암호화 파일 시스템 - 위키백과, 우리 모두의 백과사전 암호화 파일 시스템 위키백과, 우리 모두의 백과사전. 둘러보기로 가기 검색하러 가기 암호화 파일 시스템 ( Encrypting File System, EFS ) 은 마이크로소프트 윈도우의 NTFS 버전 3. 0에서 추가된 파일 시스템 단계 암호화를 하는 기능이다. [ 1 ] 이 기술로 직접 컴퓨터에 접근하는 공격자로부터 간단하게 기밀 파일을 암호화해 보호할 수 있다. EFS는 윈도우 2000부터 현재까지 사업용으로 개발된 모든 버전의 윈도우에서 사용할 수 있다. [ 2 ] 기본적으로 모든 파일이 암호화되어있지 않지만, 사용자에 의해 파일, 폴더, 드라이브단위로 암호화될 수 있다. [ 3 ] 일부 EFS 설정은 윈도우 서버 도메인환경의 그룹 정책으로 관리할 수 있다. [ 4 ] 다른 운영 체제의 파일 암호화 시스템 구현은 가능하지만, 마이크로소프트 암호화 파일 시스템은 다른 것들과 호환되진 않는다. [ 5 ] 파일 암호화 시스템 목록을 참고하라. 목차 1 기본 개념 2 동작 3 보안 3. 1 취약점 3. 1. 1 관리자 계정을 이용한 파일 복호화 3. 1. 2 패스워드 초기화를 통한 개인 키 획득 3. 2 기타 사항 3. 3 복구 3. 4 키
Encrypting File System ". ↑ Chris Corio ( 2006년 5월 ). " First Look : New Security Features in Windows Vista ". 《 TechNet Magazine 》. Microsoft. 2006년 11월 10일에 원본 문서에서 보존된 문서. 2006년 11월 6일에 확인함. 더 이상 지원되지 않는 변수를 사용함 ( 도움말 ) ↑ 가 나 " ntpasswd, available since 1997 ". 2016년 2월 12일에 원본 문서에서 보존된 문서. 2016년 2월 12일에 확인함. ↑ 역자 주 : 공격당하기 이전 파일이라고 해서 안전한 것도 아니다. 강제로 파일의 복호화 정보영역을 갱신시켜 버리면 되기 때문이다. ↑ " Microsoft website. ". 2007년 2월 3일에 원본 문서에서 보존된 문서. 2013년 8월 29일에 확인함. ↑ Kim Mikkelsen ( 2006년 9월 5일 ). " Windows Vista Session 31 : Rights Management Services and Encrypting File System " ( PDF ). 《 presentation 》. Microsoft. 2007년 10월 2일에 확인함. [
##S 볼륨 안에서 옮겨도 암호화 속성은 유지된다. 하지만 사용자가 윈도우에게 암호화를 풀라고 하지 않았는데도 암호화가 풀리는 일이 종종 있다. EFS로 암호화된 파일이나 폴더를 FAT32같이 다른 파일 시스템으로 포맷된 볼륨으로 옮기는 경우 암호화가 풀리고, 암호화된 파일을 SMB / CIFS를 통해 파일을 복사할 때도 암호화가 풀린다. 즉 네트워크로 전송하는 파일은 전부 전송하기 전에 암호화가 풀린다. " Raw " 로 시작하는 API를 쓰면 복사할 때 암호화가 풀리는 걸 막을 수 있다. Raw API를 도입한 백업 프로그램은 암호화된 데이터와 $ EFS ADS를 하나의 파일로 손쉽게 복사한다. 다시 말해 복호화 되지 않고 암호화된 상태 그대로 백업된다. 윈도우 비스타부터 사용자의 개인 키를 스마트 카드에 보관할 수 있다. 데이터 복구 에이전트 ( DRA : Data Recovery Agent ) 키도 스마트 카드에 보관할 수 있다. [ 7 ] 보안 [ 편집 ] 이 문단의 내용은 출처가 분명하지 않습니다. 지금 바로 이 문단을 편집하여, 참고하신 문헌이나 신뢰할 수 있는 출처를 각주 등으로 표기해 주세요. 검증되지 않은 내용은 삭제될 수도 있습니다
##에디션에서 사용할 수 있다. 윈도우 XP 홈 에디션이나, 윈도우 비스타와 윈도우 7의 스타터, 베이직, 홈 프리미엄 에디션에서는 EFS를 쓸 수 없거나 기능이 제한된다. 윈도우 9x계열의 운영 체제는 EFS의 기반인 NTFS를 지원하지 않기 때문에 구현조차 할 수 없다. ↑ 역자 주 : 드라이브단위로 암호화된다는 건 좀 애매하다. 데이터 드라이브는 모든 폴더에 암호화를 걸면 그만이지만 운영 체제가 설치된 파티션의 경우 시스템 파일 암호화가 불가능하기 때문이다. 드라이브 단위의 암호화를 지원하는 건 비트락커같은 디스크 암호화다. " BitLocker 드라이브 암호화와 암호화 파일 시스템의 차이점 ". Microsoft. 2013년 8월 27일에 확인함. ↑ " Encrypting File System ". Microsoft. 2008년 5월 1일. 2011년 8월 24일에 확인함. ↑ " Cryptographic Filesystems, Part One : Design and Implementation ". Security Focus. 2010년 1월 11일에 확인함. ↑ " Encrypting File System ". ↑ Chris Corio ( 2006년 5월 ). " First Look : New Secur
