Partitionsimage und verschlüsselte Dateien

[Robotron]

Ich mußte mein WinXP neu installieren und hatte unter der alten Installation einige wichtige Dokumente auf einer anderen Partition verschlüsselt, welche sich jetzt nicht mehr öffnen lassen. Ich habe nun ein Image von C: zurückgespielt, in der Hoffnung die Dateien dann wieder öffnen zu können, was aber nicht funktioniert. Hat jemand eine Ahnung woran das liegt?

 

[[Moepi]1]

Log Dich als lokaler Administrator an (der echte Adminaccount, heißt standardmäßig nur "Administrator", kein anderer Adminaccount!). Dieser Account ist normalerweise der EFS Recovery Agent. Mit dem solltest Du in der Lage sein, die Dateien zu lesen bzw. zu entschlüsseln.

Eben dieser Schritt wird aber wahrscheinlich bei Dir nicht funktionieren, da Du ja das System und damit die EFS Schlüssel platt gemacht hast. Damit dürfte dieser Recovery Agent nicht mehr gehen. Falls das wie gesagt nicht klappt, mach das:
Log Dich wieder als "Administrator" an, starte ntbackup.exe, sichere die verschlüsselten Daten und stelle sie anschließend in einem alternativen Verzeichnis wieder her.

Hört sich blöd an, hilft aber - sollte es zumindest in der Theorie

 

[J3x]

Sofern du das Image angelegt hast bevor du die Dateien verschlüsselt hast, bestehen diese jetzt nur noch aus Datenschrott.

J3x

 

[franzkat]

Wenn du wieder an deine Daten ran möchtest, mußt du entweder einige Euronen ausgeben :

http://www.lostpassword.com/efs.htm

oder jemanden ansprechen, der das oben verlinkte Programm besitzt.

(Es gibt auch noch eins von Elmsoft; mehr Anbieter sind auf diesem engen Marksegment IMHO nicht präsent).

Das Passwort für den Account (das müßtest du ja noch wissen) in Kombination mit dem Programm würde dich in die Lage versetzen, wieder an die verschlüsselten Daten heranzukommen.Das Programm arbeitet relativ schnell, es handelt sich ja nicht um eine Brute Force-Aktion.

 

[[Moepi]1]

Probier doch erstmal meinen Vorschlag. Ich wette das geht...

 

[franzkat]

@Moepi

Dieser Account ist normalerweise der EFS Recovery Agent. Mit dem solltest Du in der Lage sein, die Dateien zu lesen bzw. zu entschlüsseln.

So funktioniert EFS unter XP nicht. Das wäre ja ein schlechter Schutz, wenn ein Admin immer automatisch EFS-Recovery Agent wäre (das ist bei XP anders geregelt als bei w2k).
Standardmäßig existiert bei XP Pro kein Wiederherstellungsagent. Um auf einen Wiederherstellungsagenten zurückgreifen zu können, muss ein Benutzer explizit als solcher designiert werden- und zwar bevor Benutzer Dateien mit EFS verschlüsseln. Andernfalls ist das Data Recover Field unter XP leer.

 

[[Moepi]1]

Unter Win2k3 Server ist der erste Admin ebenfalls wieder Recovery Agent. Das hab ich hier bei mir probiert. Wie das bei XP ist weiß ich nicht.
Nichts desto trotz funktioniert das mit der Wiederherstellung wie ich sagte nicht (dieser "Trick" bezog sich auf Win2k Server), da er ja die Platte formatiert hat und damit ein neues Zertifikat für EFS da ist.
Folglich hat er schlechte Karten.

PS: Ein Adminsitrator ist nicht immer gleichzeitig EFS Recovery Agent, sondern nur der erste Administrator. Also nur der eine, der beim setup erstellt wird, nicht die ganze Admingruppe.

 

[franzkat]

Wie das bei Win2k3 Server aussieht, weiß ich nicht. Meine Bemerkungen bezogen sich nur auf XP Pro.

 

[Robotron]

Danke erst mal für die Tips. Aber eigentlich müßten doch wenn ich ein Image von der System partition zurückspiele alle Rechte wiederhergestellt werden, da ja alle Useraccounts wieder hergestellt werden (inkl. Admin). Somit müßte ich ja wieder an die Daten auf Lw D: rankommen, oder liege ich falsch?
Denn da ist auch der Knackpunkt, ich kann die verschlüsselten Dateien eben nicht öffnen.
Wer hilft?!
Gruß

 

[franzkat]

Aber eigentlich müßten doch wenn ich ein Image von der System partition zurückspiele alle Rechte wiederhergestellt werden, da ja alle Useraccounts wieder hergestellt werden (inkl. Admin). Somit müßte ich ja wieder an die Daten auf Lw D: rankommen, oder liege ich falsch?

Im Prinzip hast du da recht. Wahrscheinlich hat sich aber seit dem Erstellen des Images doch etwas geändert; z.B. das Passwort des User-Accounts, unter dem die Dateien/Verzeichnise seinerzeit verschlüsselt wurden.

 

[[Moepi]1]

Im Prinzip hast du da recht. Wahrscheinlich hat sich aber seit dem Erstellen des Images doch etwas geändert; z.B. das Passwort des User-Accounts, unter dem die Dateien/Verzeichnise seinerzeit verschlüsselt wurden.

War EFS nicht unabhängig vom Benutzerpasswort? Korrigier mich falls ich falsch liege, aber ich dachte EFS wäre zertifikatgesteuert...

 

[Green Mamba]

Ja, ist es auch! man kann fürs EFS ein eigenes Passwort unabhängig konfigurieren.
@Robotron
Boote mal dein zurückgespieltes Windows, und exportiere dann ein Zertifikat mit dem Schlüssel. Wenn du das in deiner neuen Windows-Partition importierst, solltest du die Daten wieder lesen können. so mach ich das bereits seit Jahren.

 

[franzkat]

@Green Mamba

so mach ich das bereits seit Jahren.

EFS unter W2K und XP unterscheiden sich stark. Bei W2K wird der Administrator automatisch als Wiederherstellungsagent betrachtet. Unter XP ist das nicht mehr so. Hier muss ich immer explizit einen Wiederherstellungagenten designieren.Sonst bleibt das Data Recovery Field leer.

@Moepi

Beides ist richtig. EFS unter XP ist sowohl vom Benutzerpasswort abhängig (wenn dieses geändert wird (Ausnahme : der User selbst) kommst du nicht mehr an deine verschlüsselten Daten ran ) als auch zertifikatsgesteuert.

 

[Robotron]

Zertifikate sowie Benutzerpasswort sollten doch eigentlich beim Zurückspielen des Images der Sytempartition wiederhergestellt sein!? Das Passwort hat sich auch nicht geändert. Ich kann aber trotzdem nicht meine verschlüsselten Dateien öffnen.
Welches Zertifikat muß ich denn überhaupt sichern?
Muß ich mich als Systemadmin anmelden oder als Benutzer mit Admin-Rechten?

Gruß
Robotron