微軟在NTFS4.0及后續版本的文件系統中，捆綁了兩個功能強大的工具：壓縮文件系統和加密文件系統。這個選項在文件夾的屬性-高級里面。是一個單選框。壓縮文件系統在這里就不多提了，不過有一點，可能有心的朋友注意得到，就是這兩個選項不可以同時選。這個原因很簡單，因為不論是加密文件還是壓縮文件，我們都是在改變文件，我們通過改變他們的讀碼框架來加密或者壓縮文件。這里可能有人要問，WinRAR為什么可以及加密文件又壓縮文件。其實WinRAR加密的方法是在基于WinRAR這個文件壓縮系統，而不是基于文件本身。我們還是言歸正傳。

這里面要提到的一點叫做加密方式。相信有些朋友對Alice和Bob這兩個名字非常熟悉，這兩個名字最早用于IBM出版的一本圖書中，用來解釋對稱加密和非對稱加密。對稱加密，簡單一點說就是加密所使用的密碼和解密所使用的密碼是同一個密碼。非對稱呢，加密使用的和解密是不同的密碼。這個不同的密碼，一個被稱為私鑰，另一個就是公鑰。從名字上面可以看出來，私鑰，是無論如何不會公開的，公鑰，則是發布出去的。

詳細解釋一下，熟悉非對稱加密的朋友可以跳過這一段。e.g.Alice要發送一份敏感數據給BOB，顯然需要加密。非對稱加密，使用兩個不同的密碼加密和解密。就是說，如果alice的公鑰和私鑰為一組密碼，分別是alice的公鑰和alice的私鑰。那么，用alice公鑰加密的東西只有使用alice的私鑰可以解密，對應的，如果使用alice公鑰加密的東西，只有alice的私鑰可以解開。那么對于bob也是一樣。如果我們采用對稱加密的方法，也就是加密和解密的過程使用的是一個密碼，那么這個密碼是無論如何不能被第三方截獲的。互聯網絡，可以截獲；電話，可以監聽；甚至當面交換，都可以被竊聽。所以這是對稱加密的一個重大缺陷。如果采用非對稱加密，alice和bob都不公開自己的私鑰，然后他們在交換信息前，互相交換公鑰。這樣，alice使用bob的公鑰加密alice要給bob的文件，這個使用bob公鑰加密過的文件，僅有bob的私鑰可以解開。而bob從來沒有公開過他的私鑰，所以，我們看到，這樣的加密，是安全的。這個信息加密解密，交換公鑰的過程，就是非對稱加密。

解釋過非對稱加密，我們也可以簡單的比較出兩者在安全性上的優越性。不過非對稱加密一個重要的缺陷，就是運算時間很長，對稱加密在工作效率上可能是非對稱加密的100-1000倍。所以微軟也是在看到這一點后，在EFS中集成了兩者的優點。EFS使用了對稱加密和非對稱加密結合的工作方式，即先生成一個字符串作為密鑰采用對稱加密方法加密文件，然后，再使用非對稱加密加密這個密鑰。這個密鑰具體位數我記不得了，大約在70位。這里出現一個問題，實際在操作系統中，公鑰和私鑰是怎么獲得的？為什么管理員可以解開所有用戶的加密文件？

依照微軟的白皮書中解釋，加密文件系統中的用戶證書的獲得，有兩種途徑，一個是從CA(CertificationAuthority)獲得，另一種是在企業級CA失效的時候由本機為自己頒發一個數字證書。這里需要解釋的是證書和密鑰的關系，證書是密鑰的載體，在證書中包含了密鑰。這里可能又有人要問，用戶的私鑰是存放在什么地方？用戶的私鑰是通過另外一種驗證機制實現的，這個在系統層面，日后我會寫文章加以闡釋。除了這兩個密鑰，還有一個用于直接加密文件的密鑰，這個根據用戶自己的SID計算出來的，微軟沒有公開這方面的信息，還請有心人共同嘗試理解其中的工作原理。管理員之所以可以管理所有用戶的加密文件，是為了保證系統的穩定，如果每一個用戶的文件都只有創建者可以修改，那么計算機可能因此陷入混亂的狀態。

近日聽聞有些軟件可以破解微軟的EFS，我本為之興奮，結果下載后研究了一下，這種軟件的工作原理是備份出管理員的帳戶信息，通過ERA(緊急恢復代理)實現加密文件的恢復。事實上，如果用戶不慎在重新安裝系統的時候忘記備份出相應的密鑰，那么這個加密過的文件可能永遠打不開。這一點不難理解，因為每一次安裝操作系統，操作系統會隨即生成一個SID號，當然，如果用戶的人品足夠好，還是可能生成一樣的SID號的（開個玩笑）。關于備份管理員賬號和密碼，可以通過Windows2000及后續版本中內建的忘記密碼向導來幫助備份密碼。希望可以給大家一些幫助。