windows - EFS(加密文件系统): security concern: aren't password-related hashes stored on the hard drive

Question

以下 youtube 视频很好地总结了 EFS 的工作原理。对于那些对我附上的此类窗口的内容摘要感兴趣的人它在下面。然而，这给我留下了一个关于安全的问题:

1. 当用户在 Windows 中登录时，可能会根据密码计算哈希值(或者从密码加上用户名和其他数据，例如作为盐)。当用户首次创建密码时，此类哈希必须存储在某处如果我没记错的话，在硬盘上。至少，旧的 Unix 系统曾经在这样的方式(用这样的方式存储在/etc/passwd 中)。因此，当用户登录时，计算密码哈希值，并按顺序与存储在此类文件中的内容进行比较对用户进行身份验证。如果哈希值匹配，则用户已登录。

到目前为止一切顺利。如果使用上述机制(在现代 Windows 系统上)，这意味着当有人入侵 Windows 系统时，他们可以读取这样的密码哈希，因此，使用特殊的 Microsoft 对称加密算法(如下所述)它存储在硬盘驱动器上，因此可以被黑客学习，即密码哈希加上微软特殊的对称算法加上加密位置的知识私钥存储在硬盘驱动器上，允许黑客对其进行解密，从而获得私钥。当然，一旦获得私钥，所有数据都会加密使用证书中的公钥可以被黑客解密。

有人可以指出我推理中的缺陷吗？据推测，该缺陷是由于我对有关如何执行 Windows 身份验证。

谢谢。

http://www.youtube.com/watch?v=YxgWsa-slOU

以上视频内容总结:- EFS(在 NTFS 文件系统中可用)旨在让用户 加密文件和文件夹，以便除本人以外的任何人 加密此类文件或文件夹可以访问它。管理帐户 可以用最少的黑客知识在被盗机器上创建，并且 因此，他们几乎可以访问硬盘驱动器上包含的任何文件。 对称 key 加密算法的工作速度大约快 100 到 1000 倍 比公钥加密算法。 右键单击 -> 属性 -> 常规 -> 高级... -> 加密内容 以保护数据并单击应用，(然后您可以选择 仅加密文件或加密文件及其父文件夹 然后单击“确定”)。 Windows 会将文件变为绿色，我们将 仍然可以完全访问该文件。一旦有人登录 使用管理员帐户将无法看到该文件。 实际上，您可以使用“certmgr”访问证书管理器 命令，从那里你可以查看的内容 Personal -> Certificates 应用文件夹，里面可以 一开始是空的。当我们在上面加密文件时 方式，称为 DESX 算法文件加密 key (FEK) 的对称 key 生成然后使用证书的公钥加密 FEK 并将其与加密数据一起存储。在包含的证书中 在证书库中，您可以访问公钥，但不能访问 私钥(证书证明用户某某是他们 说他们是并显示用户的公钥)。证书还 指向私钥，但这样的私钥存储在一个特殊的 硬盘驱动器上的位置，并使用特殊的 Microsoft 对称 key 算法生成主 key ，其中主 key 为 使用来自用户名和密码的哈希组件生成 用户每次登录时，生成的对称 key 不是 存储在硬盘驱动器上的任何位置(即它必须保存在内存中的某个位置)。

Answer 1

用于访问解锁对称 key 的私钥的哈希值与存储的哈希值(用于身份验证)不同。两个哈希值都来自密码，但它们的计算方式不同。两者都不可逆，并且不能互换使用。

要访问您的文件，他们需要您已经登录，或者他们需要您的密码。

另请注意，EFS 通常将管理员或域管理员指定为“恢复代理”。存储私钥时，it also stores a copy that can be accessed by the administrator .

As shown in Figure 15.9, encryption with EFS requires the presence of at least two certificates in the certificate store on the local computer: one for the user (file owner) and one for a recovery agent account.

您可以通过将您的另一个帐户设置为恢复代理来禁用此功能，但在域中，通常您的域管理员会设置此策略并且不允许您禁用它。因此，管理员仍然可以访问您的文件。

只要攻击者没有获得恢复代理(或您的)帐户的密码，假设攻击者与恢复代理不是同一个人，您的数据就应该不会受到攻击者的攻击。<​​/p>

拥有强密码、确保密码安全并避免运行可以直接访问数据的恶意软件非常重要。