EFS加密文件無(wú)法打開

（二）典型特征：

1.重裝系統(tǒng)后以前加密的文件無(wú)法打開
2.密鑰文件丟失導(dǎo)致加密文件無(wú)法打開

（四）故障原理及恢復(fù)思路

在使用EFS加密一個(gè)NTFS文件時(shí)，系統(tǒng)首先會(huì)生成一個(gè)偽隨機(jī)數(shù)FEK (File Encryption Key，文件加密鑰匙)，然后用FEK加密數(shù)據(jù)并對(duì)文件進(jìn)行原位覆寫。隨后系統(tǒng)利用用戶的公鑰加密FEK，并把加密后的FEK存儲(chǔ)在加密文件的$EFS屬性中。
而在訪問(wèn)被加密的文件時(shí)，系統(tǒng)首先利用當(dāng)前用戶的私鑰解密FEK，然后利用FEK解密出文件。在首次使用EFS時(shí)，如果用戶還沒(méi)有公鑰/私鑰時(shí)（統(tǒng)稱為密鑰），則會(huì)首先生成密鑰，然后加密數(shù)據(jù)。如果用戶登錄到了域環(huán)境中，密鑰的生成依賴于域控制器，否則它就依賴于本地機(jī)器。
用戶私鑰是解密EFS文件的關(guān)鍵，私鑰保存于Windows分區(qū)的Documents and Settings\%UserName%\Application Data\Microsoft\Crypto\RSA\%UserSID% （用戶的SID為安全標(biāo)識(shí)符，相當(dāng)于用戶的身份證號(hào)碼，當(dāng)創(chuàng)建一個(gè)帳號(hào)時(shí)，系統(tǒng)為其分配一個(gè)唯一的SID編號(hào)）。
為了保護(hù)私鑰，Windows用主密鑰對(duì)私鑰進(jìn)行加密，主密鑰位于Windows分區(qū)的Documents and Settings\%UserName%\Application Data\Microsoft\Protect\%UserSID%，然后再用用戶密碼生成的密鑰對(duì)主密鑰進(jìn)行加密。
這樣就形成了“用戶密碼－>主密鑰－>私鑰－>FEK－>EFS加密文件”加密鏈。所以如果想完整地獲得EFS加密數(shù)據(jù)，那么必須得到用戶密碼、主密鑰和私鑰。

（五）恢復(fù)流程

1.檢測(cè)流程：
（1）查看現(xiàn)有系統(tǒng)占用空間；
（2）查看現(xiàn)在有mft文件目錄數(shù)占用空間。                       
2.實(shí)施流程：
（1）查找或重組加密FEK的私鑰;
（2）查找可重組加密私鑰的主密鑰；
（3）根據(jù)用戶提拱的用戶密碼進(jìn)行校驗(yàn)匹配，解密用戶文件；
（4）對(duì)解密出來(lái)的文件進(jìn)行邏輯分析和校驗(yàn)，遷移出用戶所需數(shù)據(jù)。
3.驗(yàn)收流程：                                                             
（1）對(duì)已遷移出來(lái)的所有數(shù)據(jù)做屬性統(tǒng)計(jì)，從文件數(shù)量和容量等方面確保用戶所需數(shù)據(jù)已全部遷移成功；
（2）對(duì)已遷移出來(lái)的所有數(shù)據(jù)做完整性驗(yàn)證，確保文件在目錄結(jié)構(gòu)及底層邏輯等方面正確無(wú)誤；
（3）對(duì)用戶指定的關(guān)鍵數(shù)據(jù)文件進(jìn)行針對(duì)性校驗(yàn)，確保用戶關(guān)鍵數(shù)據(jù)成功恢復(fù)。

（六）恢復(fù)的可靠性分析及時(shí)間預(yù)估：

  在大多數(shù)案例中此類故障主要是重裝系統(tǒng)導(dǎo)致密鑰丟失造成的，由于重裝系統(tǒng)將寫入大量文件到系統(tǒng)分區(qū)，密鑰被覆蓋的幾率相對(duì)較高，這也是導(dǎo)致此類故障恢復(fù)成功率較低的重要原因，一般此類故障成功率在50%左右，通常所需時(shí)間為1-3個(gè)工作日。