Zgryźliwość kojarzy mi się z radością, która źle skończyła.
Rozdzia³ 14
Szyfrowanie folderów i plików
447
Szyfrowanie
informacji
Tworzenie agenta odzyskiwania
danych
455
Tworzenie kopii zapasowych
certyfikatów
458
Przywracanie zaszyfrowanych
plików i folderów
462
Czêœæ III: Zarz¹dzanie plikami
Rozdzia³ 14: Szyfrowanie informacji
Wszystkie organizacje i przedsiêbiorstwa–ana-
wet indywidualni u¿ytkownicy komputerów –
najprawdopodobniej maj¹ w komputerze dane,
których woleliby nie ujawniaæ innym. Dane fi-
nansowe – informacje ksiêgowe w firmie, pliki
z osobistymi informacjami finansowymi itd. –
z pewnoœci¹ nale¿¹ do tej kategorii. Ale przecie¿
w twoim komputerze mog¹ byæ przechowywane
tak¿e plany marketingowe, tajemnice handlowe,
historie medyczne, pamiêtniki, ksi¹¿ki telefo-
niczne i inne podobne informacje. Dwie tenden-
cje, jakie obserwujemy w rozwoju komputerów –
³¹czenie komputerów ze sob¹ (poprzez sieci lo-
kalne lub Internet) oraz rozwój komputerów
przenoœnych – zwiêkszy³y zagro¿enie dla tych
danych. Osoba, której uda siê pobraæ plik z twoje-
go komputera lub te¿ po¿yczy (czy ukradnie)
komputer przenoœny, bêdzie mia³a dostêp do
wszystkich twoich tajemnic.
Microsoft Windows XP zawiera mechanizm po-
zwalaj¹cy zapobiec utracie poufnych danych.
System szyfrowania plików (EFS) umo¿liwia ta-
kie zaszyfrowanie pliku, ¿e nawet jeœli wpadnie
w niepowo³ane rêce, to nie bêdzie mo¿na go od-
czytaæ. Pliki mo¿na otworzyæ jedynie po zalogo-
waniu siê do komputera z konta u¿ytkownika,
który je utworzy³ (konto nale¿y zabezpieczyæ
trudnym has³em). Tak wiêc nawet osoba, która
zaloguje siê do tego samego komputera, ale z in-
nego konta, nie bêdzie mia³a dostêpu do twoich
zaszyfrowanych plików, co stanowi dobre zabez-
pieczenie w komputerach, z których korzysta
wiele osób.
W³¹czanie i wy³¹czanie systemu EFS
463
Zalecenia dotycz¹ce szyfrowania
plików
464
UWAGA
System EFS nie jest obs³ugiwany w Windows XP Home
Edition.
446
Czêœæ III: Zarz¹dzanie plikami
Pamiêtaj o zagro¿eniach zwi¹zanych z systemem EFS
System EFS zapewnia bezpieczeñstwo twoim najwa¿niejszym danym. Zabezpie-
czenie to jest tak pewne, ¿e gdy stracisz klucz umo¿liwiaj¹cy odszyfrowanie da-
nych, utracisz wszystkie chronione w ten sposób informacje. Domyœlnie Microsoft
Windows XP nie oferuje ¿adnego „wyjœcia awaryjnego” na wypadek utraty klucza
deszyfracji.
Klucz ten mo¿na straciæ przez nieuwagê na kilka sposobów, miêdzy innymi w na-
stêpuj¹cych sytuacjach:
Pracuj¹c w oknie dialogowym Certyfikaty lub z konsol¹ Certyfikaty (Cert-
mgr.msc), mo¿esz bezpowrotnie usun¹æ certyfikat szyfrowania, który zawiera
klucz.
Za³ó¿my, ¿e poufne dane przechowujesz w zaszyfrowanych folderach na in-
nym dysku (na przyk³ad D). Zauwa¿y³eœ, ¿e komputer dzia³a coraz wolniej i na
dysku zebra³o siê ju¿ wiele niepotrzebnych plików – postanawiasz wiêc ponow-
nie zainstalowaæ system Windows. Nie martwi¹c siê o pliki pozostaj¹ce w innej
partycji, formatujesz dysk C i ponownie instalujesz system Windows. Chocia¿
mo¿e nie wydawaæ siê to wcale takie oczywiste, podczas instalacji Windows dla
ka¿dego u¿ytkownika tworzone s¹ nowe identyfikatory zabezpieczeñ (SID),
nawet jeœli przeprowadzisz instalacjê dok³adnie w ten sam sposób, co poprzed-
nio. W rezultacie zmieni¹ siê certyfikaty szyfrowania dla wszystkich u¿ytkow-
ników i nie bêdziesz móg³ za ich pomoc¹ uzyskaæ dostêpu do zaszyfrowanych
danych na dysku D. Nawet korzystaj¹c z konta Administrator – które tak¿e ma
nowy SID – nie bêdziesz móg³ odszyfrowaæ plików zaszyfrowanych w innej in-
stalacji Windows.
