Windows Vista. Для профессионалов - Роман Клименко

Как и раньше, основной синтаксис программы следующий: cipher [/Е | /В /С] /S:<путь к каталогу> – <дополнительные параметры> <файл, каталог или шаблон>. С помощью данного синтаксиса можно выполнить шифрование (параметр /Е), дешифровку (/D) или просмотреть состояние объектов (/С), удовлетворяющих шаблону и расположенных в каталоге, указанном в параметре /S. Дополнительных параметров теперь всего два (раньше было пять): /В и /Н. Если указан параметр /В, то при ошибке в процессе шифрования файлов программа прекратит свою работу (по умолчанию она продолжает шифрование, просто пропуская проблемный файл). А с помощью параметра /Н можно определить, будут ли отображаться скрытые и системные файлы.

Дополнительные возможности программы

Никуда не исчезли и следующие дополнительные варианты синтаксиса программы.

• Cipher – отображает сведения о состоянии файлов и каталогов, расположенных в данной папке.

• Cipher /К – создает новый ключ шифрования для текущего пользователя.

• Cipher /R:<путь и имя файла> – создает новый ключ шифрования пользователя и сертификат агента восстановления EFS. После этого созданная информация записывается в два файла с указанным вами именем, но с разными расширениями: PFX (содержит ключ и сертификат агента восстановления) и CER (содержит только сертификат агента восстановления).

После того как вы введете данную команду, перед вами отобразится запрос с просьбой ввода пароля, который будет защищать файл с расширением PFX. Затем введенный вами пароль нужно ввести еще раз – для подтверждения.

• Cipher /U /N – отображает список всех зашифрованных файлов, расположенных на вашем жестком диске. Если вы не укажете параметр /N, то также будет изменен ключ шифрования для найденных файлов (если вы его только что изменили).

• Cipher /W:<путь к папке> – удаляет всю информацию в неиспользуемом дисковом пространстве на указанном томе.

• Cipher /R:<путь и имя ЕFS-файла> <путь и имя файла архива>– архивирует сертификат EFS и ключ шифрования в файл с указанным именем.

Новые возможности программы

Но, кроме этого, программа командной строки cipher.ехе обзавелась и новыми вариантами синтаксиса.

• Cipher /Y – отображает набросок текущего сертификата EFS для вашего компьютера.

• Cipher /ADDUSER [/CERTHASH:<x3in сертификата> | /CERTFILE:<путь к файлу сертификата> – ] /S:<путь к каталогу> – <дополнительные параметры> <файл, каталог или шаблон> – добавляет нового пользователя, которому разрешено открывать данный зашифрованный файл.

• Cipher /REMOVEUSER /CERTHASH:<хэш сертификата> /S:<путь к каталогу> – <дополнительные параметры> <файл, каталог или шаблон> – удаляет пользователя из списка пользователей, которым разрешено открывать данный зашифрованный файл.

• Cipher /REKEY <файл, каталог или шаблон> – заново шифрует указанные шаблоном файлы, используя текущий ключ шифрования файлов пользователя.

Расположение: %systemroot%system32rekeywiz.ехе.

Мы уже рассмотрели несколько способов создания EFS-сертификата для текущего пользователя и помещение его в файл. Однако это еще не все способы создания сертификата. Для этого также можно воспользоваться специальным мастером операционной системы Windows Vista, который называется Шифрующая файловая система EFS. Данный мастер можно вызвать либо с помощью программы rekeywiz.ехе, либо с помощью ссылки Управление сертификатами шифрования файлов, отображаемой в мастере Учетные записи пользователей, открыть который можно с помощью одноименного значка папки Панель управления.

Особенностью использования данного мастера является то, что вы можете указать способ хранения создаваемого файла сертификата. Можно выбрать либо хранение сертификата на жестком диске компьютера, либо хранение на смарт-карте, либо хранение в центре сертификации домена Active Directory.

После того как вы выберете место хранения сертификата, нужно будет указать имя файла (если файл сертификата будет храниться на компьютере), а также пароль.

И последним шагом мастера будет указание разделов диска, зашифрованные файлы и каталоги которых будут заново перезашифрованы с использованием нового сертификата (если с помощью мастера Шифрующая файловая система EFS вы создавали новый сертификат пользователя, а не выбрали на первом шаге мастера один из старых сертификатов).

