Mam niektóre pliki zaszyfrowane przez EFS w systemie Windows. Własne konto użytkownika jest chronione hasłem, które można łatwo ominąć (tzn. Zresetować) za pomocą wielu narzędzi i metod.
Co stanie się z tymi zaszyfrowanymi plikami, jeśli tak się stanie? Czy będą dostępne dla atakującego? Czy będą nadal chronione i wymagają klucza szyfrującego, aby uzyskać do nich dostęp?
windows-7
encryption
ntfs
efs
ICTAddict
źródło
źródło
Odpowiedzi:
Istniejąca odpowiedź jest poprawna, ponieważ klucz prywatny EFS jest chroniony hasłem użytkownika. Możliwe jest jednak skonfigurowanie agentów odzyskiwania danych EFS, które mogą odszyfrować dowolny plik zaszyfrowany przez EFS w systemie. Certyfikaty DRA są ustawiane za pomocą zasad grupy lub lokalnych zasad bezpieczeństwa, jeśli nie masz domeny.
DRA mają taki dostęp, ponieważ gdy system otrzymuje klucz publiczny DRA, szyfruje symetryczny klucz każdego zaszyfrowanego pliku za pomocą klucza publicznego każdego DRA oprócz klucza publicznego użytkownika. Dlatego DRA mogą odzyskać zaszyfrowane pliki tylko wtedy, gdy zostały utworzone lub otwarte po zarejestrowaniu certyfikatu.
Tak więc, w zależności od konfiguracji, to mogło być możliwe, aby odzyskać dane nawet po zresetowaniu hasła właściciela. Klucze DRA są również chronione hasłem DRA, ale przebiegły atakujący zainstalowałby certyfikat DRA dla nowego użytkownika, czekał na dotknięcie plików docelowych, a następnie skorzystał z certyfikatu, aby je odszyfrować.
Należy pamiętać, że ta opcja odzyskiwania nie dotyczy danych chronionych przez DPAPI, ponieważ DPAPI nie przestrzega DRA EFS. Jesteś w jakiegoś bólu , jeśli trzeba odzyskać te dane.
źródło
Klucz prywatny EFS użytkownika, a także różne inne prywatne dane przechowywane przez system Windows, są szyfrowane przy użyciu hasła użytkownika. Jeśli hasło zostanie zmienione, nie można odszyfrować kluczy prywatnych, a bez tego nie można uzyskać dostępu do zaszyfrowanych plików.
źródło