##SA 개인키를 복호화하는 데 쓴다 RSA 개인 키 : 암호화된 각각의 파일 암호화 키를 복호화하는 데 쓴다 파일 암호화 키 ( FEK ) : 파일의 데이터를 암호화 / 복호화하는 데 쓴다 ( NTFS 스트림 맨 앞에 있다 ) 시스키 ( SYSKEY ) : 캐싱된 도메인 확인자와 보안 계정 관리자에 저장된 비밀번호 해시를 암호화하는 데 쓴다 지원되는 운영 체제 [ 편집 ] 윈도우 [ 편집 ] 윈도우 2000 프로페셔널, 서버, 어드밴스드 서버, 데이터센터 에디션 윈도우 XP 프로페셔널, 태블릿 PC 에디션, 미디어 센터 에디션, x64 에디션 윈도우 서버 2003, 윈도우 서버 2003 32비트, 64비트 에디션 윈도우 비스타 비즈니스, 엔터프라이즈, 얼티밋 에디션 [ 10 ] 윈도우 7 프로페셔널, 엔터프라이즈, 얼티밋 에디션 윈도우 서버 2008와 윈도우 서버 2008 R2 다른 운영 체제 ( 리눅스 등 ) [ 편집 ] EFS파일을 iSCSI를 통해 다른 디스크 형식을 쓰는 ( 리눅스같은 ) 다른 운영 체제에 저장하는 것이 가능하다. EFS를 제어하고 구현하는 API가 윈도우에 맞춰져있는 반면에 ( 또한 EFS 자체도 NTFS에 종속되어있다 ) iSCSI
##한 CD로 부팅하여 손쉽게 파일 시스템에 접근할 수 있다. 이 경우 가장 타당하다고 인정받는 대책은 암호화된 저장장치 ( 하드 디스크, USB메모리, 테이프, CD 등 ) 에 파일을 보관하는 것이다. 마이크로소프트 윈도우 제품군에서는 이 대책으로 EFS를 쓸 수 있다. NTFS 드라이브만 지원하는 게 흠이지만 공개 키 암호 방식과 대칭 키 암호 방식을 조합해 쓰면 알맞은 키 없이 파일을 복호화하기 매우 어려워진다. 하지만 사실상 사용자 계정 비밀번호가 EFS 암호화 키를 보호하기 때문에 대부분의 비밀번호 공격에 취약하다. 다시 말해 EFS 암호화는 사용자 계정 비밀번호만큼만 강력하다. 동작 [ 편집 ] 암호화 파일 시스템 동작 원리 EFS는 파일을 파일 암호화 키 ( FEK : File Encryption Key ) 라고 부르는 임의의 대칭 키로 암호화한다. 파일을 암호화 하는데 대칭 키 암호 방식을 사용하는 이유는 비대칭 암호 방식보다 암호화 · 복호화가 빠르기 때문이다. 대칭 키 암호화 알고리즘은 운영 체제의 버전과 설정에 따라 바뀔 수 있다. 아래에 있는 # 윈도우 버전에 따라 쓰이는 암호화 알고리즘을 참고하라. 파일 암호화 과정 파일을 파일 암호화 키 ( FEK : 파일을 암호화 할
##고, ECC 인증서를 쓰면 256 / 384 / 521비트 키를 쓴다 윈도우 버전에 따라 쓰이는 암호화 알고리즘 [ 편집 ] 윈도우 EFS는 윈도우 버전에 따라 파일 암호화에 쓰는 다양한 대칭 암호화 알고리즘을 지원한다 운영 체제 기본 알고리즘 다른 알고리즘 윈도우 2000 DESX ( 없음 ) 윈도우 XP RTM DESX Triple DES 윈도우 XP 서비스 팩 1 AES Triple DES, DESX 윈도우 서버 2003 AES Triple DES, DESX [ 17 ] 윈도우 비스타 AES Triple DES, DESX 윈도우 서버 2008 AES Triple DES, DESX 윈도우 7윈도우 서버 2008 R2 혼합 ( AES, SHA, ECC ) Triple DES, DESX 같이 보기 [ 편집 ] 비트로커 드라이브 암호화 참고문헌 [ 편집 ] ↑ " File Encryption ( Windows ) ". Microsoft. 2010년 1월 11일에 확인함. ↑ EFS는 윈도우 2000 서버와 워크스테이션, 윈도우 XP 프로페셔널, 윈도우 서버 2003과 2008, 윈도우 비스타, 윈도우 7 비즈니스, 엔터프라이즈, 얼티밋에디션에서 사용할 수 있다. 윈도우 XP 홈 에디션이나, 윈도우 비스타와 윈도우 7의 스타터, 베이직, 홈 프리미엄
