Mal wieder EFS - Passwortänderung

[IT-SysZerstörer 10]

Hallo!

 

Mal wieder ein Thread zum guten alten Thema EFS. Stehe vor der Tatsache, dass ich zu einem bestehenden Problem hinzugerufen wurde. Und zwar wurden in diesem Fall auf einem Stand-Alone NB mit XP-Pro SP2 verschiedene Dateien und Verzeichnisse mit EFS verschlüsselt.

 

Der Nutzer hat dann, wie es so sein kann, nach einem verlängertem Wochenende sein PW vergessen. Daraufhin hat er bei unserer Hotline angerufen und einen noch eher jungen Kollegen erwischt. Der Promt das Kennwort auf die feine englische zurückgesetzt hat.

 

Nun hab ich mich hier durch ziemlich viele Threads geschlagen und nicht wirklich hilfreiche Lösungen für dieses spezifische Problem gefuden.

 

Daher meine bitte an euch: Bitte betrachtet, auch wenn es wohl schon sehr müssig ist, unser Problem im Detail.

 

PS: Ich wollt nur einmal noch bemerken, dass meines Wissens nach, das zurücksetzten des PW auf das ursprünglich benutzte nichts bring. Da ein neuer Finger-Print erstellt wird, der mit dem öffentlichen Schlüssel nicht verwendet werden kann, auch wenn das PW wieder das selbe ist! Korrigiert mich, falls ich einem Irrtum unterliege!?

 

Danke schon mal im voraus für eure Antworten!

 

MfG

 

Kristoff

[olc 18]

Hallo Kristoff,

 

solange das Profil noch vorhanden ist, ist der Master Key bzw. die privaten Schlüssel auch noch vorhanden. Es gibt hier auf dem Markt befindlich Programme, die versprechen die Schlüssel zu knacken (im Grunde also das Kennwort zu brechen). Diese Lösungen hast Du beim Durchstöbern der Boardsuche ja schon gefunden. ;)

 

Bezüglich des Original-Kennworts: Solange keine Änderungen an den Schlüsseln (inkl. den DPAPI Master Keys) stattgefunden haben, sollte das Zurücksetzen des Kennworts eigentlich den gewünschten Effekt bringen. Aber der Benutzer kennt das Kennwort nicht mehr oder?

 

Eine Frage noch dazu: Arbeitet Ihr in einer Domänen- oder Arbeitsgruppenumgebung? Denn wenn das Kennwort über die AD bei Domänenkonten zurückgesetzt wurde, sollte es im Grunde kein Problem geben. Nur bei lokalen Konten kommt es zu dem Problem nach dem Zurücksetzen des Kennworts. Außerdem wäre in einer Domänenumgebung standardmäßig ein Data Recovery Agent aktiv, der unter guten Bedingungen zur Entschlüsselung herangezogen werden könnte.

 

Viele Grüße

olc

[ingo.O 10]

ja genau so sieht es aus, wenn es lokal ist ist schlecht, domaine geht

[IT-SysZerstörer 10]

Hi OLC!

 

Das Profil ist weiterhin vorhanden, wie du schon richtig vermutet hast. Allerdings handelt es sich wie gesagt um ein Stand-Alone Gerät, dass leider nicht in unserer Damäne fungiert.:(

 

Weiterhin vermutest du weiter richtig, dass das Kenwort nicht mehr bekannt ist! Auch mit Systemwiederherstellung ist also nichts zu machen. Da entsprechende Parameter von der Wiederherstellung außer Acht gelassen werden.

 

Standardmäßig haben wir die Arbeitsgruppenumgebung nicht weiter konfiguriert! Die ist also auf Stadardeinstellugen belassen. Da das NB nicht am Netz betrieben wird, wird uns das aber wohl auch nicht helfen, oder?

 

Die "Wunderprogramme" wie ich sie mal nennen will, habe ich wohl zur Kenntnis genommen. Nur halte ich nicht sehr viel von solch teurer Software, wenn die Aussicht auf Erfolg nur sehr gering ist, wie die meisten Erfahrungen wohl sagen.

 

 

Kenne mich noch nicht so mit EFS aus. Ist das erste mal, dass ich von so einem Fall Kenntnis habe.

 

Bitte daher um etwas Nachsicht!;)

 

MfG

[olc 18]

Hi Kristoff,

 

mach Dir keine Gedanken, zum Fragen ist das Board gedacht. :)

 

Wie oben schon geschrieben: Wenn das Kennwort nicht mehr bekannt ist und es sich nicht um eine Domänenumgebung (bzw. um einen Domänenbenutzer) handelt, hast Du keine Alternativen zu diesen mehr oder weniger tollen Programmen (zumindest kenne ich keine).

 

Solange jedoch das Schlüsselmaterial da ist, gibt es scheinbar ganz gute Chancen. Es wird dann das Kennwort z.B. per Brute Force ermittelt. Da sicherlich bei dem alleinstehenden Client keine komplexen Kennwörter erzwungen wurden und die Benutzer von Hause aus "faul" sind ;) , kann es sogar ganz gute Chancen geben, an die Schlüssel und damit an die Dateien zu kommen.

 

Vielleicht kann hier ja jemand einmal seine Erfahrungen in Bezug auf konkrete Programme zum Besten geben.

 

Für die Zukunft macht es sicherlich Sinn über die Vorsorge nachzudenken. :)

 

Viel Erfolg und viele Grüße

olc

[IT-SysZerstörer 10]

O.K. wen es noch Chancen gibt, ist es nicht aussichtslos!:confused:

 

Wegen der Komplexität wird das etwas schwieriger. Auch lokal wird die Komplexität standardmäßig von uns aktiviert! :(

 

Nichts desto trotz danke ich dir für deine Mühe!