[Win7] Wie schützt der "Inhalt verschlüsseln, um Dateien zu schützen"?

[Enterprise]

Hallo,

Wie schützt der "Inhalt verschlüsseln, um Dateien zu schützen" unter "Komprimierungs- und Verschlüsselungsattribute"?

Dieses Attribut ist setzbar unter den Eigenschaften eines Ordners und auf Wunsch dessen Unterordner. Aber wie gut schützt das wirklich und wann und wie werden die Daten wieder entschlüsselt? Hat die Entschlüsselungsinformationen nur das Benutzerkonto, von dem aus das Attribut gesetzt wurde? Ist die Entschlüsselung nur möglich, wenn in das Benutzerkonto, mit dem das Attribut gesetzt wurde, mit Passwort eingeloggt wurde?

Was kann man mit dem Zertifikat machen und was für Informationen enthält es?

[SeppJ]

Sagen wir mal so: Wie sehr vertraust du Microsoft, dass sie keine Hintertür einbauen? Und wenn du Microsoft vertraust, wie sehr vertraust du der amerikanischen Regierung, die Microsoft auch gegen deren Willen zu so etwas zwingen könnten? Oder den deutschen/europäischen Behörden, die Anpassungen in der lokalen Version erzwingen könnten?

Der Rest der Technik (wie sie Microsoft offiziell dokumentiert hat, in den Quellcode kann man ja leider nicht reingucken), steht hier beschrieben:
http://en.wikipedia.org/wiki/Encrypting_File_System

Und noch etwas: Deine Frage ist ungeheuer schwer zu verstehen. Wie wäre es mit einer kurzen Einleitung, worum es überhaupt geht?

[Enterprise]

Soweit ich das sehe, wird mit dem Einloggen wieder automatisch entschlüsselt aber was ich wissen möchte ab wann das passiert und vorallendingen wie die zur Entschlüsselung notwendigen Informationen selbst gesichert sind. Ich hoffe doch, dass diese Informationen selbst gesichert sind, mittels dem zum Benutzerkonto zugehörigem Passwort, denn ansonsten wäre ja die Verschlüsselung ziemlich nutzlos, wenn der zur Entschlüsselung notwendige Schlüssel einfach gelesen werden kann oder wenn Windows einfach automatisch bei zugriff auf den verschlüsselten Daten, diese für jedermann entschlüsselt.

[SeppJ]

Häh? Steht doch alles haarklein erklärt! Hast du dir das überhaupt durchgelesen?

Der Schlüssel mit dem die Datei verschlüsselt wird, wird mit dem öffentlichen Schlüssel des Benutzers verschlüsselt und alternativ auch noch einmal gesondert mit dem Schlüssel eines anderen Benutzers, z.B. des Administrators.
Und nur du hast Zugriff auf den zugehörigen privaten Schlüssel (oder zumindest sollte es so sein), der zum Entschlüsseln des Schlüssels nötig ist, denn der private Schlüssel ist (indirekt) mit dem Benutzerpasswort verschlüsselt.

[Enterprise]

SeppJ schrieb:

Häh? Steht doch alles haarklein erklärt! Hast du dir das überhaupt durchgelesen?

Der Schlüssel mit dem die Datei verschlüsselt wird, wird mit dem öffentlichen Schlüssel des Benutzers verschlüsselt und alternativ auch noch einmal gesondert mit dem Schlüssel eines anderen Benutzers, z.B. des Administrators.
Und nur du hast Zugriff auf den zugehörigen privaten Schlüssel (oder zumindest sollte es so sein), der zum Entschlüsseln des Schlüssels nötig ist, denn der private Schlüssel ist (indirekt) mit dem Benutzerpasswort verschlüsselt.

