加密文件系统（ EFS ）

英法西概况

加密文件系统（ EFS ）使得用户能够加密文件和文件夹，整个数据硬盘在NTFS格式的卷。 NTFS的，您可以设置权限的文件和文件夹在NTFS格式的音量控制访问这些文件和文件夹。 英，法，西，您可以加密文件和文件夹，以进一步加强安全的这些文件和文件夹。 即使未经授权的人访问管理的文件和文件夹，因为配置不正确的NTFS权限，文件和文件夹将被加密！ 只有文件的所有者，授权用户和指定恢复代理可以解密加密的文件。 在这种方式下，英，法，西确保企业机密数据的未经授权的访问。

英法西利用行业标准的算法和公钥加密，以确保强大的加密功能。 该文件是加密的，因此一直保密。 即使登录身份验证和NTFS文件权限是为了保护机密数据，您可以使用EFS添加额外的安全层。 这将确保，当黑客获得对数据存储的计算机，数据位于担保文件，因为EFS加密。 未经授权的人将无法打开加密文件。

英法西在Windows Server 2003进一步改善的能力英法西在Windows 2000中。 用户正在利用英，法，西可以共享加密文件与其他用户的文件共享，甚至Web文件夹。 您可以配置英，法，西通过组策略的功能和命令行工具。 英，法，西，非常适合以确保敏感数据的便携电脑。 它也运行良好，以确保数据的电脑时，多个用户共享。

如何英法西工程

英法西实际上是牢固结合的NTFS ，它的文件加密和解密过程是透明的用户 。 这意味着，当用户保存文件，英，法，西数据加密的数据被写入磁盘，当用户打开一个文件，它是由英，法，西解密的数据是从磁盘读取。 用户基本上是不知道这个过程中，并没有必要采取任何行动开始EFS加密和解密。 有可能是第三方的技术，可以提供的文件加密功能，但这些计划还没有完全透明的用户。 这些计划，负责将放在用户记住利用加密程序。 这反过来又导致较弱的安全进程，并可能造成安全漏洞的敏感机密数据。

英法西利用键加密和解密数据，加密应用程序编程接口（ CryptoAPI ）的架构，以提供加密功能。 虽然可以使用企业证书颁发机构（ CA ）的证书，这不是必需的。 如果没有十分的情况下，英，法，西标志证书可用于文件加密。 由于此功能，英，法，西可功能的计算机上的一个域的成员，并在独立的计算机。

其中英，法，西的钥匙使用加密和解密数据，是一个公共和私人密钥对，和每个文件加密密钥。 英法西生成一个文件加密密钥（ FEK ）这是一个对称密钥来加密数据。 文件加密密钥（ FEK ）是下一个加密的方式使用非对称加密用户的公钥。 实际使用非对称加密的公用和私人钥匙对加强安全。 加密FEK ，然后储存加密的档案。 当文件需要解密，必须在FEK解密。 该用户的私人钥匙是用来解密FEK 。 该FEK ，然后用来解密的数据文件。

英法西关键特性

英法西的组成部分

英法西使用下列组件能够履行其职责：

如何文件加密和解密

如前所述，英，法，西利用公共密钥和对称密钥加密，以确保内容的文件和文件夹。 该算法在公共密钥加密利用非对称密钥进行加密和解密。 这意味着，该键用来加密和解密数据是不同的，因为私钥和公钥是利用。 私钥存放业主的关键。 公共密钥可以用来在网络上。

当数据被加密，英，法，西产生了一个独特的FEK加密文件。 然后加密FEK使用公钥证书的用户。 英法西使用FEK ，以确保加密发生迅速。 私人钥匙的用户是利用解密FEK 。

下面列出的进程时，就会发生一个用户加密的文件：

下面列出的进程时，就会发生文件解密：

英，法，西及证书

一旦用户可以加密文件夹或文件，英，法，西检查用户是否企业证书存储在个人证书存储。 英法西请求证书时，用户无法找到证书的个人证书存储，从证书颁发机构（ CA ） 。 英法西收益建立一个自签署证书的用户，如果没有企业CA 。 在英法西证书的用户访问时，英，法，西需要加密和解密FEK 。 英法西还再次EFS证书已过期。

