分析針對EFS加密文件無法打開的情況數據恢復的解決方式

（一）故障類型：EFS加密文件無法打開
（二）典型特征：
1.重裝系統后以前加密的文件無法打開
2.密鑰文件丟失導致加密文件無法打開

（三）損壞程度星級評價：★★★★
［故障原理及恢復思路］
在使用EFS加密一個NTFS文件時，系統首先會生成一個偽隨機數FEK (File Encryption Key，文件加密鑰匙)，然后用FEK加密數據并對文件進行原位覆寫。隨后系統利用用戶的公鑰加密FEK，并把加密后的FEK存儲在加密文件的$EFS屬性中。

而在訪問被加密的文件時，系統首先利用當前用戶的私鑰解密FEK，然后利用FEK解密出文件。在首次使用EFS時，如果用戶還沒有公鑰/私鑰時（統稱為密鑰），則會首先生成密鑰，然后加密數據。如果用戶登錄到了域環境中，密鑰的生成依賴于域控制器，否則它就依賴于本地機器。

用戶私鑰是解密EFS文件的關鍵，私鑰保存于Windows分區的Documents and Settings\%UserName%\Application Data\Microsoft\Crypto\RSA\%UserSID% （用戶的SID為安全標識符，相當于用戶的×××號碼，當創建一個帳號時，系統為其分配一個唯一的SID編號）。

為了保護私鑰，Windows用主密鑰對私鑰進行加密，主密鑰位于Windows分區的Documents and Settings\%UserName%\Application Data\Microsoft\Protect\%UserSID%，然后再用用戶密碼生成的密鑰對主密鑰進行加密。

這樣就形成了“用戶密碼－>主密鑰－>私鑰－>FEK－>EFS加密文件”加密鏈。所以如果想完整地獲得EFS加密數據，那么必須得到用戶密碼、主密鑰和私鑰。

（四）恢復流程
1.檢測流程：
（1）查看現有系統占用空間；
（2）查看現在有mft文件目錄數占用空間。
2.實施流程：
（1）查找或重組加密FEK的私鑰;
（2）查找可重組加密私鑰的主密鑰；
（3）根據用戶提拱的用戶密碼進行校驗匹配，解密用戶文件；
（4）對解密出來的文件進行邏輯分析和校驗，遷移出用戶所需數據。
3.驗收流程：
（1）對已遷移出來的所有數據做屬性統計，從文件數量
和容量等方面確保用戶所需數據已全部遷移成功；
（2）對已遷移出來的所有數據做完整性驗證，確保
文件在目錄結構及底層邏輯等方面正確無誤；
（3）對用戶指定的關鍵數據文件進行針對性校驗，確保用戶關
鍵數據成功恢復。
（五）恢復的可靠性分析及時間預估：
在大多數案例中此類故障主要是重裝系統導致密鑰丟失造成的，由于重裝系統將寫入大量文件到系統分區，密鑰被覆蓋的幾率相對較高，這也是導致此類故障恢復成功率較低的重要原因，一般此類故障成功率在50%左右，通常所需時間為1-3個工作日。

［小貼士］
（一）通過EFS加密文件后應該及時備份密鑰并妥善保存；
（二）出現此類故障后應該立刻停止繼續使用計算機，以降低密鑰被覆蓋的幾率。