Восстановление данных, зашифрованных с помощью неизвестного личного ключа

EFS располагает встроенными средствами восстановления зашифрованных данных в условиях, когда Неизвестен личный ключ пользователя. Необходимость подобной операции может возникнуть в следующих случаях:

	Пользователь был уволен из компании и ушел, не сообщив свой пароль. Работа с зашифрованными файлами такого пользователя невозможна.
	Пользователь утратил свой личный ключ.
	Органы государственной безопасности направили запрос на получение доступа к зашифрованным данным пользователя.

Windows 2000 позволяет создать необходимые ключи для восстановления зашифрованных данных в описанных ситуациях. Пользователи, которые могут восстанавливать зашифрованные данные в условиях утраты личного ключа, называются агентами восстановления данных. Агенты восстановления данных обладают сертификатом (Х509 version 3) на восстановление файлов и личным ключом, с помощью которых выполняется операция восстановления зашифрованных файлов. Используя ключ восстановления, можно получить только сгенерированный случайным образом ключ, с помощью которого был зашифрован конкретный файл. Поэтому агенту восстановления не может случайно стать доступной другая конфиденциальная информация. Средство восстановления данных предназначено для применения в разнообразных конфигурациях вычислительных сред. Параметры процедуры восстановления зашифрованных данных в условиях утраты личного ключа задаются политикой восстановления. Она представляет собой одну из политик открытого ключа. При установке Windows 2000 Server политика восстановления автоматически создается на первом контроллере домена. Администратор домена одновременно является и агентом восстановления. Могут быть добавлены и другие агенты. Это делается с помощью оснастки Групповая политика (Group Policy), в которой нужно раскрыть узел Конфигурация компьютера | Конфигурация Windows | Параметры безопасности | Политики открытого ключа | Агенты восстановления шифрованных данных (Computer Settings | Security Settings I Public Key Policies | Encrypted Data Recovery Agents) и выполнить в контекстном меню команду Добавить (Add) или Создать (Сгеа1е)(в первом случае выбирается пользователь с имеющимся сертификатом агента восстановления, во втором — запрашивается и устанавливается новый сертификат для текущей учетной записи). Политика восстановления существует и на одиночном компьютере. В этом случае агентом восстановления автоматически становится администратор компьютера.

	Примечание
	Из вышесказанного следует, что политика восстановления определяется только для компьютера, но не для пользователя.

Политика восстановления, применяемая по умолчанию, создается на каждом компьютере при инсталляции системы. Если компьютер подключается к сети, для него политика восстановления может быть определена также на уровне его домена или подразделения, причем она должна быть установлена до того, как начнет применяться шифрование, и имеет приоритет над политиками восстановления, задаваемыми локальными администраторами.

Существует три "типа" политик восстановления:

	Политика агентов восстановления. Когда администратор добавляет одного или нескольких агентов восстановления, начинает действовать политика агентов восстановления. Это наиболее широко используемый тип политики.
	Пустая политика восстановления (empty policy). Когда администратор уничтожает всех агентов восстановления и их сертификаты открытых ключей, начинает действовать пустая политика восстановления. Это значит, что не существует ни одного агента восстановления, и в пределах области действия данной политики пользователи не могут шифровать свои данные. Применение пустой политики восстановления эквивалентно отключению работы EFS.
	Отсутствие политики восстановления (no policy). Когда администратор удаляет групповую политику восстановления, для восстановления зашифрованных данных в условиях утраты личного ключа используются локальные политики восстановления, существующие на каждом компьютере, и процессом восстановления управляет локальный администратор компьютера.

Настройка параметров политики восстановления выполняется с помощью оснастки Групповая политика (узел Политики открытых ключей ).

Примечание

Некоторое неудобство графическою интерфейса оснастки Групповая политика состоит в том, что в узле Политики открытых ключей нечетко отображаются состояния "пустая политика" и "отсутствие политики". При отсутствии записей в этом узле о текущем состоянии можно судить косвенно по опциям контекстного меню: в первом случае присутствует команда Удалить политику и нельзя добавить/создать агента восстановления (хотя мастер и выполнит все операции), а во втором — имеется команда Инициализировать пустую политику.