為何需要 EFS？

NTFS 權限僅在「同一作業系統運行時」生效。駭客可攜帶其他作業系統（Linux、DOS、另一套 Windows）啟動，以管理員身份繞過 NTFS ACL 直接讀取資料。EFS 在檔案系統層面加密，離線同樣受保護。

EFS 核心特性

• 基於公開金鑰基礎結構 (PKI) + CryptoAPI
• 預設演算法：DESX、3DES（可擴展）
• 加密透明化：應用程式無感知，使用者僅勾選屬性即可
• 資料夾加密 = 遞歸加密所有現有/新增檔案

操作圖解

加密

1. 資源管理器 → 右鍵檔案/資料夾 → 內容
2. 一般索引標籤 → 進階 → 勾選「加密內容以保護資料」 → 確定

解密

1. 同樣路徑 → 取消勾選「加密內容以保護資料」

關鍵限制與注意事項

項目	說明
檔案系統	僅支援 NTFS，FAT/FAT32 無法加密
網路傳輸	本地加密，網路傳輸時不加密（需配合 IPSec/SSL）
複製/移動	複製/移動至非加密資料夾或 FAT 分區 → 自動解密，建議操作後重新加密
備份/還原	備份時保持加密狀態，還原需具備對應私鑰
金鑰管理	自動產生 FEK（檔案加密金鑰）+ 使用者公開金鑰加密 FEK，私鑰解密 FEK 再解密檔案

進階應用場景

• 多使用者共用電腦：各自加密各自資料夾，互不干擾
• 筆電遺失：硬碟拆下掛載他機，無私鑰無法讀取
• 機敏文件共享：僅授權使用者可解密存取

結語

EFS 是 Windows 2000 內建、零成本、透明化的強力資料保護機制。配合 NTFS 權限、實體安全、備份策略，可構建完整資料防護體系。