EFS加密帐户被删的一线生机

核心提示： 本方法仅适用于Windows Vista(Enterprise和Ultimate Edition)，最彻底的保护方法，EFS加密帐户被删的一线生机(7)，首推Windows Vista新引入的BitLocker加密，这时候Windows分区的所有内容全部被加密(包括SAM配置单元、EFS密钥)，

本方法仅适用于Windows Vista(Enterprise和Ultimate Edition)。

最彻底的保护方法，首推Windows Vista新引入的BitLocker加密，这时候Windows分区的所有内容全部被加密(包括SAM配置单元、EFS密钥)。

BitLocker(TPM1.2)加密可以看成是Windows启动保护器。在系统启动时，TPM芯片会负责分析各个重要的启动组件，以判断自己是否位于原来的计算机环境。如果是的话，就依次释放BitLocker加密所需的密钥链，我们才能顺利地访问Windows，才能访问EFS文件。

如果攻击者企图把硬盘挂接到别的计算机上，系统就会拒绝释放密钥，整个Windows Vista分区处于加密状态。

如果攻击者窃取了计算机，并且窃取了BitLocker所需所有条件(TPM芯片自不必说，假设也获得密钥U盘)。这时候系统能够顺利引导，并且成功释放BitLocker密钥链。但是攻击者还必须想办法知道帐户的密码，否则无法登录系统，Windows分区依然处于加密状态。

EFS额外保护的原理如图4所示。

图4

4.题外话：为什么释放BitLocker密钥以后，Windows分区依然处于加密状态?

所以尽管BitLocker密钥已经释放，但是Windows分区并没有被立即全部解密。否则每次启动，都要解密整个Windows分区，得花多少时间(笔者的Vista分区完全解密，共花3小时)!

原来BitLocker加密是以一个FVE Filter Driver来实现加密和解密，该Filter Driver处于文件系统驱动的下层。登录系统以后，用户需要访问文件时，文件系统会自动请求FVE Filter Driver进行解密，猜想应该是一次解密一个Block，每个Block可能是512字节(和EFS一样)，不敢确定。对于用户来说，这个过程是完全透明的，同时对性能的影响很小，几乎可以忽略不计。EFS加密的情况有点类似。

写在最后

这里非常敬佩国外微软技术爱好者的执着，事实上该作者还有一篇经典的文章(描述SAM配置单元文件的二进制结构)，链接如下，非常值得推荐。

很难想象，要编写这样的文章，得花费多少的人力和时间，要做多少的实验才能在SAM数据库逐个字节地找出其对应的含义!

本文的目的，也是为了向这些国外的作者致敬。