Na szczêœcie, zachowuj¹c odrobinê uwagi, mo¿na nie dopuœciæ do realizacji tych
czarnych scenariuszy. Zanim zaczniesz u¿ywaæ systemu EFS do szyfrowania na-
prawdê wa¿nych dokumentów, powinieneœ siê go najpierw nauczyæ. Dlatego te¿
zalecamy podjêcie nastêpuj¹cych kroków:
1.
Utwórz pusty folder i zaszyfruj go (szczegó³y znajdziesz w podrozdziale „Szy-
frowanie folderów i plików” na nastêpnej stronie).
2.
W zaszyfrowanym folderze utwórz nowy plik (mo¿esz te¿ skopiowaæ jakiœ nie-
potrzebny plik do tego folderu) i upewnij siê, ¿e mo¿esz u¿ywaæ go tak jak ka¿-
dego innego pliku.
3.
Jeœli twój komputer nie jest czêœci¹ domeny, utwórz agenta odzyskiwania da-
nych, który umo¿liwi odzyskanie danych z innego konta, w wypadku gdybyœ
utraci³ lub uszkodzi³ w³asny certyfikat szyfrowania (szczegó³y znajdziesz
w podrozdziale „Tworzenie agenta odzyskiwania danych” na stronie 455).
4.
Wykonaj kopiê zapasow¹ certyfikatu agenta odzyskiwania danych i osobistego
certyfikatu szyfrowania (szczegó³y znajdziesz w podrozdziale „Tworzenie ko-
pii zapasowych certyfikatów” na stronie 458
Pamiêtaj, ¿e nie mo¿esz utworzyæ kopii zapasowej certyfikatu dopóki nie zaszy-
frujesz przynajmniej jednego folderu lub pliku. Certyfikaty szyfrowania two-
rzone s¹ dopiero podczas pierwszego szyfrowania.
Rozdzia³ 14: Szyfrowanie informacji
447
5.
Teraz mo¿esz zacz¹æ u¿ywaæ systemu EFS do szyfrowania wa¿nych plików.
W skrócie: zanim zaszyfrujesz wa¿ne pliki, utwórz najpierw agenta przywracania.
Wykonaj kopie zapasowe osobistego certyfikatu oraz certyfikatu agenta przywra-
cania. Przejrzyj listê kontroln¹ umieszczon¹ na koñcu tego rozdzia³u, aby upewniæ
siê, ¿e nie pomin¹³eœ ¿adnej wa¿nej czynnoœci.
Szyfrowanie
jest procesem kodowania poufnych danych za pomoc¹ specjalnego algo-
rytmu. Bez odpowiedniego klucza, nikt nie mo¿e ich odczytaæ. Microsoft Windows
XP wykorzystuje szyfrowanie do kilku celów:
szyfrowanie plików na dyskach NTFS (partycjach dyskowych sformatowanych
przy u¿yciu systemu plików NTFS) (patrz „Szyfrowanie folderów i plików”
poni¿ej).
szyfrowanie danych przesy³anych miêdzy przegl¹dark¹ a serwerami przy u¿yciu
protoko³u SSL (Secure Sockets Layer) (patrz „Uruchamianie bezpiecznego (szyfro-
wanego) po³¹czenia” na stronie 655)
szyfrowanie danych przesy³anych miêdzy komputerami w wirtualnych sieciach
prywatnych (VPN)
szyfrowanie lub podpisywanie wiadomoœci e-mail
Szyfrowanie folderów i plików
System EFS umo¿liwia szyfrowanie plików na lokalnym dysku NTFS w taki sposób,
aby otworzyæ je mog³a wy³¹cznie ta osoba, która utworzy³a zaszyfrowane pliki. Jest to
dodatkowe zabezpieczenie, wychodz¹ce poza system uprawnieñ NTFS, który
mo¿esz wykorzystaæ do ograniczania dostêpu do plików osobom loguj¹cym siê do
twojego komputera z innych kont. System uprawnieñ NTFS ma kilka dziur. Po pierw-
sze, wszystkie osoby o uprawnieniach administratorów mog¹ uzyskaæ dostêp (lub
umo¿liwiæ go innym) do twoich plików. Ponadto ka¿dy, kto uzyska fizyczny dostêp
do komputera, mo¿e za³adowaæ system z dyskietki rozruchowej (lub skorzystaæ z in-
nego systemu, jeœli twój komputer obs³uguje rozruch wielokrotny) i za pomoc¹ takie-
go narzêdzia jak NTFSDOS (
http://www.sysinternals.com
) odczytaæ dane znajduj¹ce siê
na dysku twardym komputera – bez koniecznoœci podawania nazwy u¿ytkownika
lub has³a. Na takie ryzyko nara¿one s¹ szczególnie komputery przenoœne, które
³atwiej skraœæ.
