Encriptacion de ficheros en Windows XP Profesional y Windows 2000

Las organizaciones, e incluso los usuarios domésticos, son conscientes de que los datos sensibles no deben estar disponibles para otros usuarios.

Windows XP Profesional nos da una alternativa para poder proteger estos datos y prevenir su pérdida. El "Encripting File System" (EFS) es el encargado de codificar los ficheros. Estos ficheros sólo se pueden leer cuando el usuario que los ha creado hace "logon" en su máquina (con lo cual, presumiblemente, nuestra password será una password robusta). De hecho, cualquiera que acceda a nuestra máquina, no tendrá nunca acceso a nuestros ficheros encriptados aunque sea un Administrador del equipo.

La encriptación es el proceso de codificar datos sensibles usando un algoritmo. Sin la clave del algoritmo correcta los datos no pueden ser desencriptados. Windows XP usa encriptación para varios propósitos:

* Ficheros encriptados en un volumen NTFS.

* Datos encriptados enviados entre un cliente web y un servidor usando Security Socket Layer (SSL).

* Encriptando tráfico entre ordenadores usando VPN.

* Encriptando o firmando mensajes de email.



PRECAUCIONES QUE DEBEMOS TENER CON EFS
--------------------------------------

EFS nos da un encriptación segura de la información. La encriptación es tan segura, que si perdemos la clave para desencriptar los datos, la información. estará irremediablemente perdida. Windows XP no tiene una "puerta trasera" si la clave se pierde.

Inocentemente podemos perder la clave por varios motivos:

* Por ejemplo, manipulando en la caja de dialogo de Certificados o en la consola de Certificados (certmgr.msc) podemos sin querer, borrar el certificado de encriptación.

* Podemos tener, por ejemplo, los datos almacenados en carpetas encriptadas en un segundo volumen (disco D:, por ejemplo). E imaginemos que decidimos por problemas reinstalar Windows. Formateamos C:\ e instalamos. Por desgracia, en cada instalación de Windows, aunque los nombre y claves de usuario sean las mismas, Windows crea un nuevo identificador de seguridad (SID) para cada usuario. Por tanto, las claves de encriptación y el certificado de seguridad, serán diferentes al ser nuevo el SID del usuario. En este caso, o tenemos copia de los certificados anteriores, o habremos perdido también irremediablemente la información. encriptada en nuestro segundo disco duro (D:).

Con un poco de cuidado, estos escenarios tan dramáticos pueden prevenirse. Para ello, sigamos los siguientes pasos (por primera vez):

1) Creamos una carpeta vacía, y le colocamos los atributos de encriptada.

2) Creamos o guardamos cualquier fichero de texto en dicha carpeta. Esto encriptará un archivo por primera vez.

3) Si nuestra máquina no es parte de un Dominio, creamos un agente de recuperación. Una segunda cuenta de usuario podrá ser usada con este agente para desencriptar los ficheros. Veremos más adelante como crear este agente de recuperación.

4) Guardamos el certificado de agente de recuperación. y el certificado personal de encriptación (en un disquete, por ejemplo y a salvo de terceras personas). Este último certificado no se creará hasta que hayamos realizado la primera encriptación, por ello es por lo que hemos realizado, por primera y única vez, los pasos 1) y 2).

5) Ahora ya podemos empezar a encriptar los datos sensibles.



POR QUÉ ENCRIPTAR CARPETAS Y ARCHIVOS
----------------------------------------

EFS permite encriptar archivos en un volumen NTFS local (insisto: "local". No es aplicable a volúmenes en red). Esto ofrece un nivel de protección adicional a los permisos NTFS. Recordemos que los volúmenes NTFS pueden ser vulnerables por muchas vías: por ejemplo, instalando otro Windows XP en otra partición y tomando posesión de la partición primitiva, o bien arrancando con utilidades como NTFSDOS. En estos caso, si alguien tiene acceso físico a nuestra máquina, podría llevarse información confidencial. Este es uno de los motivos por los que se hace imprescindible, sobre todo en equipos portátiles de empresa, el tener encriptada la información sensible. Ante robo o pérdida, los datos serán irrecuperables.

En algunas máquinas, podemos usar opciones de la Bios para proteger el inicio del ordenador con password. Desafortunadamente, este tipo de protección también puede ser reventada, por ejemplo quitando el disco duro y montándolo en otro equipo. Si los datos no están encriptados, se podrá tomar posesión de las carpetas y serán accesibles a un malintencionado usuario.



SECURIZANDO EL FICHERO DE PAGINACIÓN
------------------------------------

Si existe la posibilidad de que nuestro ordenador caiga en manos extrañas, debemos tener la seguridad de que no estamos dejando "pistas" en el fichero de paginación. Por defecto, cuando apagamos la máquina, el fichero de paginación. permanece intacto. Quien pueda tener acceso físico a nuestro disco duro, podría echar una mirada a un fichero de paginación sin encriptar para intentar localizar restos de información sensible.

