设置Windows的EFS加密代理

1、设置设置windows 2003中的中的efs加密代加密代理理加密代理介绍加密代理介绍 从从windows 2000windows 2000开始，微软为我们提供了一个叫做开始，微软为我们提供了一个叫做efsefs的加密功的加密功能，通过该功能，我们可以将保存在能，通过该功能，我们可以将保存在ntfsntfs分区上的文件加密，分区上的文件加密，让别人无法打开。虽然该功能已经面世很长时间了，不过很多让别人无法打开。虽然该功能已经面世很长时间了，不过很多人因为对这个功能不了解，导致了很多数据丢失的情况发生。人因为对这个功能不了解，导致了很多数据丢失的情况发生。 完全支持完全支持efs加密和解密的操作

2、系统包括加密和解密的操作系统包括windows 2000的所有版本、的所有版本、windows xp专业版（专业版（professional）windows vista商业版（商业版（business）企业版（企业版（enterprise）和旗舰版（）和旗舰版（ultimate）windows vista家庭基础版（家庭基础版（home basic）和家）和家庭高级版（庭高级版（home premium）只能在有密钥的情况）只能在有密钥的情况下打开被下打开被efs加密的文件，但无法加密新的文件。加密的文件，但无法加密新的文件。 加密代理介绍加密代理介绍文件加密操作文件加密操作v文件的加密和解密

3、是很简单的，我们只需要在文件的加密和解密是很简单的，我们只需要在windows资源管理器中用鼠标右键单击想要加密资源管理器中用鼠标右键单击想要加密或解密的文件或文件夹，选择或解密的文件或文件夹，选择“属性属性”，打开，打开“属属性性”对话框的对话框的“常规常规”选项卡，接着单击选项卡，接着单击“高级高级”按钮，打开按钮，打开“高级属性高级属性”对话框。对话框。 在在xp下备份证书下备份证书1. 1. 打开打开“开始开始”菜单，单击菜单，单击“运行运行”，打开，打开“运行运行”对话框，输对话框，输入入“certmgr.msc”certmgr.msc”并回车，打开证书控制台。并回车，打开证书控制台

4、。2. 2. 在在“证书控制台证书控制台”窗口左侧的树形图中依次展开到窗口左侧的树形图中依次展开到“证书当前证书当前用户用户”|“|“个人个人”|“|“证书证书”，随后在右侧窗格中会看到当前用户所，随后在右侧窗格中会看到当前用户所有的个人证书。有的个人证书。 3. 3. 如果你还进行过其他需要证书的操作，这里可能会出现多个证如果你还进行过其他需要证书的操作，这里可能会出现多个证书。我们需要的是书。我们需要的是“预期目的预期目的”被标记为被标记为“加密文件系统加密文件系统”的证书，的证书，在备份的时候记得不要选错了。在备份的时候记得不要选错了。4. 4. 找到要备份的证书后，在该证书上单击鼠标右

5、键，指向找到要备份的证书后，在该证书上单击鼠标右键，指向“所有所有任务任务”，选择，选择“导出导出”，这将打开，这将打开“证书导出证书导出”向导。向导。5. 5. 在向导的第一个界面上单击在向导的第一个界面上单击“下一步下一步”，随后向导会询问是否，随后向导会询问是否导出私钥。因为我们需要备份该证书，方便日后恢复系统时解密文导出私钥。因为我们需要备份该证书，方便日后恢复系统时解密文件，因此这里一定要选择件，因此这里一定要选择“是，导出私钥是，导出私钥”，然后单击，然后单击“下一步下一步”。6. 6. 随后可以看到随后可以看到“导出文件格式导出文件格式”对话框。对话框。 在在xp下备份证书下备份

6、证书 有时候我们可能会希望实现这样的目的：同一个文有时候我们可能会希望实现这样的目的：同一个文件被加密后，可以被本机的两个用户使用，每个用件被加密后，可以被本机的两个用户使用，每个用户都可以查看和编辑文件的内容，但同时文件依然户都可以查看和编辑文件的内容，但同时文件依然处于被加密的状态。这种情况下需要使用处于被加密的状态。这种情况下需要使用efs的共的共享功能。享功能。 该功能在该功能在windows xp和和windows vista下都可以下都可以实现，而且方法几乎是一样的实现，而且方法几乎是一样的 (该方法仅适用于单该方法仅适用于单个文件，不适用于整个文件夹个文件，不适用于整个文件夹 )

