

• Společně s veřejným klíčem uživatele používajícího šifrování, je ke každému souboru zaznamenáván i údaj veřejného klíče agenta obnovení.

• 2. Nedefinovaná politika - u EFS je zobrazen text: Nejsou definovány žádné zásady (There is no policy defined). U Windows 2000 není žádný text.

• Dostupné volby pro WXP: 1. Přidat Agenta obnovování dat..  (Add Data Recovery Agents..) 2. Nepožadovat Agenty obnovování dat (Do Not Require Data Recovery Agents)

• Dostupné volby pro W2K: 1. Přidat.. (Add..) 2. Inicializovat prázdné zásady (Initialize Empty Policy)

• Ve Windows 2000 není možné provozovat EFS bez agenta obnovení (Pro WXP lze). 

• Nedefinované zásady dovolují aktivaci jiných lokálních zásad na stanicích. 

• 3. Žádný agent obnovení (Prázdná politika) - u EFS je zobrazen text: There are no items to show in this view (Tomuto zobrazení neodpovídá žádná položka). U Windows 2000 není žádná položka a je zobrazeno pouze záhlaví sloupců pro certifikáty.

• Dostupné volby pro WXP: 1. Přidat Agenta obnovování dat..  (Add Data Recovery Agents..) 2. Odstranit zásadu (Delete Policy)

• Dostupné volby pro W2K: 1. Přidat.. (Add..) 2. Odstranit zásadu (Delete Policy)

• Prázdná politika zamezí používání EFS na všech počítačích v doméně.

• OK - Na souborech a složkách je možné používat šifrování.

• A. Při pokusu o šifrování je zobrazena zpráva: Pro tento systém nejsou konfigurovány žádné platné zásady šifrovacího zotavení ( There is no valid encryption recovery policy configured for this system (W2K Server). Šifrování nelze použít.

• OKA -  Lze používat šifrování. Agentem obnovení se stává agent zapsaný v Local Security Settings používané stanice.

• OKB - Lze používat šifrováním, ale bez agenta obnovení.

• Pro stanici jsou definovány místní zásady (Local Security Settings - secpol.msc) pro prostředí domény jsou definovány Zásady domény.

Prostředí domény

• Pro celou doménu je jako výchozí agent obnovení nastaven účet uživatele Administrator.

• Doporučením je používat 2 a více agentů obnovení a exportovat soukromé klíče na kvalitní zálohovací medium a uložit jej na bezpečné místo (trezor).

• Pro používání šifrování na více počítačích je nutné nastavit cestovní profily nebo vždy importovat klíče na aktuálně používaný počítač.

• Na počítači na kterém chcete používat šifrování v rámci domény musí být v Active Directory povoleno Delegování (Active Directory Users and Computers - Computers - Kliknutím pravým tlačítkem myši na účet počítače vyvolejte "Properties")

• Certifikáty jsou obvykle získávány pomocí služby Microsoft Certificate Services

Příkaz Cipher

• Umožňuje zašifrovat nebo dešifrovat soubory z příkazového řádku. Kromě těchto základních úkolů poskytuje i informace o stavu šifrování v aktuálním adresáři (více cipher /?)

Syntaxe: 

cipher [/e| /d] [/s:dir] [/a][/i] [/f] [/q] [/h] /k [/u /n] [cesta [...]] [/r:Cesta]

• /e - Zašifruje specifikované složky. Při vytvoření souboru v tomto adresáři bude automaticky šifrován.

• /d - Dešifruje specifikované složky. Další soubory vytvořené v adresáři nebudou šifrovány.

• /s:dir - Provede příkaz ve specifikované složce ve všech jejích podsložkách (nepracuje se soubory)

• /a - Provede příkaz se všemi soubory a složkami

• /i - V případě výskytu chyb jsou ignorovány a šifrování pokračuje

• /f - Vynutí šifrování či dešifrování pro všechny objekty. Implicitně nejsou zpracovávány soubory které již byly dříve šifrovány či dešifrovány.

• /q - Sdělí pouze základní údaje

• /h - zobrazí skryté a systémové soubory - implicitně se tyto soubory nešifrují.

• /k - Vytvoří nový certifikát pro uživatele, který příkaz cipher spustil. (nekombinuje se s dalšími přepínači). Pokud existuje v síti CA jsou nahrazeny certifikáty podepsané sebou samými (self-signed) certifikáty od CA. Q295680

• /u - Aktualizuje klíč pro šifrování souborů přihlášeného uživatele nebo klíč agenta obnovení 

• /u /n - Najde všechny zašifrované soubory, neprovádějí se žádné změny na souborech.

