암호화 파일 시스템

3. 동작

3. 1. 파일 암호화 과정

3. 2. 파일 복호화 과정

3. 3. 암호화 속성 상속

3. 4. 암호화 해제

3. 5. 스마트 카드 지원

4. 보안

운영 체제가 파일 암호화 없이 실행 중일 때, 파일 접근은 운영 체제의 사용자 인증 및 접근 제어 목록을 통해 이루어진다. 그러나 공격자가 컴퓨터에 직접 접근할 수 있다면 이러한 보호는 쉽게 우회될 수 있다. 예를 들어, 디스크를 다른 컴퓨터에 연결하거나, 다른 운영 체제로 부팅하여 파일 시스템에 접근할 수 있다.

이러한 문제를 해결하기 위해 파일을 암호화하여 저장하는 방법이 널리 사용된다. 마이크로소프트 윈도우에서는 EFS(Encrypting File System)를 사용하여 NTFS 드라이브의 파일을 암호화할 수 있다. EFS는 공개 키 암호 방식과 대칭 키 암호 방식을 함께 사용하여, 올바른 키 없이는 파일을 해독하기 어렵게 만든다.

하지만 EFS의 암호화 키는 사용자 계정 비밀번호로 보호되기 때문에, 비밀번호가 취약하면 EFS 암호화도 쉽게 뚫릴 수 있다. 즉, EFS 암호화의 강력함은 사용자 계정 비밀번호의 강력함과 같다.^[7]

4. 1. 취약점

4. 1. 1. 관리자 계정을 이용한 파일 복호화

4. 1. 2. 패스워드 초기화를 통한 개인 키 획득

4. 2. 기타 사항

4. 3. 복구

4. 4. 키 종류

• 사용자 비밀번호 (혹은 스마트 카드 개인 키): 사용자의 DPAPI 마스터 키를 복호화할 키를 만드는 데 쓴다.^[6]
• DPAPI 마스터 키: 사용자의 RSA 개인 키를 복호화하는 데 쓴다.
• RSA 개인 키: 각각의 암호화된 파일 암호화 키(FEK)를 복호화하는 데 쓴다.
• 파일 암호화 키(FEK): 파일의 데이터를 암호화/복호화하는 데 쓴다. (NTFS 스트림 맨 앞에 있다)
• 시스키(SYSKEY): 캐싱된 도메인 확인자와 보안 계정 관리자에 저장된 비밀번호 해시를 암호화하는 데 쓴다.

5. 지원되는 운영 체제

EFS는 다양한 운영 체제에서 지원되거나 제한적으로 지원된다.

마이크로소프트 윈도우 운영 체제 제품군에서 EFS는 NTFS 드라이브에서만 파일 암호화를 가능하게 하며, 공개 키 암호화와 대칭 키 암호화를 조합하여 올바른 키 없이는 파일을 해독하기 어렵게 만든다. 그러나 EFS에 대한 암호화 키는 사용자 계정 비밀번호로 보호되므로 대부분의 비밀번호 공격에 취약하다.

리눅스등 다른 운영 체제 에서는 iSCSI를 사용하여 가상 NTFS 볼륨을 네트워크 드라이브로 쓸 수 있다. 윈도우에서 iSCSI 클라이언트(내장되어있다)를 쓰고 iSCSI를 지원하는 리눅스가 있다면, 원격 네트워크 장치에서 호스팅하는 iSCSI 가상 드라이브를 만들고 NTFS로 포맷한 다음 EFS 암호화된 폴더나 파일을 저장할 수 있다. 윈도우가 iSCSI 가상 드라이브를 로컬 디스크로 간주하기 때문에 모든 데이터가 복호화되지 않고 그대로 네트워크로 전송되어 리눅스에 암호화된 채로 저장된다. 다른 운영 체제나 파일 시스템은 EFS에 대한 기본 지원을 하지 않는다.^[1]

5. 1. 윈도우

5. 2. 다른 운영 체제 (리눅스 등)

6. 윈도우 버전마다 추가된 기능들

윈도우 운영체제의 버전이 업데이트되면서 EFS(암호화 파일 시스템)에는 다음과 같은 다양한 기능들이 추가되었다.

