Lab 5 — EFS — enkripcija datoteka i oporavak

Što je EFS

EFS (Encrypting File System) je native Windows feature u NTFS koji omogućuje enkripciju pojedinih datoteka ili mapa — bez enkripcije cijelog diska. Enkripcija je transparentna za vlasnika: korisnik otvara datoteku normalno, Windows dešifrira automatski.

EFS kriptografski tok — enkripcija i dekripcija

Karakteristike EFS-a

Enkriptirane datoteke prikazuju se zelenom bojom (ako je uključena opcija u File Exploreru)
Drugi korisnici vide žuti lokot na enkriptiranim datotekama
EFS skriva sadržaj ali ne skriva ime i postojanje datoteke
Administrator sustava bez DRA-a ne može dešifrirati tuđe EFS datoteke

Enkripcija — 2 načina

GUI: File Explorer → desni klik → Properties → Advanced → "Encrypt contents to secure data"
CLI: cipher /e Jan-Security.txt
Kad enkriptiraš pojedinu datoteku → Windows pita: "Encrypt the file only" ili "Encrypt the parent folder"

Kritično: EFS ključevi su vezani za korisnički račun i lozinku na standalone sustavu. Ako administrator promijeni lozinku lokalnom korisniku — EFS privatni ključ se odbacuje i korisnik gubi pristup vlastitim enkriptiranim datotekama.

Data Recovery Agent (DRA)

DRA je poseban račun koji ima sposobnost dešifriranja EFS datoteka koje su enkriptirali drugi korisnici — ali samo ako je DRA bio konfiguriran prije enkripcije datoteka.

Terminološka napomena: Originalno se zvao KRA (Key Recovery Agent), ali je preimenovan u DRA (Data Recovery Agent) jer je KRA bio pogrešno shvaćan — korisnici su pretpostavljali da vraća izgubljeni EFS privatni ključ. DRA to ne može. DRA može samo obnoviti pristup podacima (dešifiranjem datoteke).

Postavljanje DRA (iz laba)

mkdir c:\certificates — kreiraj mapu za certifikat
cd c:\certificates
cipher /r:EFSRA — kreira certifikat i privatni ključ
Nastaju: EFSRA.CER (javni ključ) i EFSRA.PFX (privatni ključ, zaštićen lozinkom)
Importiraj EFSRA.CER u Local Security Policy → EFS → Add Recovery Agent

Što DRA MOŽE i NE MOŽE

✅ Može — dešifrirati EFS datoteke i vratiti korisniku pristup podacima
✅ Može — dekriptirati datoteke obrisanog ili odsutnog korisnika
✅ Može — dekriptirati datoteke korisnika koji odbija surađivati s istragom
❌ Ne može — povratiti izgubljeni EFS privatni ključ korisnika
❌ Ne može — raditi retroaktivno (mora biti definiran PRIJE enkripcije)

PFX vs CER: CER = javni ključ → importira se u Local Security Policy (da EFS zna uključiti DRA u enkripciju). PFX = privatni ključ → importira se kada DRA ZAPRAVO dešifrira datoteku. Bez PFX → DRA je konfiguriran ali ne funkcionira.

Naredbe — cipher

Windows CLI naredba za EFS upravljanje. Datoteke u labu: Jan-Security.txt, Feb-Security.txt, Mar-Security.txt u mapi C:\SecReports.

