Windowsの暗号化ファイルシステム（EFS）にかかわる調べものの為の覚書

ちょっと具体的なテストをやろう！とか思っていたんだけど、お昼に烏賊と大根の煮物、いわしのなめろう、角玉ロックｘ１、晴耕雨読ロックｘ１なんてやったもんだからテストなんてできねーｗｗｗｗｗｗｗ

orz

しょうがないので、ちょっと覚書。

• WindowsのEFSは便利！　デフォルトでは暗号化したユーザーでしか暗号化解除できないようになっている。なおかつ、アプリケーションからは透過的に平文として読める（暗号化したユーザで実行している限り今まで通りのコードで暗号化されたファイルであっても平文が読み取れる）ようになっているので、導入の追加コストが少なくて済む。
• アクセス権の設定なんかよりよほどいい。アクセス権の設定はいわば「みないでね&hearts」と表紙に書いてある日記みたいなもんだ。ブッ千切って読むこともできる。が、暗号化されたデータは鍵がないことには平文を読めない。逆にいえば、鍵が漏れたらアウト。
• 暗号化したユーザは、他のユーザに対して復号化する権利を与えることができる。これには２通りあって、暗号化したユーザと同じように自動的に平文に復号化されてよめるようになる方法と、「回復エージェント」に特定のユーザを指定して暗号化解除できるようにする方法。同じように見えて、この二つは操作方法が違う。
• さらーっとやってみたところ、自動的に平文に復号化してくれる設定はできた（同じ復号化鍵を共有する感じ？）。でも「回復エージェント」に指定されたユーザが復号化しようとしてもうまくいかない。MSのKBとかいろいろ見てもその通りの操作をしていると、自分では思っているんだけどな。
• 代替手段として、特権を持ったユーザが暗号化したユーザのパスワードを再設定して、無理やりログインして平文に戻す、という方法もあるとは思うけど、でもそれだと「回復エージェント」の意味がない。逆に、「回復エージェント」で平文に戻すことに意味があるはずだ。その意味って何だろう？
• 鍵には暗号化用の鍵と回復（復号）化-平文に戻す用の鍵の２種類がある。暗号化用の鍵は暗号化にしか使えず、回復用の鍵は暗号文を平文に戻すときにしか使えない。いわゆる非対称鍵暗号方式（ただし、実際には本文の暗号化は対称鍵暗号方式で暗号化して、対称鍵を非対称暗号鍵で暗号化する。PGPなんかと同じっぽい）。
• MSの技術文書みてもRSAの文字は出てこないので、RSAとは違う方法で非対称鍵を作っているのかもしれない。
• これからテスト・調査してみたい項目。
  • 「回復エージェント」に指定されたユーザで平文に戻す方法。
  • ntbackupで回復鍵を持たないユーザがバックアップしたとき、暗号化されたままバックアップされる事の確認。
  • 暗号されたままバックアップされたファイルを別のOSが動いている（もともとの暗号化ユーザ・鍵のない環境）にリストアして、元のユーザがエクスポートした回復鍵をインポートしたうえで暗号化されたファイルを平文に戻せる事の確認。データはバックアップとってあるけど、OSは入れなおしするケースや災害時に遠隔地にある拠点にデータを入れるケース。
  • デフォルトでは暗号化したユーザが、他の暗号化設定されていない媒体にファイルをコピーすると暗号化解除されてしまう。これを、暗号化の維持を強制する設定がないか調査。
  • ファイル共有されている環境で、サーバに置いてあるファイルを暗号化指定したとき、ネットワークを流れるデータは平文か暗号文か。たぶん平文。