您所在的位置:首页 > 个人恢复 > 加密/解密数据恢复

成功案例

解决方案

一、故障类型
◆故障描述:EFS加密文件无法打开
◆故障特征:
(1)重装系统后以前加密的文件无法打开
(2)密钥文件丢失导致加密文件无法打开
(3)损坏程度星级评价:★★★★
二、解决方案
◆检测流程:
(1)查看现有系统占用空间;
(2)查看现在有mft文件目录数占用空间。                        
◆实施流程:
(1)查找或重组加密FEK的私钥;
(2)查找可重组加密私钥的主密钥;
(3)根据用户提拱的用户密码进行校验匹配,解密用户文件;
(4)对解密出来的文件进行逻辑分析和校验,迁移出用户所需数据。
◆验收流程:                                                            
(1)对已迁移出来的所有数据做属性统计,从文件数量和容量等方面确保用户所需数据已   全部迁移成功;
(2)对已迁移出来的所有数据做完整性验证,确保文件在目录结构及底层逻辑等方面正确无误;
(3)对用户指定的关键数据文件进行针对性校验,确保用户关键数据成功恢复。

三、数据恢复的可能性

    在使用EFS加密一个NTFS文件时,系统首先会生成一个伪随机数FEK (File Encryption Key,文件加密钥匙),然后用FEK加密数据并对文件进行原位覆写。随后系统利用你的公钥加密FEK,并把加密后的FEK存储在加密文件的$EFS属性中。

而在访问被加密的文件时,系统首先利用当前用户的私钥解密FEK,然后利用FEK解密出文件。在首次使用EFS时,如果用户还没有公钥/私钥对(统称为密钥),则会首先生成密钥,然后加密数据。如果你登录到了域环境中,密钥的生成依赖于域控制器,否则它就依赖于本地机器。

用户私钥是解密EFS文件的关键,私钥保存于Windows分区的Documents and Settings\%UserName%\Application Data\Microsoft\Crypto\RSA\%UserSID% (用户的SID为安全标识符,相当于用户的身份证号码,当创建一个帐号时,系统为其分配一个唯一的SID编号)。

为了保护私钥,Windows用主密钥对私钥进行加密,主密钥位于Windows分区的Documents and Settings\%UserName%\Application Data\Microsoft\Protect\%UserSID%,然后再用用户密码生成的密钥对主密钥进行加密。

这样就形成了“用户密码->主密钥->私钥->FEK->EFS加密文件”加密链。所以如果想完整地获得EFS加密数据,那么必须得到用户密码、主密钥和私钥。

四、数据恢复所需时间
  在大多数案例中此类故障主要是重装系统导致密钥丢失造成的,由于重装系统将写入大量文件到系统分区,密钥被覆盖的几率相对较高,这也是导致此类故障恢复成功率较低的重要原因,一般此类故障成功率在50%左右,通常所需时间为1-3个工作日。

五、服务费用
  EFS解密:2000元/盘

【小贴士】
◆通过EFS加密文件后应该及时备份密钥并妥善保存;
◆出现此类故障后应该立刻停止继续使用计算机,以降低密钥被覆盖的几率。
crcca.net的SEO综合查询 - 站长工具