Восстановление паролей к EFS | KV.by

Восстановление паролей к EFS | KV.by Сертификаты

Восстановление паролей к efs

В первой части статьи я рассказывал о восстановлении паролей учетной записи пользователя при работе с операционными системами Windows XP/Vista/7 и восстановлении паролей к почте и интернет-сайтам. Следующей задачей, которой часто приходится заниматься при расследовании инцидентов, является восстановление паролей к архивам, почтовым клиентам и EFS (Encrypting File System). Об этом и пойдет речь в данной статье.


Восстановление паролей к EFS

Очень часто мы с вами при исследовании компьютеров можем наблюдать ситуацию, когда по той или иной причине утрачен доступ к папкам или файлам, зашифрованным с помощью EFS (Encrypting File System). Причем зачастую пользователь сам забывает сделать сертификат для восстановления или переустанавливает систему, не расшифровав предварительно соответствующие файлы и папки или не экспортировав сертификат. Как быть в этом случае?

Служба EFS (Encrypting File System) тесно интегрирована с NTFS. Появилась она в Windows 2000. Файловые системы по состоянию на сегодня не обеспечивают необходимый уровень защиты данных от несанкционированного доступа. Ведь, несмотря на то что в NTFS существует разграничение доступа, можно получить доступ, загрузившись из-под сторонней операционной системы. Единственным средством защиты от прочтения является шифрование файлов. Рассмотрим подробнее, как работает EFS.

EFS использует архитектуру Windows CryptoAPI. В ее основе лежит шифрование с открытым ключом. Для шифрования каждого файла случайным образом генерируется ключ шифрования файла. При этом сам файл будет шифроваться с помощью любого симметричного алгоритма шифрования. В данный момент для этого используется алгоритм DESX, который является специальной модификацией DES.

Операции шифрования и дешифрования поддерживаются для файлов и каталогов. В том случае, если шифруется каталог, автоматически шифруются все файлы и подкаталоги этого каталога. Необходимо отметить, что если зашифрованный файл перемещается или переименовывается из зашифрованного каталога в незашифрованный, то он все равно остается зашифрованным. Операции шифрования/дешифрования можно выполнить двумя различными способами – с помощью Windows Explorer или консольной утилиты Cipher.

Зашифрованные файлы хранятся на диске в зашифрованном виде. При чтении файла данные автоматически расшифровываются, а при записи – автоматически шифруются.

Для шифрования в EFS используется схема с общим ключом. При этом данные шифруются симметричным алгоритмом при помощи сгенерированного случайным образом ключа FEK определенной длины. FEK шифруется одним или несколькими общими ключами шифрования, в результате чего получается список зашифрованных ключей FEK. Список зашифрованных ключей FEK хранится в специальном атрибуте EFS, который называется DDF (data decryption field – поле дешифрования данных). Информация, при помощи которой производится шифрование данных, жестко связана с этим файлом. Общие ключи выделяются из пар пользовательских ключей сертификата X509 с дополнительной возможностью использования File encryption. Личные ключи из этих пар применяются при дешифровании данных и FEK.

Про сертификаты:  Как настроить Word/Excel для работы с сертификатом? — Удостоверяющий центр СКБ Контур

FEK также шифруется при помощи одного или нескольких ключей восстановления (полученных из сертификатов X509, записанных в политике восстановления зашифрованных данных для данного компьютера, с дополнительной возможностью File recovery).


Восстановление ключей EFS

На самом деле, правильнее всего в этой ситуации восстановить пароль пользователя. Тогда расшифровать EFS будет значительно проще, мы к этому еще вернемся. Однако необходимо понимать, что даже если у вас нет пароля, все равно можно попробовать расшифровать соответствующие файлы и папки. Для этого предназначено программное обеспечение Advanced EFS Data Recovery.

В данном программном обеспечении для удобства пользователя создан соответствующий мастер Advanced EFS Data Recovery, с помощью которого вы сможете пошагово пройти весь процесс расшифровки. Или можно воспользоваться “Режимом эксперта” для того, чтобы выполнять действия самому.