↑ Microsoft Corporation ( 2006년 11월 30일 ). " Data Communication Protocol ". 《 patent 》. Microsoft. 2007년 6월 14일에 확인함. ↑ " Changes in EFS ". Microsoft TechNet. 2009년 5월 2일에 확인함. ↑ Muller, Randy ( 2006년 5월 ). " How IT Works : Encrypting File System ". 《 TechNet Magazine 》. Microsoft. 2009년 5월 22일에 확인함. 더 이상 지원되지 않는 변수를 사용함 ( 도움말 ) 외부 링크 [ 편집 ] Encrypting File System in Windows 2000 Encrypting File System in Windows XP and Microsoft Windows Server 2003 Documentation about EFS in Windows Server 2008 and Windows Vista Encrypting File System in Windows XP and Windows Server 2003 Network Associates technical article on EFS in Windows Server 2003 Using Encrypting File System in Windows XP Resour
##이나 신뢰할 수 있는 출처를 각주 등으로 표기해 주세요. 검증되지 않은 내용은 삭제될 수도 있습니다. 내용에 대한 의견이 있으시다면 토론 문서에서 나누어 주세요. ( 2012년 8월에 문단의 출처가 요청되었습니다. ) 취약점 [ 편집 ] 윈도우 2000 EFS에 지금까지 다양하게 공격당한 2가지 취약점이 있다. 관리자 계정을 이용한 파일 복호화 [ 편집 ] 윈도우 2000에서, Administrator계정이 기본 데이터 복구 에이전트였다. 때문에 이 어드민 계정을 이용하면 모든 로컬 사용자가 암호화한 파일을 전부 복호화할 수 있었다. 윈도우 2000에선 EFS가 데이터 복구 에이전트 없이 동작할 수 없었고, 그래서 암호화된 파일엔 암호화를 풀 수 있는 사용자가 항상 있었다. 도메인에 가입하지 않은 윈도우 2000 컴퓨터는 Administrator계정을 이용한 허가받지 않은 EFS 복호화에 취약해졌다. 인터넷에 무수히 돌아다니는 툴들을 생각하면 사소한 문제이다. [ 8 ] 윈도우 XP이후로, 기본 데이터 복구 에이전트는 사라졌고 요구하지도 않게 되었다. 시스키 ( SYSKEY ) 를 2 또는 3 모드로 설정하면 ( 부팅 중에 눌리거나 플로피에 저장된 시스키
##하다 ). 윈도우 XP이후로 사용자의 RSA 개인 키는 짝이 되는 공개 키로 암호화해 암호 재설정 디스크 ( 윈도우 XP가 도메인 멤버가 아닌 경우 ) 나 액티브 디렉터리 ( 윈도우 XP가 도메인 구성원인 경우 ) 에 백업된다. 이로인해 윈도우 XP에 LocalSystem계정으로 인증할 수 있더라도 컴퓨터 하드 드라이브에 있는 복호화 키를 얻을 수 없다. 윈도우 2000이후로 사용자의 RSA 개인 키는 사용자의 NTLM 비밀번호 해시와 사용자 이름이 합치진 값의 해시로 암호화한다. 이런 설트기법을 사용한 해시는 사용자의 비밀번호를 알지 못하는 이상 역과정을 통해 개인 키를 알아내기 무척 어렵게 만들었다. 또 다시 말하지만, 시스키를 2 또는 3 모드로 설정 ( 부팅 중에 눌리거나 플로피에 저장된 시스키 ) 하는 것은 사용자의 비밀번호 해시가 암호화된 보안 계정 관리자 파일에 저장되게 해서 이 공격을 다소 방어할 수 있다. 기타 사항 [ 편집 ] 사용자가 한번 로그인하면, 그 사용자는 자신의 EFS 암호화된 파일에 추가적인 인증없이 그냥 파일을 읽을 수 있다. 즉, 계정 비밀번호만 알려주면 암호화된 파일도 읽을 수 있게 된다
암호화 파일 시스템(Encrypting File System, EFS)은 마이크로소프트 윈도우의 NTFS 버전 3.0에서 추가된 파일 시스템 단계 암호화를 하는 기능이다. 이 기술로 직접 컴퓨터에 접근하는 공격자로부터 간단하게 기밀 파일을 암호화해 보호할 수 있다. EFS는 윈도우 2000부터 현재까지 사업용으로 개발된 모든 버전의 윈도우에서 사용할 수 있다. 기본적으로 모든 파일이 암호화되어있지 않지만, 사용자에 의해 파일, 폴더, 드라이브단위로 암호화될 수 있다. 일부 EFS 설정은 윈도우 서버 도메인환경의 그룹 정책으로 관리할 수 있다. 다른 운영 체제의 파일 암호화 시스템 구현은 가능하지만, 마이크로소프트 암호화 파일 시스템은 다른 것들과 호환되진 않는다. 파일 암호화 시스템 목록을 참고하라.