Truy cập các tệp được mã hóa EFS sau khi đặt lại mật khẩu Windows

Tôi có một số tệp được mã hóa EFS trong Windows. Tài khoản người dùng sở hữu được bảo vệ bằng mật khẩu, có thể dễ dàng bỏ qua (tức là đặt lại) bằng nhiều công cụ và phương pháp.

Vậy điều gì sẽ xảy ra với các tệp được mã hóa này nếu điều đó xảy ra? Họ sẽ có thể truy cập được cho kẻ tấn công? Hay họ vẫn sẽ được bảo vệ và yêu cầu khóa mã hóa để truy cập chúng?

Câu trả lời hiện tại là chính xác ở chỗ khóa riêng EFS được bảo vệ bằng mật khẩu của người dùng. Tuy nhiên, có thể định cấu hình Đại lý khôi phục dữ liệu EFS có thể giải mã bất kỳ tệp được mã hóa EFS nào trên hệ thống. Chứng chỉ DRA được đặt thông qua Chính sách nhóm hoặc Chính sách bảo mật cục bộ nếu bạn không có tên miền.

DRA có quyền truy cập như vậy bởi vì khi một hệ thống nhận được khóa chung của DRA, nó sẽ mã hóa khóa đối xứng của mỗi tệp được mã hóa với mỗi khóa chung của DRA bên cạnh khóa chung của người dùng. Do đó, DRA chỉ có thể khôi phục các tệp được mã hóa nếu chúng được tạo hoặc mở sau khi chứng chỉ của chúng được đăng ký.

Vì vậy, tùy thuộc vào cấu hình của bạn, có thể khôi phục dữ liệu ngay cả sau khi đặt lại mật khẩu của chủ sở hữu. Các khóa DRA cũng được bảo vệ bởi mật khẩu của DRA, nhưng kẻ tấn công xảo quyệt sẽ cài đặt chứng chỉ DRA cho người dùng mới, đợi bạn chạm vào các tệp mục tiêu, sau đó tận dụng chứng chỉ để giải mã chúng.

Lưu ý rằng tùy chọn khôi phục này không áp dụng cho dữ liệu được bảo vệ bởi DPAPI, vì DPAPI không tôn trọng EFS DRA. Bạn đang đau đớn nếu bạn cần khôi phục dữ liệu đó.

Khóa riêng EFS của người dùng, cũng như nhiều dữ liệu riêng tư khác được Windows lưu giữ, được mã hóa bằng mật khẩu của người dùng. Nếu mật khẩu bị thay đổi, không thể giải mã các khóa riêng và nếu không có điều đó, không thể truy cập các tệp được mã hóa.