① 如果EFS加密文件，个人证书等那些已经加密保存好的在电脑哪里查看得到呢
可以加密
如果你是XP专业版系统的话，将你的分区转成NTFS格式的，对要加密的文件点右键，在属性中 选 加密 。 这样只有你的帐号才能访问，别的帐号访问不了。加密后的文件名颜色会变的
windows下想加密就单独弄个账户把文件夹设成只有自己能访问，但是管理员还是可以访问，所以最好就用管理员账号，其他的帐号不能是管理员。其他的觉得没有什么好方法。还是用工具比较可靠
NTFS格式下加、解密问题
NTFS是WinNT以上版本支持的一种提供安全性、可靠性的高级文件系统。在Win2000和WinXP中，NTFS还可以提供诸如文件和文件夹权限、加密、磁盘配额和压缩这样的高级功能。
一、加密文件或文件夹
步骤一：打开Windows资源管理器。
步骤二：右键单击要加密的文件或文件夹，然后单击“属性”。
步骤三：在“常规”选项卡上，单击“高级”。选中“加密内容以便保护数据”复选框
在加密过程中还要注意以下五点：
1.要打开“Windows 资源管理器”，请单击“开始→程序→附件”，然后单击“Windows 资源管理器”。
2.只可以加密NTFS分区卷上的文件和文件夹，FAT分区卷上的文件和文件夹无效。
3.被压缩的文件或文件夹也可以加密。如果要加密一个压缩文件或文件夹，则该文件或文件夹将会被解压。
4.无法加密标记为“系统”属性的文件，并且位于systemroot目录结构中的文件也无法加密。
5.在加密文件夹时，系统将询问是否要同时加密它的子文件夹。如果选择是，那它的子文件夹也会被加密，以后所有添加进文件夹中的文件和子文件夹都将在添加时自动加密。
二、解密文件或文件夹
步骤一：打开Windows资源管理器。
步骤二：右键单击加密文件或文件夹，然后单击“属性”。
步骤三：在“常规”选项卡上，单击“高级”。
步骤四：清除“加密内容以便保护数据”复选框。
同样，我们在使用解密过程中要注意以下问题：
1.要打开“Windows资源管理器”，请单击“开始→程序→附件”，然后单击“Windows资源管理器”。
2.在对文件夹解密时，系统将询问是否要同时将文件夹内的所有文件和子文件夹解密。如果选择仅解密文件夹，则在要解密文件夹中的加密文件和子文件夹仍保持加密。但是，在已解密文件夹内创立的新文件和文件夹将不会被自动加密。
以上就是使用文件加、解密的方法！而在使用过程中我们也许会遇到以下一些问题，在此作以下说明：
1.高级按钮不能用
原因：加密文件系统(EFS)只能处理NTFS文件系统卷上的文件和文件夹。如果试图加密的文件或文件夹在FAT或FAT32卷上，则高级按钮不会出现在该文件或文件夹的属性中。
解决方案：
将卷转换成带转换实用程序的NTFS卷。
打开命令提示符。
键入：Convert [drive]/fs:ntfs
(drive 是目标驱动器的驱动器号)
2.当打开加密文件时，显示“拒绝访问”消息
原因：加密文件系统(EFS)使用公钥证书对文件加密，与该证书相关的私钥在本计算机上不可用。
解决方案：
查找合适的证书的私钥，并使用证书管理单元将私钥导入计算机并在本机上使用。
3.用户基于NTFS对文件加密，重装系统后加密文件无法被访问的问题的解决方案(注意：重装Win2000/XP前一定要备份加密用户的证书)：
步骤一：以加密用户登录计算机。
步骤二：单击“开始→运行”，键入“mmc”，然后单击“确定”。
步骤三：在“控制台”菜单上，单击“添加/删除管理单元”，然后单击“添加”。
步骤四：在“单独管理单元”下，单击“证书”，然后单击“添加”。
步骤五：单击“我的用户账户”，然后单击“完成”(如图2，如果你加密用户不是管理员就不会出现这个窗口，直接到下一步) 。
步骤六：单击“关闭”，然后单击“确定”。
步骤七：双击“证书——当前用户”，双击“个人”，然后双击“证书”。
步骤八：单击“预期目的”栏中显示“加密文件”字样的证书。
步骤九：右键单击该证书，指向“所有任务”，然后单击“导出”。
步骤十：按照证书导出向导的指示将证书及相关的私钥以PFX文件格式导出(注意：推荐使用“导出私钥”方式导出，这样可以保证证书受密码保护，以防别人盗用。另外，证书只能保存到你有读写权限的目录下)。
4.保存好证书
注意将PFX文件保存好。以后重装系统之后无论在哪个用户下只要双击这个证书文件，导入这个私人证书就可以访问NTFS系统下由该证书的原用户加密的文件夹(注意：使用备份恢复功能备份的NTFS分区上的加密文件夹是不能恢复到非NTFS分区的)。
最后要提一下，这个证书还可以实现下述用途：
(1)给予不同用户访问加密文件夹的权限
将我的证书按“导出私钥”方式导出，将该证书发给需要访问这个文件夹的本机其他用户。然后由他登录，导入该证书，实现对这个文件夹的访问。
(2)在其也WinXP机器上对用“备份恢复”程序备份的以前的加密文件夹的恢复访问权限
将加密文件夹用“备份恢复”程序备份，然后把生成的Backup.bkf连同这个证书拷贝到另外一台WinXP机器上，用“备份恢复”程序将它恢复出来(注意：只能恢复到NTFS分区)。然后导入证书，即可访问恢复出来的文件了。
Win98加密文件夹四法
一、文件夹属性法
