Windows XP 資料保護與恢復進階：EFS 憑證管理、DRA 最佳實務與 Cipher.exe 實戰

匯出 DRA 私鑰：建立離線復原備份

資料復原代理人（DRA）持有解密所有 EFS 檔案的私鑰，是企業資安的核心資產。匯出步驟如下：

1. 以 DRA 帳號登入，開啟 mmc.exe，加入「憑證」嵌入式管理單元（我的使用者帳戶）。
2. 展開「憑證 - 目前使用者」→「個人」→「憑證」，找到用途為「檔案復原」且有效期 99 年的預設 DRA 憑證。
3. 右鍵選「所有工作」→「匯出」，啟動精靈。
4. 關鍵步驟：選擇「是，匯出私鑰」，格式採 PKCS #12 (.PFX)，勾選「啟用強式私鑰保護」與「匯出時刪除私鑰」（確保私鑰不留機器）。
5. 設定高強度密碼，指定儲存路徑（建議離線媒體：CD-ROM、加密 USB、保險箱）。

警告：私鑰一旦匯出並刪除，本機將無法再進行檔案復原，務必妥善保管 .PFX 檔與密碼，遺失將導致既有加密資料永久無法解密。

匯入 DRA 私鑰：需要時才載入

執行復原時，同樣透過 MMC「憑證」嵌入式管理單元，於「個人」存儲區右鍵「所有工作」→「匯入」，選取 .PFX、輸入密碼，勾選「將此金鑰標記為可匯出」（便於未來再次備份），完成後即可進行檔案解密。作業結束建議立即移除私鑰，降低洩露風險。

啟用「加密/解密」右鍵選單，提升操作效率

修改登錄即可在檔案總管右鍵選單直接顯示加密/解密指令：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced
新增 DWORD 值：EncryptionContextMenu = 1

重新開機或重啟 explorer.exe 即生效，方便使用者即時加密敏感資料夾。

DRA 部署最佳實務

• 建立 PKI：使用企業憑證授權單位（CA）簽發 DRA 與使用者憑證，避免自我簽署憑證管理困擾（撤銷、更新、到期）。
• 多重 DRA：每網域至少指定兩位 DRA，私鑰離線保存於受控介質。
• 本地復原：DRA 以本地登入使用者電腦匯入私鑰進行復原，適合分散式辦公環境。
• 中央復原工作站：透過 ntbackup.exe 備份加密檔案原始資料至中央主機，集中管理 DRA 私鑰，適合單一 DRA 架構。

憑證自動註冊：零接觸部署

搭配企業 CA 與 v2 憑證範本，可實現：使用者憑證自動註冊、私鑰歸檔、憑證自動續訂/撤銷清理、掛起請求自動核發。更可建立「自我註冊授權單位」，以智慧卡憑證簽署自動請求，兼顧安全與自動化。

應對 DRA 私鑰遺失或憑證過期

• 私鑰遺失屬重大事故，須立即產生新 DRA 憑證並更新群組原則。
• 過期 DRA 憑證仍可解密舊檔，但無法用於新加密檔案。
• Windows XP 更新的 cipher.exe /U 可掃描本機磁碟，自動更新所有加密檔案的 FEK（檔案加密金鑰）與復原代理人資訊，協助平滑遷移。

行動裝置資料保護核心原則

• 實體防護優先；行動電腦必須加入網域。
• 私鑰與電腦分離保存，需要時匯入。
• 「我的文件」、