• Можно также установить использование алгоритма 3DES только службой EFS. Для этого нужно параметру REG_DWORD-типа AlgorithmID, расположенному в ветви реестра HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EFS, присвоить значение ОхббОЗ.
Однако это все произойдет на следующих этапах шифрования файла.4. Получение открытого и закрытого пользовательского ключа
Если раньше пользователь никогда не выполнял шифрование файлов, то генерируется пара пользовательских ключей (закрытый и открытый пользовательские ключи).
В противном случае открытый пользовательский ключ берется из параметра типа REG_BINARY Certif icateHash, расположенного в ветви системного реестра HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\ EFS\CurrentKeys. На основе данных этой ветви реестра создается сигнатура открытого ключа пользователя.
Закрытые же ключи находятся в каталоге %userprof ile%\AppData\Roaming\ Microsoft\Crypto\RSA. Содержимое этого каталога зашифровано на основе симметричного ключа, который называется мастер-ключом пользователя.
Мастер-ключ содержится в каталоге %userprof ile%\AppData\Roaming\ Microsof t\Protect. Он также зашифрован – с помощью алгоритма 3DES и пароля пользователя.5. Создание DDF Для шифруемого файла создается связка ключей DDF (совокупность нескольких DDF, определяющих пользователей, которые могут расшифровать данный файл). DDF хранит информацию о пользователе, который может открыть данный файл, а также о его правах доступа к файлу. В эту информацию входит SID-пользователя, имя контейнера, имя провайдера, зашифровавшего файл, хэш сертификата EFS, используемый при расшифровке, а также зашифрованный FEK.
6. Создание DRF
Для шифруемого файла создается связка ключей DRF. Связка DRF содержит информацию обо всех агентах восстановления, которые могут открыть данный зашифрованный файл. Информация, помещаемая в DRF, аналогична информации, помещаемой в DDF.
Агенты восстановления представляют собой учетные записи пользователей, которые могут открыть зашифрованный файл, даже если они не входят в группу пользователей, которым разрешен доступ к файлу. Как правило, агентом восстановления является администратор. Это сделано для того, чтобы можно было открыть зашифрованные файлы при потере пароля от основного профиля пользователя, который зашифровал файл, или при его повреждении.
Описание работы с агентами восстановления будет приведено далее в этом разделе книги.7. Шифрование
Создается резервная копия шифруемого файла с именем ef sO. tmp. В дальнейшем шифрование будет применяться именно к резервному файлу, после чего его содержимое будет скопировано в исходный файл. И в самом конце произойдет удаление резервного файла, а также файла журнала шифрования.
Окно Дополнительные атрибутыИспользование окна Свойства файла или каталога является очень простой задачей. Для шифрования в этом случае достаточно нажать кнопку Другие, после чего в появившемся окне Дополнительные атрибуты установить переключатель Атрибуты сжатия и шифрования в положение Шифровать содержимое для защиты данных. После этого, как только вы нажмете кнопку ОК, попытавшись тем самым закрыть окно Свойства, перед вами отобразится еще одно окно, название которого зависит от того, шифруете вы файл или каталог. Независимо от названия, данное окно имеет одну и ту же цель. С помощью его переключателей вы можете определить, будет ли шифроваться только выбранный вами файл или каталог или также родительский каталог (при шифровании файла) либо вложенные в папку файлы и каталоги (при шифровании папки).
Обратите внимание на кнопку Подробно окна Дополнительные атрибуты. По умолчанию она неактивна, но если вы зашифруете файл и опять откроете это окно, то сможете воспользоваться этой кнопкой, чтобы отобразить окно Пользовательский доступ к. С помощью этого окна можно добавить пользователей, которые смогут открывать данный зашифрованный файл. По умолчанию его можете открывать только вы (так как в атрибутах файла присутствуют сведения о ключе только для вашей учетной записи). Однако если вы нажмете кнопку Добавить данного окна, то сможете выбрать файл сертификата других пользователей, которые смогут открывать этот зашифрованный файл. А с помощью кнопки Удалить можно удалить добавленных ранее пользователей.
Обратите также внимание на кнопку Архивация ключей, которая активируется при выборе из списка одного из пользователей. С ее помощью можно отобразить окно Мастер экспорта сертификатов, позволяющее экспортировать сертификат выбранного пользователя в файл.
Программа cipher.exeЕсли же вы захотите использовать программу командной строки cipher.ехе, то заметите, что ее возможности несколько расширились, а параметры изменились.