证书是从企业CA证书使用模板，存储在Active Directory中。 证书模板的属性详细的证书类型，可发给用户和计算机。 该证书的模板，支持英，法，西的用户，管理员，和基本英法西。 企业。 机关利用访问控制列表（ ACL ）时，以确定是否需要证书请求应予以批准。 用户因此，必须有注册许可的证书模板，已签发的证书。 成员的Domain Admins组和Domain Users组有此权限。 用户可以使用证书管理单元请求证书。

使用下面的步骤，要求来自CA的凭证通过证书管理单元

  1. 打开证书管理单元
  2. 着手扩大个人文件夹。
  3. 右键单击证书，并选择所有任务，然后申请新证书的快捷菜单
  4. 请求新证书向导发射。
  5. 选择的基本选项，英，法，西证书类型屏幕。 单击下一步
  6. 提供信息的友好名称和描述。 单击下一步
  7. 单击完成以退出向导。
  8. 新的证书存储在证书文件夹中。

您可以使用证书管理单元，以检查您是否已经有一个证书

  1. 进行浏览，打开证书管理单元设置为我的用户帐户
  2. 扩大个人文件夹
  3. 右键单击证书，查看证书是否存在

加密/解密文件使用EFS

有人建议，以使EFS加密的文件夹，而不是使它的个人档案。 这样，您就不需要加密时，每一个人档案保存文件。

使用下面的步骤来加密文件夹

  1. 打开我的电脑
  2. 右键单击该文件夹，你要加密，并选择属性从快捷菜单。
  3. 当属性对话框中的文件夹打开，单击高级按钮，在常规选项卡上。
  4. 高级属性对话框。
  5. 在压缩或加密属性部分的高级属性对话框中，使加密内容以便保护数据复选框。
  6. 单击确定以启用加密的文件夹和所有文件是否包含在该文件夹。
  7. 额外的信息显示在一个对话框时，该文件夹包含子文件夹和文件的加密。 邮件提示您验证您的设置是否应适用于该文件夹只或文件夹的子文件夹和文件以及。
  8. 如果您选择更改应用于此文件夹的唯一选择，在发生下列情况：
    • 文件已经存储在该文件夹和任何子文件夹留在原来的状态
    • 文件创建的文件夹中的加密
    • 文件复制到该文件夹由您和其他用户的加密
    • 新创建的文件中，复制或移动到子文件夹留在其原始状态。
  9. 如果您选择更改应用于此文件夹，子文件夹和文件选项时，发生下列情况：
    • 文件已经存储在该文件夹和任何子文件夹被加密，如果您有写权限。
    • 新创建的文件中，复制或移动到子文件夹被加密，无论是您或其他用户

使用下面的步骤可以解密文件夹

  1. 右键单击该文件夹，你要解密，并选择属性从快捷菜单。
  2. 当属性对话框中的文件夹打开，单击高级按钮，在常规选项卡上
  3. 当高级属性对话框，清除加密内容以便保护数据复选框。

如何加密脱机文件

  1. 打开我的电脑
  2. 使用这些工具菜单选择文件夹选项项目
  3. 使用脱机文件标签：
    • 启用脱机文件
    • 加密脱机文件
  4. 单击确定

如何看待的地位， EFS加密

  1. 打开我的电脑
  2. 使用这些工具菜单选择文件夹选项项目
  3. 单击查看选项卡
  4. 使显示加密或压缩的NTFS文件彩色复选框。
  5. 单击确定
  6. 加密文件夹和文件名显示为绿色。

如何使英法西选择快捷菜单上的

如果英法西选项启用快捷菜单上，用户只需右键单击该文件夹或文件进行加密或解密该文件或文件夹。

  1. 单击开始，运行，输入Regedit.exe中在运行对话框中。 单击确定
  2. 打开注册表编辑器
  3. 找到以下子项：

HKEY_LOCAL_MACHINE \软件\微软\的Windows \ CurrentVersion \ Explorer中\高级

  1. 使用编辑菜单中选择新建，然后DWORD值
  2. 着手指定EncryptionContextMenu的值的名称，值数据为1 。
  3. 注册表更改立即生效。

