加密文件系统

加密文件系统 (EFS) 表示在基于 Windows NT 的操作系统（例如 Windows 2000、Windows XP、Windows Vista、Windows 7、Windows 8 和 Windows 10）下的 NTFS 卷上的文件加密系统。

此扩展使文件内容能够保密，即使陌生人 - 例如由于访问权限不足或无效或数据载体被盗 - 访问它们，因为它们只能用正确的密钥解密。

当使用 EFS 加密文件时，系统首先生成一个随机密钥，即所谓的文件加密密钥 (FEK)，然后使用对称加密方法 DES 或从 Windows XP SP1 开始使用 AES 加密文件. 然后使用用户的公钥使用非对称 RSA 算法对 FEK 进行加密，并与文件一起保存。 如果要读取文件，则使用用户的密钥对 FEK 进行解密，以恢复加密文件的明文。

当然，丢失秘钥就意味着丢失加密数据。 为了解决这个问题，可以选择额外存储用另一个用户的公钥加密的 FEK。 这个用户，即所谓的密钥恢复代理 (KRA)，默认情况下是所用 Windows 安装的管理员（仅限 Windows 2000）。

从 Windows XP 开始，此 KRA 必须稍后设置（密码 /R:EFS-RA）。 但是，也可以进行其他设置：例如，您可以在整个 Windows 网络域中设置一个中央密钥恢复代理，或者不设置密钥恢复代理。

以及为了数据恢复的目的，也可以存储用多个用户的公钥加密的 FEK，这样在网络中或在具有多个用户帐户的计算机上共享对加密文件的访问是可能的。