27、Windows EFS：用户数据保护的全面指南

Windows EFS：用户数据保护的全面指南

1. 数据保护机制概述

在当今数字化时代，用户数据的保护至关重要。一种数据保护机制能够解决用户设置转移的问题，因为用户设置被集中存储，所以在更换PC甚至重新映像PC操作系统时，无需转移用户设置。

2. 使用加密文件系统（EFS）

在内部网络中保护用户数据，主要是为用户数据提供适当的受保护存储。但当信息离开办公室时，仅靠集中存储是不够的。Windows Vista提供了一些与便携式计算机数据传输保护相关的功能，其中加密文件系统（EFS）可以通过加密保护所有用户数据，包括临时文件。要查看数据，用户必须拥有解密密钥。

EFS是Windows中NTFS文件系统的扩展。NTFS实际上是一个数据库系统，它为文件对象添加和控制扩展属性，这些属性包括安全元素以及压缩或加密数据的能力。压缩和加密是与文件对象相关联的透明属性，但它们是互斥的，一个文件对象只能进行压缩或加密，不能同时进行。

3. 理解EFS

EFS使用公钥基础设施（PKI）加密为存储在NTFS或基于Web的分布式创作和版本控制（WebDAV）上的文件和文件夹提供访问控制保护。EFS适用于大多数较新的Windows版本，如Windows 2000、Windows XP Professional、Windows Server 2003和Windows Vista，但不支持基本版或家庭版以及其他较旧的Windows版本。

EFS加密数据需要使用对称和非对称密钥。对称密钥或文件加密密钥（FEK）由EFS随机生成，用于加密文件。然后，用户的公钥或非对称密钥用于加密对称密钥。由于EFS可以在加密的对称密钥中添加多