Как расшифровать файлы EFS
/r и именем файла создает пару ключей. Результат: файл с открытым ключом (.cer) и файл .pfx, который содержит закрытый ключ и защищен паролем.Содержание лекции: Как расшифровать файлы EFS
Расшифровка лекции: Как расшифровать файлы EFS
Полный текст первых минут лекции «Как расшифровать файлы EFS» из видеокурса PracticU – субтитры с временной меткой для каждого абзаца. Так можно прочитать и найти нужные темы ещё до начала обучения.
Добро пожаловать на лекцию про аварийное восстановление EFS файлов, про Data Recovery Agent. На этой лекции мы поймем, что такое сертификаты, что такое групполис, и как восстанавливаются файлы в аварийном режиме, если простой пользователь случайно сам себя заблокировал.
Давайте начнем с того, что поймем, что Data Recovery Agent это политика фирмы. То есть фирма решает, что даже если юзер делает зеленые зашифрованные файлы на жестком диске, Нам нужна возможность их восстановить, чтобы администратор мог их восстановить в аварийном режиме.
То есть, если мы там обнулили человеку пароль, чтобы не вся информация полетела. Если есть такая политика внутри фирмы, то мы на конкретном компьютере должны дать техническое решение этой проблеме.
То есть, нам надо создать сертификат дигитальный, с помощью которого можно будет восстанавливать файлы, восстанавливать зашифрованные файлы.
Это называется Data Recovery Agent. То есть человек шифрует свои файлы дигитальным сертификатом, а мы должны уметь их восстанавливать.
Начнем с того, что мы откроем CMD, CMD, командную строку, теперь это PowerShell, и создадим сертификат для восстановления. Это можно сделать с помощью специального экзешника, специальной программки, которую Microsoft включили в Windows.
Это не команда, это экзешник, это программка, которая называется cypher.exe. Я специально это подчеркиваю, потому что многие думают, что это команда.
Это не команда, это простая программка, которая работает в командной строке. И этот cypher.exe, он находится в папке cwindowsystem32. Мы можем писать полный путь, а можем писать только cypher, потому что он умеет его искать в этой папке.
Она находится в тех путях, которые он ищет, поэтому можно писать cypher.exe. Кстати, что такое CypherExe? Давайте посмотрим, что пишет его Help.
Что это инструмент, это программа для того, чтобы показывать или изменять инкрипшн, шифрование файлов или папок на NTFS. Что такое NTFS? Это как раз наша файловая система.
То есть этот инструмент в принципе делает в командной строке то, что мы делали в графическом интерфейсе. То, что мы нажимали клик, там зашифровать, расшифровать, это все делается так же можно через командную строку.
Для чего это надо? Например, я хочу что-то сделать автоматически ночью всем пользователям или при входе Windows. То есть я хочу запускать автоматические команды, которые что-то делают.
Для этого мне нужен этот инструмент, который делает все через командную строку. И еще многие вещи в графическом интерфейсе недоступны, потому что рисовать все варианты очень сложно.
Поэтому графические интерфейсы обычно намного ограниченнее, чем командная строка. потому что в командной строке просто не надо столько сил и времени программистов терять на создании всех окошек.
То есть у нас есть этот Cypher.exe, который умеет создавать, в частности, EFS Recovery Key, то есть создавать ключи для восстановления.
Вот в графическом интерфейсе это существует только на сервере, а в десятке этого нет. Поэтому в Windows 10 без сервера нам придется использовать командную строку.
И мы делаем вот этот вот cipher.exe.r и говорим ему, создай нам ключи для аварийного восстановления, создай нам дигитальный сертификат для восстановления, который, кстати, этот экзешник запишет этот сертификат в pfx.
pfx это файл, в котором есть и публичный ключ, и мой тайный ключ, и он зашифрован паролем. Мы это сейчас все увидим. Давайте начнем с того, что мы создадим этот ключ.
Мы пишем cypher.exe и даем имя файлу, какой файл мы хотим. Вот я написал cypher, сделай мне recovery ключ под таким именем. Он у меня запрашивает пароль на pfx.
Пароль на тот случай, если я открою этот файл, и у меня он потребует этот пароль. То есть этот пароль защищает мой приватный ключ. У меня есть в сертификате два ключа.
публичный ключ, который я всем раздаю, есть приватный ключ. Вот мой приватный ключ защищен этим паролем. Заметьте, еще раз, у меня есть два ключа. Видите, два файла. Один публичный, левый публичный файл. То есть я его всем могу раздать. Это то, что веб-сайт публикует.
Это публичный ключ. А у него есть его братик, который может расшифровать все, что тот зашифрует, и он называется приватный ключ. И этот приватный ключ - это второй файл. То есть у меня есть два файла. В одном только публичный ключ, во втором и публичный ключ и приватный ключ.
Вот этот вот второй файл как раз и защищен паролем, чтобы у меня, если его украдут, не смогли его использовать. То есть сам этот файл зашифрован паролем, который только находится у меня в голове, я его только что вписал и только я знаю этот пароль. Даже если вы у меня украдете этот файл, вам это не поможет, потому что сам файл
зашифрован этим паролем. Но если вы угадаете мой пароль, то вы сможете получить приватный ключ и расшифровывать все, что зашифрует публичный ключ. И вот эта вот парочка, они всегда идут в парочке ключи, публичный и приватный.