Как и раньше, основной синтаксис программы следующий: cipher [/Е | /В /С] /S:<путь к каталогу> – <дополнительные параметры><файл, каталог или шаблон>. С помощью данного синтаксиса можно выполнить шифрование (параметр /Е), дешифровку (/D) или просмотреть состояние объектов (/С), удовлетворяющих шаблону и расположенных в каталоге, указанном в параметре /S. Дополнительных параметров теперь всего два (раньше было пять): /В и /Н. Если указан параметр /В, то при ошибке в процессе шифрования файлов программа прекратит свою работу (по умолчанию она продолжает шифрование, просто пропуская проблемный файл). А с помощью параметра /Н можно определить, будут ли отображаться скрытые и системные файлы.
Дополнительные возможности программы
Никуда не исчезли и следующие дополнительные варианты синтаксиса программы.
• Cipher – отображает сведения о состоянии файлов и каталогов, расположенных в данной папке.
• Cipher /К – создает новый ключ шифрования для текущего пользователя.
• Cipher /R:<путь и имя файла> – создает новый ключ шифрования пользователя и сертификат агента восстановления EFS. После этого созданная информация записывается в два файла с указанным вами именем, но с разными расширениями: PFX (содержит ключ и сертификат агента восстановления) и CER (содержит только сертификат агента восстановления).
После того как вы введете данную команду, перед вами отобразится запрос с просьбой ввода пароля, который будет защищать файл с расширением PFX. Затем введенный вами пароль нужно ввести еще раз – для подтверждения.
• Cipher /U /N – отображает список всех зашифрованных файлов, расположенных на вашем жестком диске. Если вы не укажете параметр /N, то также будет изменен ключ шифрования для найденных файлов (если вы его только что изменили).
• Cipher /W:<путь к папке> – удаляет всю информацию в неиспользуемом дисковом пространстве на указанном томе.
• Cipher /R:<путь и имя ЕFS-файла><путь и имя файла архива>– архивирует сертификат EFS и ключ шифрования в файл с указанным именем.
Новые возможности программы
Но, кроме этого, программа командной строки cipher.ехе обзавелась и новыми вариантами синтаксиса.
• Cipher /Y – отображает набросок текущего сертификата EFS для вашего компьютера.
• Cipher /ADDUSER [/CERTHASH:
• Cipher /REMOVEUSER /CERTHASH:<хэш сертификата> /S:<путь к каталогу> – <дополнительные параметры><файл, каталог или шаблон> – удаляет пользователя из списка пользователей, которым разрешено открывать данный зашифрованный файл.
• Cipher /REKEY <файл, каталог или шаблон> – заново шифрует указанные шаблоном файлы, используя текущий ключ шифрования файлов пользователя.
Создание сертификата шифрованияРасположение: %systemroot%\system32\rekeywiz.ехе.
Мы уже рассмотрели несколько способов создания EFS-сертификата для текущего пользователя и помещение его в файл. Однако это еще не все способы создания сертификата. Для этого также можно воспользоваться специальным мастером операционной системы Windows Vista, который называется Шифрующая файловая система EFS. Данный мастер можно вызвать либо с помощью программы rekeywiz.ехе, либо с помощью ссылки Управление сертификатами шифрования файлов, отображаемой в мастере Учетные записи пользователей, открыть который можно с помощью одноименного значка папки Панель управления.
Особенностью использования данного мастера является то, что вы можете указать способ хранения создаваемого файла сертификата. Можно выбрать либо хранение сертификата на жестком диске компьютера, либо хранение на смарт-карте, либо хранение в центре сертификации домена Active Directory.
После того как вы выберете место хранения сертификата, нужно будет указать имя файла (если файл сертификата будет храниться на компьютере), а также пароль.
И последним шагом мастера будет указание разделов диска, зашифрованные файлы и каталоги которых будут заново перезашифрованы с использованием нового сертификата (если с помощью мастера Шифрующая файловая система EFS вы создавали новый сертификат пользователя, а не выбрали на первом шаге мастера один из старых сертификатов).
Работа с агентами восстановленияКак было сказано выше, сведения об агентах восстановления заносятся в поле DRF шифруемого файла. Но как же можно добавить нового агента восстановления? Для этого нужно воспользоваться командой Добавить агент восстановления данных контекстного меню раздела Конфигурация компьютера → Конфигурация Windows → Параметры безопасности → Политики открытого ключа → Шифрующая файловая система EFS оснастки gpedit.msc. После выбора данной команды перед вами отобразится Мастер добавления агента восстановления, первым шагом которого будет выбор CER-файла агента восстановления, добавляемого в систему. После этого перед вами появится информация о файле, и после нажатия кнопки Готово новый агент восстановления будет создан. Теперь пользователь, CER-файл которого был добавлен в качестве агента восстановления, сможет расшифровывать любые зашифрованные файлы любого пользователя данной операционной системы.