O documento discute o Encrypting File System (EFS) do Windows, que permite criptografar arquivos no disco rígido. O EFS usa criptografia de chave pública para criptografar arquivos individuais com uma chave simétrica única, armazenando a chave simétrica criptografada com a chave pública do usuário. Isso permite que apenas o usuário leia os arquivos criptografados. O documento também discute requisitos, recursos, configuração e casos de uso do EFS.

1. Protegendo Arquivos
Sigilosos com EFS

2. Introdução
O envio e o recebimento de informações sigilosas é uma
necessidade antiga, que existe há centenas de anos. E daí a
criptografia tornou-se uma ferramenta essencial para
que apenas o emissor e o receptor tenham acesso livre às
informações.

4.
O que é a Criptografia
• O termo Criptografia surgiu da fusão das palavras gregas
"Kryptós" e "gráphein", que significam "oculto" e "escrever",
respectivamente. Trata-se de um conjunto de regras que visa
codificar a informação de forma que só o emissor e o
receptor consiga decifrá-la. Para isso varias técnicas são
usadas e ao passar do tempo, modificada, aperfeiçoada e o
surgimento de novas outras de maneira que fiquem mais
seguras.
• Na computação, a técnica usada são a de chaves, as
chamadas “CHAVES CRIPTOGRAFICAS”, Trata-se de um
conjunto de bit’s baseado em um algoritmo capaz de codificar
e de decodificar informações. Se o receptor da mensagem
usar uma chave diferente e incompatível com a do emissor
ela não conseguira ter a informação
•

5. Por que usar criptografia?
• Sabemos que existem muitas formas de proteger os sistemas
ou até mesmo fazer alterações para prevenir acessos
indevidos, mas mesmo assim, a proteção de um usuário a um
arquivo pode ser o último recurso de defesa contra brechas
indesejadas na privacidade. A forma mais segura de se
proteger a informação é usando técnicas de criptografia. O
software criptográfico pode ajudar a proteger as informações

6. Tipos de Criptografia
• No caso das Chaves (tanto Simétrica quanto Assimétrica), o
nível de segurança de uma criptografia é medido no número
de bits, ou seja, quanto mais bits forem usados, mais difícil
será quebrar a criptografia na força bruta.
Ex: Se tivermos uma criptografia de 10 bits, existirão
apenas 2¹º (ou 1024) chaves, porém, ao usarmos 64 bits, o
número de chaves possíveis subirá para aproximadamente 20
x 10^18 chaves, um número alto até mesmo para um
computador

7. Criptografia hash
• A criptografia hash permite que, através de uma string de
qualquer tamanho, seja calculado um identificador digital de
tamanho fixo, chamado de valor hash. O
valor hash geralmente é formado por 16 bytes (no caso do
MD-2, MD-4 e MD- 5) ou 20 bytes (no caso do SHA-1), mas
pode se estender, embora não passe de 512 bytes

8. Chaves Simétricas
• É o tipo mais simples de criptografia, já que tanto o emissor
quanto o receptor da mensagem possuem a mesma chave,
ou seja, a mesma chave é usada tanto na codificação quanto
na decodificação.
Para ser realizada, basta que o emissor, antes de enviar a
mensagem criptografada, envie a chave privada que será
utilizada para descriptografá-la.
Existem diversos algoritmos criptográficos que fazem uso da
Chave Simétrica, tais como:
• - DES (Data Encryption Standard)
• - IDEA (Internacional Data Encryption Algorithm)
• - RC (Ron’s Code ou Rivest Cipher)

9. Chaves Assimétricas
• Diferentemente do método de Chave Simétrica, esse tipo
utiliza 2 chaves, uma pública e uma privada. O sistema
funciona da forma que alguém cria uma chave e envia essa
chave à quem quiser mandar informações à ela, essa é a
chamada chave pública. Com ela é feita a codificação da
mensagem. Para decodificação será necessário utilizar uma
outra chave que deve ser criada, a chave privada – que é
secreta.
• Na figura, a chave verde representa a chave pública, enquanto a chave rosa reprenta a chave privada
• Algoritmos que usam essa chave -

