EFS für Freigabe (Netzlaufwerk) deaktivieren ?

[xburner 10]

Hallo zusammen,

ich bin dabei für mehrere Notebooks ein Datensicherheitskonzept zu entwerfen und ich bin am Überlegen dafür die EFS-Verschlüsselung einzusetzten. Ich habe folgendes Problem:

Wenn ich verschlüsselte Daten von der lokalen Festplatte (XP) auf das Server Netzlaufwerk (W2k3) kopiere, sind diese auf dem Server ebenso verschlüsselt. Ich möchte, das alle Daten, die auf dem Server freigebeben sind unverschlüsselt sind.

 

Wisst Ihr vielleicht eine Möglichkeit die Verschlüsselung für Freigaben zu deaktivieren? Konnte dazu leider nichts finden.

 

Schon mal danke!

 

Gruss

xburner

[ChristianHemker 10]

Ich habe da was im Kopf, teste es gerade mal aus!

Ich denke mal du hast eine Active Directory Umgebung?

[ChristianHemker 10]

Ganz einfache Sache, habe es gerade mal mit 3 virtuellen Machinen ausgetestet:

- Domänencontroller

- Mitgliedsserver

- XP Client

Alle Server sind Windows Server 2003 R2 (ohne R2 macht das aber keinen Unterschied).

 

Wenn man jetzt auf dem XP Client Dateien verschlüsselt und diese auf dem Domänencontroller ablegt, so werden diese dort auch verschlüsselt abgelegt. Das liegt daran, dass diesem Computer "Zu Delegierungszwecken vertraut" wird. Das muss auch so sein, ist ja schließlich der DC.

Anderen Servern wird nicht standardmäßig zu Delegierungszwecken vertraut. So kann man keine mit dem EFS verschlüsselten Dateien ablegen.

Diese Einstellung kann man auf dem Computerkonto des jeweiligen Computers einschalten (rechtsklick auf das Computerkonto - Eigenchaften), so dass dann auch dort Dateien verschlüsselt abgelegt werden können.

 

Die Lösung für dein Problem ist also recht einfach: Die User sollten ihre Dateien nicht auf dem DC ablegen, sondern auf einem Memberserver, da diesem nicht standardmäßig vertraut wird.

 

Eine Anmerkung noch fürs Protokoll: Die verschlüsselten Dateien werden vor der Übertragung entschlüsselt, übertragen und dann auf dem Zielserver wieder verschlüsselt. Möchte man also die Datenübertragung schützen, so sollte man IPsec oder WebDAV mit SSL einsetzen.

[GerhardG 10]

probier mal folgendes:

 

Encrypting File System in Windows XP and Windows Server 2003

 

Note Windows Server 2003 and Windows XP Service Pack allow for a registry setting that will allow files to be decrypted silently by applications or by using the command-line without the additional command-line parameters. To set this option create the following registry DWORD value:

 

HKLM\Software\Policies\Microsoft\Windows\System\

DWORD Name: CopyFileAllowDecryptedRemoteDestination

Value: 1