為什麼需要 EFS？
企業常見場景：多用戶共用桌機、筆電攜出辦公（客戶現場、機場、旅館、居家辦公）。一旦裝置遺失/被竊，未加密的硬碟資料可被繞過作業系統登入直接讀取（Linux Live USB、硬碟外接盒）。EFS (Encrypting File System) 提供檔案/資料夾級透明加密，僅授權使用者（持有私鑰）可讀取，物理存取者看到的僅是亂碼。
EFS 核心機制
- 加密演算法： 對稱金鑰 (FEK, File Encryption Key) 加密檔案內容 → FEK 再以使用者公開金鑰 (RSA) 加密儲存於檔案屬性 $EFS 串流中。
- 解密流程： 使用者私鑰解密 FEK → FEK 解密檔案內容。全程透明，應用程式無感知。
- 憑證管理： 每位使用者需擁有 EFS 憑證（自我簽署或 CA 簽發），儲存於使用者設定檔
%APPDATA%\Microsoft\SystemCertificates\My\Certificates。
- 權限需求： NTFS 磁碟分區、使用者具備目標檔案/資料夾「寫入/修改」權限。
啟用 EFS 實作步驟 (Windows XP/2003/2008/Vista/7/10/11 通用)
- 以需加密資料的擁有者身分登入。
- 右鍵資料夾/檔案 → 「內容」→「進階」→ 勾選 「加密內容以保護資料」 → 確定。
- 選擇「僅套用到此資料夾」或「套用到此資料夾、子資料夾和檔案」。
- 系統提示備份加密金鑰 → 務必立即備份至可移動媒體 (USB/網路磁碟)，並設定強密碼保護 .pfx 檔案。遺失私鑰 = 永久無法解密。
- 加密完成後，檔案/資料夾名稱在總管中以綠色字體顯示（可透過資料夾選項關閉顏色）。
關鍵管理最佳實務
- 資料復原代理人 (DRA, Data Recovery Agent)： 企業必須指定 DRA 憑證（群組原則：
電腦設定 → Windows 設定 → 安全性設定 → 公開金鑰原則 → 加密檔案系統），防止員工離職/遺失私鑰導致資料永久不可存取。
- 私鑰備份與託管： 使用
cipher /x 匯出 .pfx，分離儲存於保險箱與離線媒體；或整合至企業金鑰管理系統 (KMS/HSM)。
- 避免移動加密檔案至 FAT32/exFAT/網路分享： 會導致加密屬性遺失（複製到非 NTFS 磁碟會自動解密，若無讀取權限則複製失敗）。
- 加密壓縮檔/資料庫檔案： EFS 不支援壓縮屬性共存，需先解壓縮再加密；資料庫檔建議使用 TDE (Transparent Data Encryption) 或應用層加密。
常見誤區與避坑指南
| 誤區 | 事實 |
|---|
| EFS 能防禦線上攻擊（木馬竊取檔案） | 無法。使用者登入後解密透明，木馬以使用者身分執行同樣可讀取明文。 |
| 加密整個系統碟 (C:\) 即可全盤保護 | 不支援。系統檔、分頁檔、暫存檔無法加密，會導致開機失敗。請使用 BitLocker 全盤加密。 |
| 複製加密檔案到 USB 仍保持加密 | 若 USB 為 FAT32/exFAT，複製過程會自動解密（需讀取權限）。請格式化為 NTFS 或使用 BitLocker To Go。 |
| 刪除使用者帳號即可移除 EFS 加密 | 錯誤。刪除帳號會同時刪除私鑰，導致該使用者加密的檔案永久無法存取（除非有 DRA）。 |
下一篇預告
下集將深入探討 EFS 群組原則部署自動化、DRA 災難恢復演練、多使用者共享加密資料夾最佳實務、與 BitLocker 協同部署策略。