Enkripcija i dekripcija

cipher — status enkripcije datoteka u dir-u (E = enkriptirana, U = neenkriptirana)
cipher /e datoteka.txt — enkriptira datoteku
cipher /e *-Security.txt — enkriptira sve koji odgovaraju wildcardу
cipher /d datoteka.txt — dekriptira datoteku

Ostale korisne opcije

cipher /c datoteka.txt — prikazuje detalje (tko ima pristup, koji DRA je upisan)
cipher /r:EFSRA — kreira EFS DRA certifikat i privatni ključ

File Explorer opcija za boje: View → Options → View → "Show encrypted or compressed NTFS files in color"

Gubitak ključa — što se dogodi

Kada administrator promijeni lozinku lokalnom korisniku (na standalone sustavu), EFS privatni ključ se odbacuje:

Pat enkriptira Jan-Security.txt i Feb-Security.txt (lozinka: Password1)
Admin mijenja Patovu lozinku: net user Pat Password123
Pat se prijavljuje s novom lozinkom Password123
Jan-Security.txt i Feb-Security.txt → Access Denied (EFS ključ izgubljen)
Mar-Security.txt → dostupan (nije bio enkriptiran, samo NTFS dozvole)

Ovo ne vrijedi za domenski joined sustav — domenske korisničke račune štiti drugačiji mehanizam pohrane ključa koji se ne briše pri promjeni lozinke od strane admina.

Oporavak pomoću DRA

Admin prijavljuje se (Admin / Pa$$w0rd)
cipher /d Jan-Security.txt → GREŠKA — DRA certifikat konfiguriran ali privatni ključ nije importiran
cipher /c Jan-Security.txt → potvrđuje Admin kao Recovery Agent, ali PFX nije prisutan
Importiraj EFSRA.PFX (dvostruki klik → Certificate Import Wizard → Current User → lozinka Pa$$w0rd)
cipher /d Jan-Security.txt → USPJEH: "1 file(s) within 1 directorie(s) were decrypted"
Pat se prijavljuje → sve datoteke dostupne (admin ih je dešifrirao u njegovo ime)

Na ispitu zapamti:

DRA = Data Recovery Agent (stari naziv: KRA) — vraća pristup PODACIMA, ne EFS ključu
DRA mora biti definiran PRIJE enkripcije datoteka — ne funkcionira retroaktivno
cipher /r:EFSRA → EFSRA.CER (javni, za policy) + EFSRA.PFX (privatni, za dekripciju)
Admin bez DRA ne može otvoriti tuđe EFS datoteke (dobiva Access Denied)
EFS skriva sadržaj, ali ne skriva ime i metapodatke datoteke
Promjena lozinke lokalnom korisniku = gubitak EFS ključa (na standalone sustavu)

Kviz — 15 pitanja

0 / 15

Odgovori na pitanja da vidiš rezultat.

1. Administrator je promijenio lozinku lokalnog korisnika Pat. Pat se prijavljuje novom lozinkom ali ne može otvoriti vlastite EFS enkriptirane datoteke. Što je uzrok?

Administratori mogu blokirati pristup EFS datotekama EFS datoteke automatski istječu nakon 30 dana Promjenom lozinke lokalnom korisniku (standalone sustav), EFS privatni ključ je odbačen Pat je prijavljen s pogrešnim računom

Na standalone sustavu, kada administrator promijeni lozinku lokalnom korisniku, EFS privatni ključ vezan za tu lozinku se odbacuje. Pat gubi sposobnost dešifriranja vlastitih EFS datoteka — čak i s novom lozinkom.

2. Naredba cipher bez parametara prikazuje "E" i "U" uz nazive datoteka. Što ti simboli znače?

E = Error (greška), U = Unknown (nepoznato) E = Encrypted (enkriptirana), U = Unencrypted (neenkriptirana) E = External (vanjska), U = User (korisnik vlasnik) E = Enabled, U = Unavailable

cipher bez parametara ispisuje sadržaj trenutnog direktorija s indikatorima statusa enkripcije: E = enkriptirana datoteka, U = neenkriptirana datoteka.

3. Koja naredba enkriptira sve .txt datoteke čiji naziv završava na "-Security" u trenutnom direktoriju?

cipher /e Security.txt efs /encrypt *Security* cipher /e *-Security.txt encrypt -all Security

cipher /e enkriptira datoteke. Wildcard *-Security.txt odgovara svim datotekama koje završavaju na "-Security.txt" — npr. Jan-Security.txt, Feb-Security.txt. Naredba ne utječe na Mar-Security.txt ako je bez tog sufiksa.

