2
EFS catched Key vom eToken
EFS ver- und entschlüsselt Dateien, obwohl eToken mit dem Zertifikat vom Rechner entfernt ist - warum?
Hallo zusammen,
ich bin gerade dabei mit Vista Ultimate und einem Aladdin eToken die Dateiverschlüsselung EFS einzurichten.
Wenn man einmal davon ab sieht, dass das Microsoft Self - Signed - Zertifikat nicht auf den eToken passt (zumindest mein eTokenPro nimmt nur 1024 bit Zertifikate, Vista generiert aber 2048er) und man sich also ein eigenes machen muß (openSSL sei Dank) klappt die Verschlüsselung mittels EFS auch mit einem Zertifikat auf einem eToken.
Das verwunderliche ist jetzt aber, das selbst wenn ich den eToken abziehe, EFS noch immer munter ent- und verschlüsselt, solange bis ich einen Rechnerneustart mache? In der MMC Zertifikate wird eine Kopie des eToken Zertifikates in dem Store 'Other People' angelegt, aber selbst wenn ich diese Kopie lösche, läuft EFS noch immer.
Es muß also irgendwo eine Kopie geben, nur finde ich nirgendwo Einstellungen für EFS. Ein paar Websiten sprechen von Registry-Schlüsseln für XP, wo eine validation time eingestellt werden kann, nur 1) gibt es diese Schlüssel auf meinem Vista nicht und 2) wird immer von einem Standard timeout von 1 Stunde gesprochen, welches bei mir definitiv nicht greift.
Hier also die Frage:Weiß irgendwer wie das einzustellen geht? Gibt es irgendwelche Tools für EFS, die eventuell weiterhelfen? Und ist es nicht ein generelles Risiko wenn man Zertifikate oder Keys irgendwo so einfach zwischenspeichert?
Danke, Sebastian
ich bin gerade dabei mit Vista Ultimate und einem Aladdin eToken die Dateiverschlüsselung EFS einzurichten.
Wenn man einmal davon ab sieht, dass das Microsoft Self - Signed - Zertifikat nicht auf den eToken passt (zumindest mein eTokenPro nimmt nur 1024 bit Zertifikate, Vista generiert aber 2048er) und man sich also ein eigenes machen muß (openSSL sei Dank) klappt die Verschlüsselung mittels EFS auch mit einem Zertifikat auf einem eToken.
Das verwunderliche ist jetzt aber, das selbst wenn ich den eToken abziehe, EFS noch immer munter ent- und verschlüsselt, solange bis ich einen Rechnerneustart mache? In der MMC Zertifikate wird eine Kopie des eToken Zertifikates in dem Store 'Other People' angelegt, aber selbst wenn ich diese Kopie lösche, läuft EFS noch immer.
Es muß also irgendwo eine Kopie geben, nur finde ich nirgendwo Einstellungen für EFS. Ein paar Websiten sprechen von Registry-Schlüsseln für XP, wo eine validation time eingestellt werden kann, nur 1) gibt es diese Schlüssel auf meinem Vista nicht und 2) wird immer von einem Standard timeout von 1 Stunde gesprochen, welches bei mir definitiv nicht greift.
Hier also die Frage:Weiß irgendwer wie das einzustellen geht? Gibt es irgendwelche Tools für EFS, die eventuell weiterhelfen? Und ist es nicht ein generelles Risiko wenn man Zertifikate oder Keys irgendwo so einfach zwischenspeichert?
Danke, Sebastian
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 52158
Url: https://administrator.de/contentid/52158
Printed on: April 19, 2024 at 00:04 o'clock
2 Comments
Latest comment
Also, ein bischen weiter bin ich gekommen:
Wenn man in der 'Local Security Policy' -> 'Public Key Policies' -> die Properties von 'Encrypting File System' aufruft, kann man das caching abschalten sowie andere Optionen beeinflussen.
Wenn das Caching dort abgeschaltet wird, werden die Dateien nicht mehr ver- oder entschlüsselt, sobald man den eToken / Smartcard abzieht.
Steckt man den eToken dann aber wieder ein, kommt leider keine Pin-Abfrage mehr! D.h. man kann die Dateien nicht mehr lesen!
erst wenn man sich OHNE eToken Ab- und wieder Anmeldet kommt die Pin Abfrage wieder und man kann die Dateien wieder lesen.
ACHTUNG: Sollte es noch ein weiteres EFS-enabled Zertifikat im User Store geben, und man zieht den eToken raus, verwendet Vista automatisch dieses Andere, egal welches Zertifikat in den EFS Einstellungen des Users ausgewählt ist! Es sollte also nur das Zertifikat auf dem eToken / Smartcard EFS-enabled sein.
Hat schon irgendwer mehr Erfahrungen mit EFS und Smartcard? Wie kann man das einrichten, sodass es einfach nur funktioniert:
eToekn rein -> Pin eingeben -> Dateien benutzen
etoken raus -> Dateien gesperrt
und zwar beliebig oft ohne Neustart?
Wenn man in der 'Local Security Policy' -> 'Public Key Policies' -> die Properties von 'Encrypting File System' aufruft, kann man das caching abschalten sowie andere Optionen beeinflussen.
Wenn das Caching dort abgeschaltet wird, werden die Dateien nicht mehr ver- oder entschlüsselt, sobald man den eToken / Smartcard abzieht.
Steckt man den eToken dann aber wieder ein, kommt leider keine Pin-Abfrage mehr! D.h. man kann die Dateien nicht mehr lesen!
erst wenn man sich OHNE eToken Ab- und wieder Anmeldet kommt die Pin Abfrage wieder und man kann die Dateien wieder lesen.
ACHTUNG: Sollte es noch ein weiteres EFS-enabled Zertifikat im User Store geben, und man zieht den eToken raus, verwendet Vista automatisch dieses Andere, egal welches Zertifikat in den EFS Einstellungen des Users ausgewählt ist! Es sollte also nur das Zertifikat auf dem eToken / Smartcard EFS-enabled sein.
Hat schon irgendwer mehr Erfahrungen mit EFS und Smartcard? Wie kann man das einrichten, sodass es einfach nur funktioniert:
eToekn rein -> Pin eingeben -> Dateien benutzen
etoken raus -> Dateien gesperrt
und zwar beliebig oft ohne Neustart?
So weit ich weiß ist die PIN-Abfrage nicht die Sache des Betriebssystems, sondern die des Tokens, bzw. der Runtimesoftware. Es gibt dazu auch im PKI-Client ne Option wie die PIN-Abfrage erfolgen soll. Den Namen weiß ich grad nicht ausm Kopf und ich sitz auch nicht vor nem Rechner der das drauf hat.
Sollte aber leicht zu finden sein.
Das mit dem Caching haste ja schon selbst rausgefunden.
Sollte aber leicht zu finden sein.
Das mit dem Caching haste ja schon selbst rausgefunden.
