Chi può decrittografare i file EFS?

Sto eseguendo Windows 7 Professional a casa e ho deciso di crittografare alcuni dei miei file utilizzando l'EFS incorporato. La mia comprensione è che solo l'account che ha crittato i file può anche leggerli nuovamente – qualsiasi altro utente (anche amministratori) non può leggerli. (E naturalmente l'accesso è completamente persa dopo una reinstallazione.)

È corretto? Quali utenti esattamente possono decrittografare i file che ho protetto? E per curiosità, era diverso nelle versioni precedenti di Windows? Mi chiedo da quando ho letto di recente "gli amministratori possono decrittografare qualsiasi file" in un sito dichiarato da un dipendente Microsoft.

In breve:

L'utente e l'amministratore locale (se è un agente di recupero dati)

In dettaglio:

A Idee di base

Tuttavia, le chiavi di crittografia per EFS sono in pratica protette dalla password dell'account utente.

Fonte: Wikipedia

Questa password viene memorizzata anche nel SAM, che viene crittografato con una chiave di sistema …

Ciò significa che non solo l'utente può accedervi! Ecco i dettagli:

Alla decrittografia di file utilizzando l'account amministratore locale

In Windows 2000, l'amministratore locale è l'agente di recupero dati predefinito, in grado di decrittografare tutti i file crittografati con EFS da qualsiasi utente locale. EFS in Windows 2000 non può funzionare senza un agente di recupero, quindi c'è sempre qualcuno che può decrittografare i file crittografati degli utenti. Qualsiasi computer Windows 2000 connesso a un dominio non sarà autorizzato a decrittografare EFS non autorizzato da chiunque possa assumere l'account amministratore locale, che è banale dato che molti strumenti sono disponibili liberamente su Internet.

In Windows XP e versioni successive, non esiste un agente locale di recupero dati predefinito e nessun requisito di avere uno. Impostare SYSKEY in modalità 2 o 3 (syskey digitato durante l'avvio o memorizzato su un disco floppy) ridurrà il rischio di decrittografia non autorizzata tramite l'account amministratore locale. Ciò è dovuto al fatto che le password degli utenti locali di hash, memorizzate nel file SAM, vengono crittografate con Syskey e il valore Syskey non è disponibile per un attaccante non in linea che non possiede il passphrase / floppy di Syskey.

Fonte: Wikipedia

Questo non è cambiato in direzione di Windows 7, se vuoi conoscere le modifiche delle funzioni vedere questa parte di Wikipedia .