⑴ 什麼是密鑰加密密鑰，一般採用什麼加密體制
密鑰加密密鑰是指，用於對密鑰（會話密鑰）進行加密操作的密鑰，即用於加密用戶數據的會話密鑰。
密鑰加密密鑰可以由對稱密鑰承擔，也可以由非對稱密鑰承擔，由非對稱密鑰對會話密鑰提供保護，充分利用了非對稱密碼體制在密鑰分發上的優勢和對稱密鑰在加密效率上的優勢，成為理想的密鑰分發方案。
⑵ 如何加密文件系統，都有哪些策略
這篇文章中的信息適用於:
microsoft
windows
xp
professional
microsoft
windows
2000
advanced
server
microsoft
windows
2000
professional
microsoft
windows
2000
datacenter
server
microsoft
windows
2000
server
概要
本文介紹如何備份加密文件系統
(efs)
私鑰，以便可以在計算機上的數據副本丟失時恢復加密的數據。
在使用
efs
加密計算機上的文件時，efs
公鑰用來加密文件，而
efs
私鑰用來解密這些文件。
如果在一個文件加密後您丟失了私鑰，則將無法恢復此文件。
警告：
在將私鑰導出到磁碟後，須將該磁碟保存在一個安全地方。
如果有人能獲取您的
efs
私鑰，則他或她就能夠訪問到您的加密數據。
從故障恢復代理導出私鑰
使用本地管理員帳戶登錄到計算機。備註：
必須使用內置的管理員帳戶，而不只是使用一個普通的具有管理員許可權的帳戶。
單擊開始，單擊運行，鍵入
secpol.msc，然後單擊確定。
單擊公鑰策略旁邊的加號
(+)
以展開此項。
單擊經過加密的數據恢復代理類別。
在右邊的窗格中將顯示一個頒發給「管理員」的證書，並說明它是用來進行「文件恢復」的。
右鍵單擊此項，然後單擊「所有任務」>「導出」。
單擊下一步。
確保選擇了「是，導出私鑰」選項，然後單擊下一步。
在導出文件格式對話框中，如果想刪除與「管理員」帳戶關聯的私鑰，則請單擊選中「如果導出成功，刪除密鑰」復選框。
單擊下一步。
鍵入並確認一個密碼以加強導出密鑰的安全，然後單擊下一步。
系統會提示您將證書和私鑰保存到一個文件中。
應將此文件備份到一個磁碟或可移動媒體設備中，然後將此備份存放在一個可在物理上確保備份安全的地方。
鍵入適當的文件名，然後單擊下一步。
當正在完成證書導出向導對話框出現時，請確認您選擇的選項，然後單擊完成。
當「導出成功」對話框出現時，單擊確定。
必須重新啟動計算機以完成私鑰的刪除過程。
之所以刊登上述文章是因為前不久有朋友來信詢問如何把ntfs文件系統裡面已經加密的文件取出來，由於操作系統已經重新安裝，導致sid和以前的不符合，所以詢問有沒有辦法取出來，經過咨詢微軟全球技術服務中心和查閱微軟support站點和technet站點，得出以下結論：使用efs加密的文件（夾）一旦密鑰丟失以後是不可能恢復的！
⑶ 公鑰和私鑰加密主要演算法有哪些，其基本思想是什麼
加密演算法
加密技術是對信息進行編碼和解碼的技術，編碼是把原來可讀信息（又稱明文）譯成代碼形式（又稱密文），其逆過程就是解碼（解密）。加密技術的要點是加密演算法，加密演算法可以分為對稱加密、不對稱加密和不可逆加密三類演算法。
對稱加密演算法 對稱加密演算法是應用較早的加密演算法，技術成熟。在對稱加密演算法中，數據發信方將明文（原始數據）和加密密鑰一起經過特殊加密演算法處理後，使其變成復雜的加密密文發送出去。收信方收到密文後，若想解讀原文，則需要使用加密用過的密鑰及相同演算法的逆演算法對密文進行解密，才能使其恢復成可讀明文。在對稱加密演算法中，使用的密鑰只有一個，發收信雙方都使用這個密鑰對數據進行加密和解密，這就要求解密方事先必須知道加密密鑰。對稱加密演算法的特點是演算法公開、計算量小、加密速度快、加密效率高。不足之處是，交易雙方都使用同樣鑰匙，安全性得不到保證。此外，每對用戶每次使用對稱加密演算法時，都需要使用其他人不知道的惟一鑰匙，這會使得發收信雙方所擁有的鑰匙數量成幾何級數增長，密鑰管理成為用戶的負擔。對稱加密演算法在分布式網路系統上使用較為困難，主要是因為密鑰管理困難，使用成本較高。在計算機專網系統中廣泛使用的對稱加密演算法有DES和IDEA等。美國國家標准局倡導的AES即將作為新標准取代DES。
