深入剖析EFS(2)

EFS 属性
        
  当NTFS加密文件的时候,它首先会为文件设置加密标志,然后在存储DDF和DDR的地方为文件创建一个$EFS属性.这个属性的属性ID=0x100,它可以被加长,占有0.5k到若干k的大小,这个大小是由DDF和DRF的数量决定的.
  
  http://edu.chinaz.com/Files/BeyondPic/EFS_example.gif
  
  紫色:EFS属性大小
  
  天蓝色:电脑安全标识符和用户数字.它指定EFS存储证书的文件夹.为了得到文件
      夹的名字,EFS会做一些转换.

      5A56B378 1C365429 A851FF09 D040000 - 存储在$EFS中的数据.

      78B3565A 2954361C 09FF15A8 000004D0 - 转换后的结果.

      2025018970-693384732-167712168-1232 - 转换成十进制.

      S-1-5-21-2025018970-693384732-167712168-1232 - 加上安全标识符前缀.

      得到的文件夹就是:

      %UserProfile%\ApplicationData\Microsoft\Crypto\RSA\S-1-5-21-2025018970-693384732167712168-1232\

  粉红色:公有密匙特性

  黄色:私有密匙全局唯一标识符(同时被当作容器名字).当EFS从CryptoAPI provider中获取设备环境的时候使用这个名字.如果$EFS属性只有一个DDF,容器的名字可以从$efs中计算出来.但是当更多的用户加入这个文件的时候(就会有更多的DDF和DRF),私有密匙全局唯一标识符并不是保存所有的用户,其它的必须从基于公有密匙存储特性的证书中恢复.

  红色:加密提供器的名字(Microsoft Base Cryptographic Provider v.1.0)

  绿色:用户的名称,DDF和DRF的所有者.

  蓝色:加密后的FEK.通常FEK是128位的,但是被1024位的RSA密匙加密后,长度变成1024位.

原文转自：http://www.ltesting.net