因?yàn)橹匮b系統(tǒng)，原來的加密文件忘記解除，現(xiàn)在各文件名后綴+PFILE，現(xiàn)在無法查看，求救怎么恢復(fù)啊，重要文件啊，加密方式就不能和賬戶關(guān)聯(lián)起來解密嗎？【1、你如果備份了密鑰的話，導(dǎo)入這個(gè)密鑰即可。2、如果你沒有這個(gè)密鑰，那么很遺憾地告訴你，你的這些照片或文件可能就沒辦法了3、windows的EFs加密必須備份證書，也就是個(gè)人密鑰，重裝系統(tǒng)后，導(dǎo)入證書，才能打開原來加密過的文件，除此無法可解。以后記得備份密鑰?！?/p>
使用EFS加密的文件，在文件加密后會(huì)在系統(tǒng)下產(chǎn)生一個(gè)公鑰，然后在您當(dāng)前用戶賬戶下產(chǎn)生一個(gè)私鑰。解密該文件是需要同時(shí)擁有公鑰和私鑰的情況下才能夠正常解密，二者不可缺其一。
目前您的系統(tǒng)已經(jīng)進(jìn)行了重新安裝，那么系統(tǒng)下的公鑰已經(jīng)沒有了，其次重新安裝系統(tǒng)后，用戶賬戶需要重新配置，即使您重新配置賬戶時(shí)相關(guān)的用戶賬戶信息和原賬戶一模一樣，但是您的這個(gè)賬戶下也是沒有解密需要的私鑰，故您的這個(gè)情況目前是無法解密該文件的。
在文件使用EFS加密之后，系統(tǒng)會(huì)提示您備份密鑰文件，在執(zhí)行備份之后，該文件會(huì)保存在此電腦>>文檔（默認(rèn)路徑）。如果持有密鑰備份信息，那么您在將加密文件復(fù)制到其他設(shè)備上之后，在將密鑰信息文件也導(dǎo)入到新的設(shè)備中，那么您可以在新設(shè)備下打開加密文件。如果沒有該文件的話是無法打開的。
---------------------
點(diǎn)擊“開始→運(yùn)行”菜單項(xiàng)，在出現(xiàn)的對(duì)話框中輸入“certmgr.msc”，回車后，在出現(xiàn)的“證書”對(duì)話框中依次雙擊展開“證書-當(dāng)前用戶→個(gè)人→證書”選項(xiàng)，在右側(cè)欄目里會(huì)出現(xiàn)以你的用戶名為名稱的證書。選中該證書，點(diǎn)擊鼠標(biāo)右鍵，選擇“所有任務(wù)→導(dǎo)出”命令，打開“證書導(dǎo)出向?qū)А睂?duì)話框。
在向?qū)нM(jìn)行過程中，當(dāng)出現(xiàn)“是否要將私鑰跟證書一起導(dǎo)出”提示時(shí)，要選擇“是，導(dǎo)出私鑰”選項(xiàng)，接著會(huì)出現(xiàn)向?qū)崾疽竺艽a的對(duì)話框。為了安全起見，可以設(shè)置證書的安全密碼。當(dāng)選擇好保存的文件名及文件路徑后，點(diǎn)擊“完成”按鈕即可順利將證書導(dǎo)出，此時(shí)會(huì)發(fā)現(xiàn)在保存路徑上出現(xiàn)一個(gè)以PFX為擴(kuò)展名的文件。
當(dāng)其他用戶或重裝系統(tǒng)后欲使用該加密文件時(shí)，只需記住證書及密碼，然后在該證書上點(diǎn)擊右鍵，選擇“安裝證書”命令，即可進(jìn)入“證書導(dǎo)入向?qū)А睂?duì)話框。按默認(rèn)狀態(tài)點(diǎn)擊“下一步”按鈕，輸入正確的密碼后，即可完成證書的導(dǎo)入，這樣就可順利打開所加密的文件。
--------------------
筆記本一直使用win10系統(tǒng)，使用期間對(duì)自己的工作文件夾設(shè)置過一次加密，但是沒有設(shè)置密碼，昨天因?yàn)樾枰霉た剀浖倚枰獁in7系統(tǒng)所以就把原文件備份到移動(dòng)硬盤了，當(dāng)時(shí)也沒有任何提示。在我筆記本安裝好win7系統(tǒng)插上移動(dòng)硬盤發(fā)現(xiàn)之前備份的文件變成 綠色了，而且打不開。我百度查了下好像 是EFS加密，請(qǐng)問我該如何把文件解密，還有當(dāng)初win10系統(tǒng)對(duì)那個(gè)文件夾進(jìn)行加密的時(shí)候也是一時(shí)好奇，也沒有備份證書，請(qǐng)問我要是在重新安裝win10系統(tǒng)可以解密嗎？或者有沒有什么辦法可以解密