Si no queremos que esto suceda, podemos cambiar una entrada del registro. En la clave:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Session Manager\MemoryManagement
podemos colocar el valor 1, en la variable ClearPageFileAtShutdown.
De esta manera, al cerrar la máquina, Windows sobreescribirá las paginas usadas en el archivo de paginación con ceros binarios. Esto hace que el shutdown del sistema sea bastante más lento, por tanto, no debemos realizar este cambio a no ser que las necesidades de seguridad lo hagan necesario.


CÓMO FUNCIONA EL MECANISMO DE ENCRIPTACIÓN
------------------------------------------

EFS nos proporciona una vía segura para almacenar datos sensibles. Usa una clave pública para crear una clave de encriptación aleatoriamente generada (FEK). Este proceso se realiza transparentemente para el usuario. Windows, automáticamente encripta los datos usando esta FEK cuando los datos se escriben a disco. Estos datos pueden ser sólo desencriptados con su certificado y su clave privada asociada, la cual sólo está disponible haciendo "logon" con el usuario / password que lo encriptó. Si otros usuarios intentan usar uno de estos archivos encriptados, recibirán un mensaje de "acceso denegado".

Se pueden encriptar archivos o carpetas. Se recomienda encriptar carpetas en lugar de archivos individuales, ya que cualquier archivo que guardemos en dicha carpeta se encriptará automáticamente Y esto último, incluye también archivos temporales que una aplicación pueda escribir en dichas carpetas, ya que, por ejemplo Office, escribe una copia temporal de los documentos que estemos abriendo en la carpeta en donde resida el documento. Si la carpeta está encriptada, estos temporales también lo estarán y no corremos peligro de que por una caída de la aplicación queden archivos temporales con datos sensibles sin encriptar. Por esta razón se debe considerar también el encriptar la carpeta %temp% y %tmp% del usuario.

Lo mismo que el proceso de encriptación, la desencriptación se realiza transparentemente para el usuario. Por ello, la manera de trabajar con ficheros encriptados es la misma que con ficheros no encriptados: no tenemos que hacer nada. Cuando Windows detecta que un fichero está encriptado, simplemente busca el certificado y usa la clave privada para desencriptar los datos. Es transparente, por tanto, a las aplicaciones.



PERMITIENDO A OTROS USUARIOS USAR NUESTROS FICHEROS ENCRIPTADOS
---------------------------------------------------------------

Después de encriptar un fichero, podemos permitir a otros usuarios el acceder a dicho fichero transparentemente. Esta capacidad, nueva en XP, nos permite asegurar un fichero con EFS y dejarlo disponible a los usuarios que deseemos. Los usuarios que especifiquemos pueden ser usuarios que acceden desde la misma máquina, o bien usuarios que acceden desde la red. Para activar que otros usuarios puedan acceder a nuestros ficheros encriptados:

1) Botón derecho sobre el fichero encriptado y "Propiedades". En la pestaña "General" seleccionamos "Avanzado".

2) En Atributos Avanzados, pinchamos "Detalles".

NOTA: El botón de "detalles" está indisponible cuando inicialmente encriptamos un fichero. Debemos encriptar el fichero, salirnos, y volver posteriormente al dialogo de Atributos Avanzados. Igualmente, el botón de "detalles" está disponible sólo cuando seleccionamos un único fichero. Si seleccionamos una carpeta o varios ficheros, el botón estará indisponible.

3) En la caja de diálogo de "Detalles" de encriptación, le damos al botón de Añadir. Aparecerá una caja de diálogo con los usuarios.

4) Seleccionamos a los usuarios a los que queremos permitir el acceso.

NOTA: Únicamente los usuarios que tengan ya un certificado EFS en nuestra máquina aparecerán en dicha caja de diálogo. La mejor manera para que un usuario de nuestra máquina cree un certificado (y por tanto aparezca en la lista), es que el usuario haga logon en la máquina y encripte un fichero cualquiera. Los usuarios de red, deben exportar su propio certificado (para más detalles, lo veremos más adelante); posteriormente debemos importar dicho certificado en nuestra máquina.



USO DEL COMANDO CIPHER
----------------------

Si preferimos usar un comando en la línea de comandos de una consola, tenemos el comando cipher como alternativa a la caja de diálogo de Atributos Avanzados que hemos visto anteriormente, y que nos permite encriptar y desencriptar carpetas y archivos.

Si ejecutamos CIPHER sin parámetros, veremos el estado de la encriptación de la carpeta donde nos encontremos y sus archivos.

