Ripristino dei file crittografati da EFS su un’unità NTFS
-
Autore:
Anton Kryvoruchko
-
Editore:
Mykhailo Miroshnichenko
In questo articolo esamineremo una situazione in cui i file sono stati crittografati con Windows EFS e poi sono scomparsi: sono stati eliminati per errore, formattati, oppure la partizione è stata eliminata, il file system NTFS è stato danneggiato oppure l’accesso ai file è andato perso dopo la reinstallazione di Windows. Mostreremo come lavorare con il certificato EFS e la chiave privata in Windows e come lavorare con i file crittografati in macOS.
- Che cos’è Windows EFS?
- Certificato EFS e chiave privata
- Recupero dei file crittografati eliminati
- Conclusione
- Domande frequenti
- Commenti
EFS (Encrypting File System) è una tecnologia integrata di Windows per la crittografia dei file sui volumi NTFS. Protegge i dati sensibili, ma l’eliminazione di un file crittografato può complicarne notevolmente il recupero. Ciò è particolarmente rilevante se, dopo l’eliminazione, continuano a essere scritti nuovi dati sull’unità.
Se un file EFS è stato eliminato per errore, ciò non significa necessariamente che il suo contenuto sia immediatamente perso. In alcuni casi, i dati fisici rimangono sull’unità fino a quando non vengono sovrascritti. Tuttavia, per accedere a un file recuperato, è importante considerare i requisiti specifici di EFS: la presenza del certificato di crittografia e della corrispondente chiave privata.
In questo articolo illustreremo come recuperare i file EFS eliminati da un’unità NTFS, quali condizioni sono necessarie per accedere al loro contenuto, quale ruolo svolgono il certificato EFS e la chiave PFX e cosa fare se un file è stato eliminato o danneggiato. Esamineremo inoltre separatamente gli scenari in cui il certificato e la chiave privata sono disponibili, così come i casi in cui non esiste alcun backup.
Come recuperare file crittografati con EFS da un’unità NTFS | Certificato e chiave PFX
Che cos’è Windows EFS?
Windows EFS, ovvero Encrypting File System, è una tecnologia per la crittografia di singoli file e cartelle nel file system NTFS.
Dopo la crittografia, il file rimane visibile in Windows, ma può aprirlo solo l’utente il cui profilo contiene il corrispondente certificato EFS e la chiave privata. Questi dati confermano il diritto di accedere al file crittografato. Se un file di questo tipo viene copiato su un altro computer oppure Windows viene reinstallato senza conservare la chiave, l’accesso al file potrebbe andare perso.
Importante: EFS funziona specificamente con NTFS. Se l’unità è formattata come FAT32 o exFAT, questa funzione non è disponibile.
| Caratteristica | Descrizione |
|---|---|
| Nome | EFS (Encrypting File System) è una tecnologia integrata in Windows per la crittografia di singoli file e cartelle. |
| File system | EFS funziona con il file system NTFS. |
| Scopo | Protezione dei file sensibili dagli accessi non autorizzati. |
| Livello di crittografia | Vengono crittografati singoli file e cartelle, non l’intera unità. |
| Principio di funzionamento | Per crittografare il file viene utilizzata una chiave simmetrica, ulteriormente protetta dalle chiavi crittografiche dell’utente. |
| Certificato EFS | Il certificato identifica l’utente autorizzato a decrittografare i file EFS. |
| Chiave privata | È necessaria per decrittografare i file EFS. La sua perdita può comportare la perdita dell’accesso ai dati. |
| Backup della chiave | Il certificato EFS e la chiave privata possono essere esportati in un file PFX/P12 e protetti con una password. |
| Accesso ai file | Un utente autorizzato può aprire e utilizzare i file EFS quasi come i normali file. |
| Eliminazione del file | Un file EFS eliminato può talvolta essere recuperato se i suoi dati non sono ancora stati sovrascritti. |
| Decrittografia dopo il recupero | Per accedere al contenuto di un file recuperato è necessaria la corrispondente chiave privata EFS. |
| Backup | Si consiglia di eseguire regolarmente il backup del certificato EFS e della chiave privata, poiché la loro perdita può rendere i dati inaccessibili. |
Qual è la differenza tra BitLocker ed EFS?
BitLocker ed EFS condividono un obiettivo comune: proteggere le informazioni da accessi non autorizzati, ma vengono applicati a livelli diversi e in scenari diversi.
- BitLocker crittografa un intero disco o una partizione specifica. Il suo scopo principale è mantenere inaccessibile il contenuto nel caso in cui un laptop, un HDD o un SSD venga rubato. Se un’unità di questo tipo viene collegata a un altro computer, non può essere letta senza la chiave di ripristino, il corrispondente TPM o una password.