在“Windows资源管理器”窗口，右键单击要加密的文件夹，单击“属性”，选中“隐藏”复选框。在注册表的“HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\explorer\Advanced\Folder\Hidden\SHOWALL”分支下，将“Checkedvalue”的键值设置为数字“0”。以后，即使在“Windows资源管理器”窗口，单击“查看”菜单中的“文件夹选项”，单击“查看”选项卡，选中“显示所有文件”复选钮，也无法看到具有隐藏属性的文件夹。
二、“回收站”法
首先确认选中了“显示所有文件”复选钮，并且注册表中“Checkedvalue”的键值为“1”。然后，在“Windows资源管理器”窗口，右键单击“C:\RECYCLED”文件夹(这是C盘上“回收站”对应的文件夹)，再单击“属性”，单击“常规”选项卡，清除“启用缩略图方式查看”和“只读”复选框，单击“确定”按钮。关闭并重新启动“Windows资源管理器”后，将会看到“C:\RECYCLED”文件夹中有一个desktop.ini文件。把该文件复制到要加密的文件夹中，并把该文件夹设为“只读”属性。
三、“文件管理器”法
单击“开始/运行”，键入“winfile”，单击“确定”按钮，打开“文件管理器”窗口，单击“查看”菜单中的“按文件类型”，选中“显示隐藏/系统文件”复选框，单击“确定”按钮。把要加密的文件夹拖到“C:\RECYCLED”文件夹或者其他分区的“RECYCLED”文件夹。这样，在“我的电脑”或“Windows资源管理器”窗口中就看不到这个文件夹了。
四、设置密码法
1、打开“资源管理器”，选定要加密或要保护的文件夹(文件目录)，在其中空白处单击鼠标右键，选择“自定义文件夹…”选项；
2、在“自定义文件夹”的复选框中，选择“创建或编辑HTML文档”，并单击“下一步”，系统准备启动HTML编辑器；
3、单击“下一步”，系统启动HTML编辑器，自动打开Folder.htt文档；
4、编辑Folder.htt文档，搜索“javascript”字符，在下方顶头输入以下3行内容：
var pass = prompt("请输入密码")
if(pass != "ABC")
{window.location="E:"};
5、保存Folder.htt文档并退出编辑，选择“完成”；到此，对文件夹的加密或保护便已完成；
6、加密测试，关闭已打开的所有文档及文件夹，重新打开“资源管理器”，点击已加密的文件夹，系统便会提示输入密码，输入正确的密码(本文设定的密码为ABC)就可以访问该文件夹，反之则会转入E盘而无法访问，从而保护该文件夹及其中的文档。
② 谁能给我解开EFS解密，我给他悬赏500积分！
FS加密的一线生机－加密帐户被删的补救方法
引子：看到新闻组里那么多网友“哭诉”EFS问题，早就想写一篇EFS的文章。但是苦于手头资料太少，很多概念尚未圆润贯通，匆匆草就之下，这误人子弟的罪责，怕是逃不过的。声明：本文参考了国外一篇“牛”
文，由于要掌握这篇国外文章，读者必须具备一些NTFS底层知识，否则难窥其堂奥。故此笔者四处网罗资料，加上穿凿附会，希望能帮助读者诸君更方便省时地领会这篇文章，舞好EFS这把双刃剑。文章链接如下：
http://www.beginningtoseethelight.org/efsrecovery/index.php
这里需要提醒用户注意：本文并非为了证明微软的EFS存在 “漏洞”，也不是专为马大哈们准备的包治百病的“后悔药”。事实上如果没有导出EFS证书和私钥，那么一旦删除用户、或者重装系统，EFS加密文件就不属于你了。
提示 本文适用于Windows XP Professional单机环境，并假设没有恢复代理
(DRF)
和共享访问帐户(多个DDF)。
任务描述
如 果某个用户把自己的登录帐户删除，那么其他用户将无法访问其EFS加密文件。更可恶的是，一旦公司里的某个用户心怀怨气，恶意加密了本属于别的用户的重要 文件，将会导致严重问题。一般情况下，这些EFS加密文件已经被判了死刑，但是实际上只要满足以下条件的话，我们还是可以在末日来临之前打开逃生的天窗：
(1) 必须知道该被删帐户的密码。
(2) 该被删帐户的配置文件必须存在。如果使用“本地用户和组”管理单元删除帐户，则配置文件保留的机会很大，如果使用“用户帐户”控制面板删除帐户，则有一半 机会保留配置文件。如果配置文件不幸被删，则只能祈祷可以借助Easy Recovery之类的数据恢复工具进行恢复。
可能有些朋友会觉得这两个条件比较苛刻，此处卖个关子先……
EFS加密原理
大家知道，EFS加密实际上综合了对称加密和不对称加密：
(1) 随机生成一个文件加密密钥(叫做FEK)，用来加密和解密文件。
(2) 这个FEK会被当前帐户的公钥进行加密，加密后的FEK副本保存在文件$EFS属性的
DDF
字段里。
(3) 要想解密文件，首先必须用当前用户的私钥去解密FEK，然后用FEK去解密文件。
看到这里，似乎EFS的脉络已经很清晰，其实不然，这样还不足于确保EFS的安全性。系统还会对EFS添加两层保护措施：
(1) Windows会用64字节的主密钥(Master Key)对私钥进行加密，加密后的私钥保存在以下文件夹：
%UserProfile%\Application Data\Microsoft\Crypto\RSA\SID[/i]