不對稱加密演算法不對稱加密演算法使用兩把完全不同但又是完全匹配的一對鑰匙—公鑰和私鑰。在使用不對稱加密演算法加密文件時，只有使用匹配的一對公鑰和私鑰，才能完成對明文的加密和解密過程。加密明文時採用公鑰加密，解密密文時使用私鑰才能完成，而且發信方（加密者）知道收信方的公鑰，只有收信方（解密者）才是唯一知道自己私鑰的人。不對稱加密演算法的基本原理是，如果發信方想發送只有收信方才能解讀的加密信息，發信方必須首先知道收信方的公鑰，然後利用收信方的公鑰來加密原文；收信方收到加密密文後，使用自己的私鑰才能解密密文。顯然，採用不對稱加密演算法，收發信雙方在通信之前，收信方必須將自己早已隨機生成的公鑰送給發信方，而自己保留私鑰。由於不對稱演算法擁有兩個密鑰，因而特別適用於分布式系統中的數據加密。廣泛應用的不對稱加密演算法有RSA演算法和美國國家標准局提出的DSA。以不對稱加密演算法為基礎的加密技術應用非常廣泛。
不可逆加密演算法 不可逆加密演算法的特徵是加密過程中不需要使用密鑰，輸入明文後由系統直接經過加密演算法處理成密文，這種加密後的數據是無法被解密的，只有重新輸入明文，並再次經過同樣不可逆的加密演算法處理，得到相同的加密密文並被系統重新識別後，才能真正解密。顯然，在這類加密過程中，加密是自己，解密還得是自己，而所謂解密，實際上就是重新加一次密，所應用的「密碼」也就是輸入的明文。不可逆加密演算法不存在密鑰保管和分發問題，非常適合在分布式網路系統上使用，但因加密計算復雜，工作量相當繁重，通常只在數據量有限的情形下使用，如廣泛應用在計算機系統中的口令加密，利用的就是不可逆加密演算法。近年來，隨著計算機系統性能的不斷提高，不可逆加密的應用領域正在逐漸增大。在計算機網路中應用較多不可逆加密演算法的有RSA公司發明的MD5演算法和由美國國家標准局建議的不可逆加密標准SHS(Secure Hash Standard:安全雜亂信息標准)等。
加密技術
加密演算法是加密技術的基礎，任何一種成熟的加密技術都是建立多種加密演算法組合，或者加密演算法和其他應用軟體有機結合的基礎之上的。下面我們介紹幾種在計算機網路應用領域廣泛應用的加密技術。
非否認（Non-repudiation）技術 該技術的核心是不對稱加密演算法的公鑰技術，通過產生一個與用戶認證數據有關的數字簽名來完成。當用戶執行某一交易時，這種簽名能夠保證用戶今後無法否認該交易發生的事實。由於非否認技術的操作過程簡單，而且直接包含在用戶的某類正常的電子交易中，因而成為當前用戶進行電子商務、取得商務信任的重要保證。
PGP（Pretty Good Privacy）技術 PGP技術是一個基於不對稱加密演算法RSA公鑰體系的郵件加密技術，也是一種操作簡單、使用方便、普及程度較高的加密軟體。PGP技術不但可以對電子郵件加密，防止非授權者閱讀信件；還能對電子郵件附加數字簽名，使收信人能明確了解發信人的真實身份；也可以在不需要通過任何保密渠道傳遞密鑰的情況下，使人們安全地進行保密通信。PGP技術創造性地把RSA不對稱加密演算法的方便性和傳統加密體系結合起來，在數字簽名和密鑰認證管理機制方面採用了無縫結合的巧妙設計，使其幾乎成為最為流行的公鑰加密軟體包。
數字簽名（Digital Signature）技術 數字簽名技術是不對稱加密演算法的典型應用。數字簽名的應用過程是，數據源發送方使用自己的私鑰對數據校驗和或其他與數據內容有關的變數進行加密處理，完成對數據的合法「簽名」，數據接收方則利用對方的公鑰來解讀收到的「數字簽名」，並將解讀結果用於對數據完整性的檢驗，以確認簽名的合法性。數字簽名技術是在網路系統虛擬環境中確認身份的重要技術，完全可以代替現實過程中的「親筆簽字」，在技術和法律上有保證。在公鑰與私鑰管理方面，數字簽名應用與加密郵件PGP技術正好相反。在數字簽名應用中，發送者的公鑰可以很方便地得到，但他的私鑰則需要嚴格保密。
