打造工程师教程网0609anquan06六课.pptxVIP

打造网络安全工程师

第六课

EFS加密安全应用

主讲:Spring

课程安排

什么是EFS加密

EFS加密安全程度

EFS密钥及证书的备份

共享EFS加密过的数据

对EFS加密的几个错误认识

一、什么是EFS加密

EFS(EncryptingFileSystem，加密文件系统)是Windows2000及以上Windows版本中，磁盘格式为NTFS的文件加密。

EFS加密是基于公钥策略的。在使用EFS加密一个文件或文件夹时，系统首先会生成一个由伪随机数组成的FEK(FileEncryptionKey，文件加密钥匙)，然后将利用FEK和数据扩展标准X算法创建加密后的文件，并把它存储到硬盘上，同时删除未加密的原始文件。随后系统利用你的公钥加密FEK，并把加密后的FEK存储在同一个加密文件中。而在访问被加密的文件时，系统首先利用当前用户的私钥解密FEK，然后利用FEK解密出文件。在首次使用EFS时，如果用户还没有公钥/私钥对(统称为密钥)，则会首先生成密钥，然后加密数据。如果你登录到了域环境中，密钥的生成依赖于域控制器，否则依赖于本地机器。

二、演示EFS加密文件

用不同的用户去访问EFS加密的文件

Cmdshell下载文件

用3389去连接终端下载文件

三、EFS密钥及证书的备份

如果其他人想共享经过EFS加密的文件或文件夹，又该怎么办呢？由于重装系统后，SID(安全标示符)的改变会使原来由EFS加密的文件无法打开，所以为了保证别人能共享EFS加密文件或者重装系统后可以打开EFS加密文件，必须要进行备份证书。点击“开始→运行”菜单项，在出现的对话框中输入“certmgr.msc”，回车后，在出现的“证书”对话框中依次双击展开“证书-当前用户→个人→证书”选项，在右侧栏目里会出现以你的用户名为名称的证书。选中该证书，点击鼠标右键，选择“所有任务→导出”命令，打开“证书导出向导”对话框。

三、EFS密钥及证书的备份（续）

在向导进行过程中，当出现“是否要将私钥跟证书一起导出”提示时，要选择“是，导出私钥”选项，接着会出现向导提示要求密码的对话框。为了安全起见，可以设置证书的安全密码。当选择好保存的文件名及文件路径后，点击“完成”按钮即可顺利将证书导出，此时会发现在保存路径上出现一个以PFX为扩展名的文件。当其他用户或重装系统后欲使用该加密文件时，只需记住证书及密码，然后在该证书上点击右键，选择“安装证书”命令，即可进入“证书导入向导”对话框。按默认状态点击“下一步”按钮，输入正确的密码后，即可完成证书的导入，这样就可顺利打开所加密的文件。

三、EFS密钥及证书的备份（续）

在向导进行过程中，当出现“是否要将私钥跟证书一起导出”提示时，要选择“是，导出私钥”选项，接着会出现向导提示要求密码的对话框。为了安全起见，可以设置证书的安全密码。当选择好保存的文件名及文件路径后，点击“完成”按钮即可顺利将证书导出，此时会发现在保存路径上出现一个以PFX为扩展名的文件。当其他用户或重装系统后欲使用该加密文件时，只需记住证书及密码，然后在该证书上点击右键，选择“安装证书”命令，即可进入“证书导入向导”对话框。按默认状态点击“下一步”按钮，输入正确的密码后，即可完成证书的导入，这样就可顺利打开所加密的文件。

四、共享EFS加密过的数据

加密过的文件只有加密者本人和恢复代理可以打开，如果你要和本机的其它用户共享加密文件又该怎么办？这在Windows2000中是不行的，不过在WindowsXP中可以做到。

选中一个希望共享的加密文件（注意，只能是文件，而不能是文件夹），在文件上用鼠标右键点击，并选择“属性”，之后在属性对话框的“常规”选项卡上点击“高级”按钮，然后再点击“详细信息”，之后你可以看见类似图六的窗口，在这里你可以决定谁可以打开这个加密文件以及察看文件的恢复代理是具体是谁。

五、对EFS加密的错误认识（1）

问：为什么打开加密过的文件时没有需要我输入密码？

答：这正是EFS加密的一个特性，同时也是EFS加密和操作系统紧密结合的最佳证明。因为跟一般的加密软件不同，EFS加密不是靠双击文件，然后弹出一个对话框，然后输入正确的密码来确认的用户的；EFS加密的用户确认工作在登录到Windows时就已经进行了。一旦你用适当的账户登录，那你就能打开相应的任何加密文件，并不需要提供什么额外的密码。

五、对EFS加密的错误认识（2）

问：我的加密文件已经打不开了，我能够把NTFS分区转换成FAT32分区来挽救我的文件吗？

答：这当然是不可能的了。很多人尝试过各种方法，例如把NTFS分区转换成FAT32分区；用NTFSDOS之类的软件到DOS下去把文件复制到FAT32分区等，不过这些尝试都以失败告终。毕竟EFS是