Cuando los usuarios pierden sus claves privadas, cualquier información que se haya cifrado de forma persistente con la correspondiente clave pública deja de ser accesible. El uso del archivado y la recuperación de claves ayuda a proteger los datos cifrados frente a pérdidas permanentes si, por ejemplo, es necesario volver a instalar un sistema operativo, la cuenta de usuario para la que se emitió la clave de cifrado originalmente ya no está disponible o ya no se tiene acceso a la clave. Para facilitar la protección de las claves privadas, las entidades de certificación (CA) de empresa de Microsoft pueden archivar las claves de un usuario en su base de datos al emitir los certificados. La CA cifra y almacena estas claves.
Este archivo de claves privadas permite recuperar la clave posteriormente. El proceso de recuperación de claves requiere que un administrador recupere el certificado y la clave privada cifrados; a continuación, un Key Recovery Agent debe descifrarlos. Si se recibe una solicitud de recuperación de claves firmada correctamente, el certificado y la clave privada del usuario se proporcionan al solicitante. A continuación, el solicitante usa la clave del modo correspondiente o la transfiere de forma segura al usuario para su uso continuado. Siempre que no se comprometa la seguridad de la clave privada, no es necesario reemplazar o renovar el certificado con otra clave.
El archivo y la recuperación de claves no están habilitados de forma predeterminada. Esto se debe a que muchas organizaciones consideran que el almacenamiento de la clave privada en varias ubicaciones es un serio peligro para la seguridad. Exigir a las organizaciones que tomen decisiones explícitas acerca de qué certificados se incluyen en el archivo y la recuperación de claves y quién puede recuperar las claves cifradas garantiza el uso del archivo y la recuperación de claves para aumentar la seguridad en lugar de reducirla.
Para completar este procedimiento, debe ser un administrador de CA. Para obtener más información, vea Implementación de la administración basada en funciones.
 | Para configurar el entorno para el archivo de claves de los certificados del Sistema de cifrado de archivos (EFS) |
Cree una cuenta de Key Recovery Agent o designe un usuario existente para que actúe como Key Recovery Agent.
Configure la plantilla de certificado de Key Recovery Agent e inscriba el Key Recovery Agent en un certificado de Key Recovery Agent. Para obtener información, vea Identificación de un agente de recuperación de claves (Key Recovery Agent).
Registre el nuevo Key Recovery Agent con la CA. Para obtener información, vea Habilitación del archivo de claves para una CA.
Configure una plantilla de certificado (por ejemplo, un EFS básico) para el archivo de claves e inscriba a los usuarios en el certificado nuevo. Si los usuarios ya tienen certificados EFS, asegúrese de que el certificado nuevo reemplace el certificado que no incluye el archivo de claves. Para obtener información, vea Configuración de una plantilla de certificado para el archivo de claves.
Inscriba a los usuarios en los certificados de cifrado basados en la plantilla de certificado nueva.
Los usuarios no están protegidos por el archivado de claves hasta que se inscriben en un certificado con la recuperación de claves habilitada. Si ya tienen certificados idénticos emitidos antes de habilitar la recuperación de claves, los datos cifrados con estos certificados no están cubiertos por el archivado de claves.
Para obtener más información acerca del archivo y la recuperación de claves, vea la sección acerca de este tema en Windows Server 2008 (puede estar en inglés) (