PKI（Public Key Infrastructure）技術 PKI技術是一種以不對稱加密技術為核心、可以為網路提供安全服務的公鑰基礎設施。PKI技術最初主要應用在Internet環境中，為復雜的互聯網系統提供統一的身份認證、數據加密和完整性保障機制。由於PKI技術在網路安全領域所表現出的巨大優勢，因而受到銀行、證券、政府等核心應用系統的青睞。PKI技術既是信息安全技術的核心，也是電子商務的關鍵和基礎技術。由於通過網路進行的電子商務、電子政務等活動缺少物理接觸，因而使得利用電子方式驗證信任關系變得至關重要，PKI技術恰好能夠有效解決電子商務應用中的機密性、真實性、完整性、不可否認性和存取控制等安全問題。一個實用的PKI體系還必須充分考慮互操作性和可擴展性。PKI體系所包含的認證中心（CA）、注冊中心（RA）、策略管理、密鑰與證書管理、密鑰備份與恢復、撤銷系統等功能模塊應該有機地結合在一起。
加密的未來趨勢
盡管雙鑰密碼體制比單鑰密碼體制更為可靠，但由於計算過於復雜，雙鑰密碼體制在進行大信息量通信時，加密速率僅為單鑰體制的1/100，甚至是 1/1000。正是由於不同體制的加密演算法各有所長，所以在今後相當長的一段時期內，各類加密體制將會共同發展。而在由IBM等公司於1996年聯合推出的用於電子商務的協議標准SET（Secure Electronic Transaction）中和1992年由多國聯合開發的PGP技術中，均採用了包含單鑰密碼、雙鑰密碼、單向雜湊演算法和隨機數生成演算法在內的混合密碼系統的動向來看，這似乎從一個側面展示了今後密碼技術應用的未來。
在單鑰密碼領域，一次一密被認為是最為可靠的機制，但是由於流密碼體制中的密鑰流生成器在演算法上未能突破有限循環，故一直未被廣泛應用。如果找到一個在演算法上接近無限循環的密鑰流生成器，該體制將會有一個質的飛躍。近年來，混沌學理論的研究給在這一方向產生突破帶來了曙光。此外，充滿生氣的量子密碼被認為是一個潛在的發展方向，因為它是基於光學和量子力學理論的。該理論對於在光纖通信中加強信息安全、對付擁有量子計算能力的破譯無疑是一種理想的解決方法。
由於電子商務等民用系統的應用需求，認證加密演算法也將有較大發展。此外，在傳統密碼體制中，還將會產生類似於IDEA這樣的新成員，新成員的一個主要特徵就是在演算法上有創新和突破，而不僅僅是對傳統演算法進行修正或改進。密碼學是一個正在不斷發展的年輕學科，任何未被認識的加/解密機制都有可能在其中佔有一席之地。
目前，對信息系統或電子郵件的安全問題，還沒有一個非常有效的解決方案，其主要原因是由於互聯網固有的異構性，沒有一個單一的信任機構可以滿足互聯網全程異構性的所有需要，也沒有一個單一的協議能夠適用於互聯網全程異構性的所有情況。解決的辦法只有依靠軟體代理了，即採用軟體代理來自動管理用戶所持有的證書（即用戶所屬的信任結構）以及用戶所有的行為。每當用戶要發送一則消息或一封電子郵件時，代理就會自動與對方的代理協商，找出一個共同信任的機構或一個通用協議來進行通信。在互聯網環境中，下一代的安全信息系統會自動為用戶發送加密郵件，同樣當用戶要向某人發送電子郵件時，用戶的本地代理首先將與對方的代理交互，協商一個適合雙方的認證機構。當然，電子郵件也需要不同的技術支持，因為電子郵件不是端到端的通信，而是通過多個中間機構把電子郵件分程傳遞到各自的通信機器上，最後到達目的地。
⑷ 高級屬性加密文件如何解密
NTFS是WinNT以上版本支持的一種提供安全性、可靠性的高級文件系統。在Windows2000和WindowsXP中，NTFS還可以提供諸如文件和文件夾許可權、加密、磁碟配額和壓縮這樣的高級功能。
一、加密文件或文件夾
步驟一：打開Windows資源管理器。
步驟二：右鍵單擊要加密的文件或文件夾，然後單擊「屬性」。
步驟三：在「常規」選項卡上，單擊「高級」。選中「加密內容以便保護數據」復選框
在加密過程中還要注意以下五點：
1.要打開「Windows 資源管理器」，請單擊「開始→程序→附件」，然後單擊「Windows 資源管理器」。
2.只可以加密NTFS分區卷上的文件和文件夾，FAT分區卷上的文件和文件夾無效。
3.被壓縮的文件或文件夾也可以加密。如果要加密一個壓縮文件或文件夾，則該文件或文件夾將會被解壓。
4.無法加密標記為「系統」屬性的文件，並且位於systemroot目錄結構中的文件也無法加密。
5.在加密文件夾時，系統將詢問是否要同時加密它的子文件夾。如果選擇是，那它的子文件夾也會被加密，以後所有添加進文件夾中的文件和子文件夾都將在添加時自動加密。
二、解密文件或文件夾
步驟一：打開Windows資源管理器。
步驟二：右鍵單擊加密文件或文件夾，然後單擊「屬性」。
步驟三：在「常規」選項卡上，單擊「高級」。
