Posted By: snake (Keeping on the sunny side) on 'CZprogram'
Title:     Re: Malicko off topic (EFS)
Date:      Wed Jun 16 06:53:22 2004

No ono je to trosku slozitejsi. Je to klasicka asymetricko/symetricka 
kryptografie. Symetricky klic, kterym je zasifrovan soubor (mam pocit, ze bud 
nejaky triple DES nebo AES, zavisi na verzi windows, v kazdem pripade jde o 
64bitovou hloubku az 256bitovou v zavislosti na  verzi a nastavenich). 
Asymetrickym klicem je ulozen ten symetricky na zacatku souboru, takze neni 
problem zasifrovat ten symetricky klic i verejnou casti asymetrickeho klice 
nekoho jineho - a tim mu umoznit pristup. Vse je transparentne na urovni 
souboroveho systemu, pri normalnim pristupu se program dostava na 
odkryptovana data, pokud uzivatel ma sanci zjistit pomoci sveho privatniho 
klice ten symetricky (resp. pomoci sveho user hesla master key a pomoci nej 
ten symetricky). Pokud sanci nema, hodi mu to nejaky typ denialu of access. V 
NTFS je videt puvodni delka souboru, prestoze ve skutecnosti zabira vice - 
prave o ten zacatek, kde jsou informace o klicich (resp. v NTFS jsou obe 
delky, ale pri kliknuti na properties souboru se Ti ukazuje ta kratsi). Kazdy 
soubor ma vygenerovany vlastni symetricky klic, vsechny Tve soubory ale ten 
symetricky klic maji zasifrovany Tvym jedinym konkretnim asymetrickym klicem.

Pokud bys nekoho "pridaval do prav" (uvozovky jsou tu opravnene), prida se 
jen "kus te informace na zacatku souboru", cely soubor se nepresifrovava, 
takze uprava prav je daleko rychlejsi (dulezite hlavne u souboru o velikosti 
GB apod.).

Tvuj asymetricky klic, resp. jeho privatni cast, resp. vsechny, ktere mas 
(ale pro ucely EFS, encrypted file systemu, ho mas nejspis jen jeden) - je 
ulozen nekde v nastavenich, kombinace registru a souboru (ale on registr je 
take jen soubor) v "Documents and settings". Jsou samozrejme zakodovany Tvym 
prihlasovacim heslem, takze zmenis-li si ho, akorat se prekoduje ta cast, 
ktera chrani Tvuj asymetrickou cast verejneho klice. Cili neni v tom problem. 
Pokud mas nejake neprazdne heslo, a smazes si ho pres administratora, o 
vsechna data, ktera byla zakodovana, prijdes, protoze se k nim samozrejme 
nedostanes (nedostanes se ke klici). Je to popsane na M$ knowledge base, ale 
myslim, ze to stejne neni pro Tve ucely podstatne. Ten hlavni klic (master 
key) sam je samozrejme sifrovany, nepamatuji si cim, ale myslim, ze konkretni 
symetrickou sifrou s klicem v podobe hashe Tveho prihlasovaciho hesla. I to 
se da ale lehce najit na knowledge base.

Problemy: obecne se moc neveri implementaci verejne kryptografie Microsoftu. 
Dejme tomu, ze bych tohle jeste zkousl. Dale je v siti system nastavitelny, 
aby fungovali tzv. "recovery agenti", tj. uzivatele se specialnimi 
opravnenimi, kteri maji byt schopni zazalohovat Tva data a obnovit je. Jejich 
public key je v kazdem souboru, takze ten,  kdo zna heslo k takovemu recovery 
agentovi, obnovi vsechny soubory bez znalosti Tveho hesla. Nicmene jestli to 
je pripad Tveho systemu, to se dozvis, pokud si kliknes na properties. 
Neprisel jsem na to, jak pod user rights takovou vec zrusit, myslim, ze to 
nejde (ehm, samozrejme je pro to duvod). 

Dalsi problemy jsou ale daleko vaznejsi: opravdu tam jsou, kdyz ne diry, tak 
alespon "sporne body". Mne osobne napr. vytocilo, kdyz jsem si dal vypis 
souboru, ze systemove soubory se nekrypti. Mam adresar s obrazkama, xpcka mi 
k nim udelaji samy bez ptani nahledy, a ty nahledy jsou nezakryptene, 
prestoze adresar ma nastaven flag na krypteni. Dalsi problem je pri presunu 
souboru (ne kopirovani): pokud je soubor na stejnem svazku, pouze se presune 
do noveho adresare - takze se nezakryptuje. Tohle muze nekoho uz vylozene 
rozzurit. Pro mne osobne bylo velice tezke najit prikaz, ktery by mi rekl, 
ktere soubory na disku zakryptene nemam - abys to nemusel hledat, napisu ho 
sem "cipher /h /s:. | grep '^.U '". Nicmene porad kontrolovat, jestli je 
vsechno zakodovane je problem. Take mne neuveritelne prudi, ze kdyz si 
propojim dve PC, tak na soubory neuvidim, a to ani presto, ze si manualne 
naimportuji privatni klic pouzivany uzivatelem na druhem pocitaci pro EFS. 
Jak tohle obejit, to netusim (krome instalace windowsiho serveru na jeden z 
tech pocitacu) - a vytaci mne to opravdu hodne. Posledni vec, ktera Te muze 
take prudit, je, ze jmena souboru uvidi kazdy i kdyz nezna vubec zadne heslo. 
Staci jen mit pristup na urovni file rights. A ono uz jen ze jmen souboru se 
da zjistit hodne (minimalne, jestli to bude stat za namahu)

Moje otazky do fora tedy zni:
- vite jak obejit neco z toho, co jsem tu jmenoval? tj. konkretne:
-- donutit Winy, aby kryptily i systemove soubory
-- aby umoznily prohlizeni z jineho pocitace bez instalace serveru
- pripadne nabidnout nejakou alternativu, ktera bude dostatecne bezpecna a 
hlavne zdarma; idealni byl sveho casu PGPdisk, ten je ale pro XPcka vicemene 
nepouzitelny; dam prednost sifrovani na urovni disku

snake
 

> Zdar,
>  potreboval bych vedet, jak moc vazne je mozne brat krypteni dat v win XP a 
> co by se napr. stalo, kdybych tomu rekl, at mi zakryptuje adresar WinNT
> apod.
> 
> Zatim jsem si s tim hral jen trosku a jsem docela prekvapen, ze mi to klidne
> 
> necha zmenit heslo a po opetovnem prihlaseni mam porad k datum pristup - kde
> 
> je ten klic schovanej? Predpokladam, ze nekde v homedir uzivatele, ale nevim
> 
> to jiste. Co se stane, kdyz by si ten klic nekdo nakopiroval k sobe do home?
> 
> Doufam, ze to nejde...
>  M$ ve svych materialech neco urcite ma, ale zatim jsem nasel jen reklamni 
> kecy, jakoze kdyz mi nekdo slohne pocitac se zakryptenyma datama, tak se k
> nim 
> nedostane... 
> 
>  Neni to moc o programovani, ale lepsi board me nenapadl.
> -
> Clovek je nejpomalejsi zname zarizeni typu I/O.
>                                                                  Quasimodo

Search the boards