UWAGA
W wiêkszoœci komputerów mo¿esz zabezpieczyæ siê przed tak¹ sytuacj¹, u¿ywaj¹c BIOS-u lub innego prog-
ramu. W³¹cz w BIOS-ie ochronê has³em, które bêdzie wymagane przy uruchomieniu komputera oraz przy
wchodzeniu do BIOS-u i wy³¹cz mo¿liwoœæ ³adowania systemu z dyskietki. Niestety takie zabezpieczenia
równie¿ mo¿na obejœæ. Wystarczy na przyk³ad wymontowaæ dysk twardy i przenieœæ go do innego kompu-
tera.
System EFS zapewnia bezpieczeñstwo twoim poufnym danym. System u¿ywa pu-
blicznego klucza w celu utworzenia losowo wygenerowanego klucza szyfrowania
plików (FEK). Za pomoc¹ tego klucza Windows automatycznie i w sposób niewidocz-
448
Czêœæ III: Zarz¹dzanie plikami
Zabezpieczanie pliku stronicowania
Jeœli zagadnienia bezpieczeñstwa s¹ dla ciebie bardzo wa¿ne, powinieneœ pamiêtaæ
tak¿e o zabezpieczeniu pliku stronicowania. Domyœlnie podczas zamykania syste-
mu plik stronicowania pozostaje nienaruszony. Osoby, które uzyskaj¹ dostêp do
twojego komputera, mog¹ odczytaæ dane zapisane w niezaszyfrowanym pliku wy-
miany.
Mo¿esz temu zapobiec, zmieniaj¹c wpis w rejestrze systemu. Otwórz Edytor reje-
stru i przejdŸ do klucza HKLM\System\CurrentControlSet\Control\Session Ma-
nager\Memory Management i zmieñ wartoœæ ClearPageFileAtShutdown na 1. Od
tej pory Windows bêdzie wype³nia³ nieaktywne strony w pliku stronicowania zera-
mi. Poniewa¿ mo¿e to zwolniæ dzia³anie systemu, nie wprowadzaj tej zmiany, jeœli
nie wymagaj¹ tego wzglêdy bezpieczeñstwa.
ny dla u¿ytkownika szyfruje dane w trakcie zapisywania ich na dysku. Dane mo¿na
odszyfrowaæ wy³¹cznie przy u¿yciu certyfikatu i powi¹zanego z nim prywatnego
klucza, które s¹ dostêpne jedynie po zalogowaniu do konta przy u¿yciu okreœlonej
nazwy u¿ytkownika i w³aœciwego has³a. (Dane odszyfrowaæ mo¿na tak¿e za pomoc¹
specjalnie utworzonego w tym celu agenta). Inni u¿ytkownicy, którzy spróbuj¹ u¿yæ
zaszyfrowanych plików, otrzymaj¹ komunikat braku dostêpu.
Wiêcej informacji na temat agentów odzyskiwania znajdziesz w podrozdziale „Przywracanie zaszyfrowanych plików
i folderów” na stronie 462.
Mo¿liwe jest szyfrowanie zarówno pojedynczych plików, jak i folderów. My zaleca-
my szyfrowanie ca³ych folderów, a nie pojedynczych plików. Dziêki temu bêdziesz
mia³ pewnoœæ, ¿e zaszyfrowane s¹ nie tylko pliki istniej¹ce ju¿ w danym folderze, ale
tak¿e nowe pliki, które dopiero utworzysz w tym folderze. Dotyczy to równie¿ tym-
czasowych plików, które s¹ tworzone przez ró¿ne programy w tym folderze. (Na
przyk³ad Microsoft Word tworzy kopiê ka¿dego dokumentu otwieranego do edycji.