步驟四：清除「加密內容以便保護數據」復選框。
同樣，我們在使用解密過程中要注意以下問題：
1.要打開「Windows資源管理器」，請單擊「開始→程序→附件」，然後單擊「Windows資源管理器」。
2.在對文件夾解密時，系統將詢問是否要同時將文件夾內的所有文件和子文件夾解密。如果選擇僅解密文件夾，則在要解密文件夾中的加密文件和子文件夾仍保持加密。但是，在已解密文件夾內創立的新文件和文件夾將不會被自動加密。
以上就是使用文件加、解密的方法！而在使用過程中我們也許會遇到以下一些問題，在此作以下說明：
1.高級按鈕不能用
原因：加密文件系統(EFS)只能處理NTFS文件系統卷上的文件和文件夾。如果試圖加密的文件或文件夾在FAT或FAT32卷上，則高級按鈕不會出現在該文件或文件夾的屬性中。
解決方案：
將卷轉換成帶轉換實用程序的NTFS卷。
打開命令提示符。鍵入：
Convert [drive]/fs:ntfs
(drive 是目標驅動器的驅動器號)
2.當打開加密文件時，顯示「拒絕訪問」消息
原因：加密文件系統(EFS)使用公鑰證書對文件加密，與該證書相關的私鑰在本計算機上不可用。
解決方案：
查找合適的證書的私鑰，並使用證書管理單元將私鑰導入計算機並在本機上使用。
3.用戶基於NTFS對文件加密，重裝系統後加密文件無法被訪問的問題的解決方案(注意：重裝Win2000/XP前一定要備份加密用戶的證書)：
步驟一：以加密用戶登錄計算機。
步驟二：單擊「開始→運行」，鍵入「mmc」，然後單擊「確定」。
步驟三：在「控制台」菜單上，單擊「添加/刪除管理單元」，然後單擊「添加」。
步驟四：在「單獨管理單元」下，單擊「證書」，然後單擊「添加」。
步驟五：單擊「我的用戶賬戶」，然後單擊「完成」(如圖2，如果你加密用戶不是管理員就不會出現這個窗口，直接到下一步) 。
步驟六：單擊「關閉」，然後單擊「確定」。
步驟七：雙擊「證書——當前用戶」，雙擊「個人」，然後雙擊「證書」。
步驟八：單擊「預期目的」欄中顯示「加密文件」字樣的證書。
步驟九：右鍵單擊該證書，指向「所有任務」，然後單擊「導出」。
步驟十：按照證書導出向導的指示將證書及相關的私鑰以PFX文件格式導出(注意：推薦使用「導出私鑰」方式導出，這樣可以保證證書受密碼保護，以防別人盜用。另外，證書只能保存到你有讀寫許可權的目錄下)。
4.保存好證書
注意將PFX文件保存好。以後重裝系統之後無論在哪個用戶下只要雙擊這個證書文件，導入這個私人證書就可以訪問NTFS系統下由該證書的原用戶加密的文件夾(注意：使用備份恢復功能備份的NTFS分區上的加密文件夾是不能恢復到非NTFS分區的)。
最後要提一下，這個證書還可以實現下述用途：
(1)給予不同用戶訪問加密文件夾的許可權
將我的證書按「導出私鑰」方式導出，將該證書發給需要訪問這個文件夾的本機其他用戶。然後由他登錄，導入該證書，實現對這個文件夾的訪問。
(2)在其也WinXP機器上對用「備份恢復」程序備份的以前的加密文件夾的恢復訪問許可權
將加密文件夾用「備份恢復」程序備份，然後把生成的Backup.bkf連同這個證書拷貝到另外一台WinXP機器上，用「備份恢復」程序將它恢復出來(注意：只能恢復到NTFS分區)。然後導入證書，即可訪問恢復出來的文件了。
WindowsXP中的文件加密功能及其使用
作者：lvvl 來源：賽迪網安全社區
Windows XP文件加密功能強大並且簡單易用，因而許多用戶都使用它來保護自己的重要文件。但由於大部分用戶對該功能了解不足，在使用過程中經常出現問題，在本刊「 電腦醫院」中我們也頻繁地收到讀者的求助信，為此，CHIP在這里將特意為您詳細介紹有關該功能的使用技巧。
微軟在Windows2000中內建了文件加密功能，該功能後來被移植到WinXP中。使用該功能，我們只需簡單地單擊幾下滑鼠就可以將指定的文件或者文件夾進行加密，而且在加密後我們依然可以和沒加密前一樣方便地訪問和使用它們，非常方便。而且加密後即使黑客侵入系統，完全掌握了文件的存取權，依然無法讀取這些文件與文件夾。
但簡單強大的文件加密功能也給許多用戶帶來了困擾。由於使用簡單，許多用戶都樂於使用它來保護自己的重要文件，但大部分用戶由於缺乏對該功能的真正了解，在使用時泄密、無法解密等問題頻繁發生，恰恰被加密的文件往往是重要的文件，影響非常大。為此，筆者特意整理了有關該功能的一些相關知識和使用技巧與您分享。