4. Što sadrži EFSRA.PFX datoteka koja nastaje naredbom cipher /r:EFSRA?

Javni ključ DRA certifikata Simetrični ključ kojim su enkriptirane EFS datoteke Hash lozinke DRA računa Privatni ključ DRA certifikata (zaštićen lozinkom)

EFSRA.PFX sadrži privatni ključ DRA certifikata, zaštićen lozinkom. EFSRA.CER sadrži javni ključ. PFX = Personal Information Exchange format. Bez importiranja PFX privatnog ključa, DRA ne može dešifrirati datoteke.

5. DRA je konfiguriran NAKON što je korisnik enkriptirao datoteke. Možeš li koristiti DRA za oporavak tih datoteka?

Ne — DRA mora biti konfiguriran PRIJE enkripcije datoteka da bi funkcionirao Da — DRA retroaktivno pokriva sve EFS datoteke na sustavu Da, ali samo ako je lozinka korisnika poznata Ovisi o verziji Windowsa

DRA mora biti konfiguriran PRIJE enkripcije. Kad se datoteka enkriptira, EFS ugrađuje DRA javni ključ kao alternativni dešifrator. Ako DRA nije bio definiran tada — nije ugrađen i ne može retroaktivno dešifrirati.

6. EFS koristi kombinaciju simetrične i asimetrične kriptografije. Koji dio je simetričan?

Pohrana korisničkih certifikata u Active Directory Provjera identiteta korisnika pri prijavi Enkripcija FEK ključa korisnikovim javnim ključem Enkripcija same datoteke simetričnim ključem (FEK)

EFS enkriptira datoteku simetričnim FEK (File Encryption Key) — brzo za velike datoteke. Zatim enkriptira FEK asimetričnim (javnim) ključem korisnika i DRA-a. Dešifriranje: privatni ključ → FEK → datoteka.

7. Koja naredba prikazuje detalje o enkriptiranoj datoteci — tko ima pristup i koji DRA je konfiguriran?

cipher /e datoteka.txt cipher /d datoteka.txt cipher /c datoteka.txt cipher /r datoteka.txt

cipher /c (c = info/check) prikazuje detalje o enkriptiranoj datoteci: koji korisnici imaju pristup, koji DRA certifikati su ugrađeni u enkripciju te datoteke.

8. Administrator bez DRA-a pokušava otvoriti EFS enkriptiranu datoteku korisnika Pat. Što se dogodi?

Administrator uvijek može otvoriti sve datoteke na sustavu Datoteka se automatski dešifrira za administratora Prikazuje se greška "Access Denied" — administrator nema EFS ključ za dešifriranje Administrator vidi enkriptirani sadržaj kao binarni tekst

EFS enkriptira za specifičnog korisnika (i DRA ako je definiran). Čak i administrator sustava bez DRA-a ne može dešifrirati tuđe EFS datoteke — nema odgovarajući privatni ključ.

9. Što EFS SKRIVA od neovlaštenih korisnika?

Ime datoteke i njezino postojanje Veličinu i datum izmjene datoteke I ime i sadržaj datoteke Samo sadržaj datoteke — ime i postojanje datoteke vidljivi su svima

EFS štiti sadržaj (podatke) datoteke enkripcijom. Drugi korisnici mogu vidjeti naziv datoteke, veličinu i metapodatke — ali ne mogu otvoriti ili pročitati sadržaj bez ključa.

10. Koji korak je neophodno napraviti NEPOSREDNO PRIJE nego DRA može dešifrirati EFS datoteke?

Pokrenuti System Restore Znati originalnu lozinku korisnika koji je enkriptirao datoteke Importirati EFSRA.PFX (privatni ključ DRA) u profil DRA računa Formatirati sustav i reinstalirati Windows

DRA konfiguracija u Local Security Policy koristi javni ključ (EFSRA.CER). Za stvarnu dekripciju, DRA mora imati importiran privatni ključ — importiranjem EFSRA.PFX u trenutni korisnički profil.