如何使用cipher.exe查看，创建或修改加密的文件夹和文件

Cipher.exe是一个命令行工具，可以用来加密和解密文件夹或文件。 使用密码的命令，没有开关将显示地位加密的文件夹和文件的文件夹内。

的语法密码命令及其参数如下：

cipher [{/e|/d}][/s:Folder][/a][/i][/f][/q][/h][/k][/u [/n]] 电子cipher [{/e|/d}][/s:Folder][/a][/i][/f][/q][/h][/k][/u [/n]]天cipher [{/e|/d}][/s:Folder][/a][/i][/f][/q][/h][/k][/u [/n]] s的cipher [{/e|/d}][/s:Folder][/a][/i][/f][/q][/h][/k][/u [/n]]条cipher [{/e|/d}][/s:Folder][/a][/i][/f][/q][/h][/k][/u [/n]] q一起cipher [{/e|/d}][/s:Folder][/a][/i][/f][/q][/h][/k][/u [/n]]小时cipher [{/e|/d}][/s:Folder][/a][/i][/f][/q][/h][/k][/u [/n]]正 cipher [{/e|/d}][/s:Folder][/a][/i][/f][/q][/h][/k][/u [/n]]

如何授权多个用户访问加密文件

在授权多个用户访问加密文件，请考虑以下几点：

使用以下步骤来共享文件，英，法，西，其他用户

  1. 打开我的电脑
  2. 右键单击加密文件，并选择属性从快捷菜单。
  3. 当高级属性对话框打开，单击详细信息按钮
  4. 加密信息对话框打开。
  5. 单击添加打开选择用户对话框。
  6. 现在您可以添加一个用户从本地计算机，或从Active Directory 。
  7. 单击该证书的用户添加一个用户从本地计算机。 单击确定
  8. 点击查找用户按钮，找到用户在Active Directory中。
  9. 然后单击浏览时，查找用户，联系人和组对话框打开找到的使用者（ ） 。
  10. 单击该文件夹或域，应在搜查浏览集装箱对话框。
  11. 选择的使用者（ ） ，然后单击确定

文件恢复代理

能够恢复数据成为重要的雇员时放错了地方的私人钥匙或离开该组织不解密的所有文件。 这是恢复代理时，变得很重要。 为了利用英，法，西，一个加密数据恢复代理政策必须存在。 英法西自动使用默认的恢复代理时，没有加密的数据恢复代理的政策存在。 成员的Domain Admins组可以指定帐户用于恢复代理帐户。 地方政策可用于独立计算机指定帐户数据恢复代理。 这些帐户通常是管理员帐户。 减阻剂的证书存储在证书存储在计算机当用户接入域的电脑，包括在一系列的EFS回收政策。 这使每个域电脑来存取公共密钥的减阻剂。 加密的文件包含的数据恢复领域，从而持有该文件加密FEK 。 阿减阻剂可以解密加密的文件，在一系列的EFS回收政策，通过利用私人钥匙。
您应该定义多个DRAs通过英，法，西回收政策如果您想多用户能够解密文件。 文件，通常也更加安全，如果只有一个人可以解密文件。 缺点是，虽然该文件是少可收回。

使用以下步骤添加恢复代理的本地计算机

  1. 单击开始，运行，然后输入的MMC在运行对话框中。 单击确定
  2. 选择添加/删除管理单元中从文件菜单中，并单击添加。
  3. 在添加独立管理单元对话框中，选择组策略对象编辑器。 单击添加。
  4. 确保本地计算机已被选中。 单击确定
  5. 在左窗格中，着手展开本地计算机策略，计算机配置， Windows设置，安全设置和公开密钥设置。
  6. 右键单击加密文件系统，然后选择属性从快捷菜单。
  7. 英法西是计算机上运行的，如果允许用户加密文件使用加密文件系统（ EFS ）复选框已启用。 单击确定
  8. 右键单击加密文件系统，并选择添加数据恢复代理的快捷菜单。
  9. 添加恢复代理向导启动。
  10. 提供用户名的用户已恢复证书。 单击下一步
  11. 在选择恢复代理屏幕，浏览文件夹/目录中指定的用户。
  12. 单击下一步。 单击完成。

使用以下步骤删除契约

  1. 使用组策略，在左边窗格中，着手展开本地计算机策略，计算机配置， Windows设置，安全设置公钥策略，加密文件系统
  2. 减阻剂选择您要删除，并删除证书。

