» Encrypting File System (EFS) в WinXP

Хотелось бы затронуть вопрос о том, насколько безопасно использование данной функции в Windows XP SP1. Что мне известно:
1. Защищенный файл шифруется по алгоритму AES с длиной ключа 256 бит.
2. Ключ генерируется псевдо случайным образом при создании файла и хранится вместе с ним в метаданных файловой системы NTFS.
3. Сам ключ также зашифрован с помощью криптографии с открытым ключем. При этом используется алгоритм RSA с длиной ключа 1024 бита. При шифровании используется открытый ключ, соответственно для расшифровки нужен закрытый ключ.
4. По поводу закрытого ключа мне известно только то, что он хранится в некоем защищенном хранилище ключей.
Суть вопроса в том, насколько хорошо и каким методом защищен закрытый ключ?
Также интересно, можно ли каким то образом изменить длину ключа для RSA?

chupakabra
По XP мне существенно тяжелее ответить, но All поправит
Для понимания как и что крайне желательно просмотреть Encrypting File System in Windows XP and Windows Server 2003 и Best Practices for the Encrypting File System и Encrypting File System in Windows XP and Windows Server 2003.
С поправкой на разницу между XP и W2k очень интересен линк :encrypted file system recovery
Ну и
Цитата:

The Windows XP operating system supports the use of a stronger symmetric algorithm than the default DESX algorithm included with the Windows 2000 operating system. The default algorithm for Windows 2000 and Windows XP is DESX. The default algorithm for Windows XP Service Pack 1 and Windows Server 2003 is Advanced Encryption Standard (AES) using a 256-bit key. For users requiring greater symmetric key strength with a FIPS 140-1 compliant algorithm, the 3DES algorithm can be enabled.

Закрытый ключ - алгоритм для меня не внятен похоже default (DESX / AES) с ключом унаследованном от пары логин / пароль (последнее точно при смене пароля private ключ перешифруется).
длину ключа для RSA - без CA никак, с CA например здесь Key Archival and Management in Windows Server 2003

Спасибо за ссылки. От себя добавлю еще Windows Data Protection . Там подробно описаны методы, используемые для защиты закрытого ключа.

как запретить юзерам декриптировать файлы?
Использовать можно, например, через Remote desktop, доступ разрешен, но запретить, например, копировать на FAT (автоматическти разкриптуются)?