:: PÁGINA DO FABIANO :: MANUAIS E SIMULADOS :: ARTIGOS E TUTORIAIS

 

Você está aqui: Principal » Fabiano » Artigos

 

Windows Server 2003

EFS - Encrypting File System

 

Autor: Fabiano de Santana

Certificações: MVP – MCSA 2000/2003 Security – MCSE 2000/2003 Security – ITIL Foundation
Data de criação: 29/09/2008

 

Este artigo aplica-se aos seguintes produtos e tecnologias:

Resumo

 

Neste artigo veremos com implementar e utilizar o recurso EFS. Com esse recurso podemos criptografar pastas e arquivos confidenciais. É um recurso bastante utilizado hoje em dia, principalmente em laptops, pois com ele reforçamos a segurança em arquivos e pastas.

 

Introdução

 

Ao utilizarmos o sistema de arquivos NTFS, contamos com um recurso voltado a segurança: EFS – Encrypting File System (Sistema de Arquivos com Criptografia). Com esse recurso podemos criptografar pastas e arquivos confidenciais. É um recurso bastante utilizado hoje em dia, principalmente em laptops, pois com ele reforçamos a segurança em arquivos e pastas.

 

O recurso EFS foi introduzido no Windows 2000, e está disponível também no Windows Server 2003 e Windows XP Professional.

 

Um detalhe importante é que esse recurso só pode ser utilizado em sistemas de arquivos NTFS. Em outros tipos de sistemas de arquivos, esse recurso não está disponível.

 

A criptografia nada mais é do que a conversão de um conjunto de dados para um formato no qual não possa ser lido por um outro usuário. Ou seja, somente quem criptografa um arquivo pode acessá-lo. O Recovery Agent (Agente de Recuperação) também pode acessar um arquivo criptografado. A descriptografia consiste em converter um conjunto de dados criptografados para o seu formato original, tornando possível a sua leitura. Quando criptografamos um arquivo, ele permanecerá armazenado em disco com o atributo de criptografia.

 

Como já dito anteriormente, com o recurso EFS reforçamos a segurança em arquivos e pastas. Caso utilizemos somente as permissões NTFS para garantir a segurança de nossas informações, nos depararemos com os seguintes problemas:

Utilizando a criptografia, resolvemos ambos os problemas citados acima, pois somente quem criptografou os arquivos e o Recovery Agent (Agente de Recuperação) poderá ter acesso a esses arquivos.

 

O recurso EFS nos permite configurar uma conta com a função de Recovery Agent (Agente de Recuperação). Com esta conta, podemos acessar arquivos criptografados por outros usuários. Em computadores Member Servers (Servidores Membros), por padrão, a conta de usuário Administrator (Administrador) é configurada como Recovery Agent (Agente de Recuperação). Já em Domain Controllers (Controladores de Domínio), por padrão, a conta de usuário Domain Administrator (Administrador do Domínio) é configurada como Recovery Agent (Agente de Recuperação). O Recovery Agent (Agente de Recuperação) é útil quando excluímos a conta de um usuário que possui arquivos criptografados. Após a exclusão dessa conta de usuário, somente o Recovery Agent (Agente de Recuperação) poderá acessar esses arquivos.

 

O acesso aos arquivos e pastas criptografados é transparente, ou seja, é idêntico ao acesso a arquivos e pastas não criptografados. Quando acessamos um arquivo criptografado, ele é descriptografado automaticamente. E quando fechamos o arquivo, ele é criptografado novamente.

 

Ao tentarmos acessar um arquivo criptografado do qual não sejamos dono, receberemos uma mensagem de acesso negado, e não poderemos visualizar o conteúdo desse arquivo.

 

Algumas considerações sobre o EFS:

Quando um usuário criptografa um arquivo ou pasta pela primeira vez, o Windows gera automaticamente um certificado digital composto por duas chaves de criptografia. São estas duas chaves que nos permitem criptografar e descriptografar arquivos e pastas. Com uma chave podemos criptografar arquivos e pastas, e com a outra chave podemos descriptografar arquivos e pastas. Este processo é realizado para cada usuário que criptografa um arquivo ou pasta pela primeira vez, ou seja, cada usuário possui seu certificado digital. E é gerado também um certificado adicional para o Recovery Agent (Agente de Recuperação). Esses certificados digitais são armazenados no disco rígido do computador. Aqui está o problema. Caso ocorra um desastre com o disco rígido, poderemos perder esses certificados caso não tenhamos uma cópia de segurança destes, o que significa que o acesso aos arquivos criptografados não será mais possível. Devemos então fazer uma cópia de segurança desses certificados, preferencialmente em um disquete ou em um drive de rede. Apresentamos abaixo alguns exemplos de como efetuar a cópia de segurança de certificados digitais:

 

Realizar a cópia de segurança do certificado digital do Recovery Agent (Agente de Recuperação) do domínio.