Jeœli folder, w którym znajduje siê dokument, nie jest zaszyfrowany, to niezaszyfro-
wana pozostanie równie¿ tymczasowa kopia – któr¹ osoby niepowo³ane mog³yby po-
dejrzeæ). Z tej przyczyny powinieneœ tak¿e zastanowiæ siê nad zaszyfrowaniem folde-
rów %Temp% i %Tmp%, w których wiele programów przechowuje tymczasowe ko-
pie otwartych dokumentów.
UWAGA
Zanim zaszyfrujesz wa¿ne dane, powinieneœ wykonaæ kopiê zapasow¹ osobistego certyfikatu szyfrowania
(wraz ze zwi¹zanym z nim kluczem prywatnym) oraz certyfikatu agenta odzyskiwania, zapisuj¹c je na dys-
kietce przechowywanej w bezpiecznym miejscu. Jeœli stracisz oryginalny certyfikat (na przyk³ad wskutek
uszkodzenia dysku twardego), bêdziesz móg³ przywróciæ go z kopii zapasowej i odzyskaæ dostêp do swo-
ich plików. Jeœli stracisz wszystkie kopie swojego certyfikatu (i nie utworzysz certyfikatów agenta odzyski-
wania), nie bêdziesz móg³ odzyskaæ zaszyfrowanych plików. Nie istnieje ¿aden sposób na odzyskanie tych
plików czy choæby podejrzenie ich zawartoœci. (Gdyby istnia³y jakieœ sposoby, to system EFS nie zapew-
nia³by tak dobrej ochrony). Wiêcej szczegó³ów znajdziesz w podrozdziale „Tworzenie kopii zapasowych
certyfikatów” na stronie 458).
Rozdzia³ 14: Szyfrowanie informacji
449
Aby zaszyfrowaæ folder, wykonaj nastêpuj¹ce czynnoœci:
1.
Prawym przyciskiem myszy kliknij folder, wybierz polecenie W³aœciwoœci, wy-
bierz zak³adkê Ogólne i kliknij przycisk Zaawansowane. (Jeœli w oknie dialogo-
wym w³aœciwoœci folderu nie ma pliku Zaawansowane, to znaczy, ¿e folder ten nie
znajduje siê na dysku z systemem plików NTFS i nie mo¿esz skorzystaæ z szyfro-
wania systemem EFS).
WSKAZÓWKA
Twoje najwa¿niejsze dokumenty znajduj¹ siê najprawdopodobniej w folderze Moje dokumenty; a inne wa¿-
ne pliki w folderze Temp. Zazwyczaj oba te foldery znajduj¹ siê na partycji rozruchowej. Jeœli nie jest to par-
tycja sformatowana w systemie NTFS, nie bêdziesz móg³ zaszyfrowaæ tych folderów. Jeœli nie mo¿esz
dokonaæ konwersji partycji rozruchowej na system plików NTFS (na przyk³ad potrzebujesz systemu FAT,
aby mo¿liwy by³ podwójny rozruch), a w twoim komputerze znajduje siê kilka partycji, mo¿esz sformato-
waæ jedn¹ z nich w systemie NTFS i przenieœæ tam wa¿ne foldery. Poniewa¿ foldery Moje dokumenty
i Temp s¹ folderami specjalnymi, nie wystarczy zwyczajnie przenieœæ ich, na przyk³ad w Eksploratorze Win-
dows. (Mo¿esz w ten sposób spowodowaæ powa¿ne problemy, dlatego te¿ nawet nie próbuj). Oczywiœcie
s¹ jednak skuteczne sposoby na przeniesienie tych folderów. Wiêcej szczegó³ów znajdziesz w podrozdziale
„Przenoszenie folderów ze standardowego po³aczenia profili” na stronie 950).
2.
Zaznacz pole wyboru Szyfruj zawartoœæ, aby zabezpieczyæ dane. (Pamiêtaj, ¿e nie
mo¿esz zaszyfrowaæ skompresowanych danych. Jeœli w wybranym folderze znaj-
duj¹ siê ju¿ jakieœ skompresowane pliki, Windows wyczyœci pole wyboru Kom-
presuj zawartoœæ. Poniewa¿ szyfrowanie i kompresja wzajemnie siê wykluczaj¹, ta
sekcja okna dialogowego powinna raczej zawieraæ przyciski opcji, a nie pola wy-
boru–itojeszcze z dodatkow¹ opcj¹ „Brak kompresji i szyfrowania”).
3.
