Безопасное шифрование данных в NTFS

Как показывает практика, от применения шифрования очень часто страдают сами пользователи, а не взломщики. Если система неожиданно "упадет" (а это рано или поздно случается), то восстановить данные будет практически невозможно.
Чтобы избежать такой неприятной ситуации, следует заранее экспортировать копии сертификатов и сохранить их в особо надежном месте (например, на CD-R, спрятанном в глухом и темном лесу). Расскажем, как это делается в Windows XP (В Windows 2000 логика та же, но есть многочисленные мелкие отличия в опциях и некоторой логике (в частности, там обязателен агент восстановления, что при неумелом использовании сильно повышает уязвимость системы)).

Экспорт сертификатов

Идем в "Пуск -> Выполнить" и вводим там команду certmgr.msc для вызова консоли управления сертификатами.

Далее неспешно следуем в личные сертификаты, находим свой сертификат (если его нет, значит, вы еще ничего не шифровали, так как он создается при первом использовании этой функции). Убедиться, что это именно тот сертификат, который используется, можно по его отпечатку. Открываем его, проходим на вкладку "Состав" и смотрим "Отпечаток".

Параллельно идем в "Свойства" какого-нибудь зашифрованного файла, нажимаем "Дополнительно -> Атрибуты сжатия и шифрования -> Подробно" и там смотрим на отпечаток.

Если они совпадают, значит, этим ключом файл расшифровать можно. Дело в том, что, удалив в certmgr.msc свои сертификаты, Windows создаст их заново. При этом отпечаток у них будет уже другой, и старые файлы они расшифровывать не будут.

Итак, выбираем в certmgr.msc свой ключ, выбираем меню "Все задачи -> Экспорт".

Указываем экспорт закрытого ключа.

Выбираем тип файла PFX и обязательно снимаем галочку на удалении закрытого ключа после экспорта (иначе вы сразу же потеряете доступ к ранее зашифрованным файлам).

Далее вводим пароль к экспортируемому файлу. Этот пароль очень важно потом не забыть, ибо он потребуется только для восстановления ключа в случае падения системы.

Сохраняем ключ в файл. Готово. Рекомендуем аналогично произвести экспорт не только используемого сертификата, но и остальных в разделе "Личные" и "Доверенные". Теперь эти файлы следует записать на надежный носитель и заначить под половицей.

Восстановление данных

Теперь, рассмотрим последовательность действий при восстановлении зашифрованной информации. Загружаемся в любой Windows XP Pro и открываем в "Проводнике" PFX-файл.

Если на этой машине необходимо только открыть (восстановить) зашифрованные файлы, то галочку на "Пометить этот ключ как экспортируемый" не ставим. Если на компьютере мы заново установили Windows и хотим продолжить обычную работу с зашифрованными файлами, то галочка нужна.
Теперь выбираем "Поместить все сертификаты в указанное хранилище" и при помощи кнопки "Обзор" указываем, куда их помещать. Если сертификат нужен только для чтения старых зашифрованных файлов, то помещаем в "Доверенные".

А вот если сертификат нужен, для того чтобы еще и создавать зашифрованные файлы, то указываем "Личные". Но здесь есть пара тонких моментов. Если вы только что установили Windows, то пока в ней нет сертификата (он создается при первом использовании шифрования файлов), можно смело импортировать старый сертификат в раздел "Личные". Но если вы уже успели воспользоваться шифрованием (или Windows работает давно), то чтобы у вас не возникло двух личных сертификатов и путаницы при шифровании новых файлов, запустите certmgr.msc и посмотрите в раздел "Личные". Если там уже есть сертификат, то следует подумать о возможных последствиях: если вы импортируете еще один сертификат, то вам при шифровании придется внимательно следить за тем, какой сертификат используется. Можно расшифровать файлы, удалить лишний сертификат, перезагрузиться и зашифровать заново оставшимся (После удаления сертификатов всегда следует перезагружать Windows. Дело в том, что сертификаты кэшируются в памяти. Допустим, если удалить сертификаты, а потом что-то зашифровать, то Windows не создаст новый сертификат, а использует заранее кэшированный, и после перезагрузки доступ к зашифрованному файлу будет навсегда потерян.).
Готово. Теперь с зашифрованными данными можно работать.