EFS (Encrypting File System) 是 Windows 內建的透明檔案級加密技術，基於 NTFS、使用者憑證與 DPAPI，提供無感知的資料保護。本文涵蓋四大實戰場景。
前置條件
- 磁碟分割區必須為 NTFS 格式。
- 僅支援 Windows 2000/XP/2003/Vista/7/8/10/11 專業版/企業版/教育版 (家用版不支援)。
- 加密透明於授權使用者：登入即可存取，無需額外密碼。
- 非授權使用者 (含 Administrator) 存取將提示「拒絕存取」。
實戰一：資料夾加密 (GUI)
- 右鍵資料夾 →「屬性」→「一般」分頁 →「進階」。
- 勾選「加密內容以保護資料」→「確定」。
- 套用變更 → 選「將變更套用到這個資料夾、子資料夾和檔案」→「確定」。
- 加密完成後，檔案/資料夾名稱在總管顯示為綠色。
- 解密：同樣路徑取消勾選即可。
命令列替代： cipher /e /s:"D:\Secret" 加密 / cipher /d /s:"D:\Secret" 解密。
實戰二：右鍵選單快速加密/解密
Win+R → regedit 定位至 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced。- 右鍵新建 → DWORD (32 位元) 值 → 名稱
EncryptionContextMenu → 數值 1。
- 重啟總管或重新登入，右鍵 NTFS 檔案/資料夾即出現「加密」/「解密」選項。
實戰三：禁止特定資料夾被加密 (多用戶環境)
在該資料夾建立 Desktop.ini，內容：
[Encryption]
Disable=1
儲存後設為系統/隱藏屬性：attrib +s +h Desktop.ini。此後任何使用者嘗試加密該資料夾將報錯 (子資料夾不受影響，需逐層設定)。
實戰四：完全禁用 EFS 功能
regedit 定位 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EFS。- 新建 DWORD 值
EfsConfiguration = 1。
- 重啟生效，系統將不再提供 EFS 加密選項。
關鍵管理與備份 (極重要)
- EFS 使用使用者憑證 (公開金鑰加密 FEK，私鑰解密 FEK)。私鑰遺失 = 資料永久無法解密。
- 必須備份憑證：
certmgr.msc →「個人」→「憑證」→ 右鍵 EFS 憑證 →「所有工作」→「匯出」→ 包含私鑰 → 設定強密碼 → 存放於離線安全媒體 (USB 金鑰、列印 QR Code 保管)。
- 指定 資料復原代理人 (DRA)：群組原則 → 電腦設定 → Windows 設定 → 安全性設定 → 公開金鑰原則 → 加密檔案系統 → 新增 DRA 憑證。DRA 可在使用者私鑰遺失時解密資料。
限制與注意事項
- 不支援 FAT32/exFAT/ReFS、壓縮檔案 (需先解壓)、系統檔案/目錄。
- 網路共享存取：遠端使用者需具備有效憑證私鑰 (需配置憑證漫遊/智慧卡)。
- 移動至非 NTFS 磁碟會自動解密。
- 效能影響極微 (AES-256 硬體加速)，大量小檔案加密時可感知 CPU 佔用。
EFS 是輕量級資料保護利器，配合憑證備份與 DRA 機制，可有效防禦實體竊取、未授權存取與勒索軟體加密 (勒索軟體無法加密已加密檔案)。企業環境建議透過群組原則統一管理 EFS 策略與 DRA。