Kliknij przycisk OK w dwóch oknach dialogowych. Jeœli folder zawiera jakieœ pliki
lub podfoldery, Windows wyœwietli jeszcze jedno okno dialogowe z proœb¹ o po-
twierdzenie zmiany atrybutów.
zanotowane.pl doc.pisz.pl pdf.pisz.pl hannaeva.xlx.pl
Szyfrowanie folderów i plików
447
Szyfrowanie
informacji
Tworzenie agenta odzyskiwania
danych
455
Tworzenie kopii zapasowych
certyfikatów
458
Przywracanie zaszyfrowanych
plików i folderów
462
Czêœæ III: Zarz¹dzanie plikami
Rozdzia³ 14: Szyfrowanie informacji
Wszystkie organizacje i przedsiêbiorstwa–ana-
wet indywidualni u¿ytkownicy komputerów –
najprawdopodobniej maj¹ w komputerze dane,
których woleliby nie ujawniaæ innym. Dane fi-
nansowe – informacje ksiêgowe w firmie, pliki
z osobistymi informacjami finansowymi itd. –
z pewnoœci¹ nale¿¹ do tej kategorii. Ale przecie¿
w twoim komputerze mog¹ byæ przechowywane
tak¿e plany marketingowe, tajemnice handlowe,
historie medyczne, pamiêtniki, ksi¹¿ki telefo-
niczne i inne podobne informacje. Dwie tenden-
cje, jakie obserwujemy w rozwoju komputerów –
³¹czenie komputerów ze sob¹ (poprzez sieci lo-
kalne lub Internet) oraz rozwój komputerów
przenoœnych – zwiêkszy³y zagro¿enie dla tych
danych. Osoba, której uda siê pobraæ plik z twoje-
go komputera lub te¿ po¿yczy (czy ukradnie)
komputer przenoœny, bêdzie mia³a dostêp do
wszystkich twoich tajemnic.
Microsoft Windows XP zawiera mechanizm po-
zwalaj¹cy zapobiec utracie poufnych danych.
System szyfrowania plików (EFS) umo¿liwia ta-
kie zaszyfrowanie pliku, ¿e nawet jeœli wpadnie
w niepowo³ane rêce, to nie bêdzie mo¿na go od-
czytaæ. Pliki mo¿na otworzyæ jedynie po zalogo-
waniu siê do komputera z konta u¿ytkownika,
który je utworzy³ (konto nale¿y zabezpieczyæ
trudnym has³em). Tak wiêc nawet osoba, która
zaloguje siê do tego samego komputera, ale z in-
nego konta, nie bêdzie mia³a dostêpu do twoich
zaszyfrowanych plików, co stanowi dobre zabez-
pieczenie w komputerach, z których korzysta
wiele osób.
W³¹czanie i wy³¹czanie systemu EFS
463
Zalecenia dotycz¹ce szyfrowania
plików
464
UWAGA
System EFS nie jest obs³ugiwany w Windows XP Home
Edition.
446
Czêœæ III: Zarz¹dzanie plikami
Pamiêtaj o zagro¿eniach zwi¹zanych z systemem EFS
System EFS zapewnia bezpieczeñstwo twoim najwa¿niejszym danym. Zabezpie-
czenie to jest tak pewne, ¿e gdy stracisz klucz umo¿liwiaj¹cy odszyfrowanie da-
nych, utracisz wszystkie chronione w ten sposób informacje. Domyœlnie Microsoft
Windows XP nie oferuje ¿adnego „wyjœcia awaryjnego” na wypadek utraty klucza
deszyfracji.
Klucz ten mo¿na straciæ przez nieuwagê na kilka sposobów, miêdzy innymi w na-
stêpuj¹cych sytuacjach:
Pracuj¹c w oknie dialogowym Certyfikaty lub z konsol¹ Certyfikaty (Cert-
mgr.msc), mo¿esz bezpowrotnie usun¹æ certyfikat szyfrowania, który zawiera
klucz.
Za³ó¿my, ¿e poufne dane przechowujesz w zaszyfrowanych folderach na in-
nym dysku (na przyk³ad D). Zauwa¿y³eœ, ¿e komputer dzia³a coraz wolniej i na
dysku zebra³o siê ju¿ wiele niepotrzebnych plików – postanawiasz wiêc ponow-
nie zainstalowaæ system Windows. Nie martwi¹c siê o pliki pozostaj¹ce w innej
partycji, formatujesz dysk C i ponownie instalujesz system Windows. Chocia¿
mo¿e nie wydawaæ siê to wcale takie oczywiste, podczas instalacji Windows dla
ka¿dego u¿ytkownika tworzone s¹ nowe identyfikatory zabezpieczeñ (SID),
nawet jeœli przeprowadzisz instalacjê dok³adnie w ten sam sposób, co poprzed-
nio. W rezultacie zmieni¹ siê certyfikaty szyfrowania dla wszystkich u¿ytkow-
ników i nie bêdziesz móg³ za ich pomoc¹ uzyskaæ dostêpu do zaszyfrowanych
danych na dysku D. Nawet korzystaj¹c z konta Administrator – które tak¿e ma
nowy SID – nie bêdziesz móg³ odszyfrowaæ plików zaszyfrowanych w innej in-
stalacji Windows.