- EFS funziona con singoli file nel file system NTFS. Questa tecnologia è più adatta ai computer multiutente, in cui più account hanno accesso allo stesso dispositivo di archiviazione. Il proprietario può aprire normalmente i propri documenti, mentre gli altri utenti non possono visualizzarli senza il certificato e la chiave privata appropriati.
Anche il meccanismo di recupero è diverso:
- Per BitLocker, in genere si utilizza una chiave di ripristino a 48 cifre, TPM o una password di ripristino.
- Per EFS, è necessario un certificato con chiave privata, che può essere esportato in un file .pfx.
Dopo lo sblocco di BitLocker, il suo funzionamento è trasparente: il sistema operativo e le applicazioni vedono i file come file ordinari. Anche EFS non interferisce con il lavoro del proprietario sui documenti, ma per gli altri account i file rimangono inaccessibili.
Queste soluzioni possono essere combinate: BitLocker protegge l’intero volume, mentre EFS limita ulteriormente l’accesso ai file selezionati a livello utente.
| Caratteristica | BitLocker | EFS |
|---|---|---|
| Scopo | Protegge un intero disco o una partizione dagli accessi non autorizzati. | Crittografa singoli file e cartelle. |
| Livello di crittografia | Crittografa l’intero volume, inclusi il file system e i relativi dati. | Crittografa solo i file e le cartelle selezionati. |
| File system | Utilizzato principalmente con NTFS, ma protegge il volume indipendentemente dai singoli file. | Funziona con il file system NTFS. |
| Caso d’uso principale | Protezione dei dati in caso di smarrimento o furto di un computer o dispositivo di archiviazione. | Protezione di singoli file sensibili dagli altri utenti del sistema. |
| Chiavi e autenticazione | Può utilizzare TPM, PIN, password, chiave di ripristino e altri meccanismi a seconda della configurazione. | Utilizza un certificato EFS e la corrispondente chiave privata dell’utente. |
| Funzionamento dopo l’accesso a Windows | Dopo lo sblocco dell’unità, l’utente ottiene l’accesso ai dati in base alle autorizzazioni del file system. | Un utente autorizzato può aprire i file crittografati senza decrittografarli manualmente. |
| Protezione da un altro utente Windows | Da solo, non è progettato per distinguere l’accesso tra utenti dopo lo sblocco dell’unità. | Consente di proteggere i file dagli altri utenti che non dispongono della corrispondente chiave EFS. |
| Protezione con accesso fisico all’unità | Elevata: senza la chiave di sblocco, i dati sul volume crittografato sono inaccessibili. | Protegge singoli file, ma non l’intero contenuto dell’unità. |
| Backup delle chiavi | È importante conservare la chiave di ripristino BitLocker. | È fondamentale eseguire il backup del certificato EFS e della chiave privata. |
| Formato del backup | La chiave di ripristino può essere salvata come codice a 48 cifre e in altri modi, a seconda della configurazione. | Il certificato e la chiave privata possono essere esportati in un file PFX/P12. |
| Recupero dei file eliminati | I file eliminati appartengono al volume crittografato; per lavorarci è necessario avere accesso al volume sbloccato. | Dopo il recupero di un file eliminato, è inoltre necessaria la corrispondente chiave privata EFS per accedere al suo contenuto. |
| Impatto sulle prestazioni | Dipende dall’accelerazione hardware e dalla configurazione del sistema; di solito è contenuto sui dispositivi moderni. | Di solito ha un impatto minimo perché vengono crittografati solo i singoli file. |
| Cosa protegge | I dati sull’intero volume crittografato. | Il contenuto di specifici file crittografati. |
| Quando usarlo | Per proteggere un laptop, un’unità di sistema, un SSD, un HDD o un dispositivo di archiviazione esterno. | Per proteggere singoli documenti, cartelle e altri file sensibili. |
Certificato EFS e chiave privata
Quando un utente crittografa dei file con EFS, Windows crea o utilizza il certificato EFS dell’utente corrente. Questo viene archiviato nell’archivio certificati di Windows.
Per visualizzare i certificati dell’utente corrente, premere Win + R, inserire il comando certmgr.msc e premere Invio.
Nell’area Gestione certificati aperta, andare su Utente corrente – Personale – Certificati. Qui è in genere archiviato il certificato associato a Encrypting File System.
Importante da comprendere: l’accesso ai file EFS richiede non solo la password dell’account Windows, ma anche il corrispondente certificato EFS e la chiave privata. Se la chiave privata viene persa, non sarà possibile decrittografare i file con gli strumenti standard di Windows.
Come esportare la chiave EFS in un file *.PFX?
Dopo la crittografia dei file, Windows può visualizzare una notifica che propone di eseguire il backup della chiave. Questo passaggio non dovrebbe essere saltato, perché tale backup consente di ripristinare l’accesso ai file EFS dopo la reinstallazione del sistema o il trasferimento dei dati su un altro computer.
