Windows 비밀번호를 재설정 한 후 EFS 암호화 파일에 액세스

12

Windows에 EFS 암호화 파일이 있습니다. 소유 한 사용자 계정은 암호로 보호되며,이 도구는 많은 도구와 방법으로 쉽게 우회 할 수 있습니다 (예 : 재설정).

그렇다면 이러한 암호화 된 파일은 어떻게됩니까? 공격자가 접근 할 수 있습니까? 아니면 여전히 보호되며 액세스하려면 암호화 키가 필요합니까?

— ICTAddict
소스

2

귀하가 EFS를 사용하고 있음을 조금 더 명확하게하기 위해 귀하의 질문을 편집했습니다. 그렇지 않은 경우 편집을 롤백 할 수 있습니다. 좋은 질문!

— 벤 N

9

기존 답변은 EFS 개인 키가 사용자 비밀번호로 보호된다는 점에서 정확합니다. 그러나 시스템에서 EFS 암호화 파일을 해독 할 수있는 EFS 데이터 복구 에이전트 를 구성 할 수 있습니다. DRA 인증서는 그룹 정책 또는 도메인이없는 경우 로컬 보안 정책을 통해 설정됩니다.

시스템은 DRA의 공개 키를 수신 할 때 사용자의 공개 키 외에 각 DRA의 공개 키로 각 암호화 된 파일의 대칭 키를 암호화하므로 DRA는 이러한 액세스 권한을 갖습니다. 따라서 DRA는 인증서가 등록 된 후 생성되거나 열린 경우에만 암호화 된 파일을 복구 할 수 있습니다.

따라서 구성에 따라 소유자 비밀번호를 재설정 한 후에도 데이터를 복구 할 수 있습니다. DRA 키는 DRA의 암호로도 보호되지만 교묘 한 공격자는 새 사용자를위한 DRA 인증서를 설치하고 대상 파일을 만질 때까지 기다렸다가 인증서를 활용하여 암호를 해독합니다.

DPAPI는 EFS DRA를 고려하지 않으므로이 복구 옵션은 DPAPI로 보호 된 데이터에는 적용되지 않습니다. 넌 몇 가지 통증에 당신이 이러한 데이터를 복구해야합니다.

— 벤 N
소스

7

사용자의 EFS 개인 키와 Windows가 보관하는 다양한 개인 데이터는 사용자 암호를 사용하여 암호화됩니다. 암호가 변경되면 개인 키를 해독 할 수 없으며 암호가 없으면 암호화 된 파일에 액세스 할 수 없습니다.

— 사용자 1686
소스

1

잘 이해하지 못합니다. 타사 소프트웨어로 비밀번호를 재설정하면 암호화 된 데이터가 영구적으로 사라 졌습니까?

— ICTAddict 2018 년

2

맞아요. EFS 개인 키는 "데이터 보호 API", CryptProtectData 및 CryptUnprotectData를 통해 암호화됩니다. 이 API의 작동 방식은 MSDN에서 잘 설명되어 있습니다. 내가 주석에 넣을 수있는 것은 이것입니다 : 로그인시 제공된 암호는 키 생성에 대한 입력의 일부입니다. 비밀번호 를 변경하면 이전에이 API로 암호화 한 모든 비밀이 새 비밀번호로 다시 입력됩니다. 그러나 타사 소프트웨어 (또는 해당 문제의 관리자)가 귀하의 비밀번호를 변경하면이 작업을 수행 할 수 없으며 이전에 암호화 된 비밀에 액세스 할 수 없게됩니다. "EFS 복구 에이전트"도 참조하십시오.

— Jamie Hanrahan

3

@JamieHanrahan-이것은 별도의 질문을 요구할 수 있지만 위의 원래 질문으로 약간 확장 된 것입니다. 위와 같이 타사 도구로 암호를 재설정 한 후 원래 암호를 찾은 경우 (기억) "재설정"비밀번호) 및 비밀번호를 원래 비밀번호로 다시 변경하면 EFS 암호화 파일에 액세스 할 수 있습니까?

— Kevin Fegan