NTFS EFS (Encrypting File System) 以使用者憑證私鑰加密檔案。重裝系統會導致用戶 SID 變更、憑證存儲遺失，造成加密檔案永久無法解密。**唯一解途：在重裝前導出含私鑰的 EFS 憑證 (.pfx)，重裝後導入。** 若未備份，僅能嘗試資料救援軟體 (掃描磁碟殘留未加密副本/臨時檔)，成功率極低。本文提供標準化備份/導入/授權流程。
核心原理：EFS 加密鏈
- 檔案加密金鑰 (FEK) 以對稱演算法 (AES/3DES) 加密檔案內容。
- FEK 以使用者公開金鑰 (EFS 憑證) 加密，儲存於檔案屬性 $EFS 串流中。
- 解密時：使用者私鑰解密 FEK → FEK 解密檔案。
**私鑰儲存在使用者設定檔憑證存儲區**，隨系統重裝而消失 (除非導出備份)。
場景一：重裝前主動備份 (最佳實踐)
- 以加密檔案擁有者登入系統。
- Win+R →
mmc →「檔案」→「新增/移除管理單元」→「憑證」→「新增」→「我的使用者帳戶」→「完成」→「確定」。
- 展開「憑證 - 目前使用者」→「個人」→「憑證」。
- 尋找「預期用途」欄顯示「加密檔案系統」的憑證 (通常僅一張)。
- 右鍵 →「所有工作」→「匯出」→「是，匯出私鑰」→ 格式「個人資訊交換 - PKCS #12 (.pfx)」→ 勾選「盡可能在匯出時包含憑證路徑中的所有憑證」→ 設定**強密碼** (保護私鑰) → 指定儲存路徑 (如
D:\Backup\EFS_Cert_YYYYMMDD.pfx) → 完成。
- **妥善保管 .pfx 檔案與密碼** (離線儲存、列印紙本、密碼管理器)。
場景二：重裝後導入憑證恢復存取
- 重裝完成、安裝驅動、建立同名使用者帳戶 (SID 將不同，但憑證綁定私鑰而非 SID)。
- 雙擊 .pfx 檔案 →「目前使用者」→ 下一步 → 輸入備份密碼 → 勾選「標記此鑰匙為可匯出」(若未來需再次備份) → 「自動選擇憑證存放區」→ 完成。
- 嘗試開啟加密檔案/資料夾，應可正常存取。
進階應用：跨使用者/跨電腦授權存取
1. 授權本機其他使用者存取
導出 .pfx (含私鑰) → 傳送給目標使用者 → 目標使用者登入導入 → 即可存取原加密資料夾。
注意： 私鑰外洩風險極高，僅限極度信任場景。企業環境建議使用「資料復原代理人」(DRA) 機制集中管理。
2. 異機恢復備份資料
使用「備份與還原」 (Windows 7/10/11) 或第三方工具備份加密資料夾 → 產生 .bkf / 映像檔 → 複製至另一台 Windows 電腦 (需 NTFS 分區) → 還原資料 → 導入原 .pfx 憑證 → 存取還原資料。
3. 資料復原代理人 (DRA) 企業級部署
- 建立專用 DRA 憑證 (含私鑰)，導出 .cer (公開鑰) 部署至所有電腦。
- 群組原則：
電腦設定 → Windows 設定 → 安全性設定 → 公開金鑰原則 → 加密檔案系統 → 右鍵「新增資料復原代理人」→ 選擇 DRA .cer。
- 之後所有 EFS 加密檔案雙重加密 FEK (使用者公鑰 + DRA 公鑰)。使用者遺失私鑰時，DRA 持有者可導入 DRA 私鑰解密。
未備份憑證的補救嘗試 (成功率低，按順序)
- 檢查「系統還原點」/「檔案歷程記錄」/「備份」：若重裝前有還原點/備份，可能包含舊憑證存儲 (
%APPDATA%\Microsoft\SystemCertificates\My\Certificates)。
- 資料救援軟體掃描：FinalData, ERecovery, R-Studio, GetDataBack 掃描磁碟尋找：
- 未加密的臨時副本 (Office 自動儲存、瀏覽器快取、預覽圖)。
- 已刪除但未覆寫的原始檔案 (加密前版本)。
- 記憶體分頁檔/休眠檔殘留明文片段 (極低機率)。
- 聯繫專業資料救援公司：芯片級讀取、固件修復、專有演算法重組，費用高昂 (千元至萬元)，無保證成功。
預防清單：讓 EFS 成為資產而非負債
- **建立加密資料夾當天即導出 .pfx 備份**，密碼存入密碼管理器，.pfx 存離線 USB + 雲端加密備份。
- 部署 DRA (企業) 或定期導出 .pfx (個人)。
- 重裝/遷移系統前，**將備份憑證導入新系統驗證可解密**，再格式化舊系統盤。
- 重要資料雙重保障：EFS + 容器加密 (VeraCrypt/BitLocker) + 離線備份。
EFS 是雙面刃：用得好是透明加密利器，用不好是資料自殺開關。**「備份私鑰」是使用 EFS 的前置條件，而非事後補救。** 請立即檢查您的加密資料夾，若無 .pfx 備份，請當下完成導出，將風險歸零。