7、efs的共享功能的共享功能1. 1. 使用用户使用用户“user”user”登录，在登录，在useruser的桌面上创建一个临时文件，的桌面上创建一个临时文件，按照上文介绍的方法加密（这样做主要是为了生成用户按照上文介绍的方法加密（这样做主要是为了生成用户useruser的的efsefs密钥，以便用户刘晖设置共享）。密钥，以便用户刘晖设置共享）。2. 2. 注销注销useruser，使用刘晖登录。打开，使用刘晖登录。打开windowswindows资源管理器，找到要资源管理器，找到要被共享的被共享的efsefs加密文件，用鼠标右键单击，选择加密文件，用鼠标右键单击，选择“属性属性”，打开，打开

8、“属性属性”对话框。对话框。3. 3. 在在“属性属性”对话框的对话框的“常规常规”选项卡上单击选项卡上单击“高级高级”按钮，按钮，打开打开“高级属性高级属性”对话框，然后单击对话框，然后单击“详细信息详细信息”按钮，打开按钮，打开“用户访问用户访问”对话框。对话框。 efs的共享功能的共享功能4. 4. 单击单击“添加添加”按钮，打开正在加密文件系统对话框，这里列出按钮，打开正在加密文件系统对话框，这里列出了本机上所有具有了本机上所有具有efsefs密钥的用户，从中选择希望共享访问该密钥的用户，从中选择希望共享访问该efsefs文文件的用户，例如件的用户，例如useruser，然后单击，然后

9、单击“确定确定”。5. 5. 随后在随后在“用户访问用户访问”对话框中，可访问这个文件的用户列表中对话框中，可访问这个文件的用户列表中就会显示两个用户。就会显示两个用户。6. 6. 日后如果希望停止与某个用户共享该日后如果希望停止与某个用户共享该efsefs加密文件，只需要打开加密文件，只需要打开“用户访问用户访问”对话框，从列表中选中目标用户，然后单击对话框，从列表中选中目标用户，然后单击“删除删除”按钮，该用户访问这个加密文件的特权就会被删除。按钮，该用户访问这个加密文件的特权就会被删除。7. 7. 单击单击“确定确定”关闭所有打开的对话框。关闭所有打开的对话框。经过上述操作，用户经过上述

10、操作，用户useruser重新登录后就获得了打开该加密文件的特重新登录后就获得了打开该加密文件的特权。在使用该方法的时候需要注意，用户权。在使用该方法的时候需要注意，用户useruser可获得对该加密文件可获得对该加密文件几乎全部的控制权，例如可以把其他用户添加进来，允许其他用户几乎全部的控制权，例如可以把其他用户添加进来，允许其他用户打开该文件，同时打开该文件，同时useruser也可以禁止刘晖打开该文件。因此使用这个也可以禁止刘晖打开该文件。因此使用这个方法和别人共享方法和别人共享efsefs加密文件的时候一定要十分小心，以免给了别加密文件的时候一定要十分小心，以免给了别人访问的特权后，自

11、己反而被排除在外。人访问的特权后，自己反而被排除在外。efs的共享功能的共享功能另外一种问题：另外一种问题：在使用在使用efsefs加密时需要考虑的另外一个问题加密时需要考虑的另外一个问题是加密所用的帐户被删除后的文档恢复工作。例如，公司的是加密所用的帐户被删除后的文档恢复工作。例如，公司的计算机上有一个叫做计算机上有一个叫做“useruser”的帐户，加密了一些机密信息。的帐户，加密了一些机密信息。后来使用该帐户的员工辞职了，因此管理员直接删除了他的后来使用该帐户的员工辞职了，因此管理员直接删除了他的帐户。但不久后处理该帐户的遗留文件时发现，该帐户的一帐户。但不久后处理该帐户的遗留文件时发现

12、，该帐户的一些文件还处于加密状态，而且这些文件全部无法打开。有人些文件还处于加密状态，而且这些文件全部无法打开。有人可能会尝试新建一个名为可能会尝试新建一个名为“useruser”的用户，并使用之前的的用户，并使用之前的useruser帐户一样的密码，但被帐户一样的密码，但被efsefs加密的文件还是打不开。加密的文件还是打不开。 在解释这个问题之前首先要介绍一下什么是在解释这个问题之前首先要介绍一下什么是sidsid（安全标识符）。（安全标识符）。我们都知道，当我们将自己的我们都知道，当我们将自己的windowswindows帐户名称改名后，依然可帐户名称改名后，依然可以使用之前具有的所有权

13、限，似乎改名操作并不会影响用户的以使用之前具有的所有权限，似乎改名操作并不会影响用户的权限方面的设置，其实这就是权限方面的设置，其实这就是sidsid的作用。的作用。sidsid和用户名的关系和用户名的关系类似于我们每个人的名字（用户名）和指纹（类似于我们每个人的名字（用户名）和指纹（sidsid）的关系，名）的关系，名字可以随便改，但每个人的指纹是不会随着名字的变化而变化字可以随便改，但每个人的指纹是不会随着名字的变化而变化的。正因为的。正因为windowswindows是通过是通过sidsid识别不同帐户的，因此在这种情识别不同帐户的，因此在这种情况下重建相同用户名和密码的帐户并不能得到原