如何进口和出口英，法，西和减阻剂的证书和私钥

用户可以确保获得出口加密文件的EFS证书和私钥到可移动媒体。

使用以下步骤来导出证书到可移动介质

  1. 着手进入证书管理单元
  2. 扩大个人文件夹，然后双击证书
  3. 找到并右键单击该证书要出口，并选择所有任务，然后出口的快捷菜单。
  4. 选择是，导出私钥。
  5. 您现在可以选择删除私钥的计算机后，已出口，或者您也可以选择离开它的电脑上。 在选择一种选择适合您的需要，单击下一步
  6. 提供的密码保护导出的私钥。 单击下一步
  7. 提供的名称出口证书和私钥。
  8. 单击下一步。 单击完成。

使用以下步骤导入证书

  1. 着手进入证书管理单元
  2. 扩大个人文件夹，然后右键单击证书，选择所有任务，然后导入的快捷菜单。
  3. 输入证书文件，应该进口。
  4. 提供适当的密码打开该文件
  5. 指定的位置证书应当进口。

如何加强和文件安全的关键

您可以加强安全，将DESX算法，利用英，法，西，以更有力的3DES加密算法。 您可以使用该系统加密组策略设置，使3DES加密的加密IP安全和英，法，西。 但是，您可以更改相应的注册表设置在HKEY_LOCAL_MACHINE \软件\微软\ WindowsNT \ CurrentVersion \英法西主要通过注册表编辑器，使3DES加密加密的英，法，西只。

您也可以使用启动键，以保护主密钥和机密信息，这些信息存放在电脑上。 启动键也称为syskey 。 启动键会自动创建的计算机是一个域的成员。 您必须手动创建一个启动键为一个独立的计算机。

启动关键保护下面的机密资料：


经过启动键被激活，程序启动时发生的情况如下：

使用下面的步骤，以使3DES加密的加密只有英，法，西

  1. 打开注册表编辑器
  2. 找到在HKEY_LOCAL_MACHINE \软件\微软\的Windows NT \ CurrentVersion \英法西的注册表子项。
  3. 使用编辑菜单上的单击新建，然后DWORD值
  4. 插入AlgorithmID的值的名称， 0x6603的数值数据
  5. 这些价值观使3DES加密
  6. 重新启动计算机

使用下面的步骤，以使3DES加密使用组策略

  1. 使用组策略，在左边窗格中，着手展开计算机配置， Windows设置，安全设置，本地策略，安全选项。
  2. 双击系统加密：使用FIPS相容方法于加密政策。
  3. 选择启用
  4. 单击确定

使用下面的步骤，以使启动键

  1. 输入syskey在命令行
  2. 着手单击加密启用。
  3. 单击确定
  4. 选择一个选项的关键。 系统生成的密码，是本地存储选项是默认选项。
  5. 单击确定以重新启动计算机。

使用以下步骤来更改启动键选择

  1. 输入syskey在命令行
  2. 着手单击更新。
  3. 着手更改密码，或者选择不同的关键选择
  4. 单击确定。 重新启动计算机。

如何禁用英法西

您可以禁用英法西的一台计算机或域。 使用以下步骤禁用英法西使用注册表编辑器

  1. 打开注册表编辑器
  2. 找到在HKEY_LOCAL_MACHINE \软件\微软\的Windows NT \ CurrentVersion \英法西的注册表子项。
  3. 使用编辑菜单上的单击新建，然后DWORD值
  4. 插入EfsConfiguration的值的名称，值数据为1
  5. 这些值禁用英法西
  6. 重新启动计算机

英，法，西最佳实践

一些最佳做法，英，法，西概括如下：



最常见的5个免费网络工具

书签加密文件系统（ EFS ）

最新的博客帖子


英文 英文 德语 德语 西班牙语 西班牙语 法文 法文 意大利语 意大利语 葡萄牙语 葡萄牙语 俄文 俄文 荷兰文 荷兰文
希腊语 希腊语 印地文 印地文 日语 日语 韩文 韩文 中文 中文 中文（简体） 中文（简体） 阿拉伯语 阿拉伯语

版权所有2009年技术常见问题解答 。 保留所有权利。 隐私政策。