Ви зашифрували папку за допомогою EFS, а потім щось сталося: перевстановлення Windows, скидання профілю, випадкове видалення або перенесення диска на інший ПК. Тепер файли відновлено, але під час спроби відкрити кожен із них з’являється повідомлення «Доступ заборонено». Самі дані не пошкоджені — просто бракує закритого ключа, який їх розшифровує. У цьому посібнику пояснюється, чому так трапляється та як відновити й розшифрувати файли EFS за допомогою RS Partition Recovery.
Зміст
- Чому файли EFS стають недоступними: типові сценарії відновлення
- Підготовка до відновлення EFS: пошук сертифіката
- Як відновити й розшифрувати файли EFS за допомогою RS Partition Recovery
- Що робити, якщо у вас немає сертифіката EFS
Жодна програма для відновлення даних не може обійти шифрування EFS. RS Partition Recovery може знайти й відновити зашифровані файли з видаленого або пошкодженого тому NTFS, але для їх розшифрування все одно потрібні початковий сертифікат і закритий ключ або, у доменному середовищі, сертифікат агента відновлення даних. Якщо цей ключ безповоротно втрачено, відновлені файли залишаться зашифрованими.
Чому файли EFS стають недоступними: типові сценарії відновлення
EFS прив’язує кожен зашифрований файл до сертифіката й закритого ключа, що зберігаються в профілі певного користувача Windows. Сам файл не переміщується й не змінюється, але щойно сертифікат зникає з місця, де Windows очікує його знайти, файл стає нечитабельним для всіх, зокрема й для користувача, який його зашифрував. Більшість випадків відновлення даних EFS пов’язані з однією із шести ситуацій:
Перевстановлення або скидання Windows
Чисте встановлення або скидання цього ПК створює новий профіль користувача з новим сертифікатом. Старий сертифікат — єдиний ключ, здатний розшифрувати ваші файли, — зникає, якщо ви заздалегідь не експортували його.
Перенесення диска на інший ПК або в інший профіль
Файли переміщуються, а сертифікат — ні. Сертифікати EFS зберігаються в профілі користувача на початковому комп’ютері, а не на диску із зашифрованими даними.
Скидання пароля адміністратора
Якщо пароль локального облікового запису скинути за допомогою засобу адміністратора, а не змінити самостійно, порушується зв’язок, який Windows використовує для розблокування головного ключа EFS, — навіть якщо в обліковий запис і далі вдається ввійти.
Пошкодження або видалення профілю користувача
Пошкодження профілю, невдале оновлення або видалення папки профілю можуть призвести до втрати сховища сертифікатів — часто без жодного попередження.
Випадкове видалення
Найпростіший сценарій: зашифрований файл або папку видалено. Сертифікат цілий, але спершу потрібно відновити файл із тому — лише після цього має сенс говорити про розшифрування.
Перенесення на зовнішній або знімний диск
Для роботи EFS потрібна файлова система NTFS. Під час копіювання зашифрованих файлів на флеш-накопичувач із FAT32 або exFAT шифрування непомітно знімається або копіювання взагалі блокується. Навіть якщо використовується зовнішній диск NTFS, проблема із сертифікатом залишається. Якщо потрібно захистити весь диск, а не окремі файли, для знімних носіїв частіше використовують BitLocker To Go, який має окрему процедуру відновлення.
Як визначити, що файл зашифровано за допомогою EFS, а не просто обмежено доступ до нього:
- У Провіднику Windows назва файлу на томі NTFS із підтримкою EFS відображається зеленим кольором
- Під час відкриття файлу з’являється повідомлення «Доступ заборонено», навіть якщо ви ввійшли в обліковий запис, якому він належить
- У властивостях файлу → «Додатково» встановлено прапорець «Шифрувати вміст для захисту даних»
- Під час сканування RS Partition Recovery позначає зашифровані елементи значком замка, а в попередньому перегляді замість вмісту з’являється повідомлення «Файл зашифровано»
Підготовка до відновлення EFS: пошук сертифіката
Перш ніж запускати програму для відновлення, з’ясуйте, чи маєте ви доступ до сертифіката EFS: від цього залежить подальший спосіб відновлення. Якщо ви й досі можете ввійти в обліковий запис Windows, за допомогою якого зашифрували файли, сертифікат уже є у вашому сховищі сертифікатів, і RS Partition Recovery зможе отримати його безпосередньо з Windows — жодних додаткових дій не потрібно. Якщо ви працюєте з іншого комп’ютера, іншого профілю або змонтованого образу старого диска, знадобиться експортований сертифікат у форматі PFX: його потрібно було створити заздалегідь, відновити з резервної копії або отримати від доменного агента відновлення даних.
Відкрийте certmgr.msc (натисніть Win+R, введіть команду й натисніть Enter).
Перейдіть до розділу Особисте → Сертифікати та знайдіть сертифікат, виданий на ваше ім’я користувача, із призначенням «Шифрування файлової системи».
Клацніть сертифікат правою кнопкою миші й виберіть Усі завдання → Експорт, щоб запустити майстер експорту сертифікатів.