10. Encrypting File System

11. Encrypting File System – O QUE É ?
• O Sistema de Arquivos com Criptografia (EFS) é um recurso
do Windows que permite armazenar informações no disco
rígido em um formato criptografado.
• Utiliza um esquema de criptografia baseada em chave pública.
Os dados são encriptados através de uma chave simétrica
obtida aleatoriamente chamada de File Encryption Key (FEK).
• Esta chave é gerada por meio de uma ou mais chaves
públicas específicas. O EFS utiliza por padrão o algoritmo de
encriptação simétrica DESX2 com chave 128 bits, podendo
utilizar também o 3DES3 ou AES4 com chaves de 128, 192 ou
256 bits, dependendo da versão do sistema operacional

12. Como funciona ?
• EFS funciona usando uma mistura inteligente de simétrica /
assimétrica tecnologia-chave. Ambas tecnologias de
criptografia têm seus pontos fortes e fracos.

13. Processo de encriptação
• No processo de encriptação, os dados do arquivo a ser
criptografado são abertos e copiados para um arquivo
temporário do sistema. O EFS então gera a FEK e em seguida a
utiliza para criptografar o arquivo, de acordo com o algoritmo
de encriptação simétrica escolhido. Cria-se então o campo
Data Decryption Field (DDF) contendo a FEK baseada na
chave publica do usuário.

14. • O campo Data Recovery Field (DRF) também é
automaticamente criado, no caso de ter sido definido agente
de recuperação de dados do arquivo através de política de
grupos. Finalmente, o arquivo temporário é apagado, e os
dados criptografados são armazenados. Este processo pode
ser representado pela Figura 1

15. Processo de decriptação
• Na decriptação, o arquivo criptografado é identificado pelo sistema
de arquivos nativo através do EFS. O EFS então obtém a FEK do
usuário e a utiliza para decriptar a DDF. Os dados são finalmente
decriptados e enviados ao sistema de arquivos nativo. A Figura 2
apresenta o processo descrito

16. Requisitos para uso
• Windows
• Windows 2000 Professional, Server, Advanced Server and Datacenter
editions
• Windows XP Professional, also in Tablet PC Edition, Media Center Edition
and x64 Edition
• Windows Server 2003 and Windows Server 2003 R2, in both x86 and x64
editions
• Windows Vista Business, Enterprise and Ultimate editions[8]
• Windows 7 Professional, Enterprise and Ultimate editions
• Windows Server 2008 and Windows Server 2008 R2
O EFS só funciona em computadores que usam o sistema de arquivos NTFS. Se
o arquivo que você deseja criptografar estiver em uma unidade que use o
sistema de arquivos FAT ou FAT32, será necessário converter o volume em
NTFS

17. Recursos
• Criar e manter uma chave de recuperação para garantir que os dados
criptografados podem ser recuperados com segurança quando o usuário
original não puder fazê-lo.
• Criar agentes de recuperação que pode recuperar arquivos criptografados
quando o usuário original não puder fazê-lo.
• Exportação e importação chaves de recuperação de dados para permitir a
recuperação segura de pastas e arquivos criptografados.
• Recuperar dados quando o usuário original não puder fazê-lo.
• A criptografia é simples; basta marcar uma caixa de seleção nas
propriedades do arquivo ou da pasta para ativá-la.
• Você possui controle sobre quem pode ler os arquivos.
• Os arquivos são criptografados quando você os fecha, mas estão
automaticamente prontos para uso quando você os abre.
• Se desistir de criptografar um arquivo, desmarque a caixa de seleção nas
propriedades do arquivo.

18. Configuração
• O recurso EFS nos permite configurar uma conta com a função
de Recovery Agent (Agente de Recuperação). Com esta conta,
podemos acessar arquivos criptografados por outros usuários.
Em computadores Member Servers (Servidores Membros),
por padrão, a conta de usuário Administrator (Administrador)
é configurada como Recovery Agent (Agente de Recuperação).

