EFS (Encrypting File System) -salaus on tiedostojen perussalaustekniikka, jota käytetään salattujen tiedostojen tallentamiseen NTFS-tiedostojärjestelmää käyttäviin asemiin. Salattuja tiedostoja ei voi käyttää, ellei käyttäjällä ole tietojen salauksen purkamiseen tarvittavien avainten käyttöoikeutta.

Sinun ei tarvitse purkaa salatun tiedoston salausta manuaalisesti, ennen kuin voit käyttää tiedostoa. Voit avata tiedoston ja muuttaa sitä tavalliseen tapaan. Salattua tiedostoa tai kansiota käsitellään samalla tavalla kuin muitakin tiedostoja ja kansioita.

EFS-tiedostojärjestelmän käyttö muistuttaa käyttöoikeuksien määrittämistä tiedostoille ja kansioille. Kumpaakin menetelmää voi käyttää tietojen käytön rajoittamiseen. Tunkeilija, joka saa salatut tiedostot tai kansiot luvatta fyysisesti käyttöönsä, ei pysty lukemaan niitä. Jos tunkeilija yrittää avata tai kopioida salatun tiedoston tai kansion, hän näkee sanoman, joka kertoo, että käyttö on estetty. Tiedostojen ja kansioiden käyttöoikeudet eivät estä luvattomia fyysisiä hyökkäyksiä.

Kansio tai tiedosto salataan tai sen salaus puretaan määrittämällä kansioiden ja tiedostojen salausominaisuus, joka on samanlainen ominaisuus kuin vain luku-, pakattu- tai piilotettu-määrite. Jos salaat kansion, järjestelmä salaa automaattisesti myös kaikki sen sisältämät tiedostot ja alikansiot. Microsoft suosittelee salauksen tekemistä kansiotasolla.

Myös Cipher-komennolla voi salata tiedoston tai kansion tai purkaa sen salauksen.

Kun käsittelet salattuja tiedostoja ja kansioita, ota huomioon seuraavat seikat:

  • Vain NTFS-asemien tiedostoja ja kansioita voi salata. Tiedostojen siirtämiseen salatussa muodossa voi käyttää WebDAV (Web Distributed Authoring and Versioning) -tekniikkaa, joka toimii NTFS-tiedostojärjestelmässä.

  • Pakattuja tiedostoja ja kansioita ei voi salata. Jos käyttäjä valitsee tiedoston tai kansion salattavaksi, kyseisen tiedoston tai kansion on oltava pakkaamaton.

  • Salattujen tiedostojen salaus puretaan, jos ne siirretään tai kopioidaan muuhun kuin NTFS-asemaan.

  • Jos salaamattomia tiedostoja siirretään salattuun kansioon, järjestelmä salaa ne automaattisesti uudessa kansiossa. Päinvastainen toiminta ei kuitenkaan automaattisesti pura tiedostojen salausta. Tiedostojen salaus on purettava erikseen.

  • Järjestelmä-määritteellä merkittyjä tiedostoja ei voi salata eikä myöskään järjestelmän pääkansiorakenteen tiedostoja.

  • Kansion tai tiedoston salaaminen ei suojele niitä poistolta tai luetteloinnilta. Kuka tahansa, jolla on riittävät oikeudet, voi poistaa salattuja kansioita ja tiedostoja tai tarkastella niiden luetteloa. Siksi on suositeltavaa käyttää EFS-tiedostojärjestelmää yhdessä NTFS:n kanssa.

  • Voit salata etätietokoneessa sijaitsevia etäsalausta tukevia tiedostoja tai kansioita tai purkaa niiden salauksia, mutta tässä tämän prosessin verkossa siirtämiä tietoja ei salata. Verkon kautta siirrettävien tietojen salaamiseen siirron aikana on käytettävä muita protokollia, joita ovat esimerkiksi SSL/TLS (Secure Socket Layer/Transport Layer Security) tai IPsec (Internet Protocol security). (Voit siirtää tiedoston salatussa muodossa myös käyttämällä WebDAV-tekniikkaa, joka on kuvattu luettelon ensimmäisessä kohdassa.)

EFS-käytäntöasetukset

Useita EFS-käytäntöasetuksia voi määrittää ryhmäkäytännön avulla. Nämä käytäntöasetukset sijaitsevat kohteessa Tietokoneasetukset\Windows-asetukset\Suojausasetukset\Julkisten avainten käytännöt\Encrypting File System -salaus.

EFS-salauksen käytön salliminen tai estäminen

Voit valita, sallitko tai estätkö EFS-tiedostojärjestelmän käytön kokonaan. Jos EFS-tiedostojärjestelmälle ei määritetä mitään käytäntöasetuksia, sen käyttö on sallittu.

Jos haluat sallia EFS-salauksen käytön, voit valita useista vaihtoehdoista. Voit salata Tiedostot-kansion automaattisesti, edellyttää älykortin käyttämistä EFS-salauksen kanssa, kopioida älykortin perusteella luodut avaimet välimuistiin, luoda välimuistiin kopioimista tukevan käyttäjäavaimen älykortista tai ilmoittaa käyttäjille, että heidän tulee varmuuskopioida salausavaimensa.

ECC (Elliptic Curve Cryptography) -salauksen käytön salliminen tai estäminen

Voit valita, sallitko vai estätkö ECC (Elliptic Curve Cryptography) -salauksen käytön EFS-salauksen kanssa. Jos et määritä EFS-salaukselle mitään käytäntöasetuksia, ECC-salauksen käyttö sallitaan. ECC-salaus mahdollistaa sen, että organisaatio noudattaa Suite B -salausstandardeja.

Suite B on salausalgoritmien joukko. Suite B:n osat ovat seuraavat: AES (Advanced Encryption Standard) -algoritmi, jonka avaimen koko on 128 tai 256 bittiä, symmetriselle salaukselle, RCDSA (Elliptic Curve Digital Signature Algorithm) -algoritmi digitaalisille allekirjoituksille ECDH (Elliptic Curve Diffie-Hellman) -algoritmi avainsopimukselle ja Secure Hash Algorithm -algoritmi (SHA-256 ja SHA-384) sanoman koontiarvolle.

Sisällys