Шифрование EFS в Windows: настройка и резервная копия ключа
Ноутбук украли, а вместе с ним — папку с договорами и сканами документов. Если диск не зашифрован, данные можно прочитать, подключив его к другому компьютеру. EFS шифрует отдельные файлы и папки, не затрагивая всю систему.
Инструмент встроенный, но у него есть опасная особенность: ключ привязан к учётной записи. Потеряли ключ — потеряли файлы. Поэтому резервная копия сертификата здесь не формальность, а обязательный шаг.
Что такое EFS
Encrypting File System — файловая система с шифрованием на уровне файлов. Windows шифрует содержимое папки, а ключ хранит в профиле пользователя.
Для чтения файла система использует сертификат и закрытый ключ. Другой пользователь на этом же компьютере не сможет открыть файл, даже если получит права NTFS.
EFS работает на дисках с NTFS. На FAT32 и exFAT шифрование не поддерживается.
Чем отличается от BitLocker
BitLocker шифрует весь диск или раздел. Если ноутбук украли, злоумышленник не прочитает систему без ключа восстановления.
EFS шифрует выбранные файлы. Она защищает данные при доступе из другой учётной записи или после подключения диска к другому компьютеру, но не заменяет шифрование всего диска.
Их можно использовать вместе: BitLocker защищает том, а EFS добавляет уровень для отдельных папок. Для большинства домашних ноутбуков достаточно BitLocker, а EFS нужна, когда требуется разделить доступ между пользователями одного компьютера.
Какие версии поддерживают
EFS доступна в Windows 11 Pro, Enterprise и Education. В домашней редакции её может не быть.
Проверьте редакцию в параметрах системы. Если функция недоступна, используйте BitLocker или архивирование с паролем, но помните об ограничениях этих способов.
Не устанавливайте сторонние «шифровальщики» из рекламы. Многие из них не имеют проверенной реализации, а ключи хранят непонятно где.
Как зашифровать папку
- Нажмите правой кнопкой на папку и выберите «Свойства».
- На вкладке «Общие» нажмите «Другие».
- Отметьте «Шифровать содержимое для защиты данных».
- Подтвердите изменения и выберите, применять ли их к вложенным папкам и файлам.
Windows может предложить сохранить резервную копию ключа. Не откладывайте: сделайте это сразу.
После шифрования имя папки может отображаться зелёным цветом, если включён соответствующий параметр проводника.
Резервная копия сертификата
Откройте «Управление сертификатами» или найдите в меню «Шифрующая файловая система» пункт управления сертификатами.
Экспортируйте сертификат вместе с закрытым ключом в файл PFX. Задайте надёжный пароль.
Сохраните файл на внешний носитель или в защищённое облако, к которому у вас есть доступ с другого устройства. Одна копия на том же диске бесполезна.
Проверьте, что пароль от PFX вы точно помните и можете записать в надёжном месте.
Что будет при потере ключа
Без закрытого ключа файлы не расшифровать. Переустановка Windows, сброс профиля или повреждение учётной записи могут привести к потере доступа.
Встроенного «сброса пароля» для EFS нет. Администратор может иметь роль агента восстановления, но в домашних условиях она обычно не настроена.
Именно поэтому EFS не стоит включать «на пробу» на важных документах без резервной копии ключа.
Шифрование и перемещение файлов
Если скопировать зашифрованный файл на диск FAT32 или exFAT, шифрование не сохранится. Файл может стать обычным.
При перемещении в пределах NTFS шифрование сохраняется. При копировании в другую папку на NTFS файл может унаследовать настройки новой папки.
Перед переносом на флешку проверьте, что данные не станут открытыми. Для переноса лучше использовать архив с паролем или контейнер.
Общий доступ к зашифрованным файлам
По умолчанию расшифровать файл может только владелец сертификата. Чтобы дать доступ другому пользователю, нужно добавить его сертификат в список пользователей файла.
Это сложнее, чем выдать права NTFS. Если совместная работа нужна постоянно, проще использовать папку с правами доступа, а не EFS.
Не передавайте свой PFX-файл коллегам. Он даёт доступ ко всем вашим зашифрованным данным.
Взаимодействие с облаком
Синхронизация зашифрованных файлов может работать по-разному. В некоторых случаях облако хранит зашифрованную копию, в других — расшифровывает файл на сервере.
Если для вас важно, чтобы провайдер не видел содержимое, уточните это отдельно. EFS не предназначена для защиты данных в облаке.
Резервная копия в облаке должна быть зашифрована до загрузки, если вы не доверяете провайдеру.
Когда EFS не нужна
Если ноутбук используется одним человеком и BitLocker уже включён, EFS добавляет немного. Сложность с ключами может перевесить пользу.
Для защиты отдельных файлов при передаче лучше подходит архив с паролем или защищённый контейнер.
Для корпоративных данных решение принимает администратор: могут действовать политики и централизованное восстановление.
Проверка перед включением
Сделайте резервную копию важных файлов. Шифрование меняет способ доступа к ним, и ошибка может стоить данных.
Убедитесь, что папка находится на диске NTFS. На внешнем диске с другой файловой системой шифрование не включится.
Проверьте, что вы помните пароль учётной записи и можете восстановить доступ к профилю. Если профиль повреждён, сертификат может стать недоступным.
И только после этого включайте шифрование на небольшой тестовой папке.
EFS и резервные копии
Зашифрованные файлы нужно копировать вместе с ключом. Иначе резервная копия окажется бесполезной на другом устройстве.
Проверьте, что программа резервного копирования сохраняет атрибуты шифрования. Некоторые архивы копируют файлы как обычные.
Раз в год восстанавливайте один файл из копии на тестовом компьютере. Это единственный способ убедиться, что ключ и данные доступны.
FAQ
Можно ли расшифровать файл после переустановки Windows?
Только если у вас есть резервная копия сертификата и вы восстановите её в новой системе. Без ключа доступ не вернуть.
EFS защищает от кражи ноутбука?
Частично. Если злоумышленник получит доступ к вашей учётной записи, он сможет прочитать файлы. Для защиты всего диска нужен BitLocker.
Можно ли зашифровать системный диск целиком?
Нет, EFS работает с файлами и папками. Для диска используйте BitLocker.
Что делать, если папка перестала открываться?
Проверьте, под какой учётной записью вы вошли, и есть ли у вас сертификат. Не пытайтесь удалить файлы: сначала восстановите ключ из резервной копии.