提示 Windows系统里的各种私有密钥，都用相应的主密钥进行加密。Windows Vista的BitLocker加密，也用其主密钥对FVEK(全卷加密密钥)进行加密。
(2) 为了保护主密钥，系统会对主密钥本身进行加密(使用的密钥由帐户密码派生而来)，加密后的主密钥保存在以下文件夹：
%UserProfile%\Application Data\Microsoft\Protect\SID[/i]
整个EFS加密的密钥架构如图1所示。
图1
提示 EFS密钥的结构部分，参考自《Windows Internals 4th》的第12章。
回到“任务描述”部分所述的两个条件，现在我们应该明白原因了：
(1) 必须知道该被删帐户的密码：没有帐户密码，就无法解密主密钥。因为其加密密钥是由帐户密码派生而来的。
提示 难怪Windows XP和2000不同，管理员重设帐户密码，也不能解密EFS文件。
(2) 该被删帐户的配置文件必须存在：加密后的私钥和主密钥(还包括证书和公钥)，都保存在配置文件里，所以配置文件万万不可丢失，否则就会彻底“鬼子不能进村”。重装系统后，原来的配置文件肯定被删，这时候当然不可能恢复EFS文件。
可能有用户会想，只需新建一个同名的用户帐户，然后把原来配置文件复制给新帐户，不就可以解密EFS文件了？原因在于帐户的SID，因为新建用户的SID不可能和老帐户一样，所以常规方法是不可能奏效的。我们必须另辟蹊径，让系统再造一个完全一样的SID！
恢复步骤
为了方便描述，这里假设被删帐户的用户名为Admin，Windows安装在C盘。
1．再造SID
注意 本方法取自“声明”部分提到的那篇文章。
首先确认被删帐户的SID，这里可以进入以下文件夹：
C:\Documents and Settings\Admin[/i]\Application Data\Microsoft\Crypto\RSA
在其下应该有一个以该被删帐户的SID为名的文件夹，例如是S-1-5-21-4662660629-873921405-788003330-1004(RID为1004)
现在我们要设法让新建帐户同样具有1004的RID，这样就能达到目的。
在
Windows 中，下一个新建帐户所分配的RID是由HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account注册表项的F键值所确定 的。F键值是二进制类型的数据，在偏移量0048处的四个字节，定义下一个帐户的RID。那么也就是说，只需要修改0048处的四个字节，就能达到目的
(让新建帐户获得
1004
的
RID
)！
确认好以后，别忘记把Admin帐户的配置文件转移到别的地方！
(1) 默认情况下，只有system帐户才有权限访问HKEY_LOCAL_MACHINE\SAM，这里在CMD命令提示符窗口，运行以下命令，以system帐户身份打开注册表编辑器：
psexec -i -d -s %windir%\regedit.exe
提示 可以在以下网站下载psexec：
http://www.sysinternals.com/Utilities/PsExec.html
(2) 定位到HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account注册表项，双击打开右侧的F键值。
(3) 这里要说明一下，Windows是以十六进制、而且以反转形式保存下一个帐户的RID。什么意思呢？也就是说，如果是1004的RID，对应十六进制就是03EC，但是我们必须把它反转过来变成EC03，再扩展为4个字节，就是EC 03 00 00。
所以，我们应该把F键值的0048偏移量处，把其中四个字节改为“EC 03 00 00”，如图2所示。
图2
(4) 重要：别忘了重启计算机！
(5) 重启以后，新建一个同名帐户Admin，它的SID应该和以前是完全一样。如果不相信的话，可以借助GetSID或者PsGetSID等工具测试一下。
2．“破解”EFS
接下来的方法就非常简单了，用新建的Admin帐户身份登录系统，随便加密一个文件，然后注销，用管理员帐户登录系统，把原来保留的配置文件复制到C:\Documents and Settings\Admin[/i]文件夹下。
再用Admin帐户登录系统，现在可以解密原来的EFS文件了。
疑难解答
1．如果已经重装系统，那怎么办？
“声 明”部分提到的那篇文章里提到，如果还记得原来帐户的密码，并且配置文件没有被删除的话，还有希望。这时候可以借助sysinternals的 NEWSID工具把系统的计算机SID重设为原来的值，再用前面描述的方法构造所需的RID，这样就可以获得所需的帐户SID。剩余步骤完全一样。
http://www.sysinternals.com/Utilities/NewSid.html
2．有用户曾经遇到这样的问题：登录系统时收到提示说密码过期，需要重设，重设密码登录后发现打开EFS文件。
KB890951提到这个问题。其解释是因为在修改密码时，系统还没有加载配置文件
(有点语焉不详
)，原文如下：
This
problem
occurs because the user profile for the current user is not loaded correctly after you change the password.
