EFS(Encrypting File System，加密文件系統(tǒng))是Windows所特有的一個(gè)實(shí)用功能，對(duì)于NTFS卷上的文件和數(shù)據(jù)，都可以直接加密保存，在很大程度上提高了數(shù)據(jù)的安全性。

EFS加密是基于公鑰策略的。在使用EFS加密一個(gè)文件或文件夾時(shí)，系統(tǒng)首先會(huì)生成一個(gè)由偽隨機(jī)數(shù)組成的FEK(File Encryption Key，文件加密鑰匙)，然后將利用FEK和數(shù)據(jù)擴(kuò)展標(biāo)準(zhǔn)X算法創(chuàng)建加密后的文件，并把它存儲(chǔ)到硬盤(pán)上，同時(shí)刪除未加密的原始文件。隨后系統(tǒng)利用你的公鑰加密FEK，并把加密后的FEK存儲(chǔ)在同一個(gè)加密文件中。而在訪問(wèn)被加密的文件時(shí)，系統(tǒng)首先利用當(dāng)前用戶(hù)的私鑰解密FEK，然后利用FEK解密出文件。在首次使用EFS時(shí)，如果用戶(hù)還沒(méi)有公鑰/私鑰對(duì)(統(tǒng)稱(chēng)為密鑰)，則會(huì)首先生成密鑰，然后加密數(shù)據(jù)。

簡(jiǎn)單的說(shuō)，EFS中公鑰其實(shí)是用來(lái)加密數(shù)據(jù)的，就相當(dāng)于自己家里的門(mén)鎖，任何人都可以使用它。 而私鑰就是用來(lái)解密文件的，也就是我們家里的門(mén)鑰匙。如果我們的私鑰損壞或丟失了，我們同樣不能打開(kāi)自家的鎖。

EFS加密系統(tǒng)對(duì)用戶(hù)是透明的。這也就是說(shuō)，如果你加密了一些數(shù)據(jù)，那么你對(duì)這些數(shù)據(jù)的訪問(wèn)將是完全允許的，并不會(huì)受到任何限制。而其他非授權(quán)用戶(hù)試圖訪問(wèn)加密過(guò)的數(shù)據(jù)時(shí)，就會(huì)收到“訪問(wèn)拒絕”的錯(cuò)誤提示。EFS加密的用戶(hù)驗(yàn)證過(guò)程是在登錄Windows時(shí)進(jìn)行的，只要登錄到Windows，就可以打開(kāi)任何一個(gè)被授權(quán)的加密文件。

例如要對(duì)NTFS分區(qū)上的test目錄進(jìn)行ESF加密，可以這樣操作：?jiǎn)螕?ldquo;開(kāi)始”/程序/附件，點(diǎn)擊打開(kāi)“Windows 資源管理器”，點(diǎn)擊“我的電腦”，打開(kāi)NTFS分區(qū)，右擊要加密的文件或文件夾（例如test目錄）；然后單擊“屬性”，在“常規(guī)”選項(xiàng)卡上，單擊“高級(jí)”按鈕；在彈出的窗口中，勾選“加密內(nèi)容以便保護(hù)數(shù)據(jù)”復(fù)選框；點(diǎn)擊“確定”退出。

你可以根據(jù)需要，選擇僅加密此文件夾、還是將此目錄下的子文件夾和文件也一起加密；點(diǎn)擊選擇之后，點(diǎn)擊“確定”按鈕，最后再點(diǎn)擊“應(yīng)用”完成。

于是在默認(rèn)情況下，你就會(huì)發(fā)現(xiàn)剛才EFS加密的文件(夾)，在資源管理器中顯示的顏色會(huì)變?yōu)椴噬?，例如下圖中的文件/文件夾名字的顏色，不是常見(jiàn)的黑色、而是綠色的，這表示它們已經(jīng)被EFS加密了。

