EFS (Encrypting File System) er en kerneteknologi til filkryptering, der bruges til at gemme krypterede filer på NTFS-filsystemenheder. Krypterede filer kan ikke bruges, medmindre brugeren har adgang til de nøgler, der kræves for at dekryptere oplysningerne.

Du behøver ikke at dekryptere en krypteret fil manuelt, før du kan bruge den. Du kan åbne og ændre filen, som du ellers gør. Når du har krypteret en fil eller mappe, arbejder du med den krypterede fil eller mappe, som du ville arbejde med en hvilken som helst anden fil eller mappe.

Brugen af EFS svarer til at bruge tilladelser på filer og mapper. Begge metoder kan bruges til at begrænse adgangen til data. En uautoriseret bruger, der skaffer sig uautoriseret fysisk adgang til dine krypterede filer eller mapper, vil dog ikke kunne læse dem. Hvis den uautoriserede bruger prøver at åbne eller kopiere den krypterede fil eller mappe, får vedkommende en meddelelse om, at adgang er nægtet. Tilladelser til filer og mapper beskytter ikke mod uautoriserede fysiske angreb.

Du kan kryptere eller dekryptere en mappe eller en fil ved at indstille krypteringsegenskaben for mapper og filer på samme måde, som du angiver enhver anden attribut som skrivebeskyttet, komprimeret eller skjult. Hvis du krypterer en mappe, krypteres alle filerne og undermapperne i den krypterede mappe automatisk. Det anbefales, at du krypterer på mappeniveau.

Du kan også kryptere eller dekryptere en fil eller en mappe ved hjælp af kommandoen Kryptering.

Når du arbejder med krypterede filer og mapper, skal du overveje følgende oplysninger:

  • Kun filer og mapper på NTFS-enheder kan krypteres. Du kan dog bruge WebDAV (Web distributed authoring and versioning), der også fungerer sammen med NTFS, til at overføre filer i krypteret form.

  • Filer eller mapper, der er komprimeret, kan ikke også krypteres. Hvis brugeren markerer en fil eller en mappe til kryptering, dekomprimeres den pågældende fil eller mappe.

  • En krypteret fil dekrypteres, hvis du kopierer eller flytter filen til en anden enhed end en NTFS-enhed.

  • Hvis du flytter ikke-krypterede filer til en krypteret mappe, krypteres disse filer automatisk i den nye mappe. Hvis du gør det omvendte, dekrypteres filerne dog ikke automatisk. Filer skal udtrykkeligt dekrypteres.

  • Filer markeret med attributtet System kan ikke krypteres, og det kan filer i systemets rodmappestruktur heller ikke.

  • Hvis du krypterer en mappe eller en fil, er den ikke beskyttet mod sletning eller angivelse af filer eller mapper på en liste. Enhver person med de rette tilladelser kan slette eller angive krypterede mapper eller filer på en liste. Derfor anbefales det at bruge EFS sammen med NTFS-tilladelser.

  • Du kan kryptere eller dekryptere filer og mapper på en fjerncomputer, der er aktiveret til fjernkryptering, men de data, der sendes over netværket med denne proces, er ikke krypteret. Der skal bruges andre protokoller, f.eks. SSL/TLS (Secure Socket Layer/Transport Layer Security) eller IEsec, for at kryptere data, mens de sendes over netværket. Du kan også bruge WebDAV, som beskrevet under det første punkttegn, til at sende filen i krypteret form.

Indstillinger for politik til genoprettelse af krypterede data

Du kan bruge Gruppepolitik til at konfigurere en række indstillinger for politik til genoprettelse af krypterede data. Disse politikindstillinger er placeret i Computerkonfiguration\Windows-indstillinger\Sikkerhedsindstillinger\Politikker for offentlige nøgler\Encrypting File System.

Tillade eller ikke tillade genoprettelse af krypterede data

Du kan vælge at tillade eller ikke tillade brugen af genoprettelse af krypterede data fuldstændig. Hvis du ikke konfigurerer nogen indstillinger for politik til genoprettelse af krypterede data, tillades genoprettelse af krypterede data.

Hvis du vælger at tillade genoprettelse af krypterede data, kan du også markere en række indstillinger, f.eks. om en brugers mappe Dokumenter automatisk skal krypteres, om et chipkort er nødvendigt i forbindelse med genoprettelse af krypterede data, om nøgler oprettet på basis af et chipkort skal cachelagres, om en brugernøgle, der kan cachelagres, skal oprettes fra et chipkort, eller om brugerne skal have besked om at tage en sikkerhedskopi af deres krypteringsnøgler.

Tillade eller ikke tillade ECC-kryptering (Elliptic Curve Cryptography)

Du kan vælge, om du vil tillade eller ikke tillade brugen af ECC-kryptering med genoprettelse af krypterede data. Hvis du ikke konfigurerer nogen indstillinger for politik til genoprettelse af krypterede data, tillades ECC-kryptering. ECC-kryptering gør det muligt for organisationen at overholde Suite B-krypteringsstandarder.

Suite B er et sæt kryptografialgoritmer. Der er følgende komponenter i Suite B: AES (Advanced Encryption Standard) med en nøglestørrelse på 128 og 256 bit for symmetrisk kryptering, ECDSA (Elliptic Curve Digital Signature Algorithm) for digitale signaturer, ECDH (Elliptic Curve Diffie-Hellman) for nøgleoverensstemmelse og Secure Hash Algorithm (SHA-256 og SHA-384) for Message Digest.

Indholdsfortegnelse