Windows juhend: Kuidas EFS küpeerimist

Mis on EFS?

EFS ehk Encrypting File System ehk eesti keeles failisüsteemi krüptimine on üks Microsoft Windowsi funktsioonidest, mis lisandus NTFS versioonis 3.0. Antud tehnoloogia võimaldab eeldatavalt konfidentsiaalse sisuga failide krüpteerimist võimalike ebasoovitavate isikute eest, kes võivad füüsiliselt arvutile ligi pääseda. EFS on kasutusel kõikides Windowsi versioonides alates Windows 2000st, kuid seda eelkõige ärikasutajatele mõeldud versioonides (Business, Enterprise, Ultimate, Server, Professional).

Kuidas EFS toimib?

EFS kasutab toimimiseks kahte tüüpi võtit: sümmeetrilist(üks võti on failide krüpteerimiseks) ja asümmeetrilist(2võtit on krüpteerimisvõtme kaitsmiseks). Kusjuures erinevates versioonides toimib süsteem ka natukene erinevalt, kuid sellest tuleb juttu natuke hiljem.

Olulised faktid EFSi puhul:

• Krüpteerimine ei toimu aplikatsiooni tasemel, vaid failisüsteemi tasemel, mistõttu krüpteerimine ja dekrüpteerimine on kasutaja ning aplikatsiooni jaoks läbipaistev. Iga krüpteerimiseks märgistatud kataloogi tõstetav või tekitatav fail krüpteeritakse. Kui kasutaja üritab faili avada, siis peab ta omama võtit ning selle puudumisel saab teate „access denied.“
• Krüpteerimise sümmeetriline võti krüpteeritakse avaliku võtmega krüpteerimise avalikust võtmepaarist ning dekrüpteerimiseks on vaja ka privaatvõtit. Võtmepaar seotakse kasutaja identiteediga ja tehakse kättesaadavaks kasutajale, kellel on ligipääs kasutaja ID-le ning paroolile.

Kui privaatvõti saab kahjustada või on kadunud, siis ka krüpteerimise teostanud isik kaotab ligipääsu faili sisule. Sel juhul päästab hädast välja taastusagent – seda muidugi juhul kui see on loodud. Nagu ütleb Microsoft, siis „EFS on suurepärane krüpteerimissüsteem, sest puudub tagauks.“

• Krüpteerimisvõtmeid saab arhiveerida (exportida süsteemivälisele meedia seadmele). Selle abil saabki tagada endale ligipääsu ka algse võtme vigastamise või kaotamise puhul.
• Krüpteeritud failid ei püsi transportimisel krüpteerituna juhul kui see salvestatakse või avatakse kataloogis kaughaldus serveris. Samas kui kasutada WebDAVi abi ning salvestada failid Web kataloogi, siis on EFS krüpteering võimalik säilitada ka võrgus transportimiseks.
• Süsteem vastab FIPS 140 standardile, mis on Ameerika valitsuse poolt paika pandud sensitiivsete materjalide säilitamiseks.

EFS Agentide loomine

1. Tuleb luua sobiv turvalisuse grupp. Selleks tuleb klikkida start menüül ja üles otsida „Administrative Tools“ ning valida „Active Directory Users and Computers.“ Seejärel tuleb teha vasakul paanil topeltklikk oma domeenil ja parem klikk organisatsiooni üksusel kuhu sa soovid grupi luua – vali „New“ and kliki „Group“-il. Nüüd tuleb sisestada grupi nimi ja vajutada OK. Edasi tee parem klikk äsja loodud grupil ja kliki menüü punktil „Properties“ ning vali „members“ sakk. Seal kliki „Add“ nupul selleks, et avada „Select Users, Contacts or Computers“ aken. Avanenud aknas sisesta „Enter the object names to select“ kasti kasutajanimi, mida sa soovid EFS taastusagendina kasutada ja kliki „Check names“, siis kliki OK, et kasutaja lisada ja korda käesolevat punkti iga kasutaja jaoks. PS! Kui on soov sertifikaadid hoida Active Directory’s, siis võib selle ja järgmise punkti vahele jätta.

2. Registreerimise määramine grupile. Kliki taaskord Start Menüül, siis „Active Directory Sites and Services“, et avaneks manageerimise konsool. „View“ menüüst vali „Show services node.“ Selle tagajärjel peaks teenuste konteiner ilmuma „Sites“ alla. Vasakult tuleks laiendada „Services | Public Key Services | Certificate Templates“, samas paremalt paanist tuleks paremklikk teha EFS Recovery’l ja klikkida „properties. Seejärel kliki „Security“ sakil, vajuta „Add“, et avada „Select users, computers or groups“ aken. Kirjuta eelmises punktis loodud grupi nimi ja taaskord „Check names“ ja seejärel OK. Kui vaja, siis eemalda üleliigsed grupik ja vajuta OK ning sulge „Active Directory sites and services“ konsool.

EFS kasutamine

(teen hilinemisega, sest piltidega, aga windows8’s – hetkel paraku läpaka kõvaketas ütles üles)