Με τη χρήση κρυπτογράφησης αρχείων σε σκληρούς δίσκους NTFS μπορείτε ως ένα βαθμό να αποτρέψετε τη χρήση/ανάγνωση των αρχείων σας από άλλους, είτε χρήστες του ίδιου συστήματος είτε απλώς παρείσακτους.

Ακόμα και αν έχουν σχετικά δικαιώματα πρόσβασης σε αυτά τα αρχεία, με την κρυπτογράφηση ενεργοποιείτε ένα δεύτερο επίπεδο ασφαλείας που τους τα αφαιρεί.
Η εγκατάσταση και η χρήση του EFS (Encrypted File System), όπως ονομάζεται η επέκταση του NTFS που επιτρέπει την κρυπτογράφηση, γίνεται σχετικά εύκολα.

Μετά την ενεργοποίηση του EFS θα μπορείτε να δουλεύετε τόσο με κρυπτογραφημένα όσο και με μη κρυπτογραφημένα δεδομένα με απόλυτη διαφάνεια, χωρίς δηλαδή να αντιλαμβάνεστε κάποια διαφορά στην εργασία με τον έναν τύπο αρχείων ή με τον άλλο.
Χαρακτηριστικό, μάλιστα, είναι το ότι εφόσον μεταφέρετε ένα μη κρυπτογραφημένο αρχείο σε έναν κρυπτογραφημένο κατάλογο, αυτό κρυπτογραφείται άμεσα, με απόλυτη διαφάνεια.
Το EFS χρησιμοποιείται εκτενώς για την προστασία ευαίσθητων δεδομένων σε φορητούς υπολογιστές, ενώ θα έπρεπε να προτιμάται και σε δικτυακά (εταιρικά και μη) περιβάλλοντα, στα οποία απαιτούνται υψηλά μέτρα ασφαλείας.

Η ενεργοποίηση του EFS ακόμα και στον οικιακό υπολογιστή είναι σημαντική, καθώς εξασφαλίζει μεγαλύτερη προστασία για τα προσωπικά δεδομένα σας απέναντι σε άτομα με φυσική ή μη πρόσβαση στον υπολογιστή σας.

Πώς λειτουργεί το EFS
Την ίδια στιγμή που επιλέγετε την κρυπτογράφηση συγκεκριμένων δεδομένων, το service (υπηρεσία συστήματος) του EFS δημιουργεί πιστοποιητικά ταυτότητας για το λογαριασμό χρήστη που χρησιμοποιείται εκείνη τη στιγμή.
Αυτά τα πιστοποιητικά συνδέονται άμεσα με ένα private και ένα public key.
Κάθε αρχείο ή κατάλογος κρυπτογραφείται με βάση ένα μοναδικό κλειδί, το FEK (File Encryption Key), το οποίο προστατεύεται από το public key του χρήστη που κρυπτογράφησε τα δεδομένα.

Τα δεδομένα είναι προστατευμένα από συμμετρική κρυπτογράφηση, η οποία είναι πολύ πιο γρήγορη από την ασύμμετρη (που χρησιμοποιείται μόνο στην προστασία του FEK).
H πρόσβαση στα δεδομένα είναι διαθέσιμη μόνο εφόσον ο χρήστης στον οποίο ανήκουν κάνει log on στο σύστημα - μπορεί ωστόσο να δοθεί άδεια πρόσβασης σε συγκεκριμένους χρήστες. Για να αποκρυπτογραφήσετε το FEK, θα πρέπει να χρησιμοποιήσετε το private key που έχει δημιουργήσει το EFS ή ένα data recovery agent.
Η κρυπτογράφηση των δεδομένων είναι δυνατή μόνο σε λειτουργικά συστήματα Windows 2000/XP Professional (όχι στην home έκδοση των Windows XP) και εφόσονακολουθείται το σύστημα αρχείων NTFS (και όχι το FAT).
?εν μπορείτε, τέλος, να χρησιμοποιήσετε την κρυπτογράφηση των δεδομένων εφόσον έχετε ενεργοποιήσει τη συμπίεση για μεγιστοποίηση της αποθηκευτικής δυνατότητας των κατατμήσεων του συστήματος.

Ενεργοποίηση της κρυπτογράφησης αρχείων και των Recovery Agents

Επιλέξτε το αρχείο ή τον κατάλογο που θέλετε να κρυπτογραφήσετε και με δεξί κλικ από το context menu (μενού επιλογών) που θα εμφανιστεί δώστε Properties (Ιδιότητες).
Στο παράθυρο Ιδιοτήτων που θα εμφανιστεί, από τη σελίδα (tab) General επιλέξτε Advanced. Στο νέο παράθυρο που θα εμφανιστεί ενεργοποιήστε το Encrypt Contents to secure data.
Θα ερωτηθείτε αν η κρυπτογράφηση θα αφορά σε ένα μόνο αρχείο, στον κατάλογο ή σε όλα τα αρχεία και τους καταλόγους που βρίσκονται κάτω από αυτόν.
Για πολλούς λόγους (και κυρίως για την εξασφάλιση υψηλότερου επιπέδου ασφάλειας) προτείνεται η κρυπτογράφηση των φακέλων και όχι μεμονωμένων αρχείων.
Σε σχέση με τα Windows 2000, στα XP συναντάμε ένα επιπλέον χαρακτηριστικό στο πλήκτρο Details.