• [cesta [...]] (pathname) - Určuje masku, soubor nebo složku

• /r:Cesta - Generuje nový certifikát a soukromý klíč agenta obnovení a zapíše je do určeného adresáře. (pokud chcete použít aktuální adresář není nutné cestu specifikovat).

Příklady:

• cipher /e /a - Zašifruje všechny soubory a složky aktuálního adresáře (ne soubory ve složkách)

• Q295680 - Using the Cipher.exe Utility to Migrate Self-Signed Certificates to Certification Authority- Issued Certificates

• Q298009 - Cipher.exe Security Tool for the Encrypting File System (Download new version - include with Windows 2000 SP3)

EFSInfo

• Důležitý nástroj podávající informace o šifrování pod Windows 2000. Umožní zjistit uživatele který soubor zašifroval a agenta obnovení. Ve Windows XP lze tyto informace zjistit jednodušeji, ale pro rychlé zjištění informací pro více souborů zde má stále místo i tento nástroj.

• Tip:  1. Překopírovat soubor efsinfo do adresáře %systemroot%.  2. Používat syntaxi efsinfo /u /r

• Q243026 - Using Efsinfo.exe to Determine Information About Encrypted Files

• Q264178 - Description of the Windows 2000 Resource Kit Security Tools

Chybové zprávy a Řešení problémů

• Přístup je odepřen - (Access is denied) - 1. Soubor je zašifrován jiným uživatelem. 2. Nemáte patřičné oprávnění NTFS. 3. U síťových disků musí být účet serveru povolen pro delegování. 4. Váš profil, certifikát nebo soukromý klíč nejsou dostupné.

• ..losing its encryption - V případě přesunu nebo kopírování z NTFS na FAT bude šifrování zrušeno. Při použití průzkumníku je zobrazena zpráva s varováním.

• Recovery policy configured for this system contains invalid recovery certificate - Zkontrolujte platnost a použití správného certifikátu.

• 'Filename' is encrypted. If made available offline, the offline copy will not be encrypted.  - (Q254156 - Encrypted Files Made Available Offline Are Not Encrypted on the Client)

• Při pokusu o šifrování je zobrazena správa This machine is disabled for file encryption - 1. V registru HKLM \ SOFTWARE \ Microsoft \ Windows NT \ CurrentVersion \ EFS změňte hodnotu EFSConfiguration na 0 nebo ji zcela odstraňte (1 znamená zákaz používáni EFS) -  Pro uplatnění může být vyžadován restart - 2. Použijte zásady skupiny (Allow to user encrypt files using Encryption File System (EFS))

• Cannot open the xxxx file. Make sure a disk is in the drive you specified. - V mém případě se jednalo o pokus o přístup k zašifrovanému souboru od jiného uživatele na síťovém disku.

• Používání karet Smardcards - Pro EFS není podporováno.

• Zapomenutí hesla - 1. Obnovení dat s pomocí agentů obnovení (pokud existovali v době šifrování souborů). 2. Použít Password reset disk (tato záchranná disketa musí existovat dříve než uživatel heslo ztratí nebo zapomene). 

Při použití atributů u následujícího souboru došlo k chybě: xxxx 

(An error occurred applying attributes to the file: xxxxx ) 

• Pro tento systém nejsou nakonfigurovány žádné platné zásady šifrovacího zotavení  (There is no valid encryption recovery policy for this system) - Q222022

• The required encryption driver is not loaded for this system - Q288579

• Proces nemá přístup k souboru, neboť jej právě využívá jiný proces. - (The process cannot access the file because it is being used by another process.) - Soubor je otevřen nebo používán nějakým programem.

• Profil tohoto uživatele je dočasný (The profile for the user is a temporary profile) - Použití povinného profilu uživatele. Uživatelé s poviným profilem nemohou používat šifrování.

• Step-by-Step Guide to Encrypting File System (EFS) - www.microsoft.com/windows2000/techinfo/planning/security/efssteps.asp

• White Papers - Encrypting File System for Windows 2000 - www.microsoft.com/technet/prodtechnol/windows2000serv/deploy/confeat/nt5efs.asp

• RK - Efsinfo.exe: Encrypting File System Information - www.microsoft.com/WINDOWS2000/techinfo/reskit/tools/existing/efsinfo-o.asp

Příbuzné odkazy

Seznam Odkazů»Windows»EFS

Tisk Verze pro tisk | Doporučit Poslat odkaz přes email