Serverfreigabe mit EFS verschlüsseln

[=BT=Viper 11]

Hi,

 

Ich beschäftige mich gerade mit dem Thema EFS Verschlüsselung mit dem Ziel, Ordner und Dateien auf einer Freigabe zu verschlüsseln.

Der DC hat auch eine CA und ein DRA-Zertifikat habe ich auch.

 

Ich habe jetzt zum Test Dateien auf der Freigabe mit dem Administrator verschlüsselt, das Zertifikat des Admin exportiert und bei einem Client importiert. Jedoch kann der Client die Dateien dennoch nicht öffnen.

 

Jetzt bin ich darüber gestolpert, dass dem Computerkonto für Delegierungszwecke vertraut werden muss. Ich hab das mal beim Client und beim Fileserver gemacht mit der Option "für alle Dienste (nur Kerberos)".

Den Server habe ich noch nicht neu gestartet nach der Änderung.

 

Wie bekomm ich das hin, dass die Daten verschlüsselt sind, die Benutzer aber auch zugriff haben?

[olc 18]

Hi,

 

hast Du nur das Zertifikat imporiert oder das Zertifikat inkl. des privaten Schlüssels? Letzteres ist notwendig (etwa als PFX-Datei).

 

Wenn zu Beginn die Delegierung auf dem Computerkonto des Fileservers noch nicht aktiv war, kannst Du auch keine Daten auf dem Fileserver remote verschlüsselt haben. Bist Du Dir sicher, daß Du die Dateien remote abgelegt hast?

 

Viele Grüße

olc

[=BT=Viper 11]

Ich hab nur das Zertifikat ex/importiert. Welches ist denn der priv. Schlüssel?

 

Die Dateien habe ich lokal (auf dem Server) mit dem Admin verschlüsselt.

 

 

Wobei ich momentan am überlegen bin, ob wir die Daten niht doch wieder mit TrueCrypt verschlüsseln. Um so mehr ich mich mit EFS beschäftige kommt doch die Frage auf ob ich es im Griff habe. Das Ganze ist doch etwas undurchsichtig für einen Neueinsteiger bei der Thematik.

Ich hab jetzt mal alle Zertifikate incl. der Zertifizierungsstelle exportiert um im Notfall an die Daten zu kommen.

Wir wollen sehr viel verschlüsseln und wenn die Daten mal futsch wären würde mein Chef mich glaub vierteilen, zusammen nähen lassen und nochmal vierteilen. :P

 

Was passiert eigentlich wenn die Zertifikate auslaufen? Werden die von der CA automatisch verlängert?

[olc 18]

Hi,

 

wenn Du nur das Zertifikat exportiert hast, kann es nicht funktionieren. In dem Exportdialog mußt Du die Option markieren, die angibt, daß der private Schlüssel ebenso exportiert werden soll.

 

EFS und Truecrypt sind vollkommen unterschiedliche Baustellen. Mit Truecrypt wirst Du im Normalfall ganze Container oder Laufwertke verschlüsseln, EFS arbeitet dateibasiert. Du mußt DIch also erst einmal entscheiden, was Du für konkrete Anforderungen an eine Verschlüsselungslösung hast. Danach macht es erst Sinn sich für den einen oder anderen Weg zu entscheiden.

 

Wenn Du eine Enterprise CA hast, die EFS Zertifikate von dieser CA ausgerollt wurden und auch das "Autoenrollment" mit allen GPO-Optionen aktiviert ist, dann werden im Normalfall Zertifikate automatisch erneuert.

Andernfalls mußt Du das manuell durchführen.

 

Viele Grüße

olc