Восстановление паролей к EFS | KV.by

На мой взгляд, если человек, использующий Advanced EFS Data Recovery, не чувствует себя уверенно, гораздо удобнее задействовать Мастер Advanced EFS Data Recovery. Рассмотрим этот режим более подробно.

На первом этапе работы мастера Advanced EFS Data Recovery система запросит персональный сертификат, использовавшийся для EFS.

Восстановление паролей к EFS | KV.by

Предположим, у вас есть такой сертификат (ситуация крайне редкая, ведь пользователи почему-то либо пренебрегают экспортом сертификатов, либо просто забывают, куда же его экспортировали). В этом случае все достаточно просто. От вас требуется выбрать файл сертификата и ввести пароль сертификата. Далее производится поиск всех зашифрованных с его помощью папок и файлов на локальных разделах. Вы получаете список зашифрованных данным сертификатом файлов, которые можете расшифровать. Естественно, в случае исследования компьютера расшифровывать придется на другой жесткий диск или внешний носитель, дабы ничего не повредить.

Восстановление паролей к EFS | KV.by

Но как быть, если у вас нет сертификата? В этом случае мастер Advanced EFS Data Recovery предложит поискать его на жестком диске. Учтите, что вы сможете искать сертификат не только среди существующих файлов, но и среди удаленных. Но для этого необходимо включить флажок “Сканировать посекторно”. Рекомендуется включать данный режим при повторном сканировании, если на первом проходе вы не обнаружили искомые сертификаты.

Восстановление паролей к EFS | KV.by

Далее некоторое время у вас займет сам поиск ключей. В результате поиска будет выведено окно мастера. Если ключи не найдены, необходимо ввести имя пользователя (владельца EFS) и его пароль или в крайнем случае HEX-код. Как получить пароль пользователя, было описано в предыдущей статье.

Если вам известен пароль пользователя, вы вводите имя соответствующей учетной записи и ее пароль и нажимаете кнопку “Вперед”. Далее происходит дешифрование найденных папок и файлов, зашифрованных с помощью EFS. Как видите, даже если вы переустановили операционную систему, это не означает, что вы потеряли данные, зашифрованные с помощью EFS.

Про сертификаты:  Купить электронную подпись для физического лица в Москве, цены на ЭЦП для физлиц

Не забудьте, что если вы знаете имя и пароль учетной записи, под которой осуществлялось шифрование, процесс расшифровывания займет куда меньше времени. В противном случае можно попытаться осуществить дешифрование с помощью режима эксперта. Хотя надо признать, что вероятность положительного результата в данном случае заметно ниже. Вам будет предложено добавить пароль из словаря. Естественно, считается, что файлы словарей у вас есть.

Хотелось бы отметить следующее. Как мы видим, сегодня существуют достаточно мощные средства восстановления (взлома) паролей. Следовательно, для обеспечения их стойкости у нас есть три пути:

  1. Дальнейшее наращивание длины и сложности (на мой взгляд, путь тупиковый, потому что рано или поздно пользователи начинают путаться, забывать пароли, применять один и тот же на все случаи жизни и т. д.).
  2. Использование биометрических средств аутентификации.
  3. Использование многофакторной аутентификации и сертификатов. Данный путь опять-таки, на мой взгляд, значительно перспективнее, однако стоит учесть, что предлагаемые решения, конечно же, стоят денег, и порой немалых.

Выбор, естественно, за вами.

Владимир БЕЗМАЛЫЙ

Как включить efs шифрование каталога в windows

Пошагово разберем процедуру шифрования данных в Windows 8 с  помощью EFS.

Примечание. Не в коем случае не стоит включать шифрование для системных каталогов и папок. В противнмслучае Windows может просто не загрузится, т.к. система не сможет найти личный ключ пользователя и дешифровать файлы.

В проводник File Explorer выберите каталог или файлы, которые необходимо зашифровать, и, щелкнув ПКМ, перейдите в их свойства (Properties). windows 8 efs шифрование объектов файловой системы

На вкладке General в секции атрибутов найдите и нажмите кнопку Advanced.

В появившемся окне поставьте чекбокс Encrypt contents to secure data (Шифровать содержимое для защиты данных). Шифровать содержимое для защиты файлов в Windows 8

Нажмите дважды ОК.

