| Система EFS и Windows Server 2003
EPS тесно взаимодействует
с NTFS 5.0. Временные файлы, создаваемые приложениями, наследуют атрибуты оригинальных
файлов (если файлы находятся в разделе NTFS). Вместе с файлом шифруются также
и его временные копии. EFS находится в ядре Windows Server 2003 и использует для
хранения ключей специальный пул, не выгружаемый на жесткий диск. Поэтому ключи
никогда не попадают в файл подкачки.
В Windows Server 2003 файловая система
EFS имеет некоторые новые возможности:
- с зашифрованными
файлами могут работать несколько пользователей. Пользователь, зашифровавший файл,
может разрешить другим локальным и доменным пользователям (на компьютерах под
управлением Windows 2000 и Windows XP) работать с этим файлом;
- можно
шифровать автономные папки и файлы (offline folders);
- агент
восстановления (recovery agent) по умолчанию не используется;
- стандартный
алгоритм шифрования — Advanced Encryption Standard, AES (Rijndael) (256 бит).
Алгоритм DESX, используемый по умолчанию системой EFS в Windows 2000 и Windows
XP Professional, не может применяться для шифрования файлов в Windows Server 2003;
- вместо AES может использоваться алгоритм шифрования
3DES (128 или 168 бит), для этого нужно изменить политику безопасности;
- зашифрованные
файлы могут располагаться в веб-папках;
- сертификаты
EFS могут автоматически доставляться пользователю службами сертификатов (Certificate
Services) и механизмом автоподписи сертификатов;
- личные
ключи могут сохраняться и восстанавливаться при помощи средств архивации, имеющихся
в службах сертификатов;
- вся служебная информация,
сохраняемая на диске, не просто удаляется, а очищается (заполняется пустыми байтами);
это увеличивает защищенность шифрованных данных.
Нужно помнить о том, что операции сжатия данных (средствами файловой системы NTFS)
и их шифрования (с помощью EFS) являются несовместимыми, т. е. исключающими друг
друга.
Напомним, что каталоги и файлы можно шифровать только на томах NTFS. Конфигурация EFS, устанавливаемая по умолчанию, позволяет
пользователю шифровать свои файлы без всякого вмешательства со стороны администратора.
В этом случае EFS автоматически генерирует для пользователя пару ключей (открытый
и личный), применяемых для криптозащиты данных, и подписывает сертификат.
Шифрование и дешифрование файлов может быть выполнено как для определенных файлов,
так и для целого каталога. Эти операции прозрачны для пользователя. При шифровании
каталога автоматически шифруются и все входящие в него файлы и подкаталоги. Каждый
файл обладает уникальным ключом, позволяющим легко выполнять операцию переименования.
Если вы переименовываете файл, находящийся в зашифрованном каталоге, и переносите
его в незашифрованный каталог, сам файл остается зашифрованным (при условии, что
целевой каталог находится на томе NTFS 5.0). Средства шифрования и дешифрования
доступны через Windows Explorer. Кроме того, можно использовать все возможности
шифрования данных с помощью набора утилит командной строки и интерфейсов администрирования.
Если зашифрованные файлы хранятся на общих ресурсах, то для работы с ними
пользователи должны иметь сертификат и личный ключ того, кто установил шифрование
этих файлов. Впоследствии каждый пользователь может при необходимости независимо
расшифровать файл при помощи своего личного ключа. | 