配置文件和EFS有何相干？看完本文，大家应该知道，EFS的私钥和主密钥都是保存在配置文件里的。由于配置文件没有加载，所以主密钥的加密版本没有得到更新(没有跟上帐户密码的变化)，导致主密钥无法正确解密，从而无法解密私钥和FEK。这就是问题的真正原因。
该KB提供了一个内部补丁，可以解决这个问题。KB890951的链接如下：
http://support.microsoft.com/kb/890951
3．有关公钥的问题
为了容易理解，笔者故意忽略了公钥。公钥保存也保存在帐户的配置文件里：
%UserProfile%\Application Data\Microsoft\SystemCertificates\My\Certificates
在EFS恢复的操作中，必须确保公钥也要复制到新帐户的配置文件里。尽管看起来公钥与EFS解密无关(它负责加密)。
原来，加密文件
$
EFS属性的DDF字段里除了有帐户SID和加密的FEK副本外，还有公钥的指纹信息(Public Key Thumbprint)和私钥GUID信息(私钥的某种散列值)。
系统在扫描加密文件
$EFS
属性中的DDF字段时，根据用户配置文件里的公钥中所包含的公钥指纹和私钥GUID信息，当然还有帐户的SID，来判断该帐户是否具有对应的
DDF
字段，从而判断该用户是否属于合法的EFS文件拥有者。
所以公钥也很重要。
当然公钥是可以
“
伪造
”
的
(可以伪造出所需的公钥指纹和私钥GUID)
，以欺骗
EFS
系统，具体方法可以参考国外的那篇原稿，此处不再赘述。
加强EFS的安全
由 于EFS把所有的相关密钥都保存在Windows分区，所以这可能给EFS带来一定的安全隐患。目前有一些第三方工具号称可以破解EFS，这些工具首先攻 击SAM配置单元文件，尝试破解帐户密码，从而破解帐户密码→主密钥的加密密钥→主密钥→EFS私钥→FEK的“密钥链”。
为了防止攻击者窥视我们的EFS文件，可以借助以下三种方法：
1
．导出删除私钥
可以用证书向导导出EFS加密证书和私钥，并且在“证书导出向导”对话框里选择删除私钥，如图3所示。
图3
删除私钥以后，攻击者就没有办法访问EFS加密文件了，而我们需要访问时，只需导入先前备份的证书和私钥即可。
2
．System Key提供额外的保护
System Key
可 以对SAM配置单元文件和EFS私钥提供额外保护。Windows XP的System Key默认保存在本地，我们可以运行syskey命令，强制系统将System Key保存在软盘里，或者用启动密码(startup password)来生成System Key。
由于EFS“密钥链”的根密钥(System Key)没有保存在本地计算机中， 所以攻击者将更加难以破解EFS加密。
提示 BitLocker加密的recovery key，类似于syskey的startup password，都是借助启动时所输入的一串密码来生成所需的密钥。
3
．BitLocker提供更彻底的保护
本方法仅适用于Windows Vista(Enterprise和Ultimate Edition)。
最彻底的保护方法，首推Windows Vista新引入的BitLocker加密，这时候Windows分区的所有内容全部被加密(包括SAM配置单元、EFS密钥)。
BitLocker(TPM1.2)
加密可以看成是Windows启动保护器。在系统启动时，TPM芯片会负责分析各个重要的启动组件，以判断自己是否位于原来的计算机环境。如果是的话，就依次释放BitLocker
加密所需的密钥链，我们才能顺利地访问Windows，才能访问EFS文件。
如果攻击者企图把硬盘挂接到别的计算机上，系统就会拒绝释放密钥，整个Windows Vista分区处于加密状态。
如 果攻击者窃取了计算机，并且窃取了BitLocker所需所有条件(TPM芯片自不必说，假设也获得密钥U盘)。这时候系统能够顺利引导，并且成功释放 BitLocker密钥链。但是攻击者还必须想办法知道帐户的密码，否则无法登录系统，Windows分区依然处于加密状态。
EFS
额外保护的原理如图4所示。
图4
4
．题外话：为什么释放BitLocker密钥以后，Windows分区依然处于加密状态？
所以尽管BitLocker密钥已经释放，但是Windows分区并没有被立即全部解密。否则每次启动，都要解密整个Windows
分区，得花多少时间(笔者的
Vista
分区完全解密，共花3小时)！
原 来BitLocker加密是以一个FVE Filter Driver来实现加密和解密，该Filter Driver处于文件系统驱动的下层。登录系统以后，用户需要访问文件时，文件系统会自动请求FVE Filter Driver进行解密，猜想应该是一次解密一个Block，每个Block可能是512字节(和EFS一样)，不敢确定
。对于用户来说，这个过程是完全透明的，同时对性能的影响很小，几乎可以忽略不计。EFS加密的情况有点类似。
写在最后
这里非常敬佩国外微软技术爱好者的执着，事实上该作者还有一篇经典的文章(
描述
SAM
配置单元文件的二进制结构
)
，链接如下，非常值得推荐。
很难想象，要编写这样的文章，得花费多少的人力和时间，要做多少的实验才能在SAM
数据库逐个字节地找出其对应的含义！
本文的目的，也是为了向这些国外的作者致敬。
