윈도우 암호화 파일 시스템

윈도우 2000 부터 들어간 NTFS 의 기능이다. FAT·FAT32·exFAT 볼륨에서는 쓸 수 없다.
윈도우 Home 에디션은 암호화를 만들 수 없다. Pro·Enterprise·서버 제품군에서 쓴다.
사용자가 로그온해 있는 동안에는 따로 암호를 묻지 않고 투명하게 열린다. 같은 컴퓨터의 다른 사용자나 디스크를 떼어 간 사람이 내용을 읽지 못하게 하는 것이 목적이다.
클라우드 서비스 아마존 EFS(Elastic File System)와는 이름만 같다.

동작 원리

파일을 암호화할 때마다 무작위 대칭키인 파일 암호화 키(FEK, File Encryption Key)를 만들어 파일 내용을 암호화한다.
FEK 는 사용자의 EFS 인증서에 든 공개키로 암호화해 파일에 함께 저장한다.
파일을 열 때는 사용자의 개인키로 FEK 를 풀고, 그 FEK 로 내용을 푼다. 그래서 인증서와 개인키가 없으면 내용을 읽을 수 없다.
도메인 환경에서는 데이터 복구 에이전트(DRA) 의 공개키로도 FEK 를 암호화해 두어, 사용자가 키를 잃어도 관리자가 복구할 수 있다.

파일이나 폴더의 [속성] → [일반] 탭 → [고급] → [데이터 보호를 위해 내용을 암호화] 를 선택한다.
명령 프롬프트에서는 cipher /e 경로 로 암호화하고 cipher /d 경로 로 푼다. cipher 만 입력하면 암호화 상태를 보여 준다.
탐색기에서 암호화된 파일·폴더는 이름이 초록색으로 표시되거나 자물쇠 표시가 붙는다.
압축과 암호화는 함께 쓸 수 없다. 한쪽을 선택하면 다른 쪽이 풀린다.

EFS 는 파일의 내용을 암호화한다. 파일 이름이나 폴더 구조를 숨기는 기능이 아니다.

작업	키가 없는 사용자
파일 열기(내용 보기)	할 수 없다. "액세스가 거부되었습니다" 가 나온다
파일 복사	할 수 없다. 복사하려면 내용을 읽어야 하기 때문이다
이름 변경, 삭제, 같은 볼륨 안에서 이동	NTFS 권한이 있으면 할 수 있다. 내용을 읽지 않는 작업이다
목록에서 파일 이름 보기	할 수 있다

그래서 "키가 없으면 이름을 바꿀 수 없고 내용도 볼 수 없지만 복사는 할 수 있다" 는 거꾸로 된 설명이다. 이름 변경은 권한이 있으면 되고, 복사는 되지 않는다.
키를 가진 사용자가 암호화된 파일을 FAT 볼륨이나 USB 메모리(FAT32) 같은 곳으로 복사하면 암호화가 풀린 채 저장된다. 윈도우가 경고를 띄운다.

EFS 인증서와 개인키는 사용자 프로필에 저장된다. 운영체제를 다시 설치하거나 프로필이 손상되거나 다른 컴퓨터로 옮기면 키가 사라져 암호화된 파일을 영구히 열 수 없게 된다.

처음 암호화하면 윈도우가 "파일 암호화 키 백업" 알림을 띄운다. 이때나 나중에 키를 백업해 둔다.
백업은 인증서 관리자(certmgr.msc) 의 [개인용] → [인증서] 에서 EFS 인증서를 골라 내보내기로 한다. 개인키를 포함한 .pfx 파일과 암호를 지정한다. cipher /x 로도 백업할 수 있다.
백업 파일은 다른 컴퓨터나 USB 메모리 같은 별도 매체에 보관한다. 암호화된 파일과 같은 디스크에 두면 함께 잃는다.
다른 컴퓨터나 새로 설치한 윈도우에서는 인증서 관리자에서 .pfx 를 가져오기하면 그 파일들을 다시 열 수 있다.