Na szczêœcie, zachowuj¹c odrobinê uwagi, mo¿na nie dopuœciæ do realizacji tych
czarnych scenariuszy. Zanim zaczniesz u¿ywaæ systemu EFS do szyfrowania na-
prawdê wa¿nych dokumentów, powinieneœ siê go najpierw nauczyæ. Dlatego te¿
zalecamy podjêcie nastêpuj¹cych kroków:
1.
Utwórz pusty folder i zaszyfruj go (szczegó³y znajdziesz w podrozdziale „Szy-
frowanie folderów i plików” na nastêpnej stronie).
2.
W zaszyfrowanym folderze utwórz nowy plik (mo¿esz te¿ skopiowaæ jakiœ nie-
potrzebny plik do tego folderu) i upewnij siê, ¿e mo¿esz u¿ywaæ go tak jak ka¿-
dego innego pliku.
3.
Jeœli twój komputer nie jest czêœci¹ domeny, utwórz agenta odzyskiwania da-
nych, który umo¿liwi odzyskanie danych z innego konta, w wypadku gdybyœ
utraci³ lub uszkodzi³ w³asny certyfikat szyfrowania (szczegó³y znajdziesz
w podrozdziale „Tworzenie agenta odzyskiwania danych” na stronie 455).
4.
Wykonaj kopiê zapasow¹ certyfikatu agenta odzyskiwania danych i osobistego
certyfikatu szyfrowania (szczegó³y znajdziesz w podrozdziale „Tworzenie ko-
pii zapasowych certyfikatów” na stronie 458
Pamiêtaj, ¿e nie mo¿esz utworzyæ kopii zapasowej certyfikatu dopóki nie zaszy-
frujesz przynajmniej jednego folderu lub pliku. Certyfikaty szyfrowania two-
rzone s¹ dopiero podczas pierwszego szyfrowania.
Rozdzia³ 14: Szyfrowanie informacji
447
5.
Teraz mo¿esz zacz¹æ u¿ywaæ systemu EFS do szyfrowania wa¿nych plików.
W skrócie: zanim zaszyfrujesz wa¿ne pliki, utwórz najpierw agenta przywracania.
Wykonaj kopie zapasowe osobistego certyfikatu oraz certyfikatu agenta przywra-
cania. Przejrzyj listê kontroln¹ umieszczon¹ na koñcu tego rozdzia³u, aby upewniæ
siê, ¿e nie pomin¹³eœ ¿adnej wa¿nej czynnoœci.
Szyfrowanie
jest procesem kodowania poufnych danych za pomoc¹ specjalnego algo-
rytmu. Bez odpowiedniego klucza, nikt nie mo¿e ich odczytaæ. Microsoft Windows
XP wykorzystuje szyfrowanie do kilku celów:
szyfrowanie plików na dyskach NTFS (partycjach dyskowych sformatowanych
przy u¿yciu systemu plików NTFS) (patrz „Szyfrowanie folderów i plików”
poni¿ej).
szyfrowanie danych przesy³anych miêdzy przegl¹dark¹ a serwerami przy u¿yciu
protoko³u SSL (Secure Sockets Layer) (patrz „Uruchamianie bezpiecznego (szyfro-
wanego) po³¹czenia” na stronie 655)
szyfrowanie danych przesy³anych miêdzy komputerami w wirtualnych sieciach
prywatnych (VPN)
szyfrowanie lub podpisywanie wiadomoœci e-mail
Szyfrowanie folderów i plików
System EFS umo¿liwia szyfrowanie plików na lokalnym dysku NTFS w taki sposób,
aby otworzyæ je mog³a wy³¹cznie ta osoba, która utworzy³a zaszyfrowane pliki. Jest to
dodatkowe zabezpieczenie, wychodz¹ce poza system uprawnieñ NTFS, który
mo¿esz wykorzystaæ do ograniczania dostêpu do plików osobom loguj¹cym siê do
twojego komputera z innych kont. System uprawnieñ NTFS ma kilka dziur. Po pierw-
sze, wszystkie osoby o uprawnieniach administratorów mog¹ uzyskaæ dostêp (lub
umo¿liwiæ go innym) do twoich plików. Ponadto ka¿dy, kto uzyska fizyczny dostêp
do komputera, mo¿e za³adowaæ system z dyskietki rozruchowej (lub skorzystaæ z in-
nego systemu, jeœli twój komputer obs³uguje rozruch wielokrotny) i za pomoc¹ takie-
go narzêdzia jak NTFSDOS (
http://www.sysinternals.com
) odczytaæ dane znajduj¹ce siê
na dysku twardym komputera – bez koniecznoœci podawania nazwy u¿ytkownika
lub has³a. Na takie ryzyko nara¿one s¹ szczególnie komputery przenoœne, które
³atwiej skraœæ.
