Usługa szyfrowania EFS (EFS)

Usługa szyfrowania EFS (EFS) obsługuje operacje szyfrowania i deszyfrowania plików systemem plików EFS w NTFS.

Mechanizm szyfrowania EFS w systemie plików NTFS

EFS, czyli Encrypting File System, jest składnikiem systemu Windows przeznaczonym do szyfrowania pojedynczych plików i katalogów zapisanych na woluminie NTFS. Mechanizm działa na poziomie systemu plików, dlatego aplikacja otwierająca dokument zwykle nie musi znać szczegółów szyfrowania. Po włączeniu EFS system automatycznie szyfruje dane przy zapisie i odszyfrowuje je podczas odczytu, o ile bieżące konto użytkownika ma odpowiedni certyfikat oraz klucz prywatny.

EFS nie jest osobnym formatem archiwum ani programem do tworzenia zaszyfrowanych paczek. Szyfrowanie zostaje powiązane z konkretnym plikiem i profilem użytkownika systemu Windows. Mechanizm korzysta z szyfrowania hybrydowego: dla zawartości pliku tworzony jest klucz szyfrowania pliku, określany jako FEK, natomiast FEK jest zabezpieczany przy użyciu klucza publicznego z certyfikatu EFS. Do odszyfrowania potrzebny jest odpowiadający mu klucz prywatny, przechowywany w profilu użytkownika i chroniony mechanizmami systemu Windows.

Certyfikat EFS, klucz prywatny i dostęp do plików

Najważniejszym elementem konfiguracji EFS jest certyfikat użytkownika przeznaczony do szyfrowania plików oraz związany z nim klucz prywatny. Samo zalogowanie do systemu nie gwarantuje odzyskania danych po zmianie profilu, reinstalacji Windows albo przeniesieniu dysku do innego komputera. Jeżeli certyfikat lub klucz prywatny zostaną utracone, zwykłe nadanie uprawnień administratora, zmiana właściciela pliku albo podłączenie dysku do innego komputera nie odszyfruje zawartości.

W środowisku Windows może być skonfigurowany agent odzyskiwania danych, czyli konto wskazane do awaryjnego odszyfrowania plików EFS. Jego obecność zależy od konfiguracji systemu i zasad lokalnych lub domenowych. Przed migracją profilu warto wyeksportować certyfikat EFS wraz z kluczem prywatnym do pliku zabezpieczonego hasłem. Do sprawdzania informacji o certyfikatach można użyć konsoli zarządzania certyfikatami użytkownika, a polecenie cipher /x służy do utworzenia kopii zapasowej certyfikatu EFS i klucza prywatnego. Kopia bez klucza prywatnego nie wystarczy do odzyskania zaszyfrowanych danych.

Włączanie, wyłączanie i rozpoznawanie problemów EFS

Stan szyfrowania można obsługiwać z poziomu właściwości pliku lub katalogu w Eksploratorze plików, korzystając z opcji zaawansowanych atrybutów. Dostępne są również polecenia narzędzia cipher. Przełącznik cipher /e włącza szyfrowanie dla wskazanych plików lub katalogów, a cipher /d wyłącza szyfrowanie i zleca systemowi odszyfrowanie danych. Polecenie cipher /c nazwa_pliku pozwala wyświetlić informacje o stanie szyfrowania określonego pliku. Składnia i zakres działania zależą od użytych parametrów oraz uprawnień konta.

Problemy z EFS mogą objawiać się komunikatem o odmowie dostępu, brakiem możliwości otwarcia pliku po odtworzeniu kopii profilu albo niedostępnym certyfikatem szyfrowania. Diagnostyka powinna rozdzielić kilka kwestii: czy plik rzeczywiście znajduje się na NTFS, czy konto ma prawidłowy certyfikat EFS, czy klucz prywatny jest dostępny, czy nie został uszkodzony profil użytkownika oraz czy działają zwykłe uprawnienia NTFS. EFS i uprawnienia dostępu to odrębne warstwy. Konto może mieć prawo do odczytu według listy ACL, ale nadal nie otworzy pliku, jeżeli nie posiada właściwego klucza deszyfrującego. Z kolei wyłączenie szyfrowania nie naprawia błędów systemu plików ani uszkodzeń samego nośnika.

EFS a serwisowanie laptopa lub komputera PC

Przed naprawą systemu, wymianą dysku albo reinstalacją Windows należy ustalić, czy na nośniku znajdują się pliki zaszyfrowane EFS. Szczególnej ostrożności wymaga sytuacja, w której system jeszcze się uruchamia, lecz profil użytkownika działa niestabilnie. W takim przypadku priorytetem jest zachowanie dostępu do działającej sesji, sprawdzenie certyfikatu oraz wykonanie eksportu klucza prywatnego, zanim zostaną usunięte dane profilu lub sformatowana partycja systemowa. Kopiowanie zaszyfrowanych plików na inny nośnik nie zawsze rozwiązuje problem, ponieważ sama kopia może pozostać zaszyfrowana.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnostyką problemów z systemem Windows, profilem użytkownika, dyskiem oraz dostępem do plików. Przy zgłoszeniu dotyczącym EFS istotne jest podanie informacji o reinstalacji systemu, zmianie konta, wymianie dysku, odzyskiwaniu danych albo wcześniejszym eksporcie certyfikatu. Bez właściwego klucza prywatnego zakres możliwych działań jest ograniczony, dlatego nie należy samodzielnie formatować nośnika ani usuwać starego profilu przed sprawdzeniem stanu szyfrowania.