基于NTFS加密文件安全保障.docVIP

基于NTFS加密文件安全保障 　　【 摘 要 】 基于NTFS文件加密是一种相对比较安全的本地信息保护功能。本文从NTFS文件加密的实质以及证书文件、账户许可、管理员账户和数据恢复代理等几个方面，分析了基于NTFS文件加密后的安全保障及可能存在的问题。 　　【 关键词 】 EFS加密；安全保障；管理员权限；数据恢复代理 【 中图分类号 】 G644 　　1 引言 　　目前，在微软正式发布的所有操作系统中，NTFS是其支持的文件系统中最强大的一种。而基于NTFS文件加密就是Windows系统下提供的一种相对比较安全的本地信息保护功能。本文讨论的是在Windows系统下NTFS文件加密的实质和NTFS加密文件后的安全保障及可能存在的问题。 　　（注：文中给出的详细操作或位置关系均以Window 7为例。） 　　2 NTFS文件加密的实质 　　NTFS文件加密技术的核心是基于EFS（Encrypting File System，加密文件系统）。而EFS技术又是一种综合了对称加密和非对称加密的技术，简单解释之就是EFS先随机生成一个密钥FEK，用于加密和解密文件内容；再用账户拥有的公钥对FEK加密，其加密结果随加密文件一起保存。解密文件时要用账户拥有的私钥先解密出PEK，然后，再用FEK去解密文件。 　　在实际应用中，启用NTFS加密功能，其加密/解密过程如同普通文件操作，系统不需要用户提供具体的公钥或私钥进行认证，这使得很多用户往往忽略了这一密钥对（即公钥和私钥）的存在，也不清楚这一密钥对是何时生成的、存放在哪里、与什么有关、又该如何保管等一系列问题。 　　2.1 密钥对生成 　　在Windows系统下，当第一次启用NTFS文件加密功能且当前账户还没有密钥对时，EFS会自动根据当前账户的SID（Security Identifiers，安全标示符）产生一个唯一的密匙对。这一密钥对的唯一性保证了加密文件内容的绝对安全，即便是原账户名、原登录密码且原SID，重新启用NTFS文件加密功能（即原密钥对删除后）再次产生的密钥对也是不同的，所以，用于加密/解密文件的密钥对保管是非常重要的。 　　2.2 密钥对管理 　　在Windows系统里，密钥对是以证书的形式被管理着。执行certmgr.msc命令打开“证书”管理窗口，在个人--证书的右端窗口里即可看到当前账户用于加密文件的证书，其中，公钥证书文件存放于%UserName%＼AppData＼ Roaming＼ Microsoft＼ SystemCertificates＼ My＼ Certificates＼里，而私钥文件是存放于%UserName%＼AppData＼ Roaming＼ Microsoft＼ Crypto＼ RSA＼的SID里。一旦这里的“证书”或公钥/私钥对应的文件被删除，且证书又没事先导出或备份，那加密文件将面临着永久无法访问的危险。 　　2.3 私钥保护 　　为了确保加密文件的安全，Windows系统又对EFS产生的私钥增加了两层保护。第一层保护是系统自动用一个Master Key对账户拥有的“私钥”进行加密，加密的结果放回原位置%UserName%＼AppData＼ Roaming＼ Microsoft＼ Crypto＼ RSA＼的SID里；第二层保护是系统又用由当前账户登录密码派生的Key对Master Key再进行加密，加密的结果存放在%UserName%＼AppData＼ Roaming＼ Microsoft＼ Protect＼ SID里。 　　也就是说，NTFS用于解密文件的密码链共有五层，即帐户登录密码→派生的Key→Master Key→EFS私钥→FEK，如果其中任一对应的文件被删除，甚至最外层的账户登录密码被无端更改，那么对文件的解密都将是徒劳的。另外，这种额外保护也增加了那些试图通过底层访问的非法用户或未授权用户攻击的难度。 　　3 NTFS加密文件的安全保障 　　基于NTFS加密/解密文件的过程，Windows系统内部是需要经过严格的认证的。在严格认证的背后，我们更关心的是文件加密后的安全保障，有四个方面的问题值得关注。 　　3.1 证书文件 　　启用NTFS文件加密功能后，首要做的一件事情就是导出含有密钥对的数字证书。方法是在“证书”管理窗口中，右键点击“预期目的”为“加密文件系统”证书，选择--所有任务--导出--其中选择“导出私钥”即可。导出含有私钥的证书文件类型为 *.pfx，而只含有公钥的证书文件类型为*.cer。 　　证书导出目的是防止系统管理员清理账户或系统重装等而导致加密的文件拒绝打开，或账户密码被篡改或遗忘以至于含有私钥的证书将无法导出等问题发生。除此之外，EFS技术还支持多用户共享，这意味着导出的密钥证书也可共享给可信赖的用户，只