Windows Server 2003 加密文件系统.pptVIP

数据加密 Windows Server 2003的数据加密功能称为EFS(Encrypting File System)。 一旦启用此功能，系统在存盘时会先将数据加密后再写入；而读取加密过的文件时，系统也会自动先解密。 加密前的内容称为明文文字(Plain text)，加密后无法辩读的内容则称为加密文字(Cipher或Cipher text)。加密过程中需利用一组特殊的字符串参与加密时的运算，这个字符串称为密钥(Secret key)。 EFS所使用的加密方式 对称式加密(Symmetric) 在加密和解密时使用同一把密钥进行运算。 非对称式加密(Asymmetric) 加密和解密时使用两把不同的密钥，一把称为公开密钥(Public key)，另一把称为私有密钥(Private key)。 在多数场合，都是以公开密钥加密，而以私有密钥解密。 EFS同时采用两种加密方式，不但具有对称式加密处理速度快的长处，也保留了非对称式加密较好的安全性。 EFS的运行方式 当用户将文件设为加密时，EFS会自动为用户产生一把公开密钥和一把私有密钥，并执行以下动作： 对于每一个需要加密的文件，随机产生一把用来加密的密钥，该密钥称为FEK(File Encryption Key)。 使用FEK以对称式加密法将文件加密。 以用户的公开密钥，将这把FEK以非对称式加密法加密。 将加密后的FEK与加密后的文件一同存放。 用户读取自己加密的文件时，EFS会执行以下动作： 以用户的私有密钥解开加密的FEK。 用FEK将文件解密。 注意事项 加密功能可应用在文件夹或单独的文件上。 具有“系统”属性的文件不能加密，也不能对%systemroot%文件夹加密。%systemroot%默认是C:\Windows。 加密和压缩不能同时使用。 不能对整个磁盘驱动器加密。 文件夹加密(1) 文件夹加密(2) 文件夹加密(3) 文件夹加密(4) 文件加密(1) 文件加密(2) 文件加密(3) 文件加密(4) 文件加密(5) 允许他人将文件解密(1) 允许他人将文件解密(2) 允许他人将文件解密(3) 允许他人将文件解密(4) 加密数据修复代理 利用修复代理(Recovery Agent)，系统管理员可指定特定帐户为修复代理人，而修复代理人可将任何用户加密的文件解密。 Windows Server 2003默认的修复代理人便是Administrator。 修复代理的原理 EFS在加密时，会将FEK以文件加密者的公开密钥加密后，与文件一起存放；同时EFS也会将FEK以修复代理人的公开密钥加密后，与文件一起存放。 修复代理是不能向前进行的。如果某些文件是在user成为修复代理人之前，就已经加密，则user成为修复代理后，并不会回头将这些文件加上以自己公开密钥加密的FEK，自然也解不开这些加密文件。 指定修复代理人 假设要指定用户test为修复代理，步骤如下： 将test临时加入Administrators组； 通过runas命令以test的身份运行cipher.exe； 将test的.cer 文件（包含公开密钥）导入组策略； 执行gpupdate.exe 更新组策略； 将test用户自Administrators组删除，恢复其原有权限； 将test用户的.pfx文件（包含私有密钥）导入； test用户登录后便能够解读所有人加密的文件。 生成.cer和.pfx文件(1) 生成.cer和.pfx文件(2) 生成.cer和.pfx文件(3) 生成.cer和.pfx文件(4) 导入.cer文件(1) 导入.cer文件(2) 导入.cer文件(3) 导入.cer文件(4) 导入.cer文件(5) 导入.cer文件(6) 导入.cer文件(7) 导入.cer文件(8) 导入.pfx文件(1) 导入.pfx文件(2) 导入.pfx文件(3) 导入.pfx文件(4) 导入.pfx文件(5) 导入.pfx文件(6) 导入.pfx文件(7) 导入.pfx文件(8) 导入.pfx文件(9) 导入成功后运行gpupdate.exe 更新组策略，然后将test用户自Administrators组删除。 只有需要修复代理解密时才导入.pfx文件。 * * 若将加密的文件移动到FAT/FAT32文件系统的磁盘，该文件就会自动被解密。 若将加密的文件移动/复制到NTFS文件系统的磁盘，则无论目的文件夹是否设置加密或压缩，移动/复制过去的文件仍然保持加密。 如果选择用户对话框只有加密者一个用户，通常是因为要加入的用户先前未做过加密动作。此时必须请该用户先登录，并加密任意文件，EFS便会产生该用户的证书。有了证书之后，他的帐户名称才会出现在上面的对话框中。 Runas /user:test “cipher