この特集のトップページへ
> Deployment Guide for DNS & DHCP

head1.gif 暗号化ファイルシステム(EFS)

 NTFSにはセキュリティ機能が搭載されているので,許可されていないユーザーからのアクセスを排除して,情報の機密性を保持することができる。この点は,Windows 2000に実装されているNTFS5.0でも同様である。しかし,ファイルのアクセス権限をどのように設定したとしても,肝心のディスク自体が持ち去られてしまうような事態になっては意味がない。既存のWindows NTにそのディスクを接続したり,ディスク上に別のWindows NTをインストールしたりすることで,そのNTFSパーティションの情報には自由にアクセスできるからである。

 NTFS5.0には,そのような場合にもファイルの機密性を保持するため,暗号化機能が組み込まれている。ファイルやフォルダを暗号化することにより,暗号化したユーザー以外は,そのファイルやフォルダを参照できなくなる。

 ファイルやフォルダを暗号化するのは,非常に簡単である。Windowsエクスプローラから暗号化したいファイルやフォルダを選択してプロパティを表示し,[属性]の[詳細]ボタンを押す。[属性の詳細]ダイアログボックスが表示されるので,[圧縮属性または暗号化属性]の[内容を暗号化してデータをセキュリティで保護する]を有効にすればよい。ちなみに,コマンドプロンプトからCIPHERコマンドを用いて暗号化することもできる。

Fig.14 [新しいエントリを追加]ダイアログボックス
fig14.gif

 暗号化にあたって,特に鍵などを生成する必要はないが,暗号化したユーザーの識別にはSID(Security IDentifier)を利用するため,同じユーザー名でもSIDが異なる場合には復号化することはできない(暗号化した当のユーザーを削除してしまうと,そのファイルは後述するリカバリキーの所有者以外には復号化できなくなる)。

 暗号化したユーザーは,ローカルログオンであれ,リモートログオンであれ,その後もこのファイルやフォルダにそれまでとまったく同じようにアクセスできる。しかし,ほかのユーザーがこのファイルやフォルダを開こうとしても,「アクセスが拒否されました」と表示され,アクセスすることはできない。なお,本稿の執筆時点では,ファイルに暗号化属性と圧縮属性を同時に設定することはできない(つまり,ファイルを圧縮するか,あるいは暗号化するか,どちらかしか選択できない)。

 ところで,本稿の執筆時点において,暗号化されたファイルやフォルダを復号化できるのは,暗号化したユーザー本人のみである。したがって,たとえば「人事部以外には極秘の文書を暗号化して,人事部のユーザーだけが閲覧できるようにする」といった運用には利用できない。もし,どうしてもこのような処理を実現したければ,暗号化ファイルにアクセスするための特別なユーザーアカウントを作成すればよい。つまり,作成した特別なユーザーのアカウントを人事部内で共有し,ファイルを暗号化したり参照したりするときには,各人がそのユーザーでログオンし直すのである。しかし,ファイルを見るたびにログオンし直すのは面倒だし,何よりもセキュリティ上の問題が生じる(たとえば,人事部から営業部に異動になった社員がいたらどうするか,ということである)ことは理解しておく必要がある。

 ただし,暗号化されているファイルやフォルダであっても,「リカバリキー」と呼ばれる復号鍵を有する管理者だけは,その中身を参照できる。リカバリキーは,スタンドアロンコンピュータであればローカルコンピュータのAdministrator,ドメインに所属するコンピュータであればドメインのAdministratorに割り当てられている。この設定は,グループポリシーで変更することも可能である。

 また,暗号化したファイルをネットワーク経由でリモートコンピュータから読み込んだ場合,復号処理は暗号化ファイルの存在しているコンピュータ上で行われる。つまり,ネットワーク上を流れるデータ自体は暗号化されていないので,この段階でのセキュリティレベルは通常のファイルと変わらない。

 以上のように,暗号化ファイルシステムはWindows 2000 Professionalで利用すると効果的である。たとえば,ノートPCに機密データを保存して持ち歩く場合,物理的に組織内に拘束されるデスクトップPCと比べると,携帯できるノートPCは盗難に遭う危険性が高い。このような場合も,暗号化ファイルシステムでファイルを暗号化しておけば,盗難されてもファイルの機密は護られることになる。

 なお,Windows NT 4.0にService Pack 4以降を適用すると,NTFS5.0上に暗号化ファイルが存在することは確認できるが,ファイルを開いたり,変更したり,削除したりすることはできない(暗号化ファイルの存在を確認できるといっても,そのファイルが暗号化されているか否かをWindows NT 4.0上から確認できるわけではない)。

prevpg.gif NTFS 7/10 nextpg.gif