11. Zašto je naziv "DRA" (Data Recovery Agent) bolji od starog naziva "KRA" (Key Recovery Agent)?

DRA je noviji i podržava više algoritama KRA se koristio samo za domenski joined sustave KRA naziv je stvarao zabunu — korisnici su mislili da vraća izgubljeni EFS ključ, što nije moguće; DRA jasno naznačuje da vraća samo pristup podacima DRA i KRA su identični, promjena je samo estetska

KRA naziv je misled korisnici da će im se vratiti izgubljeni EFS privatni ključ. To je nemoguće — izgubljeni privatni ključ se ne može obnoviti. DRA ime jasno komunicira: može obnoviti pristup PODACIMA (dešifriranjem), ne ključu.

12. Koji je ispravni redoslijed koraka za postavljanje EFS Data Recovery Agent-a na standalone Windows sustavu?

Enkriptirati datoteke → kreirati DRA certifikat → importirati u Local Security Policy Importirati DRA u Local Security Policy → enkriptirati datoteke → kreirati certifikat Kreirati certifikat (cipher /r:EFSRA) → importirati CER u Local Security Policy → tek onda enkriptirati datoteke Redoslijed nije bitan — DRA retroaktivno štiti sve datoteke

Redoslijed je kritičan: (1) kreiraj DRA certifikat, (2) dodaj ga u Local Security Policy, (3) tek onda enkriptiraj datoteke. EFS ugradi DRA javni ključ u enkripciju samo ako je DRA definiran u trenutku enkripcije.

13. U labu je Pat enkriptirao Jan-Security.txt. Nakon što mu admin promijeni lozinku, Pat dobiva Access Denied na Jan-Security.txt, ali Mar-Security.txt može otvoriti. Zašto?

Mar-Security.txt je enkriptiran s drugačijim algoritmom Jan-Security.txt je zaključan administratorskom lozinkom Mar-Security.txt nije bio enkriptiran EFS-om — zaštićen je samo NTFS dozvolama kojima Pat ima pristup Mar-Security.txt je u drugoj mapi pa ga EFS ne pokriva

EFS gubitak ključa utječe samo na EFS-enkriptirane datoteke. Mar-Security.txt je bio dekriptiran — zaštićen samo standardnim NTFS dozvolama. Pat ima Read/Write NTFS dozvole pa može čitati tu datoteku.

14. Admin pokušava cipher /d Jan-Security.txt ali dobiva grešku. Nakon importiranja EFSRA.PFX, ista naredba uspijeva. Što je bio problem?

Naredba cipher /d ne postoji na Windows Server 2019 DRA certifikat (CER) je definiran u polici, ali privatni ključ (PFX) nije bio importiran — bez PFX DRA ne može dešifrirati Datoteka je bila u read-only načinu rada Admin nije imao dostatne NTFS dozvole

DRA konfiguracija u Local Security Policy (CER) samo registrira DRA kao entitet koji SMIJE dešifrirati. Bez importiranog PFX (privatnog ključa), nema kriptografskog materijala za dešifriranje — operacija ne uspijeva.

15. U kojim situacijama je EFS DRA posebno koristan? (Odaberi 3)

Korisnik je napustio tvrtku i nije predao pristup enkriptiranim datotekama Administrator je promijenio lozinku lokalnog korisnika i ovaj izgubio EFS ključ Korisnik je zaboravio Windows lozinku za prijavu Forenzička istraga gdje korisnik odbija predati pristup enkriptiranim datotekama

DRA je koristan za: gubitak EFS ključa (admin promijeni lozinku), odsutni korisnik (napusti tvrtku), forenzička istraga. Zaboravljena Windows lozinka za prijavu je drugačiji problem koji rješava password reset — ne DRA.

0 / 15

Riješi kviz da vidiš rezultat.