加密和解密文件與文件夾
Windows2000系列和WinXP專業版及Windows2003的用戶都可使用內建的文件加密功能，但前提是准備加密的文件與文件夾所在的磁碟必須採用NTFS文件系統。同時要注意，由於加密解密功能在啟動時還不能夠起作用，因此系統文件或在系統目錄中的文件是不能被加密的，如果操作系統安裝目錄中的文件被加密了，系統就無法啟動。另外，NTFS文件系統還提供一種壓縮後用戶可以和沒壓縮前一樣方便訪問文件與文件夾的文件壓縮功能，但該功能不能與文件加密功能同時使用，使用ZIP、RAR等其他壓縮軟體壓縮的文件不在此限。
加密時，只需使用滑鼠右鍵單擊要加密的文件或者文件夾，然後選擇「屬性」，在「屬性」對話框的「常規」選項卡上單擊「高級」按鈕，在「高級屬性」 對話框上選中「加密內容以保護數據」復選框並確認即可對文件進行加密，如果加密的是文件夾，系統將進一步彈出「確認屬性更改」對話框要求您確認是加密選中的文件夾，還是加密選中的文件夾、子文件夾以及其中的文件。而解密的步驟與加密相反，您只需在「高級屬性」對話框中清除「加密內容以保護數據」復選框上的選中標記即可（如圖1），而在解密文件夾時將同樣彈出「確認屬性更改」對話框要求您確認解密操作應用的范圍。
圖1
加密後，用戶可以像使用普通文件一樣直接打開和編輯，又或者執行復制、粘貼等操作，而且用戶在加密文件夾內創建的新文件或從其他文件夾拷貝過來的文件都將自動被加密。被加密的文件和文件夾的名稱將默認顯示為淡綠色，如您的電腦上被加密的文件和文件夾的名稱不是彩色顯示，您可以單擊「我的電腦|工具|文件夾選項」，然後在「文件夾選項」對話框中單擊「查看」選項卡，選中「以彩色顯示加密或壓縮的NTFS文件」復選框即可。
賦予或撤銷其他用戶的許可權
如果需要，您可賦予其他用戶對加密文件的完全訪問許可權，但要明白，Windows所採用的是基於密鑰的加密方案，並且是在用戶第一次使用該功能時才為用戶創建用於加密的密鑰，因此您准備賦予許可權的用戶也必須曾經使用過系統的加密功能，否則將無法成功賦予對方許可權。Windows內建的文件加密功能只允許賦予其他用戶訪問加密文件的完全許可權，而不允許將加密文件夾的許可權賦予給其他用戶。
要賦予或撤銷其他用戶對加密文件的訪問許可權，可用滑鼠右鍵單擊已加密的文件，選擇「屬性」，在「屬性」對話框的「常規」選項卡上單擊「高級」按鈕，在「高級屬性」對話框中單擊「詳細信息」按鈕，即可通過「添加」和「刪除」按鈕添加或刪除其他可以訪問該文件的用戶。
備份密鑰
有許多讀者在系統發生故障或重新安裝系統以後，無法再訪問之前他們加密過的文件與文件夾而向本刊「電腦醫院」求助。但此時為時已晚，Windows內建的加密功能與用戶的賬戶關系非常密切，同時用於解密的用戶密鑰也存儲在系統內，任何導致用戶賬戶改變的操作和故障都有可能帶來災難，要避免這種情況的發生，您必須未雨綢繆，在使用加密功能後馬上備份加密密鑰。
備份密鑰的操作並不復雜，您只需單擊「開始|運行」，鍵入「certmgr.msc」打開證書管理器，在左邊窗口中依次單擊控制台，打開「證書- 當前用戶」下的「個人」中的「證書」，然後在右邊窗口中用滑鼠右鍵單擊「預期目的」是「加密文件系統」的證書，指向「所有任務|導出」，系統將打開「證書導出向導」指引您進行操作，向導將詢問您是否需要導出私鑰，您應該選擇「導出私鑰」，並按照向導的要求輸入密碼保護導出的私鑰，然後選擇存儲導出後文件的位置即可完成。
建議您將導出的證書存儲在系統盤以外的其他磁碟上，以避免在使用磁碟鏡像之類的軟體恢復系統時將備份的證書覆蓋掉。備份後，當加密文件的賬戶出現問題或重新安裝了系統後需要訪問或解密以前加密的文件時，您只需要使用滑鼠右鍵單擊備份的證書，選擇「安裝PFX」，系統將彈出「證書導入向導」指引您的操作，您只需要鍵入當初導出證書時輸入用於保護備份證書的密碼，然後選擇讓向導「根據證書類型，自動選擇證書存儲區」即可完成，完成後就可以訪問以前的加密文件了。
指定恢復代理