③ EFS密钥找不到
你先加密任意一个文件，就会看到证书了；Ghost还原的时候能打开加密的文件夹。
④ efs文件夹在哪里
三星i9100efs文件夹在：storage/sdcard
进入方法：
1.进入【文件管理】（进去便是storage）
2.打开【sdcard】
3.找到【EFS】文件夹，即可
三星i9100：
主屏尺寸：4.3英寸
主屏分辨率：800x480像素
后置摄像头：800万像素
前置摄像头：200万像素
电池容量：1650mAh
电池类型：可拆卸式电池
CPU：双核
内存：1GB
⑤ EFS解密密钥丢失后如何处理已加密的数据恢复
访问加密的文件快且容易。如果用户持有一个已加密的 NTFS 文件的私钥，那么用户能够打开这个文件，并透明地将该文件作为普通文档使用，反之，用户会被拒绝对文件的访问。而并不像第三方加密软件一样在每次存取时都要求输入密码。 网管联盟bitsCN_com加密后的数据无论怎样移动都保持加密状态（前提要在NTFS分区下移动，在Windows 2000/XP以及Windows.net系统中，如果试图把一个EFS加密文件移动或复制到FAT/FAT32分区会遭到拒绝）。 EFS 与 NTFS 紧密地集成在一起。当创建临时文件时，只要所有文件在 NTFS 卷上，原始文件的属性就会被复制到临时文件中。如果加密了一个文件，EFS 也会将其临时文件进行加密。EFS 驻留在操作系统内核中，并且使用不分页的池存储文件加密密钥，保证了密钥不会出现在分页文件中。这防止了一些应用程序在创建临时文件时泄密。 通过EFS加密敏感性文件，会增加更多层级的安全性防护。在加密文件时，即使黑客已完全存取电脑的文件储存体，其文件仍然受到保护。 在Windows XP/ Windows.net中，EFS可处理脱机文件和文件夹。 EFS的技术结构与原理密钥和证书EFS采用基于公钥的方案实现数据加密或解密，它使用标准x509证书，每一个受保护的文件都是被一个使用带有一定长度的文件加密密钥（FEK）的快速对称加密算法加密的(FEK的长度由算法或法则决定)。一个用户要访问一个已加密的文件，他必须拥有与公钥相适应的私钥。 网管下载dl.bitscn.com加密与解密文件转换是加密和解密文件的过程，它需要一个特殊的接口。即使在严重的失败产生时，数据在转换过程中仍然是不会丢失的，所以，EFS会备份没经过加密的原数据直到全部转换过程都已经完成。当EFS接到转换文件的请求时，它首先进行一系列的检查，这些检查包括文件是否可以加密以及是否有足够的磁盘空间进行加密。系统文件或在系统目录中的文件时不能被EFS加密的。如果经过检查说明文件可以被加密，EFS便产生一个文件加密密钥（FEK），对于FEK加密与解密，在微软公司发布的《Windows2000的加密文件系统白皮书》中对EFS加密原理作了以下描述：FEK加密使用一个或多个密钥加密公钥，生成一个加密的 FEK 列表。用户密钥对的公共部分用来加密 FEK。加密的 FEK 列表与加密文件一起存储在一个特殊的 EFS 属性中，该属性称为数据加密字段 (DDF)。文件加密信息与文件紧密地捆绑在一起。用户密钥对的私有部分在解密过程中使用。FEK 是通过使用密钥对的私有部分进行解密的。用户密钥对的私有部分安全地存放在别的地方，如智能卡或其它安全存储设备上。FEK 也使用一个或多个恢复密钥加密公钥进行加密。再者，每个密钥对的公共部分用来加密 FEK。此加密的 FEK 列表与文件一起存储在一个特殊的 EFS 属性中，该属性称为数据恢复字段 (DRF)。加密 DRF 中的 FEK，只需要恢复密钥对的公共部分。在正常文件系统操作中，要求这些公共恢复密钥始终在 EFS 系统上。恢复本身一般很少用到，只是当用户离开公司或者丢失密钥时才使用。正因为如此，恢复代理可以将密钥的私有部分安全地存放到别的地方（智能卡或其它安全的存储设备上）。{1} 网管论坛bbs_bitsCN_com然后，EFS将在相应的文件夹建立一个临时文件。每一个源文件数据流都以备份用途被复制到这个临时文件中，源文件被缩短并且EFS读取这个临时文件中的数据并将它们写入原始文件，由于EFS加密是透明的，因而在实际写入磁盘前，EFS便已将数据加密。当所有数据被写入原始文件以及EFS证明了文件已加密后，EFS才会删除这个临时文件。如果转换失败或转换过程中发生错误，EFS会在删除临时文件前将试图加密的文件恢复到原始状态。打开与读写原理EFS拥有四个主要的操作：打开、读、写以及转换文件。由于EFS被设计成为透明的，对于打开、读取、写入已加密文件便与操作普通文件没有任何区别：应用程序仍然使用普通的Win32 APIs。应用程序使用CreateFile()或者OpenFile() 来打开已加密的文件；用ReadFile()、ReadFileEx()以及ReadFileScatter()来读取已加密的文件；用WriteFile()、WriteFileEx()、WriteFileScatter()来写入已加密的文件。数据恢复EFS具有数据恢复能力，当用户的密钥损坏或丢失时EFS数据恢复便可以恢复已经加密的文件。系统管理员可以在恢复代理策略、空恢复策略以及无恢复策略中选择一种恢复策略。在域中，当设置首域控制器时，Windows执行该域默认故障恢复策略。恢复代理策略是指系统管理员添加了一个或多个恢复代理。