Μέσω αυτού περνάτε σε ένα παράθυρο, στο οποίο μπορείτε να καθορίσετε:
α) επιπλέον χρήστες με δικαιώματα πρόσβασης σε αυτά
β) εμφάνιση χρηστών και recovery agents (Data Recovery Agent) με δικαιώματα αποκρυπτογράφησης των δεδομένων.

Για ευκολότερη αναγνώριση των κρυπτογραφημένων αρχείων και καταλόγων χρησιμοποιήστε διαφορετικά χρώματα για την εμφάνιση των συμπιεσμένων και των κρυπτογραφημένων αρχείων στα παράθυρα του Windows Explorer.
Επιλέξτε διαδοχικά Folder Options>View>Show Encrypted or Compressed NTFS file in Color.

Η ανάκτηση των κρυπτογραφημένων δεδομένων σε περίπτωση σφάλματος μπορεί να γίνει μέσα από τη χρήση ενός ή περισσότερων data recovery agents.
Με Start>Run>MMC μεταφέρεστε στην κονσόλα διαχείρισης συστήματος των Windows.
Σε αυτήν από το μενού File επιλέξτε Add/Remove Snap-in και κάντε κλικ στο Add. Στο Add Standalone Snap-in κάντε κλικ στο Group Policy και κατόπιν κλικ στο Add.
Στο νέο παράθυρο που θα εμφανιστεί, βεβαιωθείτε ότι η επιλογή αφορά στο Local Computer (τοπικό υπολογιστή) και κάντε κλικ στο Finish.
Με Close και ok επιστρέφετε στο κεντρικό περιβάλλον του Computer Console Management.
Εκεί κάτω από το κλειδί Local Computer Policy επιλέξτε Computer Configuration>Windows Settings>Security Settings>Public Key Policies.
Με δεξί κλικ -επιλέξτε πάνω σε αυτό επιλέξτε Add Data Recovery Agent και ακολουθήστε τα βήματα του οδηγού για να προσθέσετε έναν ή περισσότερους data recovery agents.
Συνήθως ο υπολογιστής δίνει εξ ορισμού πιστοποιητικό recovery agent στον administrator του συστήματος.

Κρυπτογράφηση από τη γραμμή εντολών

Το Cipher, βασικό εργαλείο των Windows, επιτρέπει την (απο)κρυπτογράφηση αρχείων από τη γραμμή εντολών.
Παράλληλα, μπορεί να σας δώσει χρήσιμες πληροφορίες σχετικά με την κρυπτογράφηση που χρησιμοποιείται στον τρέχοντα κατάλογο.

Σύνταξη:
cipher [/e| /d] [/s:dir] [/a][/i] [/f] [/q] [/h] /k [/u /n] [path [...] [/r:Path]
Παράμετροι:
/e - για την κρυπτογράφηση καταλόγων.
Αν στη συνέχεια δημιουργήσετε ένα αρχείο σε κάποιον από αυτούς τους καταλόγους, αυτό θα κρυπτογραφηθεί αυτόματα.
/d - για την αποκρυπτογράφηση καταλόγων.
/a - εκτελεί την εντολή για όλα τα αρχεία και τους καταλόγους που βρίσκονται “κάτω” από τον τρέχοντα κατάλογο.
/i - σε περίπτωση εμφάνισης λαθών φροντίζει να μην τερματιστεί πριν από την ολοκλήρωσή της η διαδικασία κρυπτογράφησης.
/f - επιβάλλει την απoκρυπτογράφηση/κρυπτογράφηση για όλα τα αρχεία και τους καταλόγους.
/q - εμφανίζει βασικές πληροφορίες σχετικά με την κρυπτογράφηση των καταλόγων.
/h - εμφανίζει κρυφά και αρχεία συστήματος. Τα συγκεκριμένα αρχεία δεν κρυπτογραφούνται.
/k - δημιουργεί νέα certificates (πιστοποιητικά) για τον χρήστη.
/u - ανανεώνει το key του χρήστη ή του security agent

H κρυπτογράφηση αρχείων και καταλόγων μπορεί να προκαλέσει απώλεια δεδομένων, αν χρησιμοποιηθεί λανθασμένα.
Τα πιστοποιητικά του EFS δημιουργούνται για ένα χρήστη και για την τρέχουσα εγκατάσταση του λειτουργικού συστήματος.
Σε περίπτωση κατάρρευσης του λειτουργικού συστήματος και επανεγκατάστασής του, το profile του χρήστη ακόμα και αν δώσετε τα ίδια στοιχεία- καταστρέφεται ολοκληρωτικά, με αποτέλεσμα την αδυναμία αποκρυπτογράφησης των αρχείων.
Παράλληλα αν τροποποιήσετε τον κωδικό πρόσβασης του χρήστη, η πρόσβαση στα κρυπτογραφημένα αρχεία δεν θα είναι δυνατή και η αποκρυπτογράφησή τους θα μπορεί να γίνει μόνο μέσω του recovery agent.