Как было сказано выше, сведения об агентах восстановления заносятся в поле DRF шифруемого файла. Но как же можно добавить нового агента восстановления? Для этого нужно воспользоваться командой Добавить агент восстановления данных контекстного меню раздела Конфигурация компьютера → Конфигурация Windows → Параметры безопасности → Политики открытого ключа → Шифрующая файловая система EFS оснастки gpedit.msc. После выбора данной команды перед вами отобразится Мастер добавления агента восстановления, первым шагом которого будет выбор CER-файла агента восстановления, добавляемого в систему. После этого перед вами появится информация о файле, и после нажатия кнопки Готово новый агент восстановления будет создан. Теперь пользователь, CER-файл которого был добавлен в качестве агента восстановления, сможет расшифровывать любые зашифрованные файлы любого пользователя данной операционной системы.

Напомним, что CER-файл, необходимый для добавления агента восстановления, создается соответствующим пользователем с помощью команды cipher /R: <путь к каталогу и имя СЕЯ-файла>.

Как и другие компоненты операционной системы Windows Vista, параметры системы шифрования можно изменить либо с помощью стандартных окон операционной системы, либо непосредственно с помощью реестра.

Настройка с помощью оснастки gpedit.msc

Оснастка gpedit.msc содержит специальный подраздел Конфигурация компьютера → Конфигурация Windows → Параметры безопасности → Политики открытого ключа → Шифрующая файловая система EFS. С помощью команды Свойства контекстного меню данного подраздела можно отобразить окно Свойства: Шифрующая файловая система (EFS), позволяющее настроить основные параметры работы шифрования EFS. Данное окно состоит всего из двух вкладок, с помощью которых можно редактировать значения параметров ветви реестра HKEY_LOCAL_MACHINE SOFTWARE Policies MicrosoftWindows NTCurrentVersionEFS. Большинство элементов данного окна редактируют биты параметра REG_DWORD-типа Ef sOptions.

• Общие – сразу же обратите внимание на переключатель Шифрование файлов с помощью шифрующей файловой системы (EFS). Пока данный переключатель не будет установлен в положение Разрешить, параметры, изменяемые с помощью окна Свойства: Шифрующая файловая система (EFS), активными не будут. После того как вы сделаете все параметры окна активными, можно изменить настройки EFS, устанавливаемые с помощью следующих флажков:

– Шифровать содержимое папки «Документы» пользователя – указывает, что содержимое каталога Документы пользовательского профиля должно автоматически шифроваться;

– Требовать смарт-карту для EFS – определяет, разрешено ли шифровать содержимое смарт-карт с помощью EFS;

– Создать кэшируемый пользовательский ключ из смарт-карты – указывает, будут ли создаваться пользовательские ключи шифрования, поддерживающие хранение зашифрованных данных на смарт-картах;

– Включить шифрование файла подкачки – определяет, будет ли шифроваться содержимое файла подкачки;

– Отображать уведомления об архивации ключа при создании или изменении пользовательского ключа – указывает, будет ли отображаться уведомление в области уведомлений при создании или изменении пользовательского ключа шифрования.

На вкладке Общие также присутствует поле Сертификаты, которое позволяет указать, разрешено ли EFS создавать пользовательские сертификаты, а также указать размер ключа, используемого при шифровании алгоритмом RSA. Размер ключа хранится в параметре REG_DWORD-типа RsaKeyLength.

• Кэш – позволяет определить события, при которых кэш, содержащий расшифрованный FEK, будет очищаться. По умолчанию операционная система Windows Vista помещает сгенерированный FEK в специальный кэш, чтобы не генерировать его при каждом выполнении процесса шифрования (генерация FEK является сложной и ресурсоемкой операцией).

Можно указать очистку кэша при блокировке сеанса, а также после истечения определенного времени, в течение которого операция шифрования больше не выполнялась. Время, после истечения которого кэш будет очищен, хранится в параметре REG_DWORD-типа CacheTimeout.

Настройка параметров шифрования с помощью реестра

После того как вы зашифруете каталог или файл, его название станет зеленого цвета. Вы можете и сами указать цвет, который примет название зашифрованного файла. Для этого достаточно воспользоваться параметром REGBI NARY-типа AltEncryptionColor, расположенным в ветви реестра HKEY_CURRENT_USER SoftwareMicrosoftWindowsCurrentVersionExplorer. Он имеет следующий формат: RGB 0, где R, G и В представляют собой красную, зеленую и синюю компоненты цвета, на которые отводится по одному байту параметра. Операционная система также позволяет вообще отключить изменение цвета зашифрованных файлов. Для этого вам не понадобится знание реестра. Достаточно снять флажок Отображать сжатые или зашифрованные файлы NTFSflpyrnM цветом в поле Дополнительные параметры вкладки Вид окна Свойства папки. Данное окно можно вызвать с помощью одноименной команды меню Упорядочить любой папки.