如果您同時使用多個賬戶或者與其他用戶共用一台電腦，擔心更換賬戶或者其他賬戶加密的文件出問題，那麼您可以考慮指定一個文件故障恢復代理，恢復代理可以解密系統內所有通過內建加密功能加密的文件，一般用於網路管理員在網路上處理文件故障，並能使管理員在職員離職後解密職員加密的工作資料。在 Win2000中，默認Administrator為恢復代理，而在WinXP上，如果需要恢復代理則必須自行指定。但需要注意，恢復代理只能夠解密指定恢復代理後被加密的文件，所以您應該在所有人開始使用加密功能前先指定恢復代理。
如果您所使用的電腦是企業網路中的，那麼您需要聯系管理員查詢是否已經制定了故障恢復策略，而如果您只是在使用一台單獨的電腦，那麼您可以按照下面的步驟指定恢復代理。首先，您需要使用准備指定為恢復代理的用戶賬戶登錄，申請一份故障恢復證書，該用戶必須是管理員或者擁有管理員許可權的管理組成員。對於企業網路上的電腦，登錄後可以通過上面介紹過的「證書管理器」，在「使用任務」中的「申請新證書」中向伺服器申請。而在個人電腦上，您必須單擊「開始|附件|命令提示符」，在命令行窗口中鍵入「cipher /r:c:\efs.txt」（efs.txt可以是任一文件），命令行窗口將提示您輸入保護證書的密碼並生成我們需要的證書。生成的證書一個是PFX文件，一個是CER文件，先使用滑鼠右鍵單擊PFX文件，選擇「安裝PFX」，通過彈出的「證書導入向導」選擇「根據證書類型，自動選擇證書存儲區」 導入證書。
接下來再單擊「開始|運行」，鍵入「gpedit.msc」打開組策略編輯器，在左邊控制台上依次單擊「本地計算機策略|計算機配置|Windows 設置|安全設置|公鑰策略|加密文件系統」，然後在右邊窗口中用滑鼠右鍵單擊選擇「添加數據恢復代理」（如圖2），然後在彈出的「添加數據恢復代理向導」 中瀏覽並選擇剛才生成的證書中的CER文件，在鍵入保護證書的密碼後，向導將導入證書，完成指定恢復代理的工作。完成後，在以後需要的時候，只需使用被指定為恢復代理的賬戶登錄，就可以解密系統內所有在指定恢復代理後被加密的文件。
圖2
禁止加密功能
在多用戶共用電腦的環境下，我們往往通過將其他用戶指定為普通用戶許可權，限制他們使用某些功能，但由於普通用戶賬戶默認允許使用加密功能，因此在一些多用戶共用的電腦上經常會帶來一些困擾。如果擔心電腦上其他用戶亂加密磁碟上的文件，您可以設置特定的文件夾禁止被加密，也可以完全禁止文件加密功能。
如果您希望將某個文件夾設置為禁止加密，可以編輯一個文本文件，內容包括「[Encryption]」和「Disable=1」兩行，然後命名為 「Desktop.ini」，將其放到不希望被加密的文件夾中即可。當其他用戶試圖加密該文件夾時，系統將提示用戶該文件夾加密功能被禁止。但需要注意，您只能使用這種方法禁止其他用戶加密該文件夾，文件夾中的子文件夾將不受保護。
如果需要，您也可以完全禁止文件加密功能，在Win2000中，只需使用Administrator登錄並運行「secpol.msc」打開策略編輯器，用滑鼠右鍵單擊左邊控制台上的「安全設置|公鑰策略|加密文件系統」，選擇「屬性」，在屬性對話框上清除「允許用戶使用文件加密系統（EFS）來加密文件」復選框上的選中標記，然後重新啟動電腦即可。而在WinXP上雖然也有相應的選項，但實際上並不能夠起作用，您需要通過編輯注冊表來禁止文件加密功能。首先單擊「開始|運行」，鍵入「regedit.exe」打開注冊表編輯器，依次單擊 「HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ Windows NT\CurrentVersion\EFS」，再用滑鼠右鍵單擊建立一個「DWORD」值，雙擊新建的值並賦值為「1」，關閉注冊表後重新啟動電腦。這樣，當其他用戶試圖使用文件加密功能時，系統將提示加密功能已被禁止（如圖3）。
圖3
防止泄密
由於對文件加密功能缺乏了解，許多讀者對該功能是否能夠真正發揮作用抱有懷疑態度，而另外一些用戶卻又因為過分地放心而導致泄密事件頻繁發生。首先，對於該功能的加密效果您大可放心，不必因為在您使用加密文件時不需要輸入密碼而懷疑加密效果，在加密後能夠透明地使用恰恰正是該功能的優點。雖然有一些第三方軟體曾經成功地破解使用該功能加密的文件，但這種軟體暫時對於Windows XP是無效的，而且即使在其他版本的Windows 操作系統上，也是可以避免的。
