EFS Probleme

anonymous_at_discussions.microsoft.com
Date: 06/17/04 

Date: Thu, 17 Jun 2004 05:25:32 -0700

Hallo,

Ich habe noch was wichtiges herausgefunden.

Als domainadministrator kann ich mir nicht einmal die
details zu einem encrypteten files ansehen, jedoch
funktioniert dies als lokaler administrator.
Dabei habe ich festgestellt, dass der Data Recovery Agent
"Administrator" einen "Certificate Tumbprint" hat welcher
mit keinem Tumbprint der Administratoren welche ich
hinzufügen könnte übereinstimmt... Gibt es einen weg die
certifikate aller bestehenden benutzer anzuschauen um
vielleicht einen umbenannten ursprünglichen admin
herauszufinden?

Grüsse Reto

>-----Originalnachricht-----
>Hallo,
>
>Danke für die rückmeldung.
>
>Der Client müsste aus meiner sicht richtig in der Domäne
>sein. Ich habe ihn versuchsweise daraus entfernt und
>nochmals eingebunden.
>
>Anschliessend habe ich am client mit einem neu erstellten
>domänenbenutzer files encrypted, ausgeloggt mich als Domain
>admin eingeloggt und versucht die files zu öffnen, dieses
>schlägt dann mit der fehlermeldung "cannot open the xxx.txt
>file" fehl.
>
>Versuche am domain controller:
>Der Administrator ist unter "Default domain Policy ->
>Computer Configuration -> Windows Settings -> Security
>Settings -> Public Key Policies -> Encrypted Data Recovery
>Agent" eingetragen. Jedoch wenn ich versuche ihn nochmals
>hizuzufügen (mit dem alten eintrag bestehend) bekomme ich
>eine fehlermeldung "The selected user has no certificates
>suitable for Encrypted File System REcovery and cannot be
>added as recovery agent". Ist das normal?
>
>Wenn ich aber unter "certificates - current user ->
>Personal -> Certificates" nachschaue habe ich eines:
>issued to: administrator, issued by: administrator,
>expiration date: 13.10.2102, Inteded Purposes: Encrypting
>File System, Firendly Name: <None>, Status: (leer)
>Bei diesem könnte ich auch den privaten key exportieren,
>also sollte dieser noch auf dem system sein(?). Oder ist
>dies ein separater key welcher gar nicht für den recovery
>agent verwendet wird?
>
>Information zum Client:
>Ich habe vor meinen versuchen festgestellt, dass wenn ich
>mich als domainadmin am client anmelde, ich unter
>"certificates - current user -> Personal -> Certificates"
>ein anderes certifikate habe als auf dem domain controller
>(ablaufdatum 2104 vs 2102), ich habe dann das cert vom
>server auf den client kopiert und habe somit nun 2
>certifikate darauf.
>
>Gibt es eine möglichkeit das certifikat des
>domainadministrators neu zu initialisieren (ohne ca)? Eine
>ca möchte ich eingentlich nicht einrichten, da wir in naher
>zukunft änderungen an den systemen machen müssen und laut
>info (warnung vor der installation der ca tools) ist dies
>anschliessen nicht mehr möglich (server aus domäne
>entfernen etc.). Wenn das möglich wäre hätte das noch
>andere einflüsse als den verlust alter efs daten (haben wir
>aktuell keine)
>
>Wenn jemand so weit gelesen hat und was weiss wäre ich um
>eine hilfe froh.
>
>
>Danke und Grüsse
>
>Reto
>
>>-----Originalnachricht-----
>>Hi,
>>
>>>Wenn ich die howtos richtig verstehe müsste das doch so
>>>funktionieren? Oder muss ich dazu eine "Certificate
>>>Authority" erstellen?
>>
>>nein, ohne eine CA wird ein Self Signed EFS REcovery Agent
>>Certificate erstellt das per Default fuer den Admin der
>>Forest Root Domain erstellt wird.
>>Der Benutzer kann mit EFS verschluesselte Dateien
>>wiederherstellen da er in jeder Datei im DRF Data Recovery
>>Field enthalten ist.
>>
>>Der Client ist auch sauber Mitglied der Domaene ?
>>
>>Gruss Jens
>>www.nt-faq.de
>>
>>.
>>
>.
>

Relevant Pages

  • CreateProcess with as a "Limited User"
    ... I have a service application that runs an Agent application (i.e. ... The Agent app will run a client application if it notices ... How can an application that's ran with administrator rights spawn ... sorry if this is all a bit strange. ...
    (microsoft.public.vc.mfc)
  • Re: CreateProcess with as a "Limited User"
    ... > I have a service application that runs an Agent application (i.e. ... The Agent app will run a client application if it notices ... > How can an application that's ran with administrator rights spawn ... sorry if this is all a bit strange. ...
    (microsoft.public.vc.mfc)
  • RE: XP native encryption
    ... This is true if the Administrator had the foresight to use the cipher /R ... command to make a file recovery key and install it under the Administrator ... Subject: XP native encryption ... The first question is whether the laptop ...
    (Security-Basics)
  • Re: lsass.exe system lockout!
    ... itself to initialize the security subsystem during early boot. ... To my knowledge the only recovery available is a fresh ... > 'Enter Administrator password', but on entering ... > I have even tried 'Passware Recovery Key Software' which supposedly has a> 100% effectiveness to try and reset the administrator password, but on> reboot still get the 'lsass.exe' system error. ...
    (microsoft.public.windowsxp.security_admin)
  • Re: EFS encrypted file recovery (yet again)
    ... encrypted by using the old administrators profile which was the recovery ... creating the administrator account with the same password as was used on the ... So then I downloaded the Advanced EFS Data Recovery ... under the "EFS related files" page where it found the keys. ...
    (microsoft.public.win2000.security)