采用EFS加密硬盘以保护数据
本页内容
| 简介 | |
| 准备工作 | |
| 生成与备份恢复密钥 | |
| 创建基于域的恢复代理 | |
| 创建本地恢复代理 | |
| 使用 EFS | |
| 启用 Windows 资源管理器菜单中的加密/解密选项 | |
| 启用 EFS 文件共享 | |
| 导入与导出数据恢复密钥 | |
| 恢复数据 | |
| 最佳做法 | |
| 相关信息 |
简介
在许多企业中，都存在着多个用户共用一台计算机的情况。有些用户旅行时携带便携式计算机，并在没有企业物理保护的地方使用，如客户设施、机场、饭店和家中。这意味着重要的数据常常被置于企业控制之外。未经授权的用户可能希望读取存储在台式计算机中的数据。手提电脑可能会失窃。在所有这些情况下，公司的敏感数据都可能被窃取。
采用加密文件系统 (EFS) 对敏感数据文件进行加密，可以加强数据的安生性。该解决方案可以有效的减小数据失窃的隐患。加密是一种采用数学算法的应用程序。文件经过加密处理后，只有拥有正确密钥的用户方可读取其内容。Microsoft 的 EFS 技术可以对计算机上的数据进行加密，并控制哪些人有权解密或恢复数据。文件被加密后，即使攻击者能够物理访问计算机的数据存储器，也无法读取用户数据。所有用户都必须拥有 EFS 证书，方可运用 EFS 对数据进行加密和解密。此外，EFS 用户必须拥有在 NTFS 卷中修改文件的权限。
EFS 包括两种类型的证书：
| • | 加密文件系统证书。此类证书允许其持有者使用 EFS 加密和解密数据，它通常也被直接称为 EFS 证书。普通的 EFS 用户使用此类证书。这类证书的“增强型密钥用法”字段（在 Microsoft 管理控制台管理单元中可以看到）的值为“EFS (1.3.6.1.4.1.311.10.3.4)”。 |
| • | 文件恢复证书。此类证书的持有者可以在整个域或其他范围内对任何人加密的文件和文件夹进行恢复。只有域管理员或极受信任的委托人（即数据恢复代理）可以持有此类证书。这类证书的“增强型密钥用法”字段（在 Microsoft 管理控制台管理单元中可以看到）的值为“文件恢复 (1.3.6.1.4.1.311.10.3.4.1)”。此类证书通常被称为 EFS DRA 证书。 |
要允许其他授权用户读取加密的数据，需要给他们私钥，或使其成为数据恢复代理。数据恢复代理可以在其范围内的域或组织单位中，解密所有的 EFS 加密文件。本文档为中小企业中主要的 EFS 相关任务提供了具体步骤指导，同时还列举了在 EFS 实施过程中几项重要的最佳做法。
本文档中的步骤说明将指导您完成以下任务：
| • | 创建与保护恢复密钥，以确保在原始加密者无法恢复加密数据时能够对其进行安全的恢复。 |
| • | 指定恢复代理，当原始用户无法恢复加密文件时，由其实施恢复操作。 |
| • | 在企业中安装 EFS。 |
| • | 配置 Windows 资源管理器，以方便 EFS 的使用。 |
| • | 设置文件共享，以配合 EFS 的使用。 |
| • | 导入和导出数据恢复密钥，以确保安全的恢复加密文件和文件夹。 |
| • | 当原始用户无法恢复数据时，对其进行恢复。 |
按照本文档中的步骤，您需要在系统范围内执行以下操作：
| • | 创建备份数据恢复密钥。 |
| • | 指定恢复代理。 |
| • | 启用 EFS，对计算机硬盘中的数据进行加密。 |
| • | 配置 Windows 资源管理器，以包含 EFS 选项。 |
完成上述步骤后，您可以：
| • | 为所选的加密数据提供共享访问。 |
| • | 管理数据恢复密钥，以恢复加密数据。 |
| • | 必要时恢复加密的数据。 |
准备工作
本文档中的步骤帮助您配置计算机以使用 EFS，并说明如何在企业中使用 EFS 以保护计算机硬盘中的数据。开始执行上述步骤之前，应当向法律顾问咨询，从而确保计划中的加密策略与程序符合相关的法律法规。特别是当公司在美国本土外设有办事处，那么您一定要熟悉与加密软件有关的出口控制法。同时，还要了解使用 EFS 的一些基本要求和条件：