對(duì)文件的EFS加密方法，與上面介紹的類(lèi)似?，F(xiàn)在我們有了一個(gè)EFS加密過(guò)的目錄（例如test），以后如果你要對(duì)某個(gè)文件或文件夾進(jìn)行EFS加密，也可以把它們移到該目錄中，這樣就會(huì)被自動(dòng)加密。

注：FAT分區(qū)上的文件和文件夾是不能被ESF加密的，另外，標(biāo)記為“系統(tǒng)”屬性的文件，位于Window系統(tǒng)目錄中的文件也無(wú)法ESF加密。

如果你不想對(duì)某個(gè)文件或文件夾efs加密了，可以這樣取消：打開(kāi)windows資源管理器；右鍵單擊加密文件或文件夾，單擊“屬性”；在“常規(guī)”選項(xiàng)卡上點(diǎn)擊“高級(jí)”；在彈出的窗口中，清除“加密內(nèi)容以便保護(hù)數(shù)據(jù)”復(fù)選框，最后按“確定”即可。

微軟的EFS技術(shù)可以對(duì)計(jì)算機(jī)上的數(shù)據(jù)進(jìn)行加密，并控制哪些人有權(quán)解密或恢復(fù)數(shù)據(jù)。文件被加密后，即使攻擊者能夠物理訪問(wèn)計(jì)算機(jī)的數(shù)據(jù)存儲(chǔ)器，也無(wú)法讀取用戶(hù)數(shù)據(jù)。所有用戶(hù)都必須擁有EFS證書(shū)，方可運(yùn)用EFS對(duì)數(shù)據(jù)進(jìn)行加密和解密。此外，EFS用戶(hù)必須擁有在NTFS卷中修改文件的權(quán)限。

EFS包括兩種類(lèi)型的證書(shū)

1)  加密文件系統(tǒng)證書(shū)

    此類(lèi)證書(shū)允許其持有者使用EFS加密和解密數(shù)據(jù)，它通常也被直接稱(chēng)為EFS證書(shū)。普通的EFS用戶(hù)使用此類(lèi)證書(shū)。這類(lèi)證書(shū)的“增強(qiáng)型密鑰用法”字段(在Microsoft管理控制臺(tái)管理單元中可以看到)的值為“EFS(1．3．6．1．4．1-311．10．3．4)”。

2） 文件恢復(fù)證書(shū)

此類(lèi)證書(shū)的持有者可以在整個(gè)域或其他范圍內(nèi)對(duì)任何人加密的文件和文件夾進(jìn)行恢復(fù)。只有域管理員或極受信任的委托人(即數(shù)據(jù)恢復(fù)代理)可以持有此類(lèi)證書(shū)。這類(lèi)證書(shū)的“增強(qiáng)型密鑰用法”字段（在Microsoft管理控制臺(tái)管理單元中可以看到)的值為“文件恢復(fù)（1．3．6．1．4．1_311．10．3．4．1)”。此類(lèi)證書(shū)通常被稱(chēng)為EFSDRA證書(shū)。

下面介紹的是加密文件系統(tǒng)證書(shū)的備份與恢復(fù)。

備份EFS密鑰
 
使用Windows 2000/XP的EFS加密后，如果重裝系統(tǒng)，那么原來(lái)被加密的文件就無(wú)法打開(kāi)了!如果你沒(méi)有事先做好密鑰的備份，那么數(shù)據(jù)是永遠(yuǎn)打不開(kāi)的。由此可見(jiàn)，做好密鑰的被備份就很重要。

第一步：首先以本地帳號(hào)登錄，最好是具有管理員權(quán)限的用戶(hù)。然后單擊“開(kāi)始→運(yùn)行”，輸入“MMC”后回車(chē)，打開(kāi)控制面板界面。

第二步：?jiǎn)螕艨刂泼姘宓?ldquo;控制面板→添加刪除管理單元”，在彈出的“添加/刪除管理單元”對(duì)話框中單擊“添加”按鈕，在“添加獨(dú)立管理單元”對(duì)話框中選擇“證書(shū)”后，單擊“添加”按鈕添加該單元。

