8.2Технология шифрования

EFS использует архитектуру Windows CryptoAPI. Для шифрования каждого файла случайным образом генерируется ключ шифрования файла. При этом для шифрования файла может применяться любой симметричный алгоритм шифрования. В настоящее же время в EFS используется один алгоритм, это DESX, являющийся специальной модификацией широко распространенного стандарта DES. Затем ключ шифрования шифруется открытым ключом пользователя при помощи алгоритма RSA.

Ключи шифрования EFS хранятся в резидентном пуле памяти (сама EFS расположена в ядре Windows 2000), что исключает несанкционированный доступ к ним через файл подкачки. Резидентный пул (или резидентная часть) – это та часть памяти, которая не выгружается в файл для выгрузки в течение всего времени работы операционной системы. Остается еще вопрос о том, где хранятся ключи на выключенном компьютере. Рекомендуется их записывать на смарт-карту. Если такой возможности нет, то ключевые данные хранятся на диске, защищенные паролем администратора.

8.3Взаимодействие с пользователем

По умолчанию EFS сконфигурирована таким образом, что пользователь может сразу начать использовать шифрование файлов, поставив в свойствах папки «галочку» напротив слова «шифровать». Операция шифрования и обратная поддерживаются для файлов и каталогов. В том случае, если шифруется каталог, автоматически шифруются все файлы и подкаталоги этого каталога. Необходимо отметить, что если зашифрованный файл перемещается или переименовывается из зашифрованного каталога в не зашифрованный, то он все равно остается зашифрованным. Операции шифрования/дешифрования можно выполнить двумя различными способами - используя Windows Explorer или консольную утилиту Cipher. Консольные утилиты вызываются в командном режиме.

Для того чтобы зашифровать каталог из Windows Explorer, пользователю нужно просто выбрать один или несколько каталогов и установить флажок шифрования в окне расширенных свойств каталога. Все создаваемые позже файлы и подкаталоги в этом каталоге будут также зашифрованы. Таким образом, зашифровать файл можно, просто скопировав (или перенеся) его в "зашифрованный" каталог.

Файлы хранятся на диске в зашифрованном виде. При чтении файла данные автоматически расшифровываются, а при записи - автоматически шифруются. Пользователь может работать с зашифрованными файлами так же, как и с обычными файлами, то есть открывать и редактировать в текстовом редакторе Microsoft Word документы, редактировать рисунки в Adobe Photoshop или графическом редакторе Paint, и так далее. То есть шифрование и дешифрование устроены прозрачно для пользователя.

Необходимо отметить, что ни в коем случае нельзя шифровать файлы, которые используются при запуске системы - в это время личный ключ пользователя, при помощи которого производится дешифровка, еще недоступен. Это может привести к невозможности запуска системы! В EFS предусмотрена простая защита от таких ситуаций: файлы с атрибутом "системный" не шифруются. Однако будьте внимательны: это может создать "дыру" в системе безопасности! Проверяйте, не установлен ли злоумышленником на вашем файле атрибут "системный".

Важно также помнить о том, что зашифрованные файлы не могут быть сжаты средствами Windows 2000 и наоборот. Иными словами, если каталог сжат, его содержимое не может быть зашифровано, а если содержимое каталога зашифровано, то он не может быть сжат. Это – тоже уязвимость EFS, т.к. большие файлы или при недостатке места и не очень большие пользователь вынужден сжимать, а тогда такой файл не может быть зашифрован. Внимание, это все относится только к сжатию на уровне файловой системы. Пользователь может применять упаковщики сторонних производителей.

В том случае, если потребуется дешифровка данных, необходимо просто снять флажки шифрования у выбранных каталогов в Windows Explorer, и файлы и подкаталоги автоматически будут дешифрованы. Следует отметить, что эта операция обычно не требуется, но это необходимо обязательно производить перед переустановкой системы. В противном случае, при переустановке и переписывании реестра потеряются ключи и, следовательно, файлы невозможно будет дешифровать. Последнее очень важно, так как это — фактически потеря данных.