标签：name   表示   分析   打开文件   use   访问   登录   查看   域环境   

EFS加密原理介绍

• 要想解密，我们首先要了解是怎么加的密，下面介绍EFS加密原理。
  
• 当我们使用EFS对一个NTFS文件进行加密时，Windows系统会生成一个伪随机数FEK（也就是文件加密的钥匙），用这个FEK对文件进行加密同时将文件的原位进行覆写，随后系统利用公钥再进行一次对FEK的加密，加密后的FEK存储在加密文件的EFS属性中。
• 用户访问被加密的文件时，系统是利用私钥先解密FEK，再使用FEK解密文件，这里我们所说的公钥和私钥统称为秘钥，如果用户登录到了域环境中使用，那么决定秘钥生成的是域控制器，如果用户没有登录域环境，那么秘钥的生成依赖于本地机器。
• 通常情况下要解密EFS加密的文件需要依赖于用户私钥，私钥保存在Windows分区的Documents and Settings\%UserName%\Application Data\Microsoft\Crypto\RSA\%UserSID%路径下，这个SID是一个安全的标识符，用来表示账号唯一特征，在账号创建时由Windows系统分配。Windows系统为保护私钥还会对私钥再进行一次加密，称为主密钥，主密钥位于Windows分区的Documents and Settings\%UserName%\Application Data\Microsoft\Protect\%UserSID%，然后再用用户密码生成的密钥对主密钥进行加密。
• 简单对上述这一加密过程进行归纳就形成了“用户密码－>主密钥－>私钥－>FEK－>EFS加密文件”的加密链。如果想要对EFS进行解密，我们需要得到的信息包括用户密码、主密钥、私钥。

  EFS无秘钥情况下解密思路

  1. 查看现有系统占用空间情况，查找或重组加密FEK的私钥、主密钥、
  2. 查看现有mft文件目录的占用空间，根据用户密码进行校验匹配，解密用户文件，
  3. 对解密出来的文件进行校验和逻辑分析，提取所需数据即可。
  4. 如果使用EFS对文件进行了加密，应该及时将秘钥进行备份并妥善保管。
  5. 如果EFS秘钥文件丢失应停止继续使用计算机，降低秘钥被覆盖的可能。

Windows系统EFS加密/解密原理介绍

标签：name   表示   分析   打开文件   use   访问   登录   查看   域环境   

原文地址：https://blog.51cto.com/sun510/2456317