加密文件系統 (EFS) 是一個(gè)功能強大的工具，用于對客戶(hù)端計算機和遠程文件服務(wù)器上的文件和文件夾進(jìn)行加密。它使用戶(hù)能夠防止其數據被其他用戶(hù)或外部攻擊者未經(jīng)授權的訪(fǎng)問(wèn)。它是NTFS文件系統的一個(gè)組件，只有擁有加密鑰和故障恢復代理可以讀取數據。
EFS的應用條件：1、NTFS；2、具有系統屬性的文件無(wú)法加密
故障恢復代理：指定用于進(jìn)行EFS文件恢復的用戶(hù)賬號，該賬號將申請一張文件故障恢復的證書(shū)，同是還有持有與這張證書(shū)相應的公鑰私鑰對，用于對加密文件進(jìn)行故障恢復。
EFS加密過(guò)程：1、當一個(gè)用戶(hù)第一次加密某個(gè)文件時(shí)，EFS會(huì )在本地證書(shū)產(chǎn)生一個(gè)EFS證書(shū)（非對稱(chēng)）；2、EFS也會(huì )隨機產(chǎn)生一個(gè)FEK（文件加密密鑰，對稱(chēng)）3、EFS會(huì )用第一步產(chǎn)生的證書(shū)的公鑰對FEK進(jìn)行加密4、EFS會(huì )將加密后的FEK存儲在DDF（數據解壓區）（DDF區域大約能夠存儲近800個(gè)經(jīng)過(guò)用戶(hù)公鑰加密的FEK）
實(shí)驗環(huán)境：獨立服務(wù)器R2RODC(安裝好Windows Server 2008 R2）
實(shí)驗要求：
EFS的基本操作
備份文件恢復密鑰
新增故障恢復代理
操作步驟：
為了便于演示，我在C盤(pán)建立一個(gè)文件夾EFSFOLDER，并在這個(gè)文件夾下建立了一個(gè)文件1.txt
一、EFS的基本操作
啟用EFS可以在圖形界面完成，也可以通過(guò)命令Cipher完成。相比圖形界面，Cipher更為加大。
加密完成后，默認情況加密后的文件(文件夾）會(huì )彩色顯示。
我們也可以使用命令完成以上任務(wù)：
默認情況下Cipher加密文件夾命令并不會(huì )加密碼文件夾中已存在的文件，而是讓W(xué)indows加密文件中的新文件。所以要加加密C:\EFSFolder文件夾以及其中已存在的文件，需要輸入以下命令
Cipher /E C:\EFSFolder
Cipher /E C:\EFSFolder\*
當然我們也可以輸入以下命令Cipher /e /s:c:\efsfolder（注意/s和后面的文件夾路徑不能留空格）
解密
Cipher /d C:\EFSFolder(解密文件夾，不含文件）
Cipher /d C:\EFSFolder\* (解密文件下的文件)
二、備份密鑰
圖形方式
1、打開(kāi)控制面版下的用戶(hù)賬號，進(jìn)行如下圖操作
2、運行MMC，添加管理單元，選擇“證書(shū)”，選擇我的用戶(hù)賬號
選擇“個(gè)人”“證書(shū)”，操作如下圖
3、通過(guò)Cipher命令備份
cipher /x
三、恢復代理
在操作之前，我先啟用c:\efsfolder文件夾的EFS，下面通過(guò)操作增加故障恢復代理dcadmin,同時(shí)演示在增加前后對文件的影響
1、增加故障恢復代理
注銷(xiāo)計算機，以EFSadmin登錄計算機。
運行cipher /r:C:\Users\EFSAdmin\efsadmin
導入上一步操作產(chǎn)生efsadmin.pfx。打開(kāi)這個(gè)文件所在文件夾，雙擊這個(gè)文件出現向導，選擇導入（過(guò)程略）
注銷(xiāo)計算機，以administrator登錄計算機,運行Gpedit.msc,進(jìn)行如下操作
現在注銷(xiāo)administrator,以efsadmin登錄，打開(kāi)c:\efsfolder下的1.txt還是不能打開(kāi)（這是因為故障恢復只能打開(kāi)添加代理之后的文件，而1.txt是添加之前的文件）
重新以administrator登錄，運行cipher /u然后以efsadmin登錄，就可以打開(kāi)1.txt文件了；或者先解密，然后再加密。
補充說(shuō)明
1、啟用右鍵快鍵中的加密
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"EncryptionContextMenu"=dword:00000001
2、域中計算機上的數據恢復代理
在建立第一個(gè)DC時(shí)，即將為該域配置一個(gè)默認的恢復策略，默認的恢復策略使用自簽名證書(shū)，將域管理員賬號作為恢復代理。如果使用默認的恢復策略，則不需要使用再申請恢復證書(shū)。如果域中需要多個(gè)恢復代理，則需要頒布恢復證書(shū)。
要求：必須有CA；CA中的策略必須允許指定用戶(hù)（代理）申請并獲取文件恢復證書(shū)；每個(gè)用戶(hù)必須申請一個(gè)文件恢復證書(shū)。
步驟：設置企業(yè)CA；為指定為恢復代理的用戶(hù)創(chuàng )建安全組；將創(chuàng )建的安全組添加到EFS恢復模板中；申請文件恢復證書(shū)；將證書(shū)導出為.cer證書(shū)文件；將導出的證書(shū)文件添加到恢復策略中
3、禁止EFS
可以通過(guò)組策略或通過(guò)修改注冊表
| 注冊表鍵: |
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EFS |
| 鍵值名稱(chēng): |
EfsConfiguration |
| 數據類(lèi)型: |
REG_DWORD (DWORD Value) |
| 數據內容: |
(1 = disable EFS, 0 = enable EFS) |
本文出自 “從心開(kāi)始” 博客，請務(wù)必保留此出處http://ycrsjxy.blog.51cto.com/618627/203023
