EFS加密文件無法打開

（二）典型特征：

1.重裝系統后以前加密的文件無法打開
2.密鑰文件丟失導致加密文件無法打開

（四）故障原理及恢復思路

在使用EFS加密一個NTFS文件時，系統首先會生成一個偽隨機數FEK (File Encryption Key，文件加密鑰匙)，然后用FEK加密數據并對文件進行原位覆寫。隨后系統利用用戶的公鑰加密FEK，并把加密后的FEK存儲在加密文件的$EFS屬性中。
而在訪問被加密的文件時，系統首先利用當前用戶的私鑰解密FEK，然后利用FEK解密出文件。在首次使用EFS時，如果用戶還沒有公鑰/私鑰時（統稱為密鑰），則會首先生成密鑰，然后加密數據。如果用戶登錄到了域環境中，密鑰的生成依賴于域控制器，否則它就依賴于本地機器。
用戶私鑰是解密EFS文件的關鍵，私鑰保存于Windows分區的Documents and Settings\%UserName%\Application Data\Microsoft\Crypto\RSA\%UserSID% （用戶的SID為安全標識符，相當于用戶的身份證號碼，當創建一個帳號時，系統為其分配一個唯一的SID編號）。
為了保護私鑰，Windows用主密鑰對私鑰進行加密，主密鑰位于Windows分區的Documents and Settings\%UserName%\Application Data\Microsoft\Protect\%UserSID%，然后再用用戶密碼生成的密鑰對主密鑰進行加密。
這樣就形成了“用戶密碼－>主密鑰－>私鑰－>FEK－>EFS加密文件”加密鏈。所以如果想完整地獲得EFS加密數據，那么必須得到用戶密碼、主密鑰和私鑰。

（五）恢復流程

1.檢測流程：
（1）查看現有系統占用空間；
（2）查看現在有mft文件目錄數占用空間。                       
2.實施流程：
（1）查找或重組加密FEK的私鑰;
（2）查找可重組加密私鑰的主密鑰；
（3）根據用戶提拱的用戶密碼進行校驗匹配，解密用戶文件；
（4）對解密出來的文件進行邏輯分析和校驗，遷移出用戶所需數據。
3.驗收流程：                                                             
（1）對已遷移出來的所有數據做屬性統計，從文件數量和容量等方面確保用戶所需數據已全部遷移成功；
（2）對已遷移出來的所有數據做完整性驗證，確保文件在目錄結構及底層邏輯等方面正確無誤；
（3）對用戶指定的關鍵數據文件進行針對性校驗，確保用戶關鍵數據成功恢復。

（六）恢復的可靠性分析及時間預估：

  在大多數案例中此類故障主要是重裝系統導致密鑰丟失造成的，由于重裝系統將寫入大量文件到系統分區，密鑰被覆蓋的幾率相對較高，這也是導致此類故障恢復成功率較低的重要原因，一般此類故障成功率在50%左右，通常所需時間為1-3個工作日。