Ja irgendwie ist das komisch erklärt. Also der private Schlüssel ist für die verschlüsselten Dateien und Ordner? Und der öffentliche Schlüssel ist verschlüsselt mit dem Passwort des Benutzerkonto? Und die verschlüsselten Dateien und Ordner lassen sich nur mit dem privaten Schlüssel entschlüsseln, der wiederum auch verschlüsselt ist und sich nur mit dem öffentlichen Schlüssel entschlüsseln lässt, der aber auch wieder verschlüsselt ist und nur mit dem Passwort des Benutzerkonto, von dem aus der private Schlüssel generiert wurde (wegen der Attribut setztung), entschlüsselbar ist?

Und die verschlüsselten Dateien und Ordner lassen sich über kein anderes Benutzerkonto entschlüsseln bzw. es ist nicht zugreifbar auf die verschlüsselten Dateien und Ordner von einem anderen Benutzerkonto aus, auch wenn parallel sich jemand in das Benutzerkonto, von dem aus die Dateien und Ordner verschlüsselt wurden, eingeloggt hat?

[SeppJ]

Enterprise schrieb:

SeppJ schrieb:

Häh? Steht doch alles haarklein erklärt! Hast du dir das überhaupt durchgelesen?

Der Schlüssel mit dem die Datei verschlüsselt wird, wird mit dem öffentlichen Schlüssel des Benutzers verschlüsselt und alternativ auch noch einmal gesondert mit dem Schlüssel eines anderen Benutzers, z.B. des Administrators.
Und nur du hast Zugriff auf den zugehörigen privaten Schlüssel (oder zumindest sollte es so sein), der zum Entschlüsseln des Schlüssels nötig ist, denn der private Schlüssel ist (indirekt) mit dem Benutzerpasswort verschlüsselt.

Ja irgendwie ist das komisch erklärt. Also der private Schlüssel ist für die verschlüsselten Dateien und Ordner? Und der öffentliche Schlüssel ist verschlüsselt mit dem Passwort des Benutzerkonto? Und die verschlüsselten Dateien und Ordner lassen sich nur mit dem privaten Schlüssel entschlüsseln, der wiederum auch verschlüsselt ist und sich nur mit dem öffentlichen Schlüssel entschlüsseln lässt, der aber auch wieder verschlüsselt ist und nur mit dem Passwort des Benutzerkonto, von dem aus der private Schlüssel generiert wurde (wegen der Attribut setztung), entschlüsselbar ist?

Eine leicht vereinfachte Übersicht:

Benutzerpasswort: Wird benutzt um den DPAPI Hauptschlüssel zu ver- und entschlüsseln.
DPAPI Hauptschlüssel: Wird benutzt, um die privaten Schlüssel zu ver- und entschlüsseln.
Private Schlüssel: Werden benutzt, um die Dateiverschlüsselungsschlüssel (FEK) zu entschlüsseln.
Öffentliche Schlüssel: Werden benutzt, um die FEK zu verschlüsseln.
FEK: Werden benutzt, um die Dateien zu ver- und entschlüsseln.

Man benötigt zu jeder Datei den passenden FEK, der mit der Datei gespeichert ist. Um da dran zu kommen, muss man einen passenden privaten Schlüssel haben, wobei eventuell mehrere Benutzer über diese Schlüssel verfügen können. Um an die passenden privaten Schlüssel zu kommen, muss man sich zuvor als einer dieser Benutzer einloggen, denn man benötigt das Nutzerpasswort, um an die privaten Schlüssel zu gelangen.

Und die verschlüsselten Dateien und Ordner lassen sich über kein anderes Benutzerkonto entschlüsseln bzw. es ist nicht zugreifbar auf die verschlüsselten Dateien und Ordner von einem anderen Benutzerkonto aus, auch wenn parallel sich jemand in das Benutzerkonto, von dem aus die Dateien und Ordner verschlüsselt wurden, eingeloggt hat?

Siehe oben. Die Entschlüsselung erfolgt beim Zugriff. Die Dateien liegen zu keiner Zeit unverschlüsselt auf der Platte.

[cooky451]

Soweit ich weiß, ist das auslesen eines Benutzer Passworts allerdings nicht sonderlich schwer..