但您需要小心由於自己的失誤引起加密失效，也需要了解該功能的特點。Windows XP內建的文件加密功能與用戶的賬戶是聯系在一起的，換言之，如果您的Windows賬戶沒有保護好，密碼被其他人獲得，那麼對方也就可以像您一樣登錄系統訪問加密的文件。另外，當已加密的文件被拷貝或者移動到非NTFS文件系統磁碟上時，文件將被解密。在文件通過網路傳輸時，也是以明文方式進行傳輸的。這些您都需要清楚，避免錯誤操作引起泄密。而最主要的是加密後的文件並不是絕對安全的，雖然可以確保不被讀取，但卻無法避免被刪除。
此外，在加密文件的過程中，系統將把原來的文件存儲到緩沖區，然後在加密後將原文件刪除。這些被刪除掉的文件在系統上並不是不可能恢復的，通過磁碟文件恢復工具很有可能被恢復過來而造成泄密，此時您需要考慮通過其他磁碟安全工具，或者使用系統內建的「cipher」命令對磁碟上的已刪除文件進行清除，具體的步驟是，單擊「開始|附件|命令提示符」，在命令行窗口中鍵入「cipher /w C:\foldername」即可清除C盤foldername文件夾中已刪除文件殘留的碎片，如果不輸入文件夾名稱則將對整個磁碟進行清理。
疑難排解
當您的Windows登錄賬戶變更而無法訪問已加密的文件時，由於用戶的賬戶名稱或者密碼變更時將無法與原來的加密證書聯繫上，因而您需要考慮是否在使用其他賬戶時更改了當前賬戶的名稱或者密碼？又或者是管理員進行了這樣的操作？如果的確如此，您可以嘗試將自己的賬戶名稱和密碼更改成原來的，問題應該能夠解決。但需要注意，根據微軟的說法，改回賬戶名稱與密碼的方法在管理員賬戶上可能無效，而且如果您的賬戶並不是改變而是被刪除後重建，也就是說是一個全新的賬戶，那麼您只能夠求助於恢復代理或者導入備份的證書。
如果您已經重新格式化了硬碟、重新安裝了系統又或者使用尚未加密文件時的系統盤鏡像恢復了系統而導致無法訪問加密文件，那麼您只能夠通過導入自己的證書或者恢復代理的方法來解決問題，這時基本上已經沒有其他方法可以幫助您取迴文件。另外，Windows XP SP1版後使用了新的加密演算法，如果您加密時使用的是Windows XP SP1版本，那麼當您嘗試挽救數據時也應該使用該版本，或者未來的更新版本，否則在其他版本上亂試，加密文件可能會損毀。
系統安全 深入理解加密文件系統EFS
微軟在NTFS4.0及後續版本的文件系統中，捆綁了兩個功能強大的工具：壓縮文件系統和加密文件系統。這個選項在文件夾的屬性-高級裡面。是一個單選框。壓縮文件系統在這里就不多提了，不過有一點，可能有心的朋友注意得到，就是這兩個選項不可以同時選。這個原因很簡單，因為不論是加密文件還是壓縮文件，我們都是在改變文件，我們通過改變他們的讀碼框架來加密或者壓縮文件。這里可能有人要問，WinRAR為什麼可以及加密文件又壓縮文件。其實 WinRAR加密的方法是在基於WinRAR這個文件壓縮系統，而不是基於文件本身。我們還是言歸正傳。
這裡面要提到的一點叫做加密方式。相信有些朋友對Alice和Bob這兩個名字非常熟悉，這兩個名字最早用於IBM出版的一本圖書中，用來解釋對稱加密和非對稱加密。對稱加密，簡單一點說就是加密所使用的密碼和解密所使用的密碼是同一個密碼。非對稱呢，加密使用的和解密是不同的密碼。這個不同的密碼，一個被稱為私鑰，另一個就是公鑰。從名字上面可以看出來，私鑰，是無論如何不會公開的，公鑰，則是發布出去的。
詳細解釋一下，熟悉非對稱加密的朋友可以跳過這一段。e.g.Alice要發送一份敏感數據給BOB，顯然需要加密。非對稱加密，使用兩個不同的密碼加密和解密。就是說，如果alice的公鑰和私鑰為一組密碼，分別是alice的公鑰和alice的私鑰。那麼，用alice公鑰加密的東西只有使用 alice的私鑰可以解密，對應的，如果使用alice公鑰加密的東西，只有alice的私鑰可以解開。那麼對於bob也是一樣。如果我們採用對稱加密的方法，也就是加密和解密的過程使用的是一個密碼，那麼這個密碼是無論如何不能被第三方截獲的。互聯網路，可以截獲；電話，可以監聽；甚至當面交換，都可以被竊聽。所以這是對稱加密的一個重大缺陷。如果採用非對稱加密，alice和bob都不公開自己的私鑰，然後他們在交換信息前，互相交換公鑰。這樣，alice使用bob的公鑰加密alice要給bob的文件，這個使用bob公鑰加密過的文件，僅有bob的私鑰可以解開。而bob從來沒有公開過他的私鑰，所以，我們看到，這樣的加密，是安全的。這個信息加密解密，交換公鑰的過程，就是非對稱加密。