19.
• Já em Domain Controllers (Controladores de Domínio), por
padrão, a conta de usuário Domain Administrator
(Administrador do Domínio) é configurada como Recovery
Agent (Agente de Recuperação). O Recovery Agent (Agente de
Recuperação) é útil quando excluímos a conta de um usuário
que possui arquivos criptografados. Após a exclusão dessa
conta de usuário, somente o Recovery Agent (Agente de
Recuperação) poderá acessar esses arquivos.

20. Gerar Backup chave de
recuperação
• Não ter uma chave de recuperação de backup pode resultar
na perda irrevogável dos dados criptografados. Fazer o backup
de uma chave de recuperação ajuda a garantir que os dados
criptografados podem ser recuperados no caso de o usuário
possuir o certificado de criptografia EFS não é capaz de
descriptografar os dados.

21. • Esta operação deve ser realizada utilizando a conta de agente
de recuperação que tem o certificado de recuperação de
arquivo e uma chave privada no seu arquivo privado. O
administrador de domínio é o agente de recuperação padrão,
não tem recuperação padrão, mas você em uma ambiente de
grupo ou de domínio pode criar um agente de recuperação
local para todas as contas no computador.

22. Processo de Exportação
• Agora um dos passos muito importante de todo este processo, e sem o qual podemos
ser vitimas do nosso próprio sistema de segurança: Criar uma cópia de segurança
deste certificado e guarda-la em lugar restrito e seguro. Tudo passa a depender
deste certificado, daí a sua importância, já que a falta dele leva à perda perda
irreversível dos dados

24. Estudo de Caso
Muitas empresas fornecem para seus
consultores notebooks normalmente
com Windows, caso esse notebook
seja roubado em algumas de suas
visitas rotineiras, os arquivos vão
estar expostos a qualquer pessoa
podendo causar um grande prejuízo ,
se usarmos a criptografia EFS esse
risco pode ser mitigado

25. Caso 1 – Atacante
• Passo um, um laptop é roubado. O próximo passo a ser superado pelo
atacante é a forma de fazer logon no computador e acessar os arquivos
contidos nele. Existem várias maneiras para obter acesso ao login
administrador Windows.
• Neste caso fica mais fácil pois ele está com acesso físico ao
computador. Ele pode rodar um livecd linux de quebra de senha,a partir daí
acessar as informações.
• O atacante consegue acesso total inclusive os criptografados pois ele
quebrou a senha de administrador e com ela é possível ter acesso as
chaves

26. Caso 2 – Erro de
Configuração
• Acesso ao Servidor: A Microsoft recomenda que um
agente de recuperação deve ser disponibilizado.
• Por padrão o agente de recuperação usa a mesma conta
de administrador local do sistema.
• Se o atacante consegue acesso físico ao servidor,
quebrar a senha do servidor onde ficam as chaves, o
invasor obtém controle total de todos os arquivos
mesmo os codificados.

27. Segurança da Chave Privada
• A Microsoft espera tornar a chave privada exportada para alguns
outros meios de comunicação (Isto é cartões inteligentes), mas por
enquanto, no Windows 2000/2003, as chaves são armazenadas
localmente. Supondo que o atacante obteve acesso a conta de
administrador. Ele faz uma verificação rápida da política de
segurança local e descobre que o certificado de recuperação foi
removido ainda existe chances para o invasor. Ainda assim, ele abre
o gerenciar, seleciona Usuários e Grupos Locais.
• Todas as contas de usuário são exibidas. O atacante agora muda as
senhas interessantes, fazendo logon no sistema. Assim, ele obtém
acesso a todos os arquivos criptografados do usuário.

28. Caso 3
• Algumas empresas de consultoria em Segurança da
Informação usam o ambiente que utilizam AD com GPOs bem
específicas e onde os usuários podem acessar suas pastas
criptografadas com EFS apenas após autenticarem-se com
suas credenciais cadastradas no AD.
• Neste caso o uso do EFS é obrigatório para armazenar dados
de clientes, como relatórios de auditorias, review codes e
testes de invasão. Assim mantém seu ambiente seguro tendo
em vista que as informações contidas nos servidores são de
extrema importância.

