Encriptar Archivos De Windows XP

Las organizaciones, e incluso los usuarios domésticos, son conscientes de que los datos sensibles no deben estar disponibles para otros usuarios.

Windows XP Profesional nos da una alternativa para poder proteger estos datos y prevenir su pérdida. El "Encripting File System" (EFS) es el encargado de codificar los ficheros. Estos ficheros sólo se pueden leer cuando el usuario que los ha creado hace "logon" en su máquina (con lo cual, presumiblemente, nuestra password será una password robusta). De hecho, cualquiera que acceda a nuestra máquina, no tendrá nunca acceso a nuestros ficheros encriptados aunque sea un Administrador del equipo.

La encriptación es el proceso de codificar datos sensibles usando un algoritmo. Sin la clave del algoritmo correcta los datos no pueden ser desencriptados. Windows XP usa encriptación para varios propósitos:

* Ficheros encriptados en un volumen NTFS.

* Datos encriptados enviados entre un cliente web y un servidor usando Security Socket Layer (SSL).

* Encriptando tráfico entre ordenadores usando VPN.

* Encriptando o firmando mensajes de email.

PRECAUCIONES QUE DEBEMOS TENER CON EFS
--------------------------------------

EFS nos da un encriptación segura de la información. La encriptación es tan segura, que si perdemos la clave para desencriptar los datos, la información. estará irremediablemente perdida. Windows XP no tiene una "puerta trasera" si la clave se pierde.

Inocentemente podemos perder la clave por varios motivos:

* Por ejemplo, manipulando en la caja de dialogo de Certificados o en la consola de Certificados (certmgr.msc) podemos sin querer, borrar el certificado de encriptación.

* Podemos tener, por ejemplo, los datos almacenados en carpetas encriptadas en un segundo volumen (disco D:, por ejemplo). E imaginemos que decidimos por problemas reinstalar Windows. Formateamos C: e instalamos. Por desgracia, en cada instalación de Windows, aunque los nombre y claves de usuario sean las mismas, Windows crea un nuevo identificador de seguridad (SID) para cada usuario. Por tanto, las claves de encriptación y el certificado de seguridad, serán diferentes al ser nuevo el SID del usuario. En este caso, o tenemos copia de los certificados anteriores, o habremos perdido también irremediablemente la información. encriptada en nuestro segundo disco duro (D:).

Con un poco de cuidado, estos escenarios tan dramáticos pueden prevenirse. Para ello, sigamos los siguientes pasos (por primera vez):

1) Creamos una carpeta vacía, y le colocamos los atributos de encriptada.

2) Creamos o guardamos cualquier fichero de texto en dicha carpeta. Esto encriptará un archivo por primera vez.

3) Si nuestra máquina no es parte de un Dominio, creamos un agente de recuperación. Una segunda cuenta de usuario podrá ser usada con este agente para desencriptar los ficheros. Veremos más adelante como crear este agente de recuperación.

4) Guardamos el certificado de agente de recuperación. y el certificado personal de encriptación (en un disquete, por ejemplo y a salvo de terceras personas). Este último certificado no se creará hasta que hayamos realizado la primera encriptación, por ello es por lo que hemos realizado, por primera y única vez, los pasos 1) y 2).

5) Ahora ya podemos empezar a encriptar los datos sensibles.

POR QUÉ ENCRIPTAR CARPETAS Y ARCHIVOS
----------------------------------------

EFS permite encriptar archivos en un volumen NTFS local (insisto: "local". No es aplicable a volúmenes en red). Esto ofrece un nivel de protección adicional a los permisos NTFS. Recordemos que los volúmenes NTFS pueden ser vulnerables por muchas vías: por ejemplo, instalando otro Windows XP en otra partición y tomando posesión de la partición primitiva, o bien arrancando con utilidades como NTFSDOS. En estos caso, si alguien tiene acceso físico a nuestra máquina, podría llevarse información confidencial. Este es uno de los motivos por los que se hace imprescindible, sobre todo en equipos portátiles de empresa, el tener encriptada la información sensible. Ante robo o pérdida, los datos serán irrecuperables.

En algunas máquinas, podemos usar opciones de la Bios para proteger el inicio del ordenador con password. Desafortunadamente, este tipo de protección también puede ser reventada, por ejemplo quitando el disco duro y montándolo en otro equipo. Si los datos no están encriptados, se podrá tomar posesión de las carpetas y serán accesibles a un malintencionado usuario.

SECURIZANDO EL FICHERO DE PAGINACIÓN
------------------------------------

Si existe la posibilidad de que nuestro ordenador caiga en manos extrañas, debemos tener la seguridad de que no estamos dejando "pistas" en el fichero de paginación. Por defecto, cuando apagamos la máquina, el fichero de paginación. permanece intacto. Quien pueda tener acceso físico a nuestro disco duro, podría echar una mirada a un fichero de paginación sin encriptar para intentar localizar restos de información sensible.

Si no queremos que esto suceda, podemos cambiar una entrada del registro. En la clave:
HKEY_LOCAL_MACHINESystemCurrentControlSetControlSession ManagerMemoryManagement
podemos colocar el valor 1, en la variable ClearPageFileAtShutdown.
De esta manera, al cerrar la máquina, Windows sobreescribirá las paginas usadas en el archivo de paginación con ceros binarios. Esto hace que el shutdown del sistema sea bastante más lento, por tanto, no debemos realizar este cambio a no ser que las necesidades de seguridad lo hagan necesario.