Виберіть Так, експортувати закритий ключ, а потім збережіть його у файлі .pfx, захищеному паролем.
Збережіть файл PFX на іншому диску, а не на тому, який він захищає. Резервна копія сертифіката на диску, який ви намагаєтеся відновити, не допоможе, якщо цей диск вийде з ладу.
Якщо у вас немає доступу ні до початкового облікового запису, ні до експортованого файлу PFX, перейдіть до розділу Що робити, якщо у вас немає сертифіката. Відновлення структури файлів не поверне доступ до зашифрованого вмісту без одного з цих варіантів.
Як відновити й розшифрувати файли EFS за допомогою RS Partition Recovery
RS Partition Recovery виконує відновлення EFS у два окремі етапи: спочатку відновлює структуру файлів на диску, використовуючи той самий процес сканування, що й для будь-яких видалених або втрачених даних, а потім розшифровує відновлені файли за допомогою наданого сертифіката. Для самого сканування сертифікат не потрібен: ви можете просканувати диск і переглянути результати, перш ніж вирішувати, як розблокувати файли.
Під’єднайте диск і запустіть RS Partition Recovery. Виберіть том або фізичний диск, якщо сам розділ відсутній, і запустіть сканування. Для нещодавно видалених файлів зазвичай достатньо швидкого сканування. Якщо потрібних файлів не знайдено, запустіть повне сканування.
Після завершення сканування перевірте, чи є в підсумку результатів повідомлення «Знайдено зашифровані файли». Воно підтверджує, що на томі виявлено файли, захищені EFS.
Перегляньте дерево відновлених файлів. Зашифровані елементи позначено значком замка, а видалені — окремим значком червоного хрестика; файл може мати обидві позначки. Якщо вибрати зашифрований файл, замість мініатюри з’явиться повідомлення «Файл зашифровано — попередній перегляд недоступний, доки не буде додано дані для розшифрування».
Двічі клацніть зашифрований файл або натисніть кнопку «Додати дані для розшифрування» на панелі попереднього перегляду, щоб відкрити діалогове вікно розшифрування. У полі «Тип» виберіть «Сертифікат шифрування файлової системи (EFS) (.pfx, .p12)».
Виберіть спосіб надання ключа. Натисніть «Імпортувати з Windows», якщо відновлення виконується під тим самим обліковим записом Windows, за допомогою якого було зашифровано файли. Додаткові дані вводити не потрібно. В іншому разі вкажіть шлях до експортованого файлу .pfx і введіть пароль. Відбиток сертифіката заповниться автоматично, підтверджуючи, що вибрано потрібний сертифікат.
Натисніть «Додати». З’явиться повідомлення про успішний імпорт ключа EFS, а в області попереднього перегляду замість повідомлення «Файл зашифровано» відобразиться вміст файлу.
Тепер цей сертифікат застосовується до всіх файлів із відповідним відбитком, тож повторювати ці дії для кожного файлу не потрібно. Виберіть потрібні файли й збережіть їх на інший фізичний диск, а не на диск, який відновлюєте.
Примітки щодо цього процесу:
- Відновлення та розшифрування — незалежні процеси. Відсутність сертифіката не заважає скануванню знаходити й відновлювати файли, а лише блокує доступ до їхнього вмісту
- Функція «Імпортувати з Windows» працює лише тоді, коли програма запущена під тим самим обліковим записом і профілем Windows, у якому зберігається початковий сертифікат
- Відновлені файли зберігаються в розшифрованому вигляді. Повторно застосовувати до них EFS не потрібно, якщо тільки ви цього не бажаєте
- Ніколи не зберігайте відновлені файли на диску або розділі, який відновлюєте: так можна перезаписати дані, які ви намагаєтеся повернути
Що робити, якщо у вас немає сертифіката EFS
Якщо початковий обліковий запис, експортований файл PFX і всі резервні копії сертифіката втрачено, розшифрувати файли не зможе ні програма для відновлення, ні перебір ключів. Через довжину ключів криптографічний перебір практично неможливий. Однак перед тим, як відмовитися від цих даних, варто перевірити ще один варіант.
Перевірте, чи є агент відновлення даних (DRA)
У доменному середовищі адміністратор міг налаштувати агента відновлення даних — спеціальний сертифікат, за допомогою якого можна розшифрувати будь-який файл EFS, зашифрований відповідно до політики домену, незалежно від особистого ключа користувача. Це механізм рівня домену, недоступний на звичайному домашньому ПК, якщо його не налаштували окремо. Якщо комп’ютер колись входив до домену, перш ніж вважати файли невідновними, зверніться до системного адміністратора або центру сертифікації.
Якщо агента відновлення даних немає, розшифрувати файли EFS без початкового ключа неможливо. Вважайте ситуацію «немає сертифіката, резервної копії та доменного DRA» безвихідною саме щодо розшифрування: структуру файлів усе ще можна відновити й зберегти, але їхній вміст залишиться зашифрованим.