Давайте сделаем еще одну парочку, чтобы вы поняли, что эти ключи, они идут всегда в паре, они всегда разные. Я хочу вам это подчеркнуть, только дайте мне вам показать extension, file name extension, окончание файлов, чтобы вы увидели, что это pfx. pfx - это формат, который включает
в себя шифрование и приватный ключ, а не приватный ключ, то есть только публичный ключ, называется сертификат, у него окончание SER. И этот pfx - это разные форматы, как сохранять ключи. Мы сейчас зайдем внутрь сертификата и посмотрим, что там есть внутри. Самое
главное понимать, что есть файл SER, сертификат только с публичным ключом, есть файл pfx и с публичным и с приватным ключом и этот file prefix зашифрован паролем, чтобы нельзя было своровать мой приватный ключ.
Эти приватные ключи - это то, что находится, например, в банках, когда вставляется карточка, знаете, дайте карточку директора называется, провести карточку директора - это как раз есть и приватный ключ там находится. То есть эта система очень важная, на ней вся security обоснована,
вся система безопасности обоснована на том, что все шифруется ключами, а приватный ключ шифруется паролем, который только у меня в голове.
Если мы откроем сейчас вот этот сэр, сертификат, мы можем увидеть этот ключ. Вот он, в details. Видите, в details я пошел в паблики и вот мой ключик, публичный ключик. Все, кто зашифрует мне информацию этим публичным ключиком, только я своим
приватным ключиком смогу его расшифровать. Этот публичный ключик в этом случае длиной 2048 битов. Чем длиннее ключ, тем сложнее его взломать.
В принципе, 2048 битов вам надо несколько столетий, чтобы его взломать, поэтому это довольно длинный ключ. Что такое слабый ключ? Слабый ключ - это, не знаю, там 50 бит, 50 или 40 бит. Это слабые ключи, которые можно взломать. Это количество вариантов, которые надо
подобрать математически и найти мой приватный ключ. Так, это мой публичный ключ. Я вам его показал. Можете посылать мне информацию, зашифрованным этим ключом.
Давайте создадим еще один сертификат. Я хочу вам показать, что эти сертификаты, они идут всегда в паре. Публичный и приватный ключ. И они всегда разные. То есть все идет в паре и каждая из пар разная.
Это очень важно подчеркнуть, потому что вначале всегда ученики путаются. Видите, у этого свой публичный ключ, например, а у первого сертификата другой публичный ключ, то есть всегда они идут в паре публичный и приватный, и каждая пара она уникальная, и каждому публичному ключу
подходит только один приватный ключ. Вот, например, видите, этот ключ заканчивается на 767d, а этот на 994e, просто я взял показать вам, что они разные. То есть, да, оба называются публичный ключ, но каждый из ключей разный. И каждому публичному ключу полагается
свой приватный ключ. Вот, видите, и в начале тоже можно посмотреть. Даже если несколько цифр в начале одинаковые, это ничего не значит. Смотрите на вторую строку. Все, мы поняли. У нас две пары ключей. И эти ключи, они не просто ключи. У них есть
свой сериальный номер, у них есть вот свой уникальный публичный ключ, у них есть дата, с какой даты до какой они валидные.
То есть у каждого ключа есть дата, когда его надо заменить, например, этот ключ начинается с 21 июня 2020, и он валидный до 21.20, то есть он на 100 лет.
Это довольно долго, то есть меня заставляют через 100 лет прийти и заменить этот ключ на новый. Для чего? Для того, чтобы если кто-то смог расшифровать мой приватный ключ, я уже начну пользоваться другой парой ключей.
Из-за того, что все-таки можно это хоть как-то расшифровать теоретически, мы меняем сами ключи, мы меняем замки. Кроме того, что у нас есть сам public key, у нас еще есть предназначение ключа.
То есть то, что у нас есть ключ, это не значит, что я могу им делать все, что я хочу. У меня есть предназначение. Кстати, ключи между собой определяются там принтом, отпечатком пальца.
Это номер уникальный для каждого ключа. И вот этот вот idHandanceKeyUsage, использование ключа, это как операционка может использовать этот ключ.
Она может его использовать только для файла recovery, чтобы человек, которому дали право восстанавливать файл и не пошел с этим ключом делать другие действия.
Например, логин в систему можно сделать с помощью ключей или отправить письмо с помощью этого ключа. То есть подписать. Дигитальная подпись есть и на ключах, и на файлах, и на логине, и на всем.
Вход в Windows можно сделать с помощью ключей. У ключей есть очень много возможностей, чего с ним делается, и мы не хотим, чтобы пользователь злоупотреблял ключами, и у нас есть внутри ключа прописано, что им разрешено делать.
Поэтому, например, этим ключом вы не сможете послать email и подписаться дигитально, письмо или PDF-файл подписать дигитально.
Так, теперь нам надо взять эти ключи и сказать системе использовать их как Data Recovery Agent. Да, мы создали сертификаты, мы их создали, но надо их прописать внутрь системы.