网络安全等级保护：加密文件系统

密文件系统

从Windows 2000开始，Windows操作系统提供加密文件系统（EFS），基于公钥加密，并利用Windows 2000中的CryptoAPI架构。Windows 10和11中仍然沿用；但是，对于更高版本的 Windows，EFS 仅在 Windows Professional 等高端版本的 Windows 中可用。通过该系统，每个文件都使用随机生成的文件加密密钥进行加密，该密钥独立于用户的公钥/私钥对；这种方法使加密能够抵抗多种形式的基于密码分析的攻击。就我们的目的而言，EFS 加密如何工作的确切细节并不像使用它的实际方面那么重要。

用户互动

EFS 的默认配置使用户无需管理员的努力即可开始加密文件。当用户第一次加密文件时，EFS会自动生成公钥对和文件加密证书，用于文件加密。

支持每个文件或整个文件夹的文件加密和解密。文件夹加密是透明执行的。在标记为加密的文件夹中创建的所有文件和文件夹都会自动加密。每个文件都有一个唯一的文件加密密钥，可以安全地重命名。如果将文件从加密文件夹移动到同一卷上的未加密文件夹，该文件将保持加密状态。但是，如果将未加密的文件复制到加密的文件夹中，文件状态将会更改。文件被加密。为高级用户和恢复代理提供了命令行工具和管理界面。

参考：如果用户离开怎么办？

用户可能会加密文件，然后无法对其进行解密。他们可能会因为离开公司、生病或其他原因而无法工作。幸运的是，EFS 确实为管理员提供了一种方法，使他们可以恢复用于加密文件的加密密钥，从而解密它们。EFS允许恢复代理配置公钥，用于在用户离开公司时恢复加密数据。使用恢复密钥只能使用文件加密密钥，而不能使用用户的私钥。这确保了恢复代理不会泄露其他私人信息。

EFS 最好的一点是对用户几乎是透明的。不必解密文件即可打开并使用它。EFS 自动检测加密文件并从系统密钥存储中查找用户的文件加密密钥。但是，如果该文件从原始计算机移动到另一台计算机，则尝试打开该文件的用户会发现它已加密。以下步骤将允许您加密任何您想要的文件：

1.找到要加密的文件或文件夹（使用 Windows 资源管理器或我的电脑/此电脑）。右键单击该文件并选择“属性”。出现如图8-9所示的“属性”对话框。

图 8-9文件属性

2.单击“高级”按钮，可以选择对文件进行加密，如图8-10所示。

3.单击加密内容以保护数据。

图 8-10加密文件

完成此操作后，您的文件或文件夹现已加密。只要同一台机器上的同一用户打开该文件，就会自动解密。将文件传输到自己的系统的黑客（或者试图进行工业间谍活动的员工，将文件通过磁盘带回家）会发现它已被加密。由于 EFS 内置于 Windows 中，无需额外付费，而且非常易于使用，因此很难找到不使用它的理由。如果您想了解更多详细信息，以下网站应该对您有帮助：

·ServerWatch 对 EFS 的评论

·用于检索 EFS 加密密钥的实用程序：www.lostpassword.com/efs.htm

参考：Windows Server 中的 EFS

加密文件系统是在Windows 2000中引入的。但是，在Windows 8、8.1 和 10 以及 Windows Server 2008、Server 2012 和 Server 2016 中沿用。注意，在Windows家庭版操作系统，加密文件系统是不可用的状态，在使用过程中，要特别注意。

参考：

网络安全等级保护基本要求

等级保护技术基础培训教程

原文始发于微信公众号（河南等级保护测评）：网络安全等级保护：加密文件系统