Problem mit verschlüsseltem Ordner

[nevermore 10]

Servus miteinander,

 

ich komm bei einem Problem einfach nicht weiter.

Ein Benutzer hat auf einem Netzlaufwerk einen kompletten Ordner via EFS verschlüsselt (Fileserver, Server 2k8 R2). Dieser Benutzer war auch als Ordnerbesitzer eingetragen. Nun hat der betreffende Mitarbeiter die Firma verlassen und sein Nachfolger wollte auf diesen bestimmten Ordner zugreifen.

 

Als unbekümmerter Admin dachte ich natürlich: Besitzrechte übernehmen, Ordner entschlüsseln, fertig.. Aber denkste...

 

Nun komme ich weder vorwärts noch rückwärts. Auch wenn ich als Admin den Besitz übernehme krieg ich trotzdem "Zugriff verweigert" auf jeder Datei. Dann hab ich versucht dem alten User wieder Besitzrecht zu erteilen (im AD gibt's ihn noch) und damit zu entschlüsseln -> Zugriff verweigert.

Daraufhin wollt ich eine Schattenkopie wiederherstellen -> Zugriff verweigert.

Löschen -> Zugriff verweigert

Kopieren -> Zugriff verweigert

und so weiter ...

 

Im Internet finde ich relativ wenig darüber .. Hatte jemand hier so ein Problem schonmal und kann mir weiterhelfen?

 

 

Gruß,

Johannes

[Sunny61 773]

Ich hatte damit noch nie zu tun, aber ich würde mich mit dem alten User anmelden und damit wieder versuchen die Daten zu entschlüsseln.

[nevermore 10]

Hatte ich versucht.. Funktioniert nicht, entweder hab ich schon zuviel an den Berechtigungen vermurkst oder der akzeptiert das geänderte Kennwort nicht ..

[Sunny61 773]

Hatte ich versucht.. Funktioniert nicht, entweder hab ich schon zuviel an den Berechtigungen vermurkst oder der akzeptiert das geänderte Kennwort nicht ..

Das mit dem Kennwort merkst Du doch gleich bei der Anmeldung am Client.

[nevermore 10]

Ja, im ersten Post hatte ich ja geschrieben dass ich die Entschlüsselung mitm alten User bereits versucht habe. Das Kennwort kannte ich nicht und habs deswegen zurückgesetzt. Anmeldung am Client und Zugriff aufs Netzlaufwerk haben wunderbar funktioniert...  :-)

bearbeitet 21. Juni 2013 von nevermore

[Sunny61 773]

Wenn die Daten wichtig sind und ihr etwas Geld in die Hand nehmen wollt, dann schau dir dieses Tool an: http://www.elcomsoft.de/aefsdr.html Ob das funktioniert, weiß ich nicht.

[Dunkelmann 96]

Moin,

 

ich gehe mal von einem nicht verwalteten EFS ohne PKI und definierte Prozesse etc. aus. Eine weitere Annahme ist, das das EFS Recovery Zertifikat niemals gesichert und in einen Tresor verbracht wurde. Das kann ganz übel enden.

 

Du benötigst den privaten Schlüssel eines EFS Data Recovery Agent. In jeder Domäne wird automatisch beim hochstufen des ersten DCs eines erzeugt.

Das Zertifikat incl. privatem Schlüssel liegt i.d.R. auf dem ersten hochgestuften DC der Domäne im Zertifikatsspeicher vom 'Administrator'.

 

Gibt es diesen DC noch, ist alles ganz einfach:

1. Als Administrator anmelden
2. MMC Zertifikate öffnen
3. Das EFS Recovery Zertifikat incl. privatem Schlüssel exportieren
4. Auf einer Recovery Station (am Besten ein Standard Domänen Client) das Zertifikat importieren
5. Die verschlüsselten Daten auf die Recovery Station übertragen
6. Daten entschlüsseln
7. Unverschlüsselte Daten prüfen und in der Produktivumgebung bereitstellen
8. Eine Kopie des EFS Recovery Zertifikats an einem sicheren Ort lagern!
9. (Recovery Zertifikat und Daten von der Recovery Station löschen)
10. Fertig!

Gibt es den ersten DC nicht mehr, hast Du hoffentlich ein Backup des Servers und die Möglichkeit das Backup in einer vollständig isolierten Umgebung zurückzuspielen und Dir auf diesem Weg Zugriff auf das EFS Recovery Zertifikat zu verschaffen.

 

Ohne Zugriff auf das EFS Recovery Zertifikat hast Du sehr wahrscheinlich keine Chance, in absehbarer Zeit an die Daten zu kommen.

bearbeitet 22. Juni 2013 von Dunkelmann

[nevermore 10]

Das hört sich schonmal sehr vielversprechend an.

Der alte DC ist nicht mehr am Netz, ich hab aber noch eine vollständige Sicherung von der Kiste. Die kann ich als VM booten.

 

Ich melde mich wies gelaufen is. Dankeschön!

[nevermore 10]

Alles klar, hat perfekt funktioniert. Danke !

[Dunkelmann 96]

Super! Danke für die Rückmeldung :)