Алексей Виноградов - Домашний доктор для вашего ПК

Хранение зашифрованных файлов на удаленных серверах

В Windows XP поддерживается хранение зашифрованных файлов на удаленных серверах. Пользователи могут удаленно использовать шифрованную файловую систему, когда оба компьютера являются членами одного леса Windows XP. Зашифрованные данные не шифруются при передаче по сети, а только при сохранении на диске. Исключения составляют случаи, когда система включает протокол IPSec или протокол WebDAV. IPSEC шифрует данные при передаче по сети TCP / IP. Если файл был зашифрован перед копированием или перемещением в папку WebDAV на сервере, он останется зашифрованным при передаче и во время хранения на сервере.

Зашифрованные файлы недоступны для клиентов Macintosh. Не поддерживается хранение сертификатов и закрытых ключей шифрованной файловой системы на смарт-картах. Не поддерживается усиленная защита закрытых ключей для закрытых ключей EFS.

Прежде чем файлы на удаленных серверах смогут шифроваться пользователями, администратор должен назначить удаленный сервер доверенным для делегирования. Это позволит всем пользователям шифровать файлы на этом сервере.

Закрытый ключ – секретная половина криптографической пары, используемая при шифровании с применением открытых ключей. Закрытые ключи обычно используются при расшифровке симметричных ключей сеансов, создании цифровых подписей и расшифровке данных, зашифрованных соответствующим открытым ключом.

Шифрованная файловая система (EFS) – средство Windows XP, позволяющее пользователям шифровать файлы и папки на диске тома NTFS для защиты от злоумышленников.

Агент восстановления – пользователь, которому выдан сертификат открытого ключа для восстановления пользовательских данных, закодированных шифрованной файловой системой (EFS).

Восстановление очень важно, если данные зашифрованы сотрудником, который ушел или потерял закрытый ключ. Восстановление данных доступно для шифрованной файловой системы (EFS) как часть общей политики безопасности для системы. Например, если утерян сертификат шифрования файлов и связанный закрытый ключ (из-за сбоя диска или по какой-либо другой причине), восстановление данных возможно с помощью лица, назначенного агентом восстановления. Организация может после увольнения сотрудника восстановить данные, зашифрованные им.

Шифрование с применением открытых ключей

Метод шифрования, использующий два математически связанных шифровальных ключа. Один ключ называется закрытым и хранится в недоступном месте. Другой ключ называется открытым и свободно предоставляется любым потенциальным пользователям. Как правило, отправитель использует открытый ключ получателя для шифрования данных. Только получатель имеет связанный закрытый ключ для расшифровки этого сообщения. Связь между открытым и закрытым ключами настолько сложна, что, при условии достаточной длины ключей, невозможно вычислить один ключ на основе другого. Шифрование с применением открытых ключей называется также асимметричным шифрованием.

Политика восстановления

Файловая система EFS использует политики встроенного восстановления данных. Recovery policy – это политика открытого ключа, которая обеспечивает назначение одной или нескольких учетных записей пользователя агентами восстановления шифрованных данных.

Политика восстановления по умолчанию настроена локально для автономных компьютеров. Для компьютеров, которые являются частью сети, политика восстановления настраивается на уровне домена, организационной единицы или отдельного компьютера и применяется ко всем компьютерам, работающим под управлением Windows XP, в пределах области влияния. Центр сертификации (ЦС) выдает сертификаты восстановления, и для управления ими используется оснастка «Сертификаты».

В домене Windows XP политика восстановления, используемая по умолчанию, внедряется при настройке первого контроллера домена. Администратор домена выпускает самозаверяющий сертификат, который указывает на администратора домена как на агента восстановления. Чтобы изменить политику восстановления для домена, используемую по умолчанию, войдите в первый контроллер домена с учетной записью администратора. В политику в любое время можно добавить дополнительных агентов восстановления и удалить исходного агента.

Поскольку подсистема безопасности Windows XP обрабатывает приведение в исполнение, репликацию и кэширование политики восстановления, пользователи могут реализовывать шифрование файлов на системах, которые временно работают автономно, например на переносном компьютере. Этот процесс аналогичен входу в учетную запись домена с помощью кэшированных сведений.

Агенты восстановления

Сертификат X.509v3 – третья версия рекомендации ITU-T на X.509 для синтаксиса и формата сертификатов. Стандартный формат, используемый Windows XP в процессах, связанных с сертификатами. Сертификат X.509 содержит открытый ключ и сведения о лице или объекте, которому выдан сертификат, сведения о самом сертификате, а также дополнительные сведения о выдавшем его центре сертификации (ЦС).

Агентом восстановления называется пользователь, уполномоченный расшифровывать данные, зашифрованные другим пользователем. Агентам восстановления не нужны никакие другие разрешения для выполнения задачи. Использование агента восстановления может потребоваться, например, если сотрудник покидает организацию и остающиеся после него данные нужно расшифровать. Прежде чем добавлять в домен агента восстановления, необходимо убедиться, что каждому агенту восстановления был выдан сертификат X.509 версии 3.

У каждого агента восстановления есть специальный сертификат с соответствующим закрытым ключом, позволяющий восстанавливать данные в области влияния политики восстановления. Агенту восстановления следует использовать команду Экспортиз объекта MMC «Сертификаты» для создания в безопасном месте резервной копии сертификата восстановления и закрытого ключа. После создания резервной копии следует использовать объект MMC «Сертификаты» для удаления сертификата восстановления. Если требуется выполнить для пользователя операцию восстановления, следует сначала восстановить сертификат восстановления и связанный закрытый ключ с помощью команды Импортиз объекта MMC «Сертификаты». После восстановления данных сертификат восстановления снова должен быть удален. Нет необходимости повторять процесс экспорта.

Чтобы добавить агентов восстановления в домен, нужно добавить их сертификаты к существующей политике восстановления.

Сведения о добавлении и удалении агента восстановления не обновляются автоматически в существующих файлах системы EFS. Данные этих файлов обновляются при следующем открытии файла. Новые файлы используют текущие сведения агента восстановления.