EFS 核心特性
- 透明加密： 使用者登入後自動解密存取，存檔時自動加密，無需手動操作。
- 公開金鑰加密： 採用 FEK (File Encryption Key) + 使用者公開金鑰雙層加密，極難破解。
- NTFS 限定： 僅支援 NTFS 分區；FAT32/exFAT 不支援。
- 版本支援： 完整支援：Win2000 全版本、XP Professional、Vista Business/Enterprise/Ultimate。Home Basic/Premium 唯讀（可開啟、不可新增加密）。
檔案/資料夾加密與解密操作
- 檔案總管右鍵目標 → 「內容」→ 「一般」索引標籤 → 「進階」。
- 勾選「加密內容以保護資料」→ 確定。
- 若為資料夾，選擇「將變更套用到此資料夾、子資料夾和檔案」或「僅套用到此資料夾」。
- 加密後檔案/資料夾在總管中以**綠色字體**顯示（可在「資料夾選項」→「檢視」取消「以彩色顯示加密或壓縮的 NTFS 檔案」關閉）。
關鍵風險：重裝系統導致永久無法存取
EFS 解密需**私鑰 (憑證)**。重裝系統會刪除使用者設定檔中的憑證，即使重建同名帳戶、同密碼，**私鑰不在，資料永久鎖死**。管理員也無法透過取得擁有權解密（不同於 NTFS 權限）。
憑證備份與還原（救命關鍵）
Windows Vista 內建提醒與備份流程
- 首次使用 EFS 加密後，系統通知區彈出氣泡提醒備份金鑰。
- 點擊通知 → 「加密檔案系統」對話方塊 → 選「立即備份 (建議)」。
- 啟動「憑證匯出精靈」：
- 選「是，匯出私鑰」（**必須**，否則無法解密）。
- 格式預設 PFX (PKCS#12)，可選「匯出成功後刪除私鑰」進階安全模式（平時不留私鑰，需時再匯入）。
- 設定**強密碼**保護 PFX 檔案（建議與登入密碼不同）。
- 指定儲存路徑（隨身碟/加密磁碟）→ 完成。
Windows XP 手動備份 (certmgr.msc)
- 執行
certmgr.msc 開啟憑證主控台。
- 展開「憑證 - 目前使用者」→「個人」→「憑證」。
- 找「預期用途」為「加密檔案系統」的憑證。
- 右鍵 → 「所有工作」→ 「匯出」→ 後續步驟同 Vista（必匯出私鑰、設密碼、存 PFX）。
還原憑證
- 雙擊備份的 .pfx 檔案 → 啟動「憑證匯入精靈」。
- 選「目前使用者」→ 下一步 → 檔案路徑已填入 → 輸入備份時設定的密碼。
- 勾選「標記此金鑰為可匯出」（方便未來再備份）→ 完成。
- 系統自動將私鑰導入使用者存放區，EFS 加密檔案即可存取。
最佳實務建議
- **建立帳戶後立即加密一個測試檔案並備份憑證**，不要等到有重要資料才想起來。
- PFX 備份檔**多地點保存**：隨身碟 + 加密雲端 + 實體保險箱。
- 企業環境建議部署「資料復原代理人」(DRA)，由指定復原憑證統一管理，避免單一使用者遺失私鑰導致資料流失。
- BitLocker (Vista Enterprise/Ultimate) 可全磁碟加密，配合 EFS 形成雙層防護。
