加密数据的能力 - 传输中的数据（使用IPSec）和存储在磁盘上的数据（使用加密文件系统）而不需要第三方软件是Windows 2000和XP / 2003相比早期Microsoft的最大优势之一操作系统。遗憾的是，许多Windows用户没有利用这些新的安全功能，或者如果他们确实使用这些功能，则无法完全了解他们的工作，工作方式以及充分利用这些功能的最佳做法。在本文中，我将讨论EFS：它的用途，漏洞以及它如何适合您的整体网络安全计划。
加密数据的能力 - 传输中的数据（使用IPSec）和存储在磁盘上的数据（使用加密文件系统）而不需要第三方软件是Windows 2000和XP / 2003相比早期Microsoft的最大优势之一操作系统。遗憾的是，许多Windows用户没有利用这些新的安全功能，或者如果他们确实使用这些功能，则无法完全了解他们的工作，工作方式以及充分利用这些功能的最佳做法。
我在前一篇文章中讨论了IPSec的使用;在本文中，我想谈谈EFS：它的使用，漏洞以及它如何适合您的整体网络安全计划。
EFS的目的
微软设计的EFS提供了一种基于公钥的技术，可以作为一种“最后防线”来保护存储的数据免受入侵者的攻击。如果一个聪明的黑客通过其他安全措施 - 通过你的防火墙（或获得对计算机的物理访问），取消访问权限以获得管理权限 - EFS仍然可以阻止他/她能够读取数据加密文件。除非入侵者能够以加密文档的用户（或在Windows XP / 2000中，与该用户共享访问权限的另一个用户）登录，否则这是真的。
还有其他方法可以加密磁盘上的数据。许多软件供应商生产的数据加密产品可以与各种版本的Windows一起使用。这些包括ScramDisk，SafeDisk和PGPDisk。其中一些使用分区级加密或创建虚拟加密驱动器，因此存储在该分区或该虚拟驱动器上的所有数据都将被加密。其他人使用文件级加密，允许您逐个文件地加密数据，无论它们驻留在何处。其中一些方法使用密码来保护数据;加密文件时输入密码，必须再次输入密码才能解密。 EFS使用绑定到特定用户帐户的数字证书来确定何时可以解密文件。
微软设计的EFS是用户友好的，它确实对用户来说实际上是透明的。加密文件（或整个文件夹）就像检查文件或文件夹的“高级属性”设置中的复选框一样简单。
请注意，EFS加密仅适用于NTFS格式的驱动器上的文件和文件夹。如果驱动器格式化为FAT或FAT32，则不会 高级 属性表上的按钮。另请注意，即使压缩或加密文件/文件夹的选项在界面中显示为复选框，它们实际上也可以像选项按钮一样工作;也就是说，如果您选中一个，则另一个会自动取消选中。无法同时加密和压缩文件或文件夹。
文件或文件夹加密后，唯一可见的区别是加密文件/文件夹将以不同颜色显示在资源管理器中，如果复选框为 以彩色显示加密或压缩的NTFS文件 在文件夹选项中选择（通过配置 工具|文件夹选项|查看标签 在Windows资源管理器中）。
加密文档的用户永远不必担心解密它以访问它。当他/她打开它时，它会自动且透明地解密 - 只要用户使用与加密时相同的用户帐户登录即可。但是，如果其他人试图访问它，则文档将不会打开，并且消息将通知用户访问被拒绝。
在引擎盖下发生了什么？
虽然EFS对用户来说似乎非常简单，但是有很多内容可以让这一切发生。对称（秘密密钥）和非对称（公共密钥）加密两者结合使用以利用每种加密的优点和缺点。
当用户最初使用EFS加密文件时，用户帐户是分配的密钥对（公钥和对应的私钥），由证书服务生成 - 如果网络上安装了CA - 或者是自签名的通过EFS。公钥用于加密，私钥用于解密…
要阅读完整的文章并查看图中的全尺寸图像，请单击此处：EFS在哪里适合您的安全计划？
