EFS – alles Safe?

Jeder der im administrativen Bereich tätig ist, hat wohl schon einmal mit EFS experimentiert oder zumindest davon schon einmal gehört. Viele haben bestimmt auch schon die eine oder andere Datei mit der Hilfe von EFS verschlüsselt. Aber sind diese Dateien immer zu 100 Prozent sicher vor den Augen Dritter, oder können sich diese doch auf die eine oder andere Weise Zugang zu vertraulichen Informationen verschaffen?

Wenn man mit EFS einzelne Dateien verschlüsselt, dann wird während des Verschlüsselungsvorgangs eine temporäre Klartextdatei in das „Temp“-Verzeichnis des Betriebssystems gelegt. Nachdem die Datei verschlüsselt wurde, wird diese temporäre Datei gelöscht. Jetzt kommt die Performanceoptimierung des NTFS-Dateisystems zum Tragen: Dateien, die unter NTFS gelöscht werden, bleiben auf der Festplatte liegen, und nur die Sektoren, die diese Datei belegt, werden freigegeben und können somit überschrieben werden. Solange aber diese freigegebenen Sektoren nicht vom Betriebssystem überschrieben werden, können die Dateien mit einem Diskeditor wie z.B. Diskprobe oder Acronis DiskEditor eingesehen werden. Dadurch kann ein Angreifer an wichtige Firmeninterna gelangen.

Wie kann man sich davor schützen?

Es gibt dafür drei Möglichkeiten. Die erste Methode wäre das Nutzen des Tools „cipher“. Das Tool „cipher“ bietet einen Schalter „/w“, mit dem man solche Sektoren überschreiben kann, und damit würden diese Fragmente auf der Festplatte entfernt. Leider hat diese Methode einen Nachteil: Sie ist sehr zeitaufwendig.

Die wesentlich bessere Methode wäre hier, einen verschlüsselten Ordner anzulegen. Wenn man einen Ordner verschlüsselt und in diesem dann neue Dateien erzeugt, dann tritt der Effekt mit den Klartextdateien nicht auf, und man kann sicher sein, dass keine unverschlüsselten Dateien auf der Festplatte vorhanden sind. Eventuell könnte aber hier noch z.B. die Auslagerungsdatei (pagefile.sys) ein Sicherheitsrisiko darstellen.

Als dritte Möglichkeit kommt noch das Warten auf Windows Vista in Betracht, denn das soll „Full Volume Encryption“ bieten und somit die gesamte Festplatte verschlüsseln können.