6.2.16 EFS

USB-токены и смарт-карты JaCartaИнтеграцииUSB-токены и смарт-карты JaCarta

Аннотация

Настоящий документ содержит сведения о настройке EFS-шифрованиядляфайлов и директорийна рабочих местах под управлением ОС Windows и доступа к зашифрованным данным по электронному ключу JaCartaPKI.

Об EFS

Во всех операционных системах Microsoft семейства NT, начиная с Windows 2000и выше (кроме домашних (home)версий), существует встроенная технология шифрования данных EFS (Encrypting File System).EFS-шифрование основано на возможностях файловой системы NTFS и архитектуре CryptoAPI и предназначено для быстрого шифрования файлов на жёстком диске компьютера.

Система EFS использует шифрование с открытым и закрытым ключами. Для шифрования в EFS используется личный и публичный ключи пользователя, которые генерируются при первом использовании пользователем функции шифрования. Данные ключи остаются неизменными всё время, пока существует его учётная запись. При шифровании файла EFS случайным образом генерирует уникальный номер, так называемый File Encryption Key (FEK) длиной 128 бит, с помощью которого и шифруются файлы. Ключи FEK зашифрованы мастер-ключом, который зашифрован ключом пользователей системы, имеющего доступ к файлу. Закрытый ключ пользователя защищается хэшем пароля этого самого пользователя.

Данные, зашифрованные с помощью EFS, могут быть расшифрованы только с помощью той же самой учётной записи Windows с тем же паролем, из-под которой было выполнено шифрование. А если хранить сертификат шифрования и закрытый ключ на USB-токене или смарт-карте, то для доступа к зашифрованным файлам потребуется ещё и этот USB-токен или смарт-карта, что решает проблему компрометации пароля, так как будет необходимо наличие и дополнительного устройства в виде электронного ключа.

Одной из важных отличительных особенностей EFS от других средств шифрования в Windows является возможность локальной (standalone) работы. То есть пользователь создаёт новый самозаверенный сертификат, записывает его на JaCartaPKI, настраивает EFSи в дальнейшем получает доступ к необходимым каталогам или файлам только при наличии электронного ключа и знания его PIN-кода.

О JaCarta

Для хранения закрытого ключа и сертификата шифрования EFS подойдёт вся линейка электронных ключей JaCartaPKI, в любом форм-факторе, включая и биометрические токены, и смарт-карты, где вместо ввода PIN-кода пользователь прикладывает к специальному считывателю свой палец.

JaCarta PKI — это линейка PKI-токенов для строгой аутентификации пользователей в корпоративных системах, безопасного хранения ключевых контейнеров программных СКЗИ и цифровых сертификатов.

Ход настройки

Ход настройки делится на 3 этапа:.

• выпуск сертификата шифрования;
• настройка директорий шифрования;
• проверка работоспособности.

Выпуск сертификата шифрования

В начале необходимовыпустить и записать сертификат и закрытый ключ в память JaCartaPKI, для этого выполните следующие действия. Для ОС Windows 8 и выше - щёлкните правой кнопкой меню Пуск.

1. Выберите Панель управления.

   

   

Для ОС Windows 7 и ниже - нажмите Пуск, выберите Панель управления.

2. Далее настройка идентична для всех версий ОС Windows. В открывшемся окне выберите Учётные записи пользователей.

   

3. В открывшемся окне выберите Управление сертификатами шифрования файлов.

   

4. Нажмите Далее.

   

5. Выберите самозаверяемый сертификат с сохранением его на смарт-карте и нажмите Далее. Перед продолжением убедитесь в том, что JaCartaPKI подсоединена к компьютеру, а на компьютере установлено ПО “Единый Клиент JaCarta”****.

   

6. Введите PIN-код вставленной карты.

   

7. На следующем шаге укажите директории, которые будут связаны с новым сертификатом, при необходимости можно указать все логические диски.

   

8. Введите PIN-код ещё раз.

   

   

Сертификат выдан и записан на JaCartaPKI. Нажмите Закрыть.

Настройка директорий шифрования

Далее необходимо указать директорию, которая будет зашифрована со всем содержимым, можно зашифровать весь диск со всеми вложенными директориями. В настоящем примере используется директория encrypted, находящаяся на диске C. Щёлкните правой кнопкой по директории и выберите Свойства.

1. Нажмите Другие.

   

2. Отметьте флаг Шифровать содержимое для защиты данных.

   

3. Нажмите ОК, нажмите Применить. В отобразившемся окне выберите К данной папке и ко всем вложенным папкам и **файлам.**И нажмите ОК. Выбор пункта Применение только к этой папке не зашифрует все вложенные ниже директории и файлы в них.

   

4. Нажмите ОК. По завершении процесса шифрования зашифрованная директория будет подсвечена другим цветом.

   

Проверка работоспособности

1. Сразу после завершения настройки отключитеJaCartaPKI, выполните выход из системы или перезагрузку ПК, далее снова войдите в системубез JaCartaPKI. Перейдите в папку encryptedи попробуйте открыть какой-либо файл из неё.Если все настройки сделаны верно, отобразится предложение вставить смарт-карту.

   

2. Вставьте смарт-карту, щёлкните по документу ещё раз и введите PIN-код.

   

   

Если всё сделано верно, документ откроется, доступ будет получен.

3. На этом настройка EFS-шифрования закончена, доступ к файлам теперь возможен только при наличии JaCartaPKI и PIN-кода.