| • | 可以只在 NTFS 卷中才能使用 EFS 加密文件和文件夹。因此，EFS 无法保护 FAT 或 FAT32 文件系统中的数据。除非因特殊原因需要继续使用 FAT 文件系统，否则建议将其转换为 NTFS 格式。Windows 95、Windows 98 和 Windows Me 操作系统不支持 NTFS 或 EFS。Windows XP Home Edition 支持 NTFS，但不支持 EFS。 | ||||||
| • | 对压缩过的文件或文件夹也无法进行 EFS 加密。对压缩文件或文件夹实施加密操作，该文件或文件夹将被解压缩。 | ||||||
| • | 具有“系统”属性的文件无法进行加密，systemroot 文件夹中的文件也不能被加密。 | ||||||
| • | 在首次加密文件或文件夹时，将弹出一个对话框。该对话框中的选项设置将影响到今后的加密操作：
|
除非另有说明，在本文档所描述的步骤中，服务器采用 Windows Server 2003 操作系统，而客户机使用 Windows XP Professional。
在 Active Directory 环境中，假定用户具有移动配置文件。请注意，本文档中的截屏图像反映的是一个测试环境，其中信息或许与您计算机上显示的信息略有出入。
安装操作系统时，使用默认出现的“开始”菜单，便可获得本文档中的所有步骤说明。如果您修改过“开始”菜单，则上述步骤可能稍有不同。
生成与备份恢复密钥
未备份恢复密钥可能会导致无法挽回的加密数据损失。当持有 EFS 加密证书的用户无法解密数据时，备份的恢复密钥能够确保加密数据的恢复。
要求
| • | 凭据：要执行此操作，必须使用恢复代理帐户，该帐户中存储有文件恢复证书和私钥。域管理员是默认的恢复代理；在家庭或非域环境中，没有默认的恢复代理，但是可以为计算机上的所有帐户创建一个本地恢复代理。在家庭设置中，更为普遍的做法是备份每个 EFS 证书持有人的私钥。 |
| • | 工具：Microsoft 管理控制台 (MMC) 的证书管理单元。 |
警告：在更改默认恢复策略之前，应确保已备份默认的恢复密钥。域中默认的恢复密钥存储在该域的第一个域控制器中。
| • | 把默认的恢复密钥备份到软盘中，需要执行以下操作
|
创建基于域的恢复代理
要允许某一帐户读取或恢复 EFS 加密的数据，必须将其指定为恢复代理。在域环境中，建议使用域帐户达到这个目的。为在 Active Directory® 目录林中的所有站点、域或组织单位创建恢复代理。在默认情况下，内置的管理员帐户是域的恢复代理；这种情况就无需再创建恢复代理了。
要求
| • | 凭据：域管理员。 |
| • | 工具：MMC 的 Active Directory 用户与计算机管理单元。 |
| • | 创建基于域的恢复代理，需要执行以下操作
|
创建本地恢复代理
在非域环境中，如在独立计算机或在工作组中，可以创建本地恢复代理。在多个用户共享一台计算机的情况下，适合创建本地恢复代理。在单用户计算机上，用户很容易直接把恢复密钥备份到可移动媒体中。
要求
| • | 凭据：本地计算机管理员。 |
| • | 工具：组策略对象编辑器 |
| • | 创建本地恢复代理
|
使用 EFS
完成恢复代理的创建和恢复密钥的生成及备份后，就可以开始使用 EFS，从而更有效的保护文件和文件夹免受未授权的访问。本节提供了有关启用 EFS 的说明。
要求
| • | 凭据：您必须是一个持有 EFS 证书的用户，并拥有在 NTFS 卷修改文件或文件夹的权限。 |
| • | 工具：Windows 资源管理器。 |
| • | 使用 EFS 加密文件或文件夹
|
启用 Windows 资源管理器菜单中的加密/解密选项
您还可以对 Windows 资源管理器进行配置，当用户右键单击文件时，在弹出的快捷菜单中，添加“加密”和“解密”选项，以执行 EFS。为此，需要编辑着Windows 注册表，添加一个的新注册项。在默认情况下，注册表中没有该注册项。
