EFS в Windows 11: шифрование файлов и папок и обязательный backup сертификата

EFS (Encrypting File System) шифрует отдельные файлы и каталоги на NTFS и привязывает расшифровку к пользовательскому сертификату/закрытому ключу. Это не «пароль на папку» и не замена BitLocker.

BitLocker или EFS?

• BitLocker — шифрование всего тома;
• EFS — выборочное шифрование файлов конкретного пользователя;
• для ноутбука от кражи обычно важнее BitLocker;
• EFS полезен для отдельных наборов данных на NTFS.

Как включить EFS

Свойства файла/папки → Дополнительно → Шифровать содержимое для защиты данных. Если шифруете файл, разумно шифровать и родительский каталог.

Самое важное — экспорт ключа

Если профиль пользователя, Windows или закрытый ключ потерян, зашифрованные файлы могут стать недоступны. Сразу сделайте backup сертификата и private key.

cipher /x C:\Backup\efs-backup

Полученный PFX защитите сильным паролем и храните отдельно от зашифрованного компьютера.

Не храните сертификат на рабочем столе

Старая статья предлагала сохранить сертификат на Desktop и просто скрыть файл. Hidden-атрибут не является защитой. Ключ должен храниться на отдельном защищённом носителе или в управляемом хранилище.

Ограничения

• EFS работает на NTFS;
• системные файлы/каталоги имеют ограничения;
• при копировании на файловую систему без EFS файл может быть расшифрован;
• backup-система должна корректно работать с EFS;
• смена профиля без переноса сертификата может лишить доступа.