Figura 1 – Domain Security Policy – Diretiva de Segurança de Domínio

Figura 2 – Certificate Export Wizard – Assistente de Exportação de Certificados

Figura 3 – Export Private Key – Importar Chave Privada

Figura 4 – Export File Format – Formato de Exportação do Certificado

Figura 5 – File to Export – Arquivo para Exportação

Figura 6 – Exportação efetuada com sucesso

 

Realizar a cópia de segurança do certificado digital de um usuário.

Figura 7 – Certificates – Certificados

Figura 8 – Export File Format – Formato de Exportação do Certificado

Figura 9 – Password – Senha

Figura 10 – Ícones dos certificados digitais

 

Importar um certificado digital a partir de um arquivo.

Figura 11 – Certificate Import Wizard – Assistente de Importação de Certificados

Figura 12 – Password – Senha

Figura 13 – Cerificate Store – Armazenamento do Certificado

Quando estamos trabalhando em um domínio, podemos alterar a diretiva de segurança (GPO) do domínio para que uma conta de usuário específica possa ser configurada como Recovery Agent (Agente de Recuperação), e também excluir todas as contas de usuários configuradas como Recovery Agent (Agente de Recuperação), o que impedirá a utilização do recurso EFS.

 

Alterar a diretiva de segurança relacionada com o Recovery Agent (Agente de Recuperação).

Criptografar um arquivo.

Figura 14 – Advanced Attributes – Atributos Avançados

Temos ainda o comando cipher, o qual é utilizado para exibir ou alterar o status de criptografia de pastas e arquivos. Apresentamos abaixo, alguns parâmetros que podem ser utilizados com esse comando:

Links relacionados

Tire suas dúvidas no site abaixo. Muitos profissionais qualificados tentarão lhe ajudar da melhor forma possível:

Conclusão

 

É isso pessoal, espero que este artigo seja útil para todos. Em caso de dúvidas sobre o conteúdo deste artigo, ou para enviar sugestões sobre novos tutoriais que você gostaria de ver publicado neste site, entre com contato através de e-mail: fabianodesantana@terra.com.br.

_____________________________________________________________________________
Fabiano de Santana, bacharelado em Análise de Sistemas e Pós Graduado em Segurança da Informação, trabalha com TI a mais de oito anos. Realizou vários projetos, entre eles implementação do WSUS, migração de correio eletrônico, implementação do ISA Server 2004 e 2006, implementação de Lotus Notes, implementação de políticas de segurança, implementação do Active Directory, entre outros. Possui as certificações MCP, MCSA / MCSE 2000 Security, MCSA 2003 Security, MCSE 2003, Itil Foundation e IBM Certified System Administrator – Lotus Notes and Domino 7. Em 2008 foi nomeado MVP na categoria Windows Server Management Infrastructure.

Autor de e-books e artigos em parceria com o Julio Battisti há mais de quatro anos, moderador do Fórum de Windows e Certificações do site www.juliobattisti.com.br. Autor de artigos para o Technet Brasil e iMasters. Atua também como professor e autor de cursos para o site iPED.

Visite o site do autor: www.juliobattisti.com.br/fabiano

© Júlio Battisti, 2001 - 2010. Todos os direitos reservados.
É expressamente proibida a reprodução total ou parcial do conteúdo deste site e dos textos disponíveis, seja através de mídia eletrônica, impressa, ou qualquer outra forma de distribuição. Os infratores serão indiciados e punidos com base na lei nº 9.610 de 19/02/1998. Este tutorial só pode ser publicado no site www.juliobattisti.com.br e no site do Autor do tutorial. Nenhum outro site tem permissão para copiar e publicar este tutorial, mesmo que sejam mantidas todas as referências ao autor e ao site www.juliobattisti.com.br. Não é permitida a publicação deste tutorial em nenhum outro site.