Вы зашифровали папку с помощью EFS, а потом что-то случилось: переустановка Windows, сброс профиля, случайное удаление или перенос диска на другой компьютер. Теперь файлы восстановлены, но при попытке открыть каждый из них появляется сообщение «Отказано в доступе». Сами данные не повреждены — просто отсутствует закрытый ключ, который позволяет их расшифровать. В этом руководстве объясняется, почему так происходит и как восстановить и расшифровать файлы EFS с помощью RS Partition Recovery.
Содержание
- Почему файлы EFS становятся недоступными: распространённые сценарии
- Подготовка к восстановлению EFS: поиск сертификата
- Как восстановить и расшифровать файлы EFS с помощью RS Partition Recovery
- Что делать, если у вас нет сертификата EFS
Ни одна программа для восстановления данных не может обойти шифрование EFS. RS Partition Recovery позволяет найти и восстановить зашифрованные файлы с удалённого или повреждённого тома NTFS, однако для их расшифровки по-прежнему нужны исходный сертификат и закрытый ключ — либо сертификат агента восстановления данных (Data Recovery Agent) в доменной среде. Если ключ утрачен безвозвратно, восстановленные файлы останутся зашифрованными.
Почему файлы EFS становятся недоступными: распространённые сценарии
EFS связывает каждый зашифрованный файл с сертификатом и закрытым ключом, которые хранятся в профиле определённой учётной записи Windows. Сам файл никуда не перемещается и не меняется. Но если сертификат оказывается не там, где Windows ожидает его найти, файл становится нечитаемым для всех — даже для пользователя, который его зашифровал. На эти шесть ситуаций приходится большинство случаев восстановления данных EFS:
Переустановка или сброс Windows
Чистая установка или «Вернуть компьютер в исходное состояние» создаёт новый профиль пользователя с новым сертификатом. Старый сертификат — единственный ключ, который мог расшифровать файлы, — исчезнет, если заранее не экспортировать его.
Перенос диска на другой компьютер или в другой профиль
Файлы перемещаются, а сертификат — нет. Сертификаты EFS хранятся в профиле пользователя на исходном компьютере, а не на диске с зашифрованными данными.
Сброс пароля администратора
Если сбросить пароль локальной учётной записи с помощью инструмента администратора, а не изменить его самостоятельно, нарушится связь, которую Windows использует для разблокировки главного ключа EFS. При этом войти в учётную запись по-прежнему можно.
Повреждение или удаление профиля пользователя
Повреждение профиля, неудачное обновление или удаление папки профиля могут привести к потере хранилища сертификатов — зачастую без каких-либо предупреждений.
Случайное удаление
Самый простой случай: зашифрованный файл или папка удалены. Сертификат остался цел, но сначала нужно восстановить файл с тома — только после этого имеет смысл заниматься расшифровкой.
Перенос на внешний или съёмный диск
Для EFS нужна файловая система NTFS. При копировании зашифрованных файлов на флеш-накопитель с FAT32 или exFAT шифрование снимается без уведомления либо копирование полностью блокируется. А даже если используется внешний диск с NTFS, проблема с сертификатом всё равно остаётся. Если нужно защитить весь диск, а не отдельные файлы, для съёмных носителей чаще используют BitLocker To Go — для него предусмотрена отдельная процедура восстановления.
Как определить, что файл зашифрован с помощью EFS, а не просто защищён ограничениями доступа:
- В проводнике Windows имя файла отображается зелёным цветом на томе NTFS, где включена поддержка EFS
- При открытии файла появляется сообщение «Отказано в доступе», даже если вы вошли в учётную запись его владельца
- В свойствах файла, в разделе «Дополнительно», установлен флажок «Шифровать содержимое для защиты данных»
- Во время сканирования RS Partition Recovery помечает зашифрованные элементы значком замка, а в окне предварительного просмотра отображается сообщение «File encrypted» вместо содержимого файла
Подготовка к восстановлению EFS: поиск сертификата
Прежде чем запускать программу для восстановления, выясните, есть ли у вас доступ к сертификату EFS: от этого зависит дальнейший порядок действий. Если вы по-прежнему можете войти в учётную запись Windows, из которой шифровали файлы, сертификат уже находится в хранилище сертификатов, и RS Partition Recovery сможет получить его непосредственно из Windows — никаких дополнительных действий не потребуется. Если вы работаете на другом компьютере, из другого профиля или с подключённым образом старого диска, вам понадобится экспортированный сертификат в формате PFX. Он должен быть заранее сохранён, восстановлен из резервной копии или предоставлен агентом восстановления данных домена.
Откройте certmgr.msc (нажмите Win+R, введите команду и нажмите Enter).
Перейдите в раздел Личное → Сертификаты и найдите сертификат, выданный на ваше имя пользователя, с назначением «Шифрованная файловая система» (Encrypting File System).