这些代理在管理范围中恢复任何已加密数据都是可受响应的。空恢复策略是指系统管理员删除了所有的恢复代理以及他们的公钥证书。（*EFS不允许管理员在Windows2000中选择此设置。）所谓的无恢复策略是指系统管理员删除了恢复策略的私钥，这时没有私钥是可用的，所以不可能使用恢复代理，并且EFS的恢复也是不可用的。在独立的机器上，初始是没有恢复策略的，独立计算机的系统管理员可以修改EFS恢复策略，并且可以向恢复策略添加或创建恢复证书。 网管联盟bitsCN_comEFS的应用在Windows XP中使用EFS加密/解秘数据以及EFS的数据恢复功能在Windows XP中使用EFS来加密文件或文件夹是非常轻松的一件事，步骤如下：在资源管理器中右键单击想加密的文件或文件夹，点击属性，出现图一的对话框， 点击高级按钮，出现的对话框如图二。 a) 加密单个文件：在加密内容以便保护数据前面的单选框中打钩，然后单击确定。EFS便开始加密文件。b) 加密文件夹：用EFS加密文件夹的步骤和用其来加密文件的步骤基本一样，只不过在加密内容以便保护数据前面的单选框中打钩并最终在文件夹属性对话框点击确定后，会出现如图三的对话框。如果选择仅将更改应用于该文件夹，EFS只将这个文件夹加密，而不把里面的文件加密；如果选择将更改应用于该文件夹、子文件夹和文件，所有目录内的内容将会像上面所讲的过程被加密。 c) 解密：和加密文件一样，把加密内容以便保护数据前的钩去掉，然后点击确定，即可完成单个文件的解密。如果是解密文件夹，同样会出现如图四的对话框，与加密文件夹一样，选择对整个目录的内容有效还是只对文件夹本身有效。单击确定后，EFS便开始解密。 网管u家u.bitscn@com d) 添加/删除用户的访问权：为一个文件添加/删除用户可以赋予/撤销用户对EFS加密文件的完全访问权。已被添加的用户有访问、加密以及解密文件的权利。点击高级对话框中的详细信息按钮将看到如图五所示的对话框。用添加以及删除按钮来添加和删除用户。 （*在Windows2000中EFS加密的用法，详见微软公司1999年发布的《Windows2000的加密文件系统白皮书》。**详细的EFS使用方法，请参见微软中国社区网站中的《EFS（Encrypting File System）加密使用浅谈》一文。） EFS在企业中的应用以及前景在EFS之前，市面上便已经有许多适用其他技术的加密软件，但是那些加密软件大多是基于口令的方案，这样便很容易受到字典攻击，并且，如果企业使用另外的加密软件，还要增加企业的开支。EFS的出现为企业提供了较为完整的文件加密方案，既节省了企业的总开支，又提供了更为安全的加密服务。通过EFS加密敏感文件，会增加更多层的安全性防护。在加密文件时，即使黑客已侵入系统并已完全存取电脑的资料储存体，其资料仍然受到保护。配合其他的安全措施与EFS, 大大方便的企业在安全方面的部署，集成在操作系统中的EFS服务前景光明。 网管下载dl.bitscn.com EFS尚存的不足之处EFS可以说是微软为用户提供的一个内建在Windows产品中的方便快捷并且强大的加密系统，然而，微软设计了让其他操作系统也能读取NTFS的文件格式来使用户能够避开硬盘故障以及启动分区故障。因此，使用某些操作系统可以很容易地绕过NTFS安全机制，存取NTFS文件。但是尽量把组织或网络中所有机器都安装Windows2000（或以上）的操作系统，所有分区都格式化成NTFS，这样可以提高安全性以及避免敏感数据遭受袭击的可能性。另外，这种让其他操作系统也能读取NTFS的文件格式的特性并未被广泛使用【转自 www.bitsCN.com】
⑥ 重装系统后EFS解密
这样子基本上你就没有办法了，但是我找到一专门论述的文章，你看看吧。希望对你有帮助
任务描述
如果某个用户把自己的登录帐户删除，那么其他用户将无法访问其EFS加密文件。更可恶的是，一旦公司里的某个用户心怀怨气，恶意加密了本属于别的用户的重要文件，将会导致严重问题。一般情况下，这些EFS加密文件已经被判了死刑，但是实际上只要满足以下条件的话，我们还是可以在末日来临之前打开逃生的天窗：
(1) 必须知道该被删帐户的密码。
(2) 该被删帐户的配置文件必须存在。如果使用“本地用户和组”管理单元删除帐户，则配置文件保留的机会很大，如果使用“用户帐户”控制面板删除帐户，则有一半机会保留配置文件。如果配置文件不幸被删，则只能祈祷可以借助Easy Recovery之类的数据恢复工具进行恢复。
可能有些朋友会觉得这两个条件比较苛刻，此处卖个关子先……
EFS加密原理
大家知道，EFS加密实际上综合了对称加密和不对称加密：
(1) 随机生成一个文件加密密钥(叫做FEK)，用来加密和解密文件。
(2) 这个FEK会被当前帐户的公钥进行加密，加密后的FEK副本保存在文件$EFS属性的DDF字段里。
(3) 要想解密文件，首先必须用当前用户的私钥去解密FEK，然后用FEK去解密文件。
看到这里，似乎EFS的脉络已经很清晰，其实不然，这样还不足于确保EFS的安全性。系统还会对EFS添加两层保护措施：
(1) Windows会用64字节的主密钥(Master Key)对私钥进行加密，加密后的私钥保存在以下文件夹：
%UserProfile%\Application Data\Microsoft\Crypto\RSA\SID
