Windowsパスワードのリセット後のEFS暗号化ファイルへのアクセス

WindowsにEFSで暗号化されたファイルがいくつかあります。所有ユーザーアカウントはパスワードで保護されており、多くのツールや方法で簡単にバイパス（リセット）できます。

それで、これらの暗号化されたファイルはどうなりますか？攻撃者はそれらにアクセスできますか？または、それらはまだ保護されており、それらにアクセスするには暗号化キーが必要ですか？

EFS秘密キーがユーザーのパスワードで保護されているという点で、既存の答えは正しいです。ただし、システム上のEFSで暗号化されたファイルを復号化できるEFSデータ回復エージェントを構成することは可能です。DRA証明書は、グループポリシー、またはドメインがない場合はローカルセキュリティポリシーによって設定されます。

システムがDRAの公開鍵を受信すると、ユーザーの公開鍵に加えて各DRAの公開鍵で各暗号化ファイルの対称鍵を暗号化するため、DRAにはこのようなアクセス権があります。したがって、DRAは、証明書が登録された後に作成または開かれた場合にのみ、暗号化されたファイルを回復できます。

そのため、構成によっては、所有者のパスワードをリセットした後でもデータを回復できる可能性があります。DRAキーもDRAのパスワードで保護されていますが、巧妙な攻撃者が新しいユーザーのDRA証明書をインストールし、ターゲットファイルに触れるのを待ってから、証明書を利用してそれらを解読します。

DPAPIはEFS DRAを尊重しないため、この回復オプションはDPAPIで保護されたデータには適用されないことに注意してください。あなたはしている、いくつかの痛みのためにあなたは、このようなデータを回復する必要がある場合。

ユーザーのEFS秘密キーは、Windowsが保持する他のさまざまな秘密データと同様に、ユーザーのパスワードを使用して暗号化されます。パスワードが変更された場合、秘密鍵を復号化することは不可能であり、それなしでは暗号化されたファイルにアクセスすることは不可能です。