14、帐户的况下重建相同用户名和密码的帐户并不能得到原帐户的efsefs证书，证书，进而被加密的文件将无法解密。为了预防这种问题，微软在设进而被加密的文件将无法解密。为了预防这种问题，微软在设计计efsefs加密功能的时候引入了一种叫做恢复代理（加密功能的时候引入了一种叫做恢复代理（recovery recovery agentagent）的机制。）的机制。 什么是什么是sid恢复代理可以理解为默认被共享了本机所有恢复代理可以理解为默认被共享了本机所有efsefs加密文件的用户加密文件的用户（类似于（类似于efsefs的共享，但不等同），在设置了恢复代理后，本机的共享，但不等同），在设置了恢复代理后

15、，本机上所有文件在使用上所有文件在使用efsefs加密的同时，恢复代理的相应信息也会被加密的同时，恢复代理的相应信息也会被保存到文件中。这样日后就算加密该文件的帐户已经不存在，或保存到文件中。这样日后就算加密该文件的帐户已经不存在，或者证书丢失了，我们依然可以使用恢复代理的帐户登录系统，解者证书丢失了，我们依然可以使用恢复代理的帐户登录系统，解密文件。密文件。 什么是恢复代理什么是恢复代理1. 1. 使用希望成为恢复代理的帐户（最好是管理员帐户）登录，然使用希望成为恢复代理的帐户（最好是管理员帐户）登录，然后在该帐户的桌面上创建一个临时文件，例如后在该帐户的桌面上创建一个临时文件，例如“1.t

16、xt”1.txt”。2. 2. 运行运行“cmd”cmd”打开命令提示符窗口，然后使用打开命令提示符窗口，然后使用“cd desktop”cd desktop”命命令进入到该帐户的桌面文件夹下。令进入到该帐户的桌面文件夹下。3. 3. 运行这条命令：运行这条命令：cipher /r:1.txtcipher /r:1.txt，随后输入用于加密证书的密，随后输入用于加密证书的密码（注意，在输入的过程中光标并不会有变化，也不会用星号占据码（注意，在输入的过程中光标并不会有变化，也不会用星号占据输入的密码位数）。随后在桌面上会看到一个名为输入的密码位数）。随后在桌面上会看到一个名为“1.cer”1.c

17、er”和名和名为为“1.pfx”1.pfx”的文件，我们需要使用这些文件将当前登录的用户指的文件，我们需要使用这些文件将当前登录的用户指定为恢复代理。定为恢复代理。 建立恢复代理建立恢复代理4. 4. 运行运行“secpol.msc”secpol.msc”，打开，打开“本地安全策略控制台本地安全策略控制台”。在控制。在控制台窗口左侧的树形图中依次进入到台窗口左侧的树形图中依次进入到“安全设置安全设置”|“|“公钥策公钥策略略”|“|“加密文件系统加密文件系统”。5. 5. 用鼠标右键单击用鼠标右键单击“加密文件系统加密文件系统”节点，选择节点，选择“添加数据恢复添加数据恢复代理程序代理程序”命

18、令，打开命令，打开“添加故障恢复代理向导添加故障恢复代理向导”。6. 6. 在向导的第一个界面上单击在向导的第一个界面上单击“下一步下一步”，在随后出现的界面上，在随后出现的界面上单击单击“浏览文件夹浏览文件夹”按钮，并找到在第一步备份出来的证书按钮，并找到在第一步备份出来的证书1.cer1.cer。7. 7. 在导入的过程中，在导入的过程中，windowswindows可能会提示你可能会提示你windowswindows无法判断此证无法判断此证书是否被吊销，询问是否继续。在单机或者工作组环境下这是正常书是否被吊销，询问是否继续。在单机或者工作组环境下这是正常的，可以不用理会，单击的，可以不用理会，单击“是是”。8. 8. 随后我们可以看到，添加故障恢复代理向导中已经列出了一个随后我们可以看到，添加故障恢复代理向导中已经列出了一个恢复向导，这表示我们的操作是正确的，单击恢复向导，这表示我们的操作是正确的，单击“下一步下一步”，然后单，然后单击击“完成完成”。当然，如果需要，我们可以添加多个恢复代理。当然，如果需要，我们可以添加多个恢复代理。 建立恢复代理建立恢复代理9. 9. 经过上述设置，在本地安全策略控制台的经过上述设置，在本地安全策略控制台的“加密文件系统加密文件系统”节节点下会显示本机指定的所有恢复代理，这表示当前本机已经具有了点下会显示本