提示 Windows系统里的各种私有密钥，都用相应的主密钥进行加密。Windows Vista的BitLocker加密，也用其主密钥对FVEK(全卷加密密钥)进行加密。
(2) 为了保护主密钥，系统会对主密钥本身进行加密(使用的密钥由帐户密码派生而来)，加密后的主密钥保存在以下文件夹：
%UserProfile%\Application Data\Microsoft\Protect\SID
整个EFS加密的密钥架构如图1所示。
图1
提示 EFS密钥的结构部分，参考自《Windows Internals 4th》的第12章。
回到“任务描述”部分所述的两个条件，现在我们应该明白原因了：
(1) 必须知道该被删帐户的密码：没有帐户密码，就无法解密主密钥。因为其加密密钥是由帐户密码派生而来的。
提示 难怪Windows XP和2000不同，管理员重设帐户密码，也不能解密EFS文件。
(2) 该被删帐户的配置文件必须存在：加密后的私钥和主密钥(还包括证书和公钥)，都保存在配置文件里，所以配置文件万万不可丢失，否则就会彻底“鬼子不能进村”。重装系统后，原来的配置文件肯定被删，这时候当然不可能恢复EFS文件。
可能有用户会想，只需新建一个同名的用户帐户，然后把原来配置文件复制给新帐户，不就可以解密EFS文件了？原因在于帐户的SID，因为新建用户的SID不可能和老帐户一样，所以常规方法是不可能奏效的。我们必须另辟蹊径，让系统再造一个完全一样的SID！
恢复步骤
为了方便描述，这里假设被删帐户的用户名为Admin，Windows安装在C盘。
1．再造SID
注意 本方法取自“声明”部分提到的那篇文章。
首先确认被删帐户的SID，这里可以进入以下文件夹：
C:\Documents and Settings\Admin\Application Data\Microsoft\Crypto\RSA
在其下应该有一个以该被删帐户的SID为名的文件夹，例如是S-1-5-21-4662660629-873921405-788003330-1004(RID为1004)
现在我们要设法让新建帐户同样具有1004的RID，这样就能达到目的。
在Windows中，下一个新建帐户所分配的RID是由HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account注册表项的F键值所确定的。F键值是二进制类型的数据，在偏移量0048处的四个字节，定义下一个帐户的RID。那么也就是说，只需要修改0048处的四个字节，就能达到目的(让新建帐户获得1004的RID)！
确认好以后，别忘记把Admin帐户的配置文件转移到别的地方！
(1) 默认情况下，只有system帐户才有权限访问HKEY_LOCAL_MACHINE\SAM，这里在CMD命令提示符窗口，运行以下命令，以system帐户身份打开注册表编辑器：
psexec -i -d -s %windir%\regedit.exe
提示 可以在以下网站下载psexec：
http://www.sysinternals.com/Utilities/PsExec.html
(2) 定位到HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account注册表项，双击打开右侧的F键值。
(3) 这里要说明一下，Windows是以十六进制、而且以反转形式保存下一个帐户的RID。什么意思呢？也就是说，如果是1004的RID，对应十六进制就是03EC，但是我们必须把它反转过来变成EC03，再扩展为4个字节，就是EC 03 00 00。
所以，我们应该把F键值的0048偏移量处，把其中四个字节改为“EC 03 00 00”，如图2所示。
图2
(4) 重要：别忘了重启计算机！
(5) 重启以后，新建一个同名帐户Admin，它的SID应该和以前是完全一样。如果不相信的话，可以借助GetSID或者PsGetSID等工具测试一下。
2．“破解”EFS
接下来的方法就非常简单了，用新建的Admin帐户身份登录系统，随便加密一个文件，然后注销，用管理员帐户登录系统，把原来保留的配置文件复制到C:\Documents and Settings\Admin文件夹下。
再用Admin帐户登录系统，现在可以解密原来的EFS文件了。
疑难解答
1．如果已经重装系统，那怎么办？
“声明”部分提到的那篇文章里提到，如果还记得原来帐户的密码，并且配置文件没有被删除的话，还有希望。这时候可以借助sysinternals的NEWSID工具把系统的计算机SID重设为原来的值，再用前面描述的方法构造所需的RID，这样就可以获得所需的帐户SID。剩余步骤完全一样。
http://www.sysinternals.com/Utilities/NewSid.html
2．有用户曾经遇到这样的问题：登录系统时收到提示说密码过期，需要重设，重设密码登录后发现打开EFS文件。
KB890951提到这个问题。其解释是因为在修改密码时，系统还没有加载配置文件(有点语焉不详)，原文如下：
This problem occurs because the user profile for the current user is not loaded correctly after you change the password.