6. 1. 윈도우 XP

• 클라이언트 측 캐시(오프라인 파일 데이터베이스) 암호화^[25]
• 도메인 전체 공개 키를 사용한 DPAPI 마스터 키 백업 보호^[25]
• 사용자 인증서 자동 등록 (EFS 인증서 포함)^[25]
• 암호화된 파일에 대한 다중 사용자 (공유) 접근 기능 (파일별) 및 암호화된 파일을 공유할 때 사용되는 인증서에 대한 해지 확인^[25]
• 암호화된 파일은 대체 색상 (기본적으로 녹색)으로 표시 가능^[25]
• 필수 ''복구 에이전트'' 요구 사항 없음^[25]
• 지원되지 않는 파일 시스템으로 이동할 때 파일이 자동으로 암호 해독될 수 있다는 경고^[25]
• 암호 재설정 디스크^[25]
• WebDAV를 통한 EFS 및 원격 암호화^[25]

6. 2. 윈도우 XP SP1

6. 3. 윈도우 XP SP2 + KB912761

6. 4. 윈도우 서버 2003

• 디지털 ID 관리 서비스^[25]
• 자체 서명 인증서 등록 시 RSA 최소 키 길이를 강제하는 설정^[25]

6. 5. 윈도우 비스타 및 윈도우 서버 2008

• 사용자별 클라이언트 측 캐시(오프라인 파일) 암호화를 지원한다.^[46][47]
• PC/SC 스마트 카드에 RSA 개인 키를 저장할 수 있다.^[46][47]
• EFS 재설정 마법사가 추가되었다.^[46][47]
• EFS 키 백업 프롬프트를 제공한다.^[46][47]
• PC/SC 스마트 카드로부터 데이터 보호 API 마스터 키를 가져올 수 있다.^[46][47]
• pagefile.sys의 암호화를 지원한다.^[46][47]
• 비트락커를 사용하여 EFS 관련 정보를 보호할 수 있다(윈도우 비스타 엔터프라이즈, 얼티밋 에디션).^[48][49]
• 그룹 정책을 통해 다음과 같은 항목을 제어할 수 있다.^[46][47]
• 내 문서 폴더 암호화
• 오프라인 파일 암호화
• 암호화된 파일 색인
• EFS에 스마트카드 요구
• 스마트 카드로 캐싱이 가능한 사용자 키 생성
• 사용자 키를 만들거나 변경했을 때 키 백업 알림
• 자동 EFS 인증서 등록에 사용되는 틀 지정

6. 6. 윈도우 서버 2008

6. 7. 윈도우 7 및 윈도우 서버 2008 R2

6. 8. 윈도우 10 버전 1607 및 윈도우 서버 2016

7. 윈도우 버전에 따라 쓰이는 암호화 알고리즘

윈도우 EFS는 파일 암호화에 사용되는 윈도우 버전에 따라 다양한 대칭 암호화 알고리즘을 지원한다.^[51]