29. Correções de
Vulnerabilidades

30. Atualizações do EFS – Aplicados no
Caso 2
• Vários aprimoramentos importantes feitos no EFS estão disponíveis
no Windows Server® 2008. Entre eles estão a capacidade de
armazenar certificados de criptografia em cartões inteligentes, a
criptografia por usuário de arquivos no cache do cliente, opções
adicionais de Diretiva de Grupo e um novo assistente de
rechaveamento.
• Armazenamento de chaves em cartões inteligentes
• As chaves e os certificados de criptografia do EFS podem ser
armazenados em cartões inteligentes, o que oferece maior proteção
das chaves. Isso pode ser especialmente importante para ajudar a
proteger computadores portáteis ou estações de trabalho
compartilhadas. O uso de cartões inteligentes para armazenar
chaves de criptografia também oferece maneiras de aperfeiçoar o
gerenciamento de chaves em empresas de grande porte.

31. Atualizações do EFS – Caso 2
• Por que essa funcionalidade é importante?
• O uso de um cartão inteligente para armazenar chaves do EFS ajuda
a manter essas chaves fora do disco rígido do computador. Isso
aumenta a segurança dessas chaves porque elas não poderão ser
violadas por outro usuário ou por alguém que roubar o computador.
• O que funciona de maneira diferente?
• No Windows Server 2008 e no Windows Vista, o EFS permite
armazenar as chaves particulares dos usuários em cartões
inteligentes.
• Usando configurações de Diretiva de Grupo, você pode configurar o
EFS para armazenar chaves particulares em cartões inteligentes no
modo sem cache e de cache.

32. • Modo sem cache. Semelhante ao modo tradicional de funcionamento do EFS, todas
as operações de descriptografia que exigem a chave particular do usuário são
executadas no cartão inteligente.
• Modo de cache. Uma chave simétrica é derivada da chave particular do usuário e
armazenada na memória cache protegida. As operações de criptografia e
descriptografia que envolvem a chave do usuário são substituídas pelas operações
criptográficas simétricas correspondentes usando-se essa chave derivada. Isso
elimina a necessidade de manter o cartão inteligente sempre conectado ou de usar o
processador de cartão inteligente em cada operação de descriptografia. Por isso,
ocorre um aumento considerável no desempenho.
O EFS também tem diretivas para impor o uso de cartão inteligente e controlar os
parâmetros e o comportamento de armazenamento em cache das chaves dos
usuários.

33. Medidas Caso 1
• Uma medida que deve ser tomada quanto ao acesso físico ao servidores é
implementando medidas de acessos restrito ao local utilizando alguns itens:
Trava na porta onde fica o servidor, colocar acesso via Leitores de cartões
magnéticos, Dispositivos de impressão digital integrado leitores de
cartões e PIN, Dispositivos integrados leitores de impressão digital,
cartões de reconhecimento facial, Scanners de retina, câmeras entre
outros.

34. Diferença entre EFS e Bitlocker

35. • O BitLocker ajuda a proteger todos os arquivos de sistema e
pessoais da unidade em que o Windows está instalado (a
unidade do sistema operacional), caso o computador seja
roubado ou se usuários não autorizados tentarem acessá-lo.
Você pode usar o BitLocker para criptografar todos os
arquivos em unidades de dados fixas (como unidades de disco
rígido internas) e o BitLocker To Go para criptografar arquivos
em unidades de dados removíveis (como unidades de disco
rígido externas ou unidades flash USB). O EFS é usado para
ajudar a proteger arquivos individuais de qualquer unidade e
por usuário. A tabela abaixo mostra as principais diferenças
entre o BitLocker e o EFS.

37. Podemos usar ambos os
recursos em conjunto?
• Sim,você pode usar a Criptografia de Unidade de Disco
BitLocker e o EFS juntos para obter a proteção oferecida pelos
dois recursos. Quando o EFS é usado, as chaves de criptografia
são armazenadas no sistema operacional do computador.
Embora as chaves usadas com o EFS sejam criptografadas, a
segurança delas ainda pode ficar comprometida se um hacker
conseguir acessar a unidade do sistema operacional. O uso do
BitLocker para criptografar a unidade do sistema operacional
pode ajudar a proteger essas chaves impedindo que a unidade
do sistema seja inicializada ou acessada, caso seja instalada
em outro computador.