配置文件和EFS有何相干？看完本文，大家应该知道，EFS的私钥和主密钥都是保存在配置文件里的。由于配置文件没有加载，所以主密钥的加密版本没有得到更新(没有跟上帐户密码的变化)，导致主密钥无法正确解密，从而无法解密私钥和FEK。这就是问题的真正原因。
该KB提供了一个内部补丁，可以解决这个问题。KB890951的链接如下：
http://support.microsoft.com/kb/890951
3．有关公钥的问题
为了容易理解，笔者故意忽略了公钥。公钥保存也保存在帐户的配置文件里：
%UserProfile%\Application Data\Microsoft\SystemCertificates\My\Certificates
在EFS恢复的操作中，必须确保公钥也要复制到新帐户的配置文件里。尽管看起来公钥与EFS解密无关(它负责加密)。
原来，加密文件$EFS属性的DDF字段里除了有帐户SID和加密的FEK副本外，还有公钥的指纹信息(Public Key Thumbprint)和私钥GUID信息(私钥的某种散列值)。
系统在扫描加密文件$EFS属性中的DDF字段时，根据用户配置文件里的公钥中所包含的公钥指纹和私钥GUID信息，当然还有帐户的SID，来判断该帐户是否具有对应的DDF字段，从而判断该用户是否属于合法的EFS文件拥有者。
所以公钥也很重要。
当然公钥是可以“伪造”的(可以伪造出所需的公钥指纹和私钥GUID)，以欺骗EFS系统，具体方法可以参考国外的那篇原稿，此处不再赘述。
加强EFS的安全
由于EFS把所有的相关密钥都保存在Windows分区，所以这可能给EFS带来一定的安全隐患。目前有一些第三方工具号称可以破解EFS，这些工具首先攻击SAM配置单元文件，尝试破解帐户密码，从而破解帐户密码→主密钥的加密密钥→主密钥→EFS私钥→FEK的“密钥链”。
为了防止攻击者窥视我们的EFS文件，可以借助以下三种方法：
1．导出删除私钥
可以用证书向导导出EFS加密证书和私钥，并且在“证书导出向导”对话框里选择删除私钥，如图3所示。
图3
删除私钥以后，攻击者就没有办法访问EFS加密文件了，而我们需要访问时，只需导入先前备份的证书和私钥即可。
2．System Key提供额外的保护
System Key可以对SAM配置单元文件和EFS私钥提供额外保护。Windows XP的System Key默认保存在本地，我们可以运行syskey命令，强制系统将System Key保存在软盘里，或者用启动密码(startup password)来生成System Key。
由于EFS“密钥链”的根密钥(System Key)没有保存在本地计算机中， 所以攻击者将更加难以破解EFS加密。
提示 BitLocker加密的recovery key，类似于syskey的startup password，都是借助启动时所输入的一串密码来生成所需的密钥。
3．BitLocker提供更彻底的保护
本方法仅适用于Windows Vista(Enterprise和Ultimate Edition)。
最彻底的保护方法，首推Windows Vista新引入的BitLocker加密，这时候Windows分区的所有内容全部被加密(包括SAM配置单元、EFS密钥)。
BitLocker(TPM1.2)加密可以看成是Windows启动保护器。在系统启动时，TPM芯片会负责分析各个重要的启动组件，以判断自己是否位于原来的计算机环境。如果是的话，就依次释放BitLocker加密所需的密钥链，我们才能顺利地访问Windows，才能访问EFS文件。
如果攻击者企图把硬盘挂接到别的计算机上，系统就会拒绝释放密钥，整个Windows Vista分区处于加密状态。
如果攻击者窃取了计算机，并且窃取了BitLocker所需所有条件(TPM芯片自不必说，假设也获得密钥U盘)。这时候系统能够顺利引导，并且成功释放BitLocker密钥链。但是攻击者还必须想办法知道帐户的密码，否则无法登录系统，Windows分区依然处于加密状态。
EFS额外保护的原理如图4所示。
图4
4．题外话：为什么释放BitLocker密钥以后，Windows分区依然处于加密状态？
所以尽管BitLocker密钥已经释放，但是Windows分区并没有被立即全部解密。否则每次启动，都要解密整个Windows分区，得花多少时间(笔者的Vista分区完全解密，共花3小时)！
原来BitLocker加密是以一个FVE Filter Driver来实现加密和解密，该Filter Driver处于文件系统驱动的下层。登录系统以后，用户需要访问文件时，文件系统会自动请求FVE Filter Driver进行解密，猜想应该是一次解密一个Block，每个Block可能是512字节(和EFS一样)，不敢确定。对于用户来说，这个过程是完全透明的，同时对性能的影响很小，几乎可以忽略不计。EFS加密的情况有点类似。
写在最后
这里非常敬佩国外微软技术爱好者的执着，事实上该作者还有一篇经典的文章(描述SAM配置单元文件的二进制结构)，链接如下，非常值得推荐。
很难想象，要编写这样的文章，得花费多少的人力和时间，要做多少的实验才能在SAM数据库逐个字节地找出其对应的含义！