如果是管理員，會(huì)要求選擇證書(shū)方式，選擇“我的用戶(hù)證書(shū)”，然后單擊“關(guān)閉”按鈕，單擊“確定”按鈕返回控制面板。

第三步：依次展開(kāi)左邊的“控制面板根節(jié)點(diǎn)→證書(shū)→個(gè)人→證書(shū)→選擇右邊窗口中的賬戶(hù)”，右擊選擇“所有任務(wù)→導(dǎo)出”，彈出“證書(shū)導(dǎo)出向?qū)?rdquo;。

第四步：?jiǎn)螕?ldquo;下一步”按鈕，選擇“是，導(dǎo)出私鑰”，單擊“下一步”按鈕，勾選“私人信息交換”下面的“如果可能，將所有證書(shū)包括到證書(shū)路徑中”和“啟用加強(qiáng)保護(hù)”項(xiàng)，單擊“下一步”按鈕，進(jìn)入設(shè)置密碼界面。

第五步：輸入設(shè)置密碼，這個(gè)密碼非常重要，一旦遺忘，將永遠(yuǎn)無(wú)法獲得，以后也就無(wú)法導(dǎo)入證書(shū)。輸入完成以后單擊“下一步”按鈕，選擇保存私鑰的位置和文件名。

第六步：?jiǎn)螕?ldquo;完成”按鈕，彈出“導(dǎo)出成功”對(duì)話框，表示你的證書(shū)和密鑰已經(jīng)導(dǎo)出成功了，打開(kāi)保存密鑰的路徑，會(huì)看到一個(gè)“信封+鑰匙”的圖標(biāo)，這就是你寶貴的密鑰!丟失了它，不僅僅意味著你再也打不開(kāi)你的數(shù)據(jù)，也意味著別人可以輕易打開(kāi)你的數(shù)據(jù)。

 恢復(fù)EFS密鑰
 
由于重裝系統(tǒng)后，對(duì)于被EFS加密的文件我們是不能夠打開(kāi)的，所以重裝系統(tǒng)以前，一定記住導(dǎo)出密鑰，然后在新系統(tǒng)中將備份的密鑰導(dǎo)入，從而獲得權(quán)限。

★確保你導(dǎo)入的密鑰有查看的權(quán)利，否則就是導(dǎo)入了也沒(méi)有用的。這一點(diǎn)要求在導(dǎo)出時(shí)就要做到

★記住導(dǎo)出時(shí)設(shè)置的密碼，最好使用和導(dǎo)出是相同的用戶(hù)名。

第一步：雙擊導(dǎo)出的密鑰(就是那個(gè)“信封+鑰匙”圖標(biāo)的文件)，會(huì)看到“證書(shū)導(dǎo)入向?qū)?rdquo;歡迎界面，單擊“下一步”按鈕，確認(rèn)路徑和密鑰證書(shū)，然后單擊“下一步”繼續(xù)。

第二步：在“密碼”后面輸入導(dǎo)出時(shí)設(shè)置的密碼，把密碼輸入后勾選“啟用強(qiáng)密鑰保護(hù)”和“標(biāo)志此密鑰可導(dǎo)出”(以確保下次能夠?qū)С?，然后單擊“下一步”繼續(xù)。

第三步：根據(jù)提示，依次單擊“下一步”按鈕，OK了，單擊完成按鈕，看到“導(dǎo)入成功”就表示你已經(jīng)成功導(dǎo)入密鑰了。

試試看，原來(lái)打不開(kāi)的文件，現(xiàn)在是不是全部都能打開(kāi)了呢?

★EFS加密的文件打不開(kāi)了，把NTFS分區(qū)轉(zhuǎn)換成FAT32分區(qū)或者使用相同的用戶(hù)名和密碼登錄甚至重新Ghost回原系統(tǒng)都不能解決問(wèn)題，因此備份和導(dǎo)入EFS密鑰就顯得非常重要。

★Windows XP家用版并不支持EFS功能。