38. Requisitos para utilização do
BitLocker
• Para que você possa utilizar o BitLocker os seguintes requisitos precisam ser
atendidos:
• Windows Vista Enterprise ou Windows Vista Ultimate.
• O computador precisa ter um chip TPM. Caso não tenha você poderá utilizar um disco
removível USB.
• O disco do computador deve ter pelo menos duas partições. Se você criar uma nova
partição depois de já ter instalado o Windows, será preciso reinstalar o Windows
antes de ativar o BitLocker. Se você ainda não tem duas partições, pode usar a
Ferramenta de Preparação de Unidades de Disco BitLocker para ajudar a preparar o
sistema para BitLocker criando a segunda partição necessária. Se você estiver usando
o Windows Vista Ultimate, você poderá baixar e instalar essa ferramenta nos Extras
do Ultimate. Uma vez instalada a ferramenta, digite BitLocker na caixa Pesquisar do
menu Iniciar e clique duas vezes em Ferramenta de Preparação de Unidades de Disco
BitLocker para executá-la. Após a execução da ferramenta, é necessário reiniciar o
computador para ativar o BitLocker.
• As partições precisam estar formatadas com o NTFS.
• A BIOS do computador deve ser compatível com o TPM e oferecer suporte a leitura
de dispositivos USB durante a inicialização.

39. • Como saber se meu computador possui um chip TPM? Geralmente essa informação
é fornecida pelos próprios fabricantes das placas mãe. Mas a partir do Windows Vista
temos um utilitário que nos mostra essa informação.
• Exemplo prático – Verificar se um computador possui o chip TPM.(Trusted Platform
Module)
É um criptoprocessador seguro, capaz de armazenar chaves criptográficas que protegem
informações , fica na placa mãe.
• a) Efetue logon com uma conta de usuário que possua direitos administrativos.
• b) Abra o Painel de Controle, Criptografia de Unidade BitLocker.
• c) Na tela que será exibida você pode identificar se o seu computador possui ou não
um chip TPM. Vejam na imagem abaixo que o computador não possui o chip TPM.

40. Recomendações de Uso
• Certifique-se de criar a chave de recuperação ao ativar o BitLocker
pela primeira vez; caso contrário, você poderá perder
permanentemente o acesso aos arquivos. Se o computador tiver o
chip do TPM (Trusted Platform Module), o BitLocker irá usá-lo para
lacrar as chaves utilizadas para desbloquear a unidade do sistema
operacional criptografada. Quando você inicia o computador, o
BitLocker solicita as chaves para a unidade ao TPM e a desbloqueia.
• Se criptografar unidades de dados (fixas ou removíveis), você
poderá desbloquear uma unidade criptografada com uma senha ou
um cartão inteligente, ou configurar a unidade para desbloquear
automaticamente quando você fizer logon no computador.
• Você pode desativar o BitLocker a qualquer momento, seja de
forma temporária, suspendendo-o; ou permanente,
descriptografando a unidade.
•

41. O que tem de errado nessa imagem ?
Visitante com acesso a sala restrita
Arquivos confidenciais na lixeira sem passar por um Triturador de
papel
Senha colada no monitor
Usuário passando a senha por telefone
Uso incorreto do crachá com foto para trás
Alarme desligado
Entre outros erros....

42. Perguntas ?

43. • GRUPO:
• DIEGO SOUZA
• LEANDRO ALBERTO
• IGOR ANTONIO
• RAFAEL SAMPAIO
• APRESENTAÇÃO : PROTEGENDO ARQUIVOS SIGILOSOS COM EFS
• MATÉRIA: SEGURANÇA EM AMBIENTE WINDOWS
• PROFESSOR:MARCELO RIBEIRO
• PÓS- GRADUAÇÃO SEGURANÇA EM REDES DE COMPUTADORES
• UNIVERSIDADE ESTÁCIO DE SÁ