警告：注册表编辑错误可能会造成系统的严重破坏。因此，在修改注册表前，首先应备份该计算机上所有有价值的数据。formatting role="bold"/>
要求
| • | 凭据：由经验丰富的管理员来编辑注册表，并充分重视此操作的潜在风险。 |
| • | 工具：注册表编辑器。 |
| • | 启用 Windows 资源管理器菜单中的加密/解密选项
|
注意： 在 Windows Server 2003 中，也可以添加“加密详细信息”选项到资源管理器菜单中。为此，管理员需要创建一个包含以下信息的注册表批文件 (*.reg)，并为每个用户运行此文件：
[HKEY_CLASSES_ROOT/*/Shell/Encrypt To User.../Command]
@="rundll32 efsadu.dll,AddUserToObject %1"
启用 EFS 文件共享
企业通常希望使用加密技术以帮助保护敏感数据，但同时也允许多个用户访问这些数据。借助 EFS，用户就可以对文件进行加密，然后再授予其他用户访问这个加密数据的权限。要允许几个用户访问加密的文件，这个文件的加密者就要把该文件设成共享状态，然后通过添加其他用户的 EFS 加密证书，允许他们共享访问这个加密的文件。这样，企业可以在提高安全性的同时，确保数据的可用性。
您需要了解有关共享加密数据的某些要求与限制：
| • | 不能将用户组添加到加密的文件中，也不能把用户添加到加密的文件夹中。 |
| • | 所有添加到加密文件中的用户，必须在加密文件所在的计算机上拥有 EFS 加密证书。通常由 Verisign 等证书颁发机构颁发证书。此外，如果用户已经登录到计算机上并对其中的加密文件实施了解密，该用户将在这台计算机上拥有一份 EFS 加密证书。要导入证书，请参阅 Microsoft TechNet 网站中的 To import a certificate（英文），其网址为 http://go.microsoft.com/fwlink/?LinkId=22846。 |
| • | 此外，所有对该文件进行解密的用户，都必须拥有读取该文件的权限。必须正确设置 NTFS 权限，以允许用户访问。如果用户因受限于 NTFS 权限而被拒绝访问，则该用户将无法读取加密文件，也不能实施解密操作。要设置文件权限，请参阅 Microsoft TechNet 网站中的 To set,view,change,or remove permissions on files and folders（英文），其网址为 http://go.microsoft.com/fwlink/?LinkId=22847。 |
要求
| • | 凭据：要求具备 EFS 证书和文件的所有权。 |
| • | 工具：Windows 资源管理器。 |
所有添加到文件中的用户，在加密文件所在的计算机中必须拥有加密证书。
| • | 允许用户加密或解密文件
|
注意： 当用户被添加到文件中并导入该用户的 EFS 加密证书时，该证书对于受信任的证书颁发机构 (CA) 来说是有效的。然后，该证书将保存到“其他人”证书存储区中。
导入与导出数据恢复密钥
数据恢复代理必须拥有数据恢复密钥（DRA 密钥），以确保在正常恢复无法实现的情况下进行加密数据的恢复。由此可见，保护恢复密钥很重要。预防恢复密钥丢失的一个好方法是，导出数据恢复证书和数据恢复代理的私钥，并以 .pfx 格式文件保存到安全的可移动的媒体中。在恢复丢失数据时，可以将其导入。
以下步骤概述了导出与导入 DRA 密钥的过程。
要求
| • | 凭据：您必须用域的第一个域控制器的管理员帐户登录。 |
| • | 工具：MMC 证书管理单元。 |
导出数据恢复密钥
| • | 导出默认域数据恢复代理的证书和私钥需要执行以下操作
|
导入数据恢复密钥
如果要使用导出的数据恢复密钥来恢复加密的数据，首先必须导入该密钥。导入密钥要比导出密钥简单得多。要导入以 PKCS #12 格式文件（.pfx文件）存储的密钥，双击该文件，打开“证书导入向导”，或者直接运行“证书导入向导”，按照以下步骤导入密钥：
