223

8.2.4.7. Восстановление EFS

Восстановление EFS сходно с процессом расшифровки

(рис. 8.8).

Когда файл восстанавливается в EFS, происходят следующие процессы.

1.NTFS посылает запрос драйверу EFS.

2.Драйвер EFS возвращает DRF и передает его службе

EFS.

3.Служба EFS восстанавливает DRF, пользуясь закрытым ключом агента восстановления для получения ключа файла.

4.Служба EFS отправляет ключ файла обратно драйверу

EFS.

5.Драйвер EFS использует ключ файла для восстановления файла.

6.Драйвер EFS возвращает зашифрованные данные файловой системе NTFS, которая завершает запрос файла и посылает данные программе-заказчику.

Рис. 8.8. Процесс восстановления EFS

224

8.2.4.8. Утилита командной строки cipher (шифр)

Утилита cipher позволяет шифровать/дешифровать файлы из командной строки:

cipher [/e /d ] [/$:каталог] [/a][/i] [Д] [/q ] [/h ] [/k ] [путь [ . ]].

Без параметров cipher показывает состояние шифрования текущей папки и файлов внутри нее. Можно использовать несколько имен папок или ввести в имени папки метасимволы. Несколько параметров команды следует разделять пробелами.

Параметры cipher таковы:

/е - зашифровывает указанные папки. Папки маркируются так, что добавленные впоследствии файлы будут также зашифрованы.

/d - расшифровывает указанные папки. Папки маркируются так, что добавленные впоследствии файлы зашифрованы не будут.

/s:dir - выполняет выбранную операцию в указанной папке и всех подпапках.

/а - выполняет операцию как для файлов, так и для кат а- логов. Рекомендуется шифровать файл и папку, которая его содержит, потому что при изменении зашифрованного файла в незашифрованной папке шифр может быть снят. Если подходящего файла нет, этот параметр игнорируется.

/I - продолжает выполнение указанной операции даже после обнаружения ошибок. По умолчанию работа cipher останавливается, если встречаются ошибки.

/f - принудительно шифрует все выбранные объекты, даже если они уже зашифрованы. По умолчанию ранее зашифрованные объекты пропускаются.

/q - выводит только наиболее важную информацию.

/h - отображает скрытые или системные файлы. По умолчанию эти файлы пропускаются.

/k - создает новый ключ шифрования файла для пользователя, запустившего cipher. Остальные выбранные параметры будут проигнорированы.

путь - определяет шаблон имени, имя файла или имя папки полностью.

225

Примеры

Чтобы зашифровать папку C:\My Documents, наберите в командной строке:

cipher /e «My Documents».

Чтобы зашифровать все файлы на диске С: со словом «test» в имени файла, наберите в командной строке:

cipher /e /s test.

8.2.5.Протокол IPSec

IPSec в Windows предназначен для защиты особо уязвимых данных в сети TCP/IP и обеспечивает конфиденциальность, целостность и аутентификацию трафика IP для каждого пакета.

При использовании IPSec два связывающихся компьютера сначала согласовывают наиболее строгие общие политики безопасности, а затем каждый на своей стороне управляет IP Security.

Перед отправкой данных компьютер, инициализируя связь, прозрачно для пользователя зашифровывает данные с помощью IP Security. Принимающий компьютер так же прозрачно расшифровывает данные перед передачей их принимающему процессу.

Поскольку данные передаются на уровень протокола IP и там зашифровываются, отдельные защищенные пакеты для каждого протокола в наборе TCP/IP не требуются.

Использование IPSec для шифрования всего IP-трафика сети гарантирует, что любая связь, основанная на TCP/IP, защищена от перехвата.

Любые маршрутизаторы между связывающимися компьютерами могут просто перенаправлять зашифрованные пакеты IP.

Примечание

Для гарантии полной совместимости с предыдущими вер-

сиями Windows-компьютер с Windows 2000-2003, сконфигури-

рованный под IPSec, посылает данные на компьютеры, работающие с предыдущими версиями Windows без шифрования.

226

8.2.5.1.Политики IPSec

СWindows IPSec можно создавать политики, определяющие тип и уровень безопасности в сети.

Политики согласования

Эти политики определяют используемые в сети службы

безопасности. Протокол безопасности, выбранный для этих политик согласования, является основой для служб безопасности. Например, если выбран протокол IP Authentication Header, обеспечивается целостность, аутентификация и предотвращение повтора, но неконфиденциальность.

Можно задать несколько способов обеспечения безопасности для каждой политики согласования. Если первый способ неприемлем для безопасного соединения, служба продолжит поиск в списке, пока не найдет политику, пригодную для установления связи.

Если согласование не удалось, связь устанавливается без

IPSec.

Фильтры IP

Фильтры IP руководят действиями в зависимости от пункта назначения пакета IP, активного IP-протокола и используемых портов. Каждый IP-пакет проверяется IP-фильтром, и если соответствие найдено, то для посылки сообщения применяется соответствующая политика безопасности. Фильтры должны быть сконфигурированы как для входящего, так и для исходящего трафика.

Политики безопасности

Используют для конфигурирования атрибутов IPSec. Они создаются соответствующими политиками согласования и фильтрами IP и связаны с политиками контроллера домена. Политики безопасности определяют тип и уровень безопасности для любого сетевого IP соединения. Политики безопасности IP могут быть назначены в качестве политики домена по умолчанию, локальной политики по умолчанию или политики домена по выбору.

Подключающийся к домену компьютер автоматически получает политики домена и локальные политики по умолчанию, в том числе политику IPSec для домена.