Восстановление после сбоев

Дополнительная информация о шифровании файлов EFS

Основные этапы процесса шифрования

1. Загружается профиль пользователя, если это необходимо.

2. В каталоге System Volume Information создаётся файл журнала. Здесь тот же механизм транзакции, похож на NTFS-ный. По мере выполнения следующих этапов в журнал заносятся записи, позволяющие восстановить файл после сбоя системы в процессе шифрования.

3. Криптопровайдер генерирует для файла случайное 128-битное число, используемое в качестве FEK.

4. Генерируется или считывается криптографическая пара ключей пользователей.

5. Для файла создаётся связка ключей DDF с элементом для данного пользователя. Этот элемент содержит копию FEK, зашифрованную с помощью открытого ключа пользователя.

6. Для файла создаётся связка ключей DRF. В ней есть элементы для каждого агента восстановления в системе. В каждом элементе содержится копия FEK, зашифрованная с помощью открытого ключа агента.

7. Создаётся резервный файл в том каталоге, где находится шифруемый файл.

8. Связки ключей DDF и DRF добавляются к заголовку и сопоставляются с файлом, как атрибут EFS.

9. Резервный файл помечается, как шифрованный, и в него копируется содержимое исходного файла.

10. Содержимое исходного файла уничтожается, в него копируется содержимое резервного файла. В результате этой операции данные исходного файла шифруются, так как теперь файл помечен, как шифрованный.

11. Удаляется резервный файл.

12. Удаляется файл журнала.

13. Выгружается профиль пользователя.

Имя файла журнала EFS – Efsx.log, где x – уникальное целое число.

Пары ключей пользователей перечислены в разделе реестра HKEY_CURRENT_USER\Software\Microsoft\Windows NT\Current Version\EFS\CurrentKeys\CertificateHash.

Резервный файл именуется, как Efs0.tmp.

Хотя доверять EFS нельзя, это всё-таки лучше, чем ничего. Используя предложенный алгоритм шифрования мы, как минимум, повышаем квалификацию возможного злоумышленника и заставляем проводить его немало операций вручную.

При сбое системы во время шифрования согласованные данные сохранятся в одном из файлов – исходном или резервном.

При восстановлении после сбоев Lsass ищет файлы журналов EFS и по их содержимому определяет порядок восстановления состояния системы (т.е. какой из файлов следует считать правильным, а какой – удалить).

Результат – файловая система возвращается в целостное состояние без потери данных.

Не хватает механизмов контроля целостности, правильно ли у нас зашифровался/расшифровался файл.

Дата добавления: 2014-01-03