De keys waarmee gewerkt worden staan in de registry. Als je het local admin wachtwoord kan achterhalen (waar heel veel mogenlijkheden voor zijn) is het heel simpel om de profile waar de keys in staan te gebruiken voor andere doeleinden. Zoals het copieren van de profile naar een andere user en hiermee kun je dus de EFS files openen en inzien.

Dit is maar een van de truukjes om EFS onderuit te halen.

Zolang EFS niet kan werken met smartcards of andere hardware tokens is EFS voor mij NIET VEILIG.

of EFS veilig is ligt aan de implementatie. Op het moment dat je het op een locale computer installeerd is het inderdaad onveilig. Maak je echter gebruik van Active Directory, dan wordt de Administrator key niet locaal op het systeem geinstalleerd. Dit is dus de manier om het te implementeren.

Wat betreft smartcard ondersteuning. Deze wordt dus wel via de MSCAPI ondersteund. Het enige nadeel is dat je alleen maar gebruik kan maken van certificaten uitgegeven door de Windows 2000 CA.

Overigens is de EFS oplossing geevalueerd volgens het CC EAL 4 certificeringsschema. Dit zou dus voldoende garanties moeten geven over de betrouwbaarheid van windows EFS.

Weliswaar Win2k en geen XP of .net, toch leuk.

>From the Independant on the computer found by the Wall
Street Journal in Afghanistan:
_____________________________________________

http://www.chiark.greenend.org.uk/pipermail/ukcrypto/2002-January/018321.html

How they cracked the terrorists' code

Getting to the heart of the documents contained in the
al-Qa'ida computer _ bought by chance by the Wall
Street Journal's reporter in Kabul _ meant cracking
the encryption of Microsoft's Windows 2000 operating
system installed on the machine, which had been used
to protect the data.

That is not a trivial task. Microsoft will only say
that if you lose the password that controls entry to a
Windows 2000 system, your best option is to remember
it _ or simply to wipe the machine and start again.
And its Encrypting File System (EFS), which had been
used to encode the files, is just as strong.

But the files were too valuable for that. Instead, the
team embarked on the task of breaking through the
encryption, which jumbles the contents of the files so
that even someone reading the individual bytes of data
stored on the actual hard disk (rather than trying to
access them through the operating system, which had
locked them out) would simply find rubbish.

Cracking the encryption meant finding the digital
"key" that had previously been used to unlock it. That
was not stored in any readable file on the machine,
for it was itself encrypted.

The only way to reproduce it was to generate the key
from first principles: by trying various combinations
of random bits and trying to decrypt the file with
them, and seeing if it produced sense _ or gibberish.

Luckily, the PC had a version of Windows 2000 with an
"export-quality" key _ only 40-bits long, rather than
the "US" quality, which being 128-bits long would have
been billions of times harder to crack.

Even so, it took the equivalent of a set of
supercomputers running for five days, 24 hours a day,
to find the key. But find it they did.

The irony that the terrorists used a product made by
one of the US's biggest corporations to protect plans
it was making against it may not be lost on an
administration that recently relaxed rules on the
export of "strong" encryption. Tighter controls may
follow.

De keys van de gebruiker staan gewoon op schijf in zijn profile. Die keys de comlete profile kan door een administrator gecopieerd worden naar een ander profile. En dus gebruikt worden door die nieuwe gebruiker

Ook de windows CA kan geen EFS met een smartcard aan. Staat in de handleidingen van MS en meerdere malen getest en geprobeerd maar niet werkend gekregen. Ook met hulp van MS zelf. maar die hebben er zelf ook niet veel verstand van.

De encryptie is alleen locaal. Als je je files over het netwerk stuurt gaat dat niet encrypted. Dus EFS files op de server komen unencrypted aan op het werkstation en worden daar NIET meer encrypted als je dat niet aangeeft.

Onder windows 2000 staan de offline folders die op de server met EFS geencrypt zijn op de Werkstation NIET encrypted.

Er zijn nog veel te veel problemen met EFS. Hierdoor heb ik al bij meerder bedrijfen gezien dat ze geen EFS willen gebruiken omdat er nog geen voldoende veiligheid is met EFS.

Ik kan me een voorstelling erbij maken dat gebruik van Active Directory een vooruitgang is (bij een laptop is dat wellicht lastig), maar realiseer je je wel wat een EAL4 certificaat inhoudt ?
Dat is niet zo fantastisch als het lijkt, het is keurig beschreven in Risks Digest van security expert Neumann. Lees maar op deze link: http://catless.ncl.ac.uk/Risks/22.41.html
Jim

De meeste laptops zijn volgens mij lid van een domein, ik zie niet in wat daar lastig aan is.

Efs werkt niet alleen lokaal, enige maar is dat de netwerkshare NTFS5 moet gebruiken en Windows 2000 of hoger moet draaien.

Het is inderdaad een nadeel dat encryptie van offline files and folders in Windows 2000 professional niet mogelijk is. Gelukkig is dit probleem in Windows XP opgelost.

Concluderend kun je toch wel stellen dat het een goed te gebruiken is, 100% veilig is het natuurlijk nooit.
Groot voordeel van efs is de transparatie voor de gebruiker, dit is ook wat waard!
Tegenwoordig mogen niet amerikanen ook 128 bits encryptie gebruiken, wat de key kraken wel een erg grote uitdaging maakt.

Ja, maar dat geldt niet voor alle niet-Amerikanen:

"ENCRYPTION LICENSE EXCEPTION CHART", van het Amerikaanse BIS (Bureau of Industry and Security) van het DoC - U.S. Department of Commerce.
http://www.bxa.doc.gov/Encryption/lechart1.htm

Extra Aanvulling:

Vergeet tevens de Nationale wetgeving niet dat per land kan verschillen. Zelfs binnen de Europese Staten kan de toepasbaarheid van encryptie onderling uiteenlopen. Encryptie is bijvoorbeeld, bij mijn weten, goeddeels verboden (strafbaar) in Frankrijk. Andere Europese Staten twijfelen nog over een zulks verbod.