EFS加密帐户被删的一线生机

核心提示： 大家知道，EFS加密实际上综合了对称加密和不对称加密：(1) 随机生成一个文件加密密钥(叫做FEK)，EFS加密帐户被删的一线生机(2)，用来加密和解密文件，(2) 这个FEK会被当前帐户的公钥进行加密，现在我们应该明白原因了：(1) 必须知道该被删帐户的密码：没有帐户密码，就无法解密主密钥，加

大家知道，EFS加密实际上综合了对称加密和不对称加密：

(1) 随机生成一个文件加密密钥(叫做FEK)，用来加密和解密文件。

(2) 这个FEK会被当前帐户的公钥进行加密，加密后的FEK副本保存在文件$EFS属性的DDF字段里。

(3) 要想解密文件，首先必须用当前用户的私钥去解密FEK，然后用FEK去解密文件。

看到这里，似乎EFS的脉络已经很清晰，其实不然，这样还不足于确保EFS的安全性。系统还会对EFS添加两层保护措施：

(1) Windows会用64字节的主密钥(Master Key)对私钥进行加密，加密后的私钥保存在以下文件夹：

%UserProfile%\Application Data\Microsoft\Crypto\RSA\SID

提示 Windows系统里的各种私有密钥，都用相应的主密钥进行加密。Windows Vista的BitLocker加密，也用其主密钥对FVEK(全卷加密密钥)进行加密。

(2) 为了保护主密钥，系统会对主密钥本身进行加密(使用的密钥由帐户密码派生而来)，加密后的主密钥保存在以下文件夹：

%UserProfile%\Application Data\Microsoft\Protect\SID

整个EFS加密的密钥架构如图1所示。

图1

提示 EFS密钥的结构部分，参考自《Windows Internals 4th》的第12章。

回到“任务描述”部分所述的两个条件，现在我们应该明白原因了：

(1) 必须知道该被删帐户的密码：没有帐户密码，就无法解密主密钥。因为其加密密钥是由帐户密码派生而来的。