Per esportare manualmente la chiave, premere Win + R, inserire il comando certmgr.msc e premere Invio.
Nella finestra di Gestione certificati, andare su Personale – Certificati, trovare il certificato con la finalità Encrypting File System, fare clic con il pulsante destro del mouse e selezionare Tutte le attività – Esporta.
Nella procedura guidata di esportazione dei certificati, selezionare Sì, esporta la chiave privata, quindi specificare il formato Personal Information Exchange – PKCS #12 (.PFX).
Quindi impostare una password per proteggere il file .pfx e salvarlo su un altro dispositivo di archiviazione, ad esempio una chiavetta USB o un’unità esterna.
Il file .pfx contiene la chiave privata, pertanto deve essere conservato in un luogo sicuro. Se finisce nelle mani di una persona non autorizzata insieme alla password, questa potrà accedere ai file EFS crittografati.
Possibilità e limitazioni della chiave EFS
La chiave EFS è necessaria per accedere ai file crittografati con Encrypting File System. Può essere usata per aprire dati crittografati, trasferire l’accesso a un altro computer, creare un backup del certificato o rimuovere la crittografia dai file.
Importante da comprendere: senza la chiave privata, non è possibile scoprire semplicemente la password di un file EFS, forzarla con un attacco brute-force o aprire il file utilizzando solo la password dell’account Windows.
Se Windows è stato reinstallato, il profilo utente è andato perso e non esiste un backup della chiave in formato .pfx, l’accesso ai file EFS potrebbe essere perso per sempre.
Un programma di recupero dati può individuare i file crittografati stessi o aiutare a recuperare i backup della chiave persi. Tuttavia, non può violare la crittografia EFS senza la corretta chiave privata.
Recupero dei file crittografati eliminati
Avviare Hetman Partition Recovery. Nella finestra principale, il programma mostrerà tutti i dispositivi di archiviazione collegati disponibili che possono essere sottoposti ad analisi.
Per visualizzare il contenuto del dispositivo di archiviazione e trovare i dati persi, avviare l’analisi. Nella maggior parte dei casi, si consiglia di iniziare con Analisi rapida, soprattutto se il file system non è stato danneggiato.
Al termine della scansione, il programma visualizzerà i file attuali e quelli eliminati, contrassegnando gli elementi eliminati con un’icona speciale. Verrà inoltre mantenuta la struttura originale delle cartelle, il che semplifica notevolmente la ricerca dei dati necessari. Tra i file trovati potrebbero esserci anche elementi crittografati. La loro anteprima non sarà disponibile finché non si aggiunge la corrispondente chiave di accesso. In tal caso, il programma richiederà di specificare la chiave necessaria per decrittografare i file.
È possibile aggiungere la chiave ai file crittografati in due modi: per aggiungere i dati di decrittografia, fare clic su Aggiungi dati di decrittografia nella finestra di anteprima.
È inoltre possibile selezionare il file richiesto, aprire il menu Strumenti e scegliere Aggiungi dati di decrittografia.
Dopodiché si aprirà una finestra di dialogo. In essa è necessario specificare il tipo di crittografia, selezionare il file della chiave e inserire la password corrispondente a tale chiave.
Dopo aver aggiunto i dati di decrittografia corretti, il programma otterrà accesso al contenuto dei file crittografati e lo mostrerà in anteprima. Selezionare gli elementi richiesti e fare clic su Recupera. Quindi specificare la posizione in cui salvarli.
Importante: i dati recuperati devono essere salvati su un altro dispositivo di archiviazione fisico. Non salvare i file sulla stessa unità o partizione da cui è stata eseguita la scansione, poiché ciò potrebbe sovrascrivere i dati e rendere il recupero successivo più difficile o impossibile.
Conclusione
Il recupero dei file EFS eliminati da un’unità NTFS presenta specificità proprie, poiché non basta ripristinare semplicemente il file dall’unità: è inoltre necessario garantire che possa essere decrittografato. Dopo l’eliminazione, i dati possono rimanere sul dispositivo di archiviazione fino a quando non vengono sovrascritti, quindi il passaggio più importante è smettere di scrivere nuove informazioni sull’unità e avviare il recupero il prima possibile.
Per accedere con successo al contenuto di un file EFS, il certificato EFS e la corrispondente chiave privata sono fondamentali. Se sono stati salvati in un backup o esportati in un file PFX, il file recuperato può essere decrittografato dopo essere stato ripristinato su un’unità NTFS. Se la chiave privata è persa o danneggiata, il semplice recupero del file crittografato non garantisce che il suo contenuto possa essere letto.
Pertanto, la strategia migliore consiste nel combinare il recupero dei dati eliminati dall’unità NTFS con un backup salvato delle chiavi EFS. Eseguire regolarmente il backup del certificato e della chiave privata in formato PFX può ridurre significativamente il rischio di perdita irreversibile dell’accesso ai file crittografati.