解釋過非對稱加密，我們也可以簡單的比較出兩者在安全性上的優越性。不過非對稱加密一個重要的缺陷，就是運算時間很長，對稱加密在工作效率上可能是非對稱加密的100-1000倍。所以微軟也是在看到這一點後，在EFS中集成了兩者的優點。EFS使用了對稱加密和非對稱加密結合的工作方式，即先生成一個字元串作為密鑰採用對稱加密方法加密文件，然後，再使用非對稱加密加密這個密鑰。這個密鑰具體位數我記不得了，大約在70位。這里出現一個問題，實際在操作系統中，公鑰和私鑰是怎麼獲得的？為什麼管理員可以解開所有用戶的加密文件？
依照微軟的白皮書中解釋，加密文件系統中的用戶證書的獲得，有兩種途徑，一個是從CA(CertificationAuthority)獲得，另一種是在企業級CA失效的時候由本機為自己頒發一個數字證書。這里需要解釋的是證書和密鑰的關系，證書是密鑰的載體，在證書中包含了密鑰。這里可能又有人要問，用戶的私鑰是存放在什麼地方？用戶的私鑰是通過另外一種驗證機制實現的，這個在系統層面，日後我會寫文章加以闡釋。除了這兩個密鑰，還有一個用於直接加密文件的密鑰，這個根據用戶自己的SID計算出來的，微軟沒有公開這方面的信息，還請有心人共同嘗試理解其中的工作原理。管理員之所以可以管理所有用戶的加密文件，是為了保證系統的穩定，如果每一個用戶的文件都只有創建者可以修改，那麼計算機可能因此陷入混亂的狀態。
近日聽聞有些軟體可以破解微軟的EFS，我本為之興奮，結果下載後研究了一下，這種軟體的工作原理是備份出管理員的帳戶信息，通過ERA(緊急恢復代理)實現加密文件的恢復。事實上，如果用戶不慎在重新安裝系統的時候忘記備份出相應的密鑰，那麼這個加密過的文件可能永遠打不開。這一點不難理解，因為每一次安裝操作系統，操作系統會隨即生成一個SID號，當然，如果用戶的人品足夠好，還是可能生成一樣的SID號的（開個玩笑）。關於備份管理員賬號和密碼，可以通過Windows2000及後續版本中內建的忘記密碼向導來幫助備份密碼。希望可以給大家一些幫助。
⑸ 什麼是加密認證策略
信息加密是網路安全的有效策略之一。一個加密的網路，不但可以防止非授權用戶的搭線竊聽和入網，而且也是對付惡意軟體的有效方法之一。
信息加密的目的是保護計算機網路內的數據、文件，以及用戶自身的敏感信息。網路加密常用的方法有鏈路加密、端到端加密和節點加密三種。鏈路加密的目的是保護鏈路兩端網路設備間的通信安全；節點加密的目的是對源節點計算機到目的節點計算機之間的信息傳輸提供保護；端到端加密的目的是對源端用戶到目的端用戶的應用系統通信提供保護。用戶可以根據需求酌情選擇上述加密方式。
信息加密過程是通過各種加密演算法實現的，目的是以盡量小的代價提供盡量高的安全保護。在大多數情況下，信息加密是保證信息在傳輸中的機密性的惟一方法。據不完全統計，已經公開發表的各種加密演算法多達數百種。如果按照收發雙方密鑰是否相同來分類，可以將這些加密演算法分為常規密鑰演算法和公開密鑰演算法。採用常規密鑰方案加密時，收信方和發信方使用相同的密鑰，即加密密鑰和解密密鑰是相同或等價的，其優點是保密強度高，能夠經受住時間的檢驗和攻擊，但其密鑰必須通過安全的途徑傳送。因此，密鑰管理成為系統安全的重要因素。採用公開密鑰方案加密時，收信方和發信方使用的密鑰互不相同，而且幾乎不可能從加密密鑰推導出解密密鑰。公開密鑰加密方案的優點是可以適應網路的開放性要求，密鑰管理較為簡單，尤其可方便地實現數字簽名和驗證。
加密策略雖然能夠保證信息在網路傳輸的過程中不被非法讀取，但是不能夠解決在網路上通信的雙方相互確認彼此身份的真實性問題。這需要採用認證策略解決。所謂認證，是指對用戶的身份「驗明正身」。目前的網路安全解決方案中，多採用兩種認證形式，一種是第三方認證，另一種是直接認證。基於公開密鑰框架結構的交換認證和認證的管理，是將網路用於電子政務、電子業務和電子商務的基本安全保障。它通過對受信用戶頒發數字證書並且聯網相互驗證的方式，實現了對用戶身份真實性的確認。
除了用戶數字證書方案外，網路上的用戶身份認證，還有針對用戶賬戶名+靜態密碼在使用過程中的脆弱性推出的動態密碼認證系統，以及近年來正在迅速發展的各種利用人體生理特徵研製的生物電子認證方法。