Newsgroup: it.comp.os.win.xp
Titolo: Recupero files crittografati

Buongiorno a tutti,
ci si presenta il seguente problema:
1. cliente con WinXP Pro che ha crittografato alcuni documenti importanti
della partizione d: usando il sistema di crittografia integrato in windows
2. problema sulla macchina e omino tuttofare dell'azienda che formatta c: e
reinstalla WinXP Pro
3. cliente che non riesce più ad accedere ai suoi files crittografati
Girando per internet alla ricerca di info troviamo il seguente assunto:
[...Ogni volta che crittografate un file, EFS genera un numero casuale per
quello specifico file denominato File Encryption Key (FEK). EFS utilizza la
chiave FEK per crittografare il contenuto del file utilizzando una variante
(DESX) dell'algoritmo "Data Encryption Standard" (DES). ...]
Adesso stiamo aspettando che il cliente ci spedisca una copia dell'hd su cui
lavorare, ma pare che la situazione sia abbastanza disperata perchè il
sistema di crittografia integrato in Windows è abbastanza forte (anche
perchè sennò a che servirebbe?) e serve proprio ad evitare l'accesso ai
propri dati ANCHE in caso di copia o furto dell'hd. In pratica solo l'utente
che ha crittografato un file può decrittarlo.
Domanda: e se creassimo su una macchina test un utente con nome e pass
identiche all'utente che ha criptato i dati, si riuscirebbe a farglieli
decriptare? Qui è la prima volta che ci capita una cosa simile e ci prende
alla sprovvista. Secondo il nostro responsabile non sarebbe sufficiente
ricreare un "alias" perchè probabilmente Windows salva da qualche parte le
info sulla key utilizzata per criptare, e nel caso dell'utente alias su pc
test, questi non avrebbe a disposizione le reali info utilizzate per
criptare, e quindi non decripta.
Qualcuno ha idee oppure è passato attraverso un problema simile?
Grazie per qualunque informazione.
Stefano Gerbi

 decripta.
[CUT]
Ciao, purtroppo mi sa che l'omino tuttofare dell'azienda ha fatto un po' una 
cavolata, a meno che qualcuno non abbia preventivamente esportato la chiave 
per decriptare i files. Infatti ha ragione il tuo responsabile: a nulla 
servirebbe creare un utente con stesse credenziali. A meno che il pc non 
faccia parte di un dominio; in tal caso l'Amministratore del dominio e' 
anche il default Recovery Agent e potrebbe decrittografare i dati. Infatti 
in sostanza funziona cosi': sul computer stand-alone, possono decriptare il 
file: l'utente che lo ha crittografato; l'Amministratore locale; un 
eventuale recovery Agent designato dall'Admin; allo stesso modo in un 
dominio: Administrator, utente o recovery agent. Quindi per ora fammi sapere 
se il pc fa parte o meno di un dominio o se qualcuno ha avuto l'ottima idea 
di esportare e salvare le chiavi. Altre info:
Procedure ottimali per Crittografia file system.
http://support.microsoft.com/kb/223316/it
Encrypting File System.
http://www.microsoft.com/resources/documentation/Windows/XP/all/reskit/en-us/prnb_efs_qutx.asp
 
[LINK_LUNGO]
Methods for Recovering Encrypted Data Files.
http://support.microsoft.com/?id=255742
Altra idea: avete a disposizione un backup dei dati, compresi quelli 
criptati?
Ciao!
-- 
_______________________________
        Microsoft® Technical Advice
         news://
news.microsoft.com
http://support.microsoft.com/newsgroups
 

 alla sprovvista. Secondo il nostro responsabile non sarebbe sufficiente
Non serveribbe assolutamente a nulla.
Vi serve il certificato dell' utente o se aveva definito un recovery agent 
di quello.
In questi casi bisogna SEMPRE copiare il certificato in un floppy e poi 
metterlo in posto sicuro.

 metterlo in posto sicuro.
...e secondo te, un tecnico improvvisato che sicuramente ha tutt'altro tipo
di mansioni in quell'azienda, poteva saperlo? :D
va già bene che non abbia fatto danni peggiori... cmq proverò a chiedere
(con scarse possibilità di esito positivo) se per caso fosse stato definito
un recovery agent su una macchina della rete.
Grazie cmq per l'aiuto.
Stefano Gerbi

 criptati?
...questo è ragionevolmente più fattibile. Ma nel caso in cui fossero
disponibili i dati di backup, che ce ne facciamo? Abbiamo sicuramente a
disposizione tutta la partizione dati ntfs non manomessa durante la
reinstallazione, compresi i files criptati, ma probabilmente non esiste
un'immagine della partizione di sistema. Sul backup non posso giurarci, ma
mi informo fra un'oretta.
Grazie molte per la cortesia e la disponibilità.
Stefano Gerbi

 
Allora, per decriptare i file XP si avvale di un certificato (che di solito 
e' visibile in InternetExplorer/OpzioniInternet/Contenuto/Certificati). Il 
certificato in questione e' un file e come sappiamo una formattazione non 
elimina definitivamente i file presenti sul disco, quindi io proverei a 
recuperarlo da C:\ con qualche programma di file recovery, non e' detto che 
le trovi ma non vedo altre soluzioni...
(di' al cliente che il certificato con la chiave va esportato in un posto 
sicuro ogni volta in cui si criptano i files..!!)
ciao
mrx 

Mi rispondo da solo e ne approfitto per rispondere a tutti.
La telefonata con il cliente è stata purtroppo chiarificatrice:
- l'improvvisato tecnico, in realtà un ragazzo del reparto vendite, non ha
esportato assolutamente nulla (e neanche ci speravamo sinceramente)
- la macchina in questione è un portatile, utilizzato per lo più
stand-alone, connesso alla rete aziendale solo per usufruire di internet e
delle stampanti
- il portatile in questione non era in un dominio, ma in gruppo di lavoro
- non esistono copie di backup del contenuto, a parte quanto presente sulla
partizione dati, perchè la loro politica aziendale gli impone di backuppare
solo i dati "importanti" presenti sul file server
- non esistono immagini della partizione di sistema
- risultano in proporzione scarse le probabilità di recupero vs. la lunga
durata della procedura di tentativo di restore della chiave, "forse" non
sovrascritta durante la reinstallazione, tramite apposito software
Per questi motivi abbiamo preferito considerare l'intervento non risolutivo
ed abbiamo deciso, di comune accordo con il cliente anche per gli eventuali
eccessivi costi (evidentemente i dati non erano vitali, sennò almeno un
backup lo avrebbero fatto), di non "tentare" l'intervento.
Grazie comunque a tutti per i preziosi consigli e suggerimenti.
Stefano Gerbi

le trovi ma non vedo altre soluzioni...
Proprio mentre leggevo questo post, un mio collega ha pensato la stessa
cosa, ma bisognerebbe avere la fortuna che questo file non sia stato
sovrascritto durante la reinstallazione, cosa che è remotamente possibile,
anche se secondo la legge di Murphy.... :\
Comunque è un ulteriore tentativo da fare e per questo ti ringrazio.
Stefano Gerbi

 di mansioni in quell'azienda, poteva saperlo? :D
No, è però per voi l' occasione di sottolineare come questi tecnici 
improvvisati possano fare casini enormi e spuntare un bel contratto di 
assistenza ;-)
ciao