Windows EFS暗号化をブルートフォースにするのはどのくらい難しいですか？
EFSではC：\ $ USER \を暗号化しているため、そのユーザーが所有および使用するすべてのファイルが暗号化されます。
このラップトップが盗まれた場合、Microsoftユーザーのパスワードハッシュを取得し、それらをクラックして、ファイルを復号化できることは間違いありませんか？
変更がない限り、Microsoftアカウントのパスワードは強力なハッシュアルゴリズムで暗号化されていませんよね？
EFSの設定方法と、使用しているNTFSのバージョンによって異なります。この質問の目的のために、Windows 8.1や10などの最新のオペレーティングシステム上の最新バージョンのNTFS（つまり、3.0以上）を想定します。
ドメイン外のシングルユーザー環境では、デフォルトで、ファイルは3段階のプロセスで暗号化されます。最初に、ランダムなファイル暗号化キー（FEK）が生成され、3DESまたはDESXでファイルを暗号化するために使用されます。次に、この鍵はユーザー固有の非対称鍵ペアを使用して暗号化され、この暗号化された鍵はファイルのメタデータに格納されます。非対称キーペアは、DPAPIマスターキーと呼ばれるキーを使用して、暗号化された形式でディスクに保存されます。
DPAPIマスターキーは、ユーザーのNTLMパスワードとそのSID（ユーザーの一意の識別子）の組み合わせから派生します。 NTLMパスワードとは、ログオンパスワードであり、パスワードのNTLMhashではありません。 EFSマスターキーは、パスワードベースのキー導出関数（PBKDF2）を使用して導出されます。これは、ドキュメントでは「RFC 2898導出」と呼ばれることもあります。このマスターキーは、EFS非対称キーペアを格納するためだけでなく、 [〜＃〜] dpapi [〜＃〜] によって保護された保存データも格納するために使用されます。
DPAPIキーはユーザーのNTLMパスワードから派生するため、NTLMハッシュをクラックすると、DPAPIキーを取得するために必要な情報が得られます。これにより、EFS非対称キーペアを解読し、$ EFSを解読できます。 FEKを保持するストリーム。これにより、ファイルデータを復号化できます。これをフォレンジックで実行するための既製のツールがあります。
ただし、EFSには他の環境と構成があります。たとえば、ドメイン環境では、ドメインで保護された暗号化証明書を使用して、複数のユーザーからEFSで保護されたファイルにアクセスできるようにすることができます。実際、シングルユーザーがアクセスできるEFSファイルでも、EFS非対称ペアをドメインでサポートできるため、ファイルが最初に暗号化された場所に関係なく、任意の端末からEFS暗号化ファイルにアクセスできます。また、ユーザーのDPAPIマスターキーまたはEFS非対称キーペアのいずれかをスマートカードに配置することもできるので、それらをディスクに保存する必要がまったくありません。これらの構成は、「NTLMをクラックしてEFSファイルを取得する」という単純なケースを超えて状況を複雑にします。
さらに、BitLockerディスク暗号化を使用する場合、BitLockerキーを使用してDPAPIマスターキーを暗号化することもできるため、TPMなどのデバイスでキーをセキュリティで保護することができます。ロックを解除しました。
ログインすると、システムは、特定の暗号化されたメモリセグメント、およびもちろんEFS非対称キーペアにアクセスするために、DPAPIマスターキーのキャッシュされたコピーをメモリに保存することにも注意してください。管理者権限で実行中のシステムを使用している場合は、いくつかのツールを使用して、EFSキー、DPAPIマスターキー、およびLSA保護領域をダンプできます。これにより、NTLMパスワードを解読する必要がまったくなくなります。
はい。攻撃者がローカルパスワードハッシュをクラックできる場合、攻撃者はあなたと同じようにログインし、暗号化されたファイルに同じアクセス権を持つことができます。 EFS証明書と秘密キーを別のパスワードで保護されたPFXファイルにエクスポートすると、解読が難しくなりますが、これは、使用していないときにローカルキーストアから削除し、必要なときにもう一度インポートすることを意味します。暗号化されたデータにアクセスします。これは、特にユーザーディレクトリ全体が暗号化されている場合は、実用的でない場合があります。
Windowsは依然としてNTLMハッシュを使用します。これは、クラッキング（最悪）に関しては最速のハッシュの1つです。ただし、ハッシュと同じくらい悪い場合でも、本当にランダムな12文字以上のパスワードを使用している場合、攻撃者がパスワードを解読する可能性はほとんどありません。