{"id":614,"date":"2014-03-09T19:21:27","date_gmt":"2014-03-09T17:21:27","guid":{"rendered":"http:\/\/lkl-it.de\/blog\/?p=614"},"modified":"2014-03-09T19:32:02","modified_gmt":"2014-03-09T17:32:02","slug":"datei-und-ordnerverschlusselung-mit-efs-encrypting-file-system","status":"publish","type":"post","link":"http:\/\/lkl-it.de\/blog\/?p=614","title":{"rendered":"Datei und Ordnerverschl\u00fcsselung mit EFS (Encrypting File System)"},"content":{"rendered":"

Obwohl sich der Zugriff auf Files in Computersystemen durch eine sichere Authentifizierung und Berechtigungen auf Dateisystemebene sch\u00fctzen l\u00e4sst, kann dies nicht mehr gew\u00e4hrleistet werden, wenn ein Angreifer physischen Zugriff auf den Rechner hat (z.B. Diebstahl Firmenlaptop).
\nDer Angreifer k\u00f6nnte diese Sicherheitsma\u00dfnahmen aushebeln, indem er ein anderes Betriebssystem aufspielt bzw. von einer Live-CD startet oder die Festplatte in ein anderes System einbaut.
\nUm dies zu verhindern, kann ein Anwender\u00a0mit einem X.509 Zertifikat f\u00fcr EFS vertrauliche Dateien auf einem NTFS Filesystem so verschl\u00fcsseln, dass diese auch bei physischem Rechnerzugriff nur lesbar sind, wenn der entsprechende Entschl\u00fcsselungsschl\u00fcssel vorhanden ist.<\/p>\n

EFS ist ein Windows Standard-Tool und verwendet zur Verschl\u00fcsselung eine Kombination aus symmetrischen und asymmetrischen Verschl\u00fcsselungsverfahren (siehe Kombination symmetrischer \/ asymmetrischer Verschl\u00fcsselung<\/a>). Der Inhalt der Datei wird mit symmetrischen AES, 3DES oder DESX chiffriert, der symmetrische Verschl\u00fcsselungsschl\u00fcssel selbst wird – mithilfe des \u00f6ffentlichen Schl\u00fcssels des EFS-Benutzerzertifikats \u2013 RSA bzw. ECC verschl\u00fcsselt.
\nDer private Schl\u00fcssel des Benutzers verbleibt gesichert im Benutzerprofil oder auf einer Smartcard\"EFS<\/a>Eine EFS verschl\u00fcsselte Datei kann auch vom Eigent\u00fcmer f\u00fcr mehrere Personen freigegeben werden, dazu wird der symmetrische Verschl\u00fcsselungsschl\u00fcssel zus\u00e4tzlich mit dem Public Key aus den\u00a0 Benutzerzertifikaten der zugriffsberechtigten Personen verschl\u00fcsselt und in der Datei abgelegt<\/p>\n

Anm.: Vorbeugend f\u00fcr den Fall, dass ein privater Schl\u00fcssel besch\u00e4digt oder verloren geht, kann der private Schl\u00fcssel vorher auf eine sicheres Medium exportiert werden oder\u00a0 alternativ in Active Directory basierten IT-Infrastrukturen auf OU Ebene ein Data Recovery Agent bestimmt werden, der als letzte Instanz mit einer Art Generalschl\u00fcssel die Dateien wiederherstellen kann.
\nDies bedeutet, dass bei jedem Verschl\u00fcsselungsvorgang einer Datei durch einen Benutzer, der symmetrische Verschl\u00fcsselungsschl\u00fcssel zus\u00e4tzlich noch einmal durch den \u00f6ffentlichen Schl\u00fcssel des Recovery Agents verschl\u00fcsselt abgelegt wird<\/p>\n

<\/p>\n

<\/p>\n

Nachteile von EFS: <\/span><\/p>\n