Para encriptar o desencriptar ficheros debemos incluir el path y los parámetros Podemos usar el parámetro /E para encriptar archivos o carpetas, o /D para desencriptarlo. Por ejemplo, para encriptar la carpeta Mis Documentos y todas sus subcarpetas:

cipher /e /a /s:"%userprofile%\mis documentos"

En la especificación de los nombres de ficheros, podemos usar comodines. Igualmente podemos especificar múltiples carpetas o ficheros en una sola invocación desde la línea de comandos, separándolos simplemente con un espacio.

Los parámetros más habituales los describimos a continuación. Para ver una lista detallada de parámetros, ejecutar cipher /? en la linea de comandos.

/E Encripta las carpetas que hayamos especificado.

/D Desencripta las carpetas especificadas.

/S:carpeta Realiza la operación en un carpeta y en sus subcarpetas (pero no en los ficheros).

/A Realiza la operación en los ficheros especificados o bien en los ficheros de una determinada carpeta.

/K Crea una nueva clave de encriptación. Si usamos esta opción, todas las demás opciones posibles de la línea de comandos serán ignoradas.

/R Genera una clave de agente de recuperación y el certificado. La clave y el certificado son puestos en un archivo .pfx y el certificado solo, en un archivo .cer



CREANDO UN AGENTE DE RECUPERACIÓN.
---------------------------------

Un agente de recuperación es otro usuario, normalmente un Administrador, que puede usar nuestros archivos encriptados. Esto permite la recuperación de nuestro fichero encriptado si algo pasase con nuestra clave privada.

Windows XP no crea un agente de recuperación por defecto en máquinas "standalone". Si pertenecemos a un Dominio, el Administrador del Dominio es el agente de recuperación por defecto.

NOTA: Un agente de recuperación sólo puede recuperar archivos que han sido encriptados "después" de que el certificado de recuperación haya sido creado y se haya designado el agente de recuperación tal y como describiremos posteriormente. El agente no tendrá acceso, por tanto, a ficheros encriptados anteriormente.
Esto es debido a que cuando un fichero se encripta, EFS usa la clave pública de la cuenta que está encriptando el fichero y cada una de las de los agentes designados de recuperación. Por tanto, sólo los agentes de recuperación cuyos certificados estén instalados en el momento de la encriptación pueden desencriptar el fichero.

Para crear un agente de recuperación de datos debemos crear un certificado de recuperación de datos y designar a un usuario para que sea agente de recuperación.



GENERANDO UN CERTIFICADO DE AGENTE DE RECUPERACIÓN.
--------------------------------------------------

Para generar un certificado de agente de recuperación, debemos seguir los siguientes pasos:

1) Conectarnos como Administrador.
2) En una consola de comandos (cmd.exe) ejecutar: cipher /r:nombrefichero
3) Cuando nos pregunte, teclear una password que será usada para proteger los archivos que creemos.

Esto genera ambos: un fichero .pfx y un fichero .cer con el nombre de fichero que hemos especificado anteriormente.

NOTA: Estos ficheros permiten que cualquiera sea un agente de recuperación. Por tanto, debemos asegurarnos de copiarlos a un disquete y colocarlo en un lugar seguro. Posteriormente debemos borrarlos de nuestro disco duro.



DESIGNADO AGENTES DE RECUPERACIÓN DE DATOS
------------------------------------------

Podemos designar a cualquier usuario como un agente de recuperación de datos. Se recomienda que sea una cuenta de un Administrador.

NOTA: No debemos designar a nuestra propia cuenta como agente de recuperación, ya que si nuestro perfil se daña, y no hay más agentes de recuperación, habremos perdido irremediablemente los datos.

Para designar un agente de recuperación.:

1) Conectarnos con la cuenta del usuario que queremos designar como agente de recuperación.
2) En certificados (ejecutando: certmgr.msc) ir a certificados, Usuario Actual\Personal.
3) En el menú Acción / Todas las tareas / Importar, lanzará el asistente de recuperación. Pulsar siguiente y aparecerá una página para importar el archivo.
4) Entramos el path y el nombre del fichero del certificado de encriptación (el fichero .pfx).
5) Entrar la password para este certificado (la tecleada anteriormente cuando ejecutamos el comando cipher) y seleccionamos "marcar esta clave como exportable". Pulsamos siguiente.
6) Seleccionamos: automáticamente seleccionar el certificado basado en el tipo de certificado y pulsamos siguiente. A continuación pulsamos finalizar.
7) En Local Security Settings (ejecutando: secpol.msc) vamos a Security Settings\Public Key Policies\Encrypting File System
Menu Acción / Añadir un agente de recuperación. Pulsamos siguiente.
9) En la página de seleccionar agente de recuperación, pulsamos el botón de Ver y navegamos a la carpeta que contiene el .cer que hemos creado. Seleccionamos el fichero y le damos "Abrir". Ahora nos mostrará el nuevo agente como USER_UNKNOWN. Esto es normal debido a que el nombre no está almacenado en el fichero.
10) Tecleamos siguiente y finalizamos.