В том случае, если выполняется шифрование каталога, система спросит хотите ли вы зашифровать только каталог или каталог и все вложенные элементы. Выберите желаемое действие, после чего окно свойств каталога закроется.подтвердить шифрование Зашифрованные каталоги и файлы в проводнике Windows отображаются зеленым цветов (напомним, что синим цветов подсвечены объекты, сжатые на уровне ntfs). Если выбрано шифрование папки со всем содержимым, все новые объекты внутри зашифрованного каталога также шифруются. windows 8 зашифрованные папки в проводникеЗашифрованные каталоги и файлы в проводнике Windows отображаются зеленым цветов (напомним, что синим цветов подсвечены объекты, сжатые на уровне ntfs). Если выбрано шифрование папки со всем содержимым, все новые объекты внутри зашифрованного каталога также шифруются. Восстановление паролей к EFS | KV.by

Управлять шифрованием/дешифрованием EFS можно из командной строки с помощью утилиты cipher. Например, зашифровать каталог C:Secret можно так:

cipher /e c:Secret

Список всех файлов в файловой системе, зашифрованных с помощью сертификата текущего пользователя можно вывести с помощью команды:

cipher /u /n

Как создать резервную копию ключа шифрования efs

Программа для восстановления удаленной папки из Корзины или архива Windows 📁⚕️👨‍💻

Про сертификаты:  SSL сертификат для сайта, купить HTTPS от Timeweb

После включения EFS на панели задач в правом нижнем углу экрана появится небольшой значок. Это ваше напоминание о резервном копировании ключа шифрования EFS.

  1. Подключите USB-накопитель к компьютеру.

  2. Нажмите значок EFS на панели задач.

  3. Нажмите «Архивировать сейчас (рекомендуется)».

  4. Нажмите Далее.

  5. Нажмите Далее.

  6. Установите флажок рядом с паролем, затем введите и подтвердите пароль. Нажмите Далее для продолжения.

  7. Нажмите Обзор, перейдите на USB-накопитель и сохраните файл.

Вот и все. Если вы потеряете доступ к своей учетной записи пользователя, резервный ключ можно будет использовать для доступа к зашифрованным файлам на ПК. Если вы случайно удалите папки и файлы, зашифрованные EFS, используйте наши программы для восстановления зашифрованных NTFS файлов.

Резервное копирование ключа шифрование efs

После того, как пользователь впервые зашифровал свои данные с помощью EFS, в системном трее появится всплывающее окно, сообщающее о необходимости сохранить ключ шифрования.

Back up your file encryption key. This helps you avoid permanently losing access to you encrypted files.

Щелкнув по сообщению, вы запустите мастер резервного копирования сертификатов и ассоциированных с ними закрытых ключей шифрования EFS.

Выберите Back up your file encryption certificate and key

Далее запустится мастер экспорта сертификата . Все настройки экспорта можно оставить стандартными (форматPersonal Information Exchange — PKCS #12 .PFX)

Затем укажите пароль для защиты сертификата (желательно достаточно сложный).

Осталось указать местоположение, куда необходимо сохранить экспортируемый сертификат (в целях безопасности в дальнейшем его необходимо скопировать на внешний жесткий диск /usb флешку и хранить в безопасном месте).

На этом экспорт сертификата шифрования EFS закончен и в случае необходимости им всегда можно будет воспользоваться для расшифровки данных (подробности в статье Как расшифровать данных EFS с помощью сертификата пользователя.

С чего начать шифрование

EFS не доступен в домашних версиях Windows 10, 8 или 7, если вы используете Домашнюю версию – вам не повезло. Само шифрование теряет смысл, если вы не будете использовать надежный пароль со своей учетной записью, так как доступ к зашифрованным данным открывается автоматически при входе систему пользователя, который их зашифровал.

После шифрования файлов система автоматически создаст резервный ключ, который позволит получить доступ к данным, если у вас возникнут проблемы с входом в систему, и вы больше не сможете войти в свою учетную запись. Для этого требуется любой съёмный носитель, лучше всего использовать USB флешку.

Как зашифровать диск Bitlocker – ключ восстановления, разблокировка паролем 🔐💻⚕️

Оцените статью
Мой сертификат
Добавить комментарий