Windows EFS 檔案加密完整教學：NTFS 專屬、憑證備份還原、右鍵選單整合

EFS (Encrypting File System) 是 Windows 內建的檔案級加密功能，僅支援 NTFS 分區，透明加密不需輸入密碼即可存取，極適合筆電、共用電腦的資料保護。本文涵蓋啟用、憑證管理、右鍵選單加速、重灌遷移全流程。

⚡ 快速啟用 EFS 加密 (圖形介面)

1. 確認磁碟為 NTFS：檔案總管 → 磁碟右鍵 → 內容 → 檔案系統顯示 NTFS。
2. 右鍵欲加密檔案/資料夾 → 內容 → 一般 → 進階。
3. 勾選 「加密內容以保護資料」 → 確定 → 套用變更到「此資料夾、子資料夾和檔案」。
4. 加密完成後，檔名在總管中以 綠色字體 顯示 (可在「資料夾選項」→「檢視」關閉「加密或壓縮的 NTFS 檔案顯示為彩色」隱藏特徵)。

🔑 核心機制：透明加密與使用者憑證

• FEK (File Encryption Key)： 每個檔案獨立的對稱金鑰 (AES-256/3DES)，加密實際資料。
• 使用者公開金鑰加密 FEK： FEK 再由使用者 EFS 憑證公開金鑰加密，儲存於檔案屬性中 ($EFS 替代資料流)。
• 私鑰解密 FEK → 存取資料： 使用者登入時，私鑰由 DPAPI (Data Protection API) 保護載入記憶體，存取檔案時自動解密 FEK 再解密資料，**全程無感**。
• 資料復原代理人 (DRA)： 網域環境下指定復原代理人憑證，防止使用者遺失私鑰導致資料永久不可讀。

⚠️ 致命陷阱：重灌系統 = 資料永久遺失 (若無備份憑證)

重灌後新建同名使用者，**SID (Security Identifier) 完全不同**，私鑰無法匹配，綠色檔案變成無法開啟的亂碼。**唯一解脫：重灌前匯出 EFS 憑證 (含私鑰) .pfx 檔，重灌後匯入。**

📤 憑證備份匯出完整步驟 (必做！)

1. Win+R → certmgr.msc (或 mmc → 新增/移除嵌入式管理單元 → 憑證 → 我的使用者帳戶)。
2. 展開「個人」→「憑證」→ 找到「預定用途」含「加密檔案系統」的憑證 (通常由「自我簽署」發行給目前使用者)。
3. 右鍵 → 所有工作 → 匯出 → 下一步 → 「是，匯出私鑰」 (關鍵！)。
4. 格式選「個人資訊交換 - PKCS #12 (.pfx)」→ 勾選「盡可能將憑證路徑包含在內」+「啟用強式保護」。
5. 設定**強密碼** (必須記住，遺忘則無法匯入) → 指定儲存路徑 (建議 USB 隨身碟 + 雲端備份) → 完成。

✅ 匯出成功會看到「信封+金鑰」圖示的 .pfx 檔，**此檔案等同於所有 EFS 加密資料的總鑰匙，極機密，嚴禁外洩。**

📥 重灌後憑證匯入還原步驟

1. 重灌完成、建立使用者、登入桌面。
2. 雙擊備份的 .pfx 檔 → 「憑證匯入精靈」→ 「目前使用者」→ 下一步。
3. 確認檔案路徑 → 下一步 → 輸入備份時設定的**密碼** → 勾選「標記此金鑰為可匯出」(方便未來再次備份) +「啟用強式私鑰保護」→ 下一步。
4. 憑證存放區選「自動選取」或手動指定「個人」→ 完成 → 提示「匯入成功」。
5. 嘗試開啟原綠色加密檔案，應可正常存取。

⚡ 進階：右鍵選單整合「加密/解密」一鍵操作

預設需進入屬性 → 進階 → 勾選，步驟繁瑣。匯入以下註冊表啟用右鍵直達：

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"EncryptionContextMenu"=dword:00000001

儲存為 efs_context.reg 雙擊匯入 → 重啟 explorer.exe 或重開機 → NTFS 分區檔案/資料夾右鍵即出現「加密」/「解密」選項。

🛠 命令列工具 cipher.exe 進階用法

📋 版本支援與限制速查

🛡 EFS vs BitLocker vs VeraCrypt 選擇指南

EFS 是 NTFS 環境下最輕量、最整合的檔案級加密方案，**前提是你務必備份 .pfx 憑證**。沒有備份的 EFS，就是定時炸彈。