重裝windows10后不能解密。如果有備份證書的，密碼也記得，請(qǐng)問怎樣解密。
有證書的情況下，可以嘗試win+R后輸入certmgr.msc，進(jìn)入證書，選中個(gè)人后右鍵，選擇所有任務(wù)，導(dǎo)入。根據(jù)向?qū)нM(jìn)行提示，瀏覽選擇證書時(shí)，選擇現(xiàn)在持有的CER證書，導(dǎo)入到個(gè)人存儲(chǔ)區(qū)中。
完成后選中個(gè)人，查看右邊的證書列表，找到剛剛導(dǎo)入的證書，右鍵該證書，選擇所有任務(wù)，用相同秘鑰續(xù)訂證書，完成后再看下是否解密成功。
這個(gè)操作可以解決，不過不需要 相同密鑰續(xù)訂證書。因續(xù)訂失敗，報(bào)錯(cuò)說“請(qǐng)求不包含證書模板信息”。但是導(dǎo)入后就行了
-------------------------
XP系統(tǒng)EFS加密破解的一線希望
如果某個(gè)用戶把自己的登錄帳戶刪除，那么其他用戶將無法訪問其EFS加密文件。更可惡的是，一旦公司里的某個(gè)用戶心懷怨氣，惡意加密了本屬于別的用戶的重要文件，將會(huì)導(dǎo)致嚴(yán)重問題。一般情況下，這些EFS加密文件已經(jīng)被判了死刑，但是實(shí)際上只要滿足以下條件的話，我們還是可以在末日來臨之前打開逃生的天窗：
(1) 必須知道該被刪帳戶的密碼。
(2) 該被刪帳戶的配置文件必須存在。如果使用“本地用戶和組”管理單元?jiǎng)h除帳戶，則配置文件保留的機(jī)會(huì)很大，如果使用“用戶帳戶”控制面板刪除帳戶，則有一半機(jī)會(huì)保留配置文件。如果配置文件不幸被刪，則只能祈禱可以借助Easy Recovery之類的數(shù)據(jù)恢復(fù)工具進(jìn)行恢復(fù)。
可能有些朋友會(huì)覺得這兩個(gè)條件比較苛刻，此處賣個(gè)關(guān)子先……
EFS加密原理
大家知道，EFS加密實(shí)際上綜合了對(duì)稱加密和不對(duì)稱加密：
(1) 隨機(jī)生成一個(gè)文件加密密鑰(叫做FEK)，用來加密和解密文件。
(2) 這個(gè)FEK會(huì)被當(dāng)前帳戶的公鑰進(jìn)行加密，加密后的FEK副本保存在文件$EFS屬性的DDF字段里。
(3) 要想解密文件，首先必須用當(dāng)前用戶的私鑰去解密FEK，然后用FEK去解密文件。
看到這里，似乎EFS的脈絡(luò)已經(jīng)很清晰，其實(shí)不然，這樣還不足于確保EFS的安全性。系統(tǒng)還會(huì)對(duì)EFS添加兩層保護(hù)措施：
(1) Windows會(huì)用64字節(jié)的主密鑰(Master Key)對(duì)私鑰進(jìn)行加密，加密后的私鑰保存在以下文件夾：
%UserProfile%\Application Data\Microsoft\Crypto\RSA\SID
提示 Windows系統(tǒng)里的各種私有密鑰，都用相應(yīng)的主密鑰進(jìn)行加密。Windows Vista的BitLocker加密，也用其主密鑰對(duì)FVEK(全卷加密密鑰)進(jìn)行加密。
(2) 為了保護(hù)主密鑰，系統(tǒng)會(huì)對(duì)主密鑰本身進(jìn)行加密(使用的密鑰由帳戶密碼派生而來)，加密后的主密鑰保存在以下文件夾：
%UserProfile%\Application Data\Microsoft\Protect\SID
整個(gè)EFS加密的密鑰架構(gòu)如圖1所示。
圖1
