Tengo algunos archivos cifrados con EFS en Windows. La cuenta de usuario propietaria está protegida por una contraseña, que se puede omitir fácilmente (es decir, restablecer) mediante muchas herramientas y métodos.
Entonces, ¿qué pasará con estos archivos cifrados si eso sucede? ¿Serán accesibles para el atacante? ¿O seguirán protegidos y requerirán la clave de cifrado para acceder a ellos?
windows-7
encryption
ntfs
efs
ICTAddict
fuente
fuente
Respuestas:
La respuesta existente es correcta porque la clave privada EFS está protegida por la contraseña del usuario. Sin embargo, es posible configurar agentes de recuperación de datos EFS que puedan descifrar cualquier archivo cifrado con EFS en un sistema. Los certificados DRA se establecen mediante la Política de grupo o la Política de seguridad local si no tiene un dominio.
Los DRA tienen dicho acceso porque cuando un sistema recibe la clave pública de los DRA, cifra la clave simétrica de cada archivo cifrado con la clave pública de cada DRA además de la clave pública del usuario. Por lo tanto, los DRA solo pueden recuperar archivos cifrados si se crearon o abrieron después de registrar su certificado.
Entonces, dependiendo de su configuración, podría ser posible recuperar los datos incluso después de restablecer la contraseña del propietario. Las claves de DRA también están protegidas por la contraseña de DRA, pero un atacante astuto instalaría un certificado de DRA para un nuevo usuario, esperaría a que tocara los archivos de destino y luego aprovecharía el certificado para descifrarlos.
Tenga en cuenta que esta opción de recuperación no se aplica a los datos protegidos con DPAPI, ya que DPAPI no respeta los ERA DRA. Tendrá algo de dolor si necesita recuperar esos datos.
fuente
La clave privada EFS del usuario, así como otros datos privados guardados por Windows, se cifran con la contraseña del usuario. Si se cambia la contraseña, es imposible descifrar las claves privadas, y sin eso, es imposible acceder a los archivos cifrados.
fuente