Шифрование файлов в Windows: EFS

Иллюстрация: шифрование текста и значок замка

Что такое Encrypting File System (EFS)

EFS — это встроенный в Windows механизм шифрования файлов и папок на томах NTFS. Ключи шифрования генерируются системой и привязываются к сертификатам пользователя: без соответствующего ключа расшифровать файлы нельзя. EFS добавляет уровень защиты от несанкционированного доступа, сохраняя при этом прозрачность для авторизованных пользователей.

Коротко о терминах:

NTFS — файловая система, поддерживающая метаданные и безопасность; EFS работает только на NTFS.
Сертификат EFS — пара ключей (открытый/закрытый), используемая для шифрования файлового ключа.

Почему стоит использовать EFS

Ключи генерируются системой, поэтому они надёжнее простых паролей.
Шифрование/дешифрование выполняется в ядре, уменьшая риск утечки ключей в файл подкачки.
Для авторизованного пользователя доступ к файлам остаётся прозрачным: файлы открываются как обычно.
Файлы и папки, помеченные как зашифрованные, остаются защищёнными автоматически при работе с системой.
Для организаций доступ и восстановление можно настроить централизованно — важно иметь стратегию резервного копирования сертификатов.

Important: EFS защищает данные от неавторизованного доступа к файлам на уровне ОС. Это не эквивалент полного шифрования диска (BitLocker) и не защищает от компрометации учётной записи пользователя.

Как работает EFS (одна строка)

При шифровании создаётся уникальный ключ файла (FEK), он шифруется парой ключей пользователя (сертификатом) и хранится вместе с файлом; сам файл хранится зашифрованным на диске.

Когда EFS не подходит

Если требуется полное шифрование диска (например, защитить данные при потере устройства) — предпочтительнее BitLocker.
Для совместного доступа нескольким пользователям без настройки разрешений EFS неудобен.
Если том не на NTFS — EFS не работает.

Как зашифровать файлы и папки в Windows 10 через Проводник

Откройте Проводник и перейдите к файлу или папке, которую хотите зашифровать.
Щёлкните правой кнопкой и выберите «Свойства».
На вкладке «Общие» нажмите кнопку «Дополнительно…».
В разделе «Атрибуты» установите флажок «Шифровать содержимое для защиты данных» и нажмите «ОК».

Диалоговое окно: шифрование файлов в Windows 10

Если опция недоступна (затенена), возможные причины и решения описаны ниже.

Быстро через командную строку

Команда cipher встроена в Windows и позволяет шифровать и расшифровывать папки и просматривать статус.

# Зашифровать папку
cipher /e "C:\Путь\К\Папке"

# Расшифровать папку
cipher /d "C:\Путь\К\Папке"

# Показать справку
cipher /?

Что делать, если опция «Шифровать содержимое» недоступна

Проверьте следующее по шагам:

Убедитесь, что том использует NTFS: Проводник → диск → Свойства → файловая система должна быть NTFS.
Проверьте права доступа: ваша учётная запись должна иметь разрешения на изменение атрибутов файла.
Проверьте групповую политику или настройки администратора: в корпоративной среде администратор может отключить EFS.
Если нужно срочно зашифровать без GUI — используйте cipher (см. выше).
Если EFS используется централизованно в организации, запросите экспортный сертификат восстановления у администратора.

Note: В некоторых редакциях Windows или в управляемых доменах администратор может ограничивать возможность шифрования.

Как включить или отключить NTFS-шифрование: варианты подхода

Вариант A — через графический интерфейс (как описано выше). Подходит для персонального использования.

Вариант B — через командную строку с cipher. Полезно для скриптов и массовых операций.

Вариант C — работа с сертификатами и резервирование:

Откройте certmgr.msc (Диспетчер сертификатов пользователя).
Перейдите в «Личное» → «Сертификаты» и найдите сертификат, связанный с EFS (обычно с назначением «Шифрование файлов»).
Правый клик → Все задачи → Экспорт — экспортируйте вместе с приватным ключом в защищённый файл (рекомендуется с паролем).

Экспорт сертификата — критический шаг: без резервной копии приватного ключа восстановление данных может быть невозможным.

Контрольные проверки (Критерии приёмки)

Свойства файла показывают «Шифровать содержимое для защиты данных».
При просмотре командой cipher файл помечен как зашифрованный.
Доступ к файлу возможен под владельцем сертификата, но невозможен под другой учётной записью без ключа.
Резервная копия сертификата успешно импортируется и позволяет расшифровать тестовые файлы.

Пошаговый план для администратора (чек-лист)

Для администратора:

Убедиться, что политика организации позволяет EFS и документировать требования.
Настроить Azure AD/Active Directory для хранения ключей восстановления (при необходимости).
Обучить пользователей процедурам экспорта сертификата и хранению резервных копий.
Внедрить мониторинг использования EFS и инвентаризацию зашифрованных данных.

Для пользователя:

Проверить файловую систему (NTFS).
Экспортировать сертификат EFS в безопасное место (USB/HSM) с паролем.
Шифровать файлы через Проводник или cipher.

Альтернативные подходы

BitLocker — полное шифрование диска, лучше защищает при утере устройства.
Внешние решения (VeraCrypt, сторонние EFS-совместимые продукты) — дают дополнительные опции совместного доступа и управления ключами.

Примеры, когда EFS не сработает

На внешнем носителе, отформатированном в FAT32 или exFAT — EFS не работает.
Если приватный ключ утерян и нет резервной копии — данные станут недоступны.
Если администратор домена отключил EFS политиками — пользователи не смогут включить шифрование.

Визуальная логика выбора (диаграмма)

flowchart TD
  A[Нужно ли шифровать данные?] --> B{Защита при утере устройства}
  B -- Да --> C[Использовать BitLocker]
  B -- Нет --> D{Требуется защита отдельных файлов/папок}
  D -- Да --> E[Использовать EFS 'NTFS']
  D -- Нет --> F[Рассмотреть сторонние инструменты]

Краткий глоссарий (1 строка для каждого)

EFS — механизм шифрования файлов в NTFS, использующий сертификаты пользователя.
NTFS — файловая система Windows, поддерживающая EFS.
Сертификат EFS — пара ключей (открытый/закрытый) для шифрования ключа файла.

Итог и рекомендации

Использование EFS — простой и быстрый способ защитить отдельные файлы и папки на NTFS-томе. Для безопасного применения:

Всегда экспортируйте и храните резервную копию сертификата EFS в защищённом месте.
Проверяйте файловую систему и права доступа перед шифрованием.
Для защиты при потере устройства рассматривайте BitLocker как дополнение или альтернативу.

Summary:

EFS обеспечивает прозрачное шифрование на уровне файлов для авторизованных пользователей.
Команда cipher полезна для автоматизации и обхода GUI.
Резервное копирование сертификатов — обязательный шаг.

Если нужно, могу прислать готовый чек-лист для внедрения EFS в организационной среде или шаблон политики резервного копирования сертификатов.