提示 EFS密鑰的結(jié)構(gòu)部分，參考自《Windows Internals 4th》的第12章。
回到“任務(wù)描述”部分所述的兩個(gè)條件，現(xiàn)在我們應(yīng)該明白原因了：
(1) 必須知道該被刪帳戶的密碼：沒有帳戶密碼，就無法解密主密鑰。因?yàn)槠浼用苊荑€是由帳戶密碼派生而來的。
提示 難怪Windows XP和2000不同，管理員重設(shè)帳戶密碼，也不能解密EFS文件。
(2) 該被刪帳戶的配置文件必須存在：加密后的私鑰和主密鑰(還包括證書和公鑰)，都保存在配置文件里，所以配置文件萬萬不可丟失，否則就會(huì)徹底“鬼子不能進(jìn)村”。重裝系統(tǒng)后，原來的配置文件肯定被刪，這時(shí)候當(dāng)然不可能恢復(fù)EFS文件。
可能有用戶會(huì)想，只需新建一個(gè)同名的用戶帳戶，然后把原來配置文件復(fù)制給新帳戶，不就可以解密EFS文件了？原因在于帳戶的SID，因?yàn)樾陆ㄓ脩舻腟ID不可能和老帳戶一樣，所以常規(guī)方法是不可能奏效的。我們必須另辟蹊徑，讓系統(tǒng)再造一個(gè)完全一樣的SID！
恢復(fù)步驟
為了方便描述，這里假設(shè)被刪帳戶的用戶名為Admin，Windows安裝在C盤。
1．再造SID
注意 本方法取自“聲明”部分提到的那篇文章。
首先確認(rèn)被刪帳戶的SID，這里可以進(jìn)入以下文件夾：
C:\Documents and Settings\Admin\Application Data\Microsoft\Crypto\RSA
在其下應(yīng)該有一個(gè)以該被刪帳戶的SID為名的文件夾，例如是S-1-5-21-4662660629-873921405-788003330-1004(RID為1004)
現(xiàn)在我們要設(shè)法讓新建帳戶同樣具有1004的RID，這樣就能達(dá)到目的。
在Windows中，下一個(gè)新建帳戶所分配的RID是由HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account注冊(cè)表項(xiàng)的F鍵值所確定的。F鍵值是二進(jìn)制類型的數(shù)據(jù)，在偏移量0048處的四個(gè)字節(jié)，定義下一個(gè)帳戶的RID。那么也就是說，只需要修改0048處的四個(gè)字節(jié)，就能達(dá)到目的(讓新建帳戶獲得1004的RID)
確認(rèn)好以后，別忘記把Admin帳戶的配置文件轉(zhuǎn)移到別的地方！
(1) 默認(rèn)情況下，只有system帳戶才有權(quán)限訪問HKEY_LOCAL_MACHINE\SAM，這里在CMD命令提示符窗口，運(yùn)行以下命令，以system帳戶身份打開注冊(cè)表編輯器：
pexec -i -d -s %windir%\regedit.exe
提示 可以在以下網(wǎng)站下載psexec：
http://www.sysinternals.com/Utilities/PsExec.html
(2) 定位到HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account注冊(cè)表項(xiàng)，雙擊打開右側(cè)的F鍵值。
(3) 這里要說明一下，Windows是以十六進(jìn)制、而且以反轉(zhuǎn)形式保存下一個(gè)帳戶的RID。什么意思呢？也就是說，如果是1004的RID，對(duì)應(yīng)十六進(jìn)制就是03EC，但是我們必須把它反轉(zhuǎn)過來變成EC03，再擴(kuò)展為4個(gè)字節(jié)，就是EC 03 00 00。
所以，我們應(yīng)該把F鍵值的0048偏移量處，把其中四個(gè)字節(jié)改為“EC 03 00 00”，如圖2所示。
圖2
(4) 重要：別忘了重啟計(jì)算機(jī)！
(5) 重啟以后，新建一個(gè)同名帳戶Admin，它的SID應(yīng)該和以前是完全一樣。如果不相信的話，可以借助GetSID或者PsGetSID等工具測(cè)試一下。
2．“破解”EFS
接下來的方法就非常簡(jiǎn)單了，用新建的Admin帳戶身份登錄系統(tǒng)，隨便加密一個(gè)文件，然后注銷，用管理員帳戶登錄系統(tǒng)，把原來保留的配置文件復(fù)制到C:\Documents and Settings\Admin文件夾下。
再用Admin帳戶登錄系統(tǒng)，現(xiàn)在可以解密原來的EFS文件了。
疑難解答
1．如果已經(jīng)重裝系統(tǒng)，那怎么辦？
“聲明”部分提到的那篇文章里提到，如果還記得原來帳戶的密碼，并且配置文件沒有被刪除的話，還有希望。這時(shí)候可以借助sysinternals的NEWSID工具把系統(tǒng)的計(jì)算機(jī)SID重設(shè)為原來的值，再用前面描述的方法構(gòu)造所需的RID，這樣就可以獲得所需的帳戶SID。剩余步驟完全一樣。
http://www.sysinternals.com/Utilities/NewSid.html
2．有用戶曾經(jīng)遇到這樣的問題：登錄系統(tǒng)時(shí)收到提示說密碼過期，需要重設(shè)，重設(shè)密碼登錄后發(fā)現(xiàn)打開EFS文件。
KB890951提到這個(gè)問題。其解釋是因?yàn)樵谛薷拿艽a時(shí)，系統(tǒng)還沒有加載配置文件(有點(diǎn)語焉不詳)，原文如下：
This problem occurs because the user profile for the current user is not loaded correctly after you change the password.
配置文件和EFS有何相干？看完本文，大家應(yīng)該知道，EFS的私鑰和主密鑰都是保存在配置文件里的。由于配置文件沒有加載，所以主密鑰的加密版本沒有得到更新(沒有跟上帳戶密碼的變化)，導(dǎo)致主密鑰無法正確解密，從而無法解密私鑰和FEK。這就是問題的真正原因。
該KB提供了一個(gè)內(nèi)部補(bǔ)丁，可以解決這個(gè)問題。KB890951的鏈接如下：
http://support.microsoft.com/kb/890951
3．有關(guān)公鑰的問題
為了容易理解，筆者故意忽略了公鑰。公鑰保存也保存在帳戶的配置文件里：
%UserProfile%\Application Data\Microsoft\SystemCertificates\My\Certificates
在EFS恢復(fù)的操作中，必須確保公鑰也要復(fù)制到新帳戶的配置文件里。盡管看起來公鑰與EFS解密無關(guān)(它負(fù)責(zé)加密)。
原來，加密文件$EFS屬性的DDF字段里除了有帳戶SID和加密的FEK副本外，還有公鑰的指紋信息(Public Key Thumbprint)和私鑰GUID信息(私鑰的某種散列值)。
系統(tǒng)在掃描加密文件$EFS屬性中的DDF字段時(shí)，根據(jù)用戶配置文件里的公鑰中所包含的公鑰指紋和私鑰GUID信息，當(dāng)然還有帳戶的SID，來判斷該帳戶是否具有對(duì)應(yīng)的DDF字段，從而判斷該用戶是否屬于合法的EFS文件擁有者。
所以公鑰也很重要。
當(dāng)然公鑰是可以“偽造”的(可以偽造出所需的公鑰指紋和私鑰GUID)，以欺騙EFS系統(tǒng)，具體方法可以參考國外的那篇原稿，此處不再贅述。
加強(qiáng)EFS的安全
由于EFS把所有的相關(guān)密鑰都保存在Windows分區(qū)，所以這可能給EFS帶來一定的安全隱患。目前有一些第三方工具號(hào)稱可以破解EFS，這些工具首先攻擊SAM配置單元文件，嘗試破解帳戶密碼，從而破解帳戶密碼→主密鑰的加密密鑰→主密鑰→EFS私鑰→FEK的“密鑰鏈”
聯(lián)系客服