要求
| • | 凭据：计算机的 Domain Admin 帐户。 |
| • | 工具：MMC 证书管理单元。 |
| • | 导入数据恢复密钥
|
要点：数据恢复代理应始终使用基于域的帐户，这是因为本地帐户易于受到离线物理攻击。
恢复数据
如果原始用户无法恢复加密的数据（例如，该用户已离开公司），您需要一种数据恢复方法，以便公司能够继续使用这些数据。本节描述了如何恢复加密的文件或文件夹。为此，需要使用备份工具，把用户的加密文件或文件夹还原到计算机上，而文件恢复证书和数据恢复代理的恢复密钥也存储于该计算机中。
只有指定的恢复代理才能执行该操作。也就是说，在待恢复的文件或文件夹中，您必须拥有有效的 DRA 私钥和证书。
要求
| • | 凭据：数据恢复代理。 |
| • | 工具：Windows 资源管理器。 |
| • | 还原加密的文件或文件夹
|
最佳做法
以下最佳做法可以帮助公司有效地使用和管理加密的文件和文件夹。
| • | 恢复代理应将其文件恢复证书备份到一个安全的地方。 |
| • | 使用默认域配置。 |
| • | 请立即更新已丢或到期的 DRA 私钥。 Cipher.exe /U C:/Temp/test.txt: Encryption updated. C:/My Documents/wordpad.doc: Encryption updated. 注意：在无证书颁发机构的域中使用默认的自签名证书时，该证书的有效时间为 99 年。 |
下面的最佳做法可以帮助公司保护移动用户的数据，以防失窃或丢失：
| • | 计算机的物理保护至关重要。为保证计算机不失窃或不遭到物理损坏，应采取一切必要的预防措施。这些预防措施是技术手段所无法替代的。 |
| • | 使用移动计算机时，应确保登录到 Active Directory 域。 |
| • | 存储独立于移动计算机的用户私钥，并在必要时将其导入。 |
| • | 加密公共文件夹，如“我的文档”和临时文件夹，以加密所有新文件和临时文件。 |
| • | 敏感数据文件应建立在加密文件夹中，敏感数据明文文件应拷贝到加密文件夹中。遵循该原则可以确保没有明文文件存储于计算机中，并且临时文件无法被复杂的磁盘分析工具所恢复。 |
| • | 结合使用组策略、登录脚本和安全模板强制执行文件夹加密操作，从而确保将标准文件夹（如“我的文档”）设置为加密文件夹。 |
| • | Windows XP 操作系统支持脱机文件的数据加密。在应用客户端缓存策略时，应对存储于本地缓存的脱机文件和文件夹进行加密。 |
| • | 在移动计算机中，启用系统工具 SYSKEY 的模式 2 或模式 3（软盘启动或密码启动），以防止恶意用户启动系统。Windows 版本的联机帮助中对该系统密钥工具进行了说明。 |
| • | 为服务器启用组策略中的 SMB 签名，这些服务器是受信任的委派对象，并用来存储加密文件。这个设置可以在“组策略”中找到，其路径为：“组策略对象名称”、“计算机配置”、“Windows 设置”、“安全设置”、“本地策略”、“安全选项”、“Microsoft 网络服务器: 完全数字签名通信。 |
| • | 文件加密后，确保从硬盘驱动器中删除未加密的数据，该操作应定期执行。 |
相关信息
有关 EFS 的详细信息，请访问 Microsoft TechNet 网站，参阅以下资料：
| • | Encrypting File System（英文），其网址为 http://go.microsoft.com/fwlink/?LinkID=22412 |
| • | Encrypting File System in Windows XP and Windows Server 2003（英文），其网址为：http://go.microsoft.com/fwlink/?LinkID=22413 |
2149
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