Щёлкните сертификат правой кнопкой мыши и выберите Все задачи → Экспорт, чтобы запустить мастер экспорта сертификатов.
Выберите Да, экспортировать закрытый ключ, а затем сохраните его в файл .pfx и защитите файл паролем.
Храните файл PFX на другом диске, а не рядом с защищаемыми им файлами. Резервная копия сертификата на том же диске, данные с которого вы пытаетесь восстановить, не поможет, если этот диск выйдет из строя.
Если исходная учётная запись и экспортированный файл PFX недоступны, перейдите к разделу Что делать, если у вас нет сертификата. Восстановление структуры файлов не вернёт доступ к зашифрованному содержимому без одного из этих ключей.
Как восстановить и расшифровать файлы EFS с помощью RS Partition Recovery
Восстановление данных EFS с помощью RS Partition Recovery состоит из двух отдельных этапов: сначала программа восстанавливает структуру файлов на диске, используя тот же процесс сканирования, что и при поиске удалённых или потерянных данных, а затем расшифровывает восстановленные файлы с помощью предоставленного сертификата. Для самого сканирования сертификат не нужен: можно просмотреть результаты и только потом решать, как разблокировать файлы.
Подключите диск и запустите RS Partition Recovery. Выберите том или физический диск, если сам раздел отсутствует, и запустите сканирование. Для недавно удалённых файлов обычно достаточно быстрого сканирования. Если нужные файлы не найдены, выполните полное сканирование.
По завершении сканирования проверьте сводку результатов на наличие уведомления «Encrypted files found», которое подтверждает, что на томе обнаружены элементы, защищённые EFS.
Просмотрите дерево восстановленных файлов. Зашифрованные элементы отмечены значком замка, а удалённые — отдельным маркером в виде красного крестика. У файла могут отображаться оба маркера. При выборе зашифрованного файла вместо миниатюры появится сообщение «File encrypted — Preview is unavailable until the decryption data is added».
Дважды щёлкните зашифрованный файл или нажмите кнопку Add Decryption Data в панели предварительного просмотра, чтобы открыть окно расшифровки. В поле Type выберите Encrypting File System (EFS) certificate (.pfx, .p12).
Выберите способ добавления ключа. Нажмите Import from Windows, если выполняете восстановление под той же учётной записью, с которой изначально шифровали файлы. Дополнительные действия не нужны. В противном случае укажите экспортированный файл .pfx и введите пароль. Отпечаток сертификата заполнится автоматически и подтвердит, что выбран нужный сертификат.
Нажмите Add. Появится сообщение об успешном импорте ключа EFS, а в окне предварительного просмотра вместо заглушки «File encrypted» отобразится содержимое файла.
Теперь сертификат применяется ко всем файлам с соответствующим отпечатком — добавлять его отдельно для каждого файла не нужно. Выберите нужные файлы и сохраните их на другой физический диск, не на тот, с которого выполняется восстановление.
Что следует учитывать при восстановлении:
- Восстановление и расшифровка — независимые процессы. Отсутствие сертификата не мешает сканированию найти и восстановить исходные файлы, но не позволяет прочитать их содержимое
- Функция Import from Windows работает только в том случае, если программа запущена под той же учётной записью Windows и в том же профиле, где хранится исходный сертификат
- Восстановленные файлы сохраняются в расшифрованном виде. Повторно применять EFS не нужно, если только вы не хотите снова зашифровать их
- Никогда не сохраняйте восстановленные файлы на диск или раздел, с которого выполняется восстановление: это может привести к перезаписи данных, которые вы пытаетесь вернуть
Что делать, если у вас нет сертификата EFS
Если исходная учётная запись, экспортированный файл PFX и все резервные копии сертификата утрачены, никакая программа для восстановления данных не сможет расшифровать файлы. Не поможет и криптографический перебор: из-за длины ключей подобрать их практически невозможно. Однако прежде чем признать данные утраченными, стоит проверить ещё один вариант.
Проверьте, есть ли агент восстановления данных (DRA)
В доменной среде администратор мог настроить агента восстановления данных — сертификат, назначенный для расшифровки любых файлов EFS, зашифрованных в соответствии с политикой домена. Для этого не нужен индивидуальный ключ пользователя. Это механизм доменного уровня; на отдельном домашнем компьютере он недоступен, если его не настроили специально. Если компьютер когда-либо подключался к домену, прежде чем считать файлы невосстановимыми, обратитесь к системному администратору или в центр сертификации.
Если агент восстановления данных не настроен, поддерживаемого способа расшифровать файлы EFS без исходного ключа нет. Если сертификат и его резервная копия отсутствуют, а доменный DRA не настроен, расшифровать файлы не получится. При этом структуру файлов всё ещё можно восстановить и сохранить, но их содержимое останется зашифрованным.