참조

_[1] 웹사이트 File Encryption (Windows) https://msdn.microso[...] Microsoft 2010-01-11
_[2] 문서
_[3] 웹사이트 Encrypting File System https://technet.micr[...] Microsoft 2011-08-24
_[4] 웹사이트 Cryptographic Filesystems, Part One: Design and Implementation http://www.securityf[...] Security Focus 2010-01-11
_[5] 웹사이트 Encrypting File System http://www.anvir.com[...]
_[6] 웹사이트 First Look: New Security Features in Windows Vista http://www.microsoft[...] Microsoft 2006-11-06
_[7] 웹사이트 ntpasswd, available since 1997 http://pogostick.net[...]
_[8] 웹사이트 The Encrypting File System https://technet.micr[...]
_[9] 웹사이트 Windows - Official Site for Microsoft Windows 10 Home & Pro OS, laptops, PCs, tablets & more http://www.microsoft[...] 2008-01-20
_[10] 웹사이트 Windows Vista Session 31: Rights Management Services and Encrypting File System http://download.micr[...] Microsoft 2007-10-02
_[11] 웹사이트 Encrypting File System http://technet2.micr[...] Microsoft 2007-11-06
_[12] 웹사이트 Changes in Functionality from Windows Server 2003 with SP1 to Windows Server 2008: Encrypting File System http://technet2.micr[...] Microsoft 2007-11-06
_[13] 웹사이트 Microsoft Windows Vista Security Enhancements http://download.micr[...] Microsoft 2007-06-14
_[14] 웹사이트 Data Communication Protocol http://www.freepaten[...] Microsoft 2007-06-14
_[15] 웹사이트 Changes in EFS https://technet.micr[...] Microsoft TechNet 2009-05-02
_[16] 웹사이트 '[MS-FSCC]: Appendix B: Product Behavior' https://msdn.microso[...] Microsoft 2017-10-02
_[17] 웹사이트 How IT Works: Encrypting File System http://technet.micro[...] Microsoft 2006-05
_[18] 웹사이트 File Encryption (Windows) http://msdn.microsof[...] Microsoft 2010-01-11
_[19] 문서
_[20] 웹사이트 Encrypting File System http://technet.micro[...] Microsoft 2008-05-01
_[21] 웹사이트 Encrypting File System http://www.anvir.com[...] AnVir Software 2016-07-05
_[22] 웹사이트 Backup and Restore of Encrypted Files (Windows) - MSDN https://msdn.microso[...] Microsoft 2016-07-05
_[23] 웹사이트 First Look: New Security Features in Windows Vista http://www.microsoft[...] Microsoft 2006-05
_[24] 웹사이트 Windows Vista: Features Explained: Encrypting File System http://www.microsoft[...] 20070203090915
_[25] 웹사이트 Windows XP ベースのコンピューターで EFS ファイルを暗号化しようとすると暗号化ファイル システム (EFS) とは、自己署名入りの証明書に生成します。 https://support.micr[...] Microsoft 2015-12-09
_[26] 웹사이트 Windows Vista Session 31: Rights Management Services and Encrypting File System http://download.micr[...] Microsoft 2006-09-05
_[27] 웹사이트 Encrypting File System http://technet2.micr[...] Microsoft 2007-04-30
_[28] 웹사이트 Changes in Functionality from Windows Server 2003 with SP1 to Windows Server 2008: Encrypting File System http://technet2.micr[...] Microsoft 2007-09-01
_[29] 웹사이트 Microsoft Windows Vista Security Enhancements http://download.micr[...] Microsoft 2006-06
_[30] 웹사이트 Data Communication Protocol http://www.freepaten[...] Microsoft 2006-11-30
_[31] 웹사이트 Changes in EFS http://technet.micro[...] Microsoft TechNet 2009-05-02
_[32] 웹사이트 暗号化ファイル システム (EFS) とは - Windows ヘルプ https://windows.micr[...] Microsoft 2017-10-02
_[33] 웹사이트 '[MS-FSCC]: Appendix B: Product Behavior' https://msdn.microso[...] Microsoft 2017-10-02
_[34] 웹사이트 How IT Works: Encrypting File System http://technet.micro[...] Microsoft 2006-05
_[35] 웹인용 File Encryption (Windows) http://msdn.microsof[...] Microsoft 2010-01-11
_[36] 문서 EFS는 윈도우 2000 서버와 워크스테이션, 윈도우 XP 프로페셔널, 윈도우 서버 2003과 2008, 윈도우 비스타, 윈도우 7 비즈니스, 엔터프라이즈, 얼티밋에디션에서 사용할 수 있다. 윈도우 XP 홈 에디션이나, 윈도우 비스타와 윈도우 7의 스타터, 베이직, 홈 프리미엄 에디션에서는 EFS를 쓸 수 없거나 기능이 제한된다. 윈도우 9x계열의 운영 체제는 EFS의 기반인 NTFS를 지원하지 않기 때문에 구현조차 할 수 없다.
_[37] 웹인용 BitLocker 드라이브 암호화와 암호화 파일 시스템의 차이점 http://windows.micro[...] Microsoft 2013-08-27
_[38] 웹인용 Encrypting File System http://technet.micro[...] Microsoft 2008-05-01
_[39] 웹인용 Cryptographic Filesystems, Part One: Design and Implementation http://www.securityf[...] Security Focus 2010-01-11
_[40] 웹인용 Encrypting File System http://www.anvir.com[...]
_[41] 웹인용 First Look: New Security Features in Windows Vista http://www.microsoft[...] Microsoft 2006-11-06
_[42] 웹인용 ntpasswd, available since 1997 http://pogostick.net[...] 2016-02-12
_[43] 문서 역자 주: 공격당하기 이전 파일이라고 해서 안전한 것도 아니다. 강제로 파일의 복호화 정보영역을 갱신시켜 버리면 되기 때문이다.
_[44] 웹인용 Microsoft website. http://www.microsoft[...] 2013-08-29
_[45] 웹인용 Windows Vista Session 31: Rights Management Services and Encrypting File System http://download.micr[...] Microsoft 2006-09-05
_[46]
[47] 웹인용 Changes in Functionality from Windows Server 2003 with SP1 to Windows Server 2008: Encrypting File System http://technet2.micr[...] Microsoft 2007-09-01
_[48] 웹인용 Microsoft Windows Vista Security Enhancements http://download.micr[...] Microsoft 2007-06-14
_[49] 웹인용 Data Communication Protocol http://www.freepaten[...] Microsoft 2006-11-30
_[50] 웹인용 Changes in EFS http://technet.micro[...] Microsoft TechNet 2009-05-02
_[51] 웹인용 How IT Works: Encrypting File System http://technet.micro[...] Microsoft 2009-05-22