UWAGA
W wiêkszoœci komputerów mo¿esz zabezpieczyæ siê przed tak¹ sytuacj¹, u¿ywaj¹c BIOS-u lub innego prog-
ramu. W³¹cz w BIOS-ie ochronê has³em, które bêdzie wymagane przy uruchomieniu komputera oraz przy
wchodzeniu do BIOS-u i wy³¹cz mo¿liwoœæ ³adowania systemu z dyskietki. Niestety takie zabezpieczenia
równie¿ mo¿na obejœæ. Wystarczy na przyk³ad wymontowaæ dysk twardy i przenieœæ go do innego kompu-
tera.
System EFS zapewnia bezpieczeñstwo twoim poufnym danym. System u¿ywa pu-
blicznego klucza w celu utworzenia losowo wygenerowanego klucza szyfrowania
plików (FEK). Za pomoc¹ tego klucza Windows automatycznie i w sposób niewidocz-
448
Czêœæ III: Zarz¹dzanie plikami
Zabezpieczanie pliku stronicowania
Jeœli zagadnienia bezpieczeñstwa s¹ dla ciebie bardzo wa¿ne, powinieneœ pamiêtaæ
tak¿e o zabezpieczeniu pliku stronicowania. Domyœlnie podczas zamykania syste-
mu plik stronicowania pozostaje nienaruszony. Osoby, które uzyskaj¹ dostêp do
twojego komputera, mog¹ odczytaæ dane zapisane w niezaszyfrowanym pliku wy-
miany.
Mo¿esz temu zapobiec, zmieniaj¹c wpis w rejestrze systemu. Otwórz Edytor reje-
stru i przejdŸ do klucza HKLM\System\CurrentControlSet\Control\Session Ma-
nager\Memory Management i zmieñ wartoœæ ClearPageFileAtShutdown na 1. Od
tej pory Windows bêdzie wype³nia³ nieaktywne strony w pliku stronicowania zera-
mi. Poniewa¿ mo¿e to zwolniæ dzia³anie systemu, nie wprowadzaj tej zmiany, jeœli
nie wymagaj¹ tego wzglêdy bezpieczeñstwa.
ny dla u¿ytkownika szyfruje dane w trakcie zapisywania ich na dysku. Dane mo¿na
odszyfrowaæ wy³¹cznie przy u¿yciu certyfikatu i powi¹zanego z nim prywatnego
klucza, które s¹ dostêpne jedynie po zalogowaniu do konta przy u¿yciu okreœlonej
nazwy u¿ytkownika i w³aœciwego has³a. (Dane odszyfrowaæ mo¿na tak¿e za pomoc¹
specjalnie utworzonego w tym celu agenta). Inni u¿ytkownicy, którzy spróbuj¹ u¿yæ
zaszyfrowanych plików, otrzymaj¹ komunikat braku dostêpu.
Wiêcej informacji na temat agentów odzyskiwania znajdziesz w podrozdziale „Przywracanie zaszyfrowanych plików
i folderów” na stronie 462.
Mo¿liwe jest szyfrowanie zarówno pojedynczych plików, jak i folderów. My zaleca-
my szyfrowanie ca³ych folderów, a nie pojedynczych plików. Dziêki temu bêdziesz
mia³ pewnoœæ, ¿e zaszyfrowane s¹ nie tylko pliki istniej¹ce ju¿ w danym folderze, ale
tak¿e nowe pliki, które dopiero utworzysz w tym folderze. Dotyczy to równie¿ tym-
czasowych plików, które s¹ tworzone przez ró¿ne programy w tym folderze. (Na
przyk³ad Microsoft Word tworzy kopiê ka¿dego dokumentu otwieranego do edycji.
