EFS (Encrypting File System)

In Microsoft Windows haben Sie die Möglichkeit, Daten auf Datenträgern, die das NTFS-Dateisystem verwenden, direkt zu verschlüsseln und somit zu verhindern, dass andere Benutzer diese Daten verwenden können. Sie können Dateien und Ordner verschlüsseln, indem Sie im Dialogfeld Eigenschaften für das Objekt ein entsprechendes Attribut festlegen.

Da der Verschlüsselungs-/Entschlüsselungsvorgang für Benutzer transparent ist, sollten Sie sicherstellen, dass Organisationen, die Dateiverschlüsselung nutzen möchten, hierfür strenge Richtlinien erlassen. Die EFS-Funktion ist in Microsoft Windows XP Home Edition nicht enthalten.

In Microsoft Windows XP unterstützt EFS die gemeinsame Nutzung von verschlüsselten Dateien durch mehrere Benutzer. Mit dieser Unterstützung können Sie einzelnen Benutzern die Berechtigung geben, auf eine verschlüsselte Datei zuzugreifen. Die Möglichkeit, zusätzliche Benutzer hinzuzufügen, ist auf einzelne Dateien beschränkt. Unterstützung mehrerer Benutzer für Ordner wird weder in Microsoft Windows 2000 noch in Windows XP geboten. Auch die Verwendung von verschlüsselten Dateien durch Gruppen wird von EFS nicht unterstützt.

Wenn eine Datei per EFS verschlüsselt wird, generiert das System zuächst einen zufälligen Schlüssel, den sogenannten File Encryption Key (FEK), mit dem die Datei dann mittels des symmetrischen Verschlüsselungsverfahrens DES oder bei Windows XP ab SP1 mittels AES unlesbar gemacht wird. Der FEK wird dann mittels des asymmetrischen RSA-Algorithmus unter Benutzung des öffentlichen Schlüssels des Benutzers verschlüsselt und mit der Datei zusammen abgespeichert. Soll die Datei gelesen werden, wird der FEK mittels des privatenen Schlüssels des Benutzers entschlüsselt, um damit den Klartext der verschlüsselten Datei wiederherzustellen.

Sie können Dateien einzeln verschlüsseln, es ist jedoch generell empfehlenswert, spezifische Ordner festzulegen, in denen Sie Ihre verschlüsselten Dateien speichern, und diesen Ordner zu verschlüsseln. Wenn Sie dies tun, erhalten alle Dateien, die in diesem Ordner erstellt und in diesen Ordner verschoben werden, automatisch das verschlüsselte Attribut.
Dateien werden durch die Verwendung von Algorithmen (Expanded Data Encryption Standard, DESX) oder Triple-DES (3DES)verschlüsselt, die Daten im Wesentlichen neu anordnen, vermischen und codieren. Ein Schlüsselpaar wird nach dem Zufallsprinzip erzeugt, wenn Sie Ihre erste Datei verschlüsseln. Dieses Schlüsselpaar besteht aus einem privaten und einem öffentlichen Schlüssel. Das Schlüsselpaar wird zum Verschlüsseln und Entschlüsseln der verschlüsselten Dateien verwendet. Wenn das Schlüsselpaar verloren geht oder beschädigt wird und Sie keinen Wiederherstellungsagenten (DRA) bestimmt haben, besteht keine Möglichkeit, die Daten wiederherzustellen.

Die Verschlüsselungsdienste sind über den Windows-Explorer verfügbar. Benutzer können eine Datei oder einen Ordner auch mithilfe der Befehlszeilenfunktion cipher verschlüsseln.

In der Eingabeaufforderung schreiben sie nun den Befehl

“cipher /e /s: ordner /a /f /i” ... ganzer Ordner wird verschlüsselt
“cipher /r: dateiname” ... Zertifikat für DRA wird erstellt
“cipher /x” ... Zertifikat wird gesichert
“cipher /n /u” ... suchen nach verschlüsselten Dateien

Da es keine Möglichkeit gibt, Daten wiederherzustellen, die mit einem beschädigten oder fehlenden Zertifikat verschlüsselt wurden, ist es von enormer Wichtigkeit, dass Sie die Zertifikate sichern und an einem sicheren Ort aufbewahren. Sie können auch einen Wiederherstellungsagenten festlegen. Dieser Agent kann die Daten wiederherstellen. Das Zertifikat des Wiederherstellungsagenten dient einem anderen Zweck als das Zertifikat des Benutzers.