Jeœli folder, w którym znajduje siê dokument, nie jest zaszyfrowany, to niezaszyfro-
wana pozostanie równie¿ tymczasowa kopia – któr¹ osoby niepowo³ane mog³yby po-
dejrzeæ). Z tej przyczyny powinieneœ tak¿e zastanowiæ siê nad zaszyfrowaniem folde-
rów %Temp% i %Tmp%, w których wiele programów przechowuje tymczasowe ko-
pie otwartych dokumentów.
UWAGA
Zanim zaszyfrujesz wa¿ne dane, powinieneœ wykonaæ kopiê zapasow¹ osobistego certyfikatu szyfrowania
(wraz ze zwi¹zanym z nim kluczem prywatnym) oraz certyfikatu agenta odzyskiwania, zapisuj¹c je na dys-
kietce przechowywanej w bezpiecznym miejscu. Jeœli stracisz oryginalny certyfikat (na przyk³ad wskutek
uszkodzenia dysku twardego), bêdziesz móg³ przywróciæ go z kopii zapasowej i odzyskaæ dostêp do swo-
ich plików. Jeœli stracisz wszystkie kopie swojego certyfikatu (i nie utworzysz certyfikatów agenta odzyski-
wania), nie bêdziesz móg³ odzyskaæ zaszyfrowanych plików. Nie istnieje ¿aden sposób na odzyskanie tych
plików czy choæby podejrzenie ich zawartoœci. (Gdyby istnia³y jakieœ sposoby, to system EFS nie zapew-
nia³by tak dobrej ochrony). Wiêcej szczegó³ów znajdziesz w podrozdziale „Tworzenie kopii zapasowych
certyfikatów” na stronie 458).
Rozdzia³ 14: Szyfrowanie informacji
449
Aby zaszyfrowaæ folder, wykonaj nastêpuj¹ce czynnoœci:
1.
Prawym przyciskiem myszy kliknij folder, wybierz polecenie W³aœciwoœci, wy-
bierz zak³adkê Ogólne i kliknij przycisk Zaawansowane. (Jeœli w oknie dialogo-
wym w³aœciwoœci folderu nie ma pliku Zaawansowane, to znaczy, ¿e folder ten nie
znajduje siê na dysku z systemem plików NTFS i nie mo¿esz skorzystaæ z szyfro-
wania systemem EFS).
WSKAZÓWKA
Twoje najwa¿niejsze dokumenty znajduj¹ siê najprawdopodobniej w folderze Moje dokumenty; a inne wa¿-
ne pliki w folderze Temp. Zazwyczaj oba te foldery znajduj¹ siê na partycji rozruchowej. Jeœli nie jest to par-
tycja sformatowana w systemie NTFS, nie bêdziesz móg³ zaszyfrowaæ tych folderów. Jeœli nie mo¿esz
dokonaæ konwersji partycji rozruchowej na system plików NTFS (na przyk³ad potrzebujesz systemu FAT,
aby mo¿liwy by³ podwójny rozruch), a w twoim komputerze znajduje siê kilka partycji, mo¿esz sformato-
waæ jedn¹ z nich w systemie NTFS i przenieœæ tam wa¿ne foldery. Poniewa¿ foldery Moje dokumenty
i Temp s¹ folderami specjalnymi, nie wystarczy zwyczajnie przenieœæ ich, na przyk³ad w Eksploratorze Win-
dows. (Mo¿esz w ten sposób spowodowaæ powa¿ne problemy, dlatego te¿ nawet nie próbuj). Oczywiœcie
s¹ jednak skuteczne sposoby na przeniesienie tych folderów. Wiêcej szczegó³ów znajdziesz w podrozdziale
„Przenoszenie folderów ze standardowego po³aczenia profili” na stronie 950).
2.
Zaznacz pole wyboru Szyfruj zawartoœæ, aby zabezpieczyæ dane. (Pamiêtaj, ¿e nie
mo¿esz zaszyfrowaæ skompresowanych danych. Jeœli w wybranym folderze znaj-
duj¹ siê ju¿ jakieœ skompresowane pliki, Windows wyczyœci pole wyboru Kom-
presuj zawartoœæ. Poniewa¿ szyfrowanie i kompresja wzajemnie siê wykluczaj¹, ta
sekcja okna dialogowego powinna raczej zawieraæ przyciski opcji, a nie pola wy-
boru–itojeszcze z dodatkow¹ opcj¹ „Brak kompresji i szyfrowania”).
3.
Kliknij przycisk OK w dwóch oknach dialogowych. Jeœli folder zawiera jakieœ pliki
lub podfoldery, Windows wyœwietli jeszcze jedno okno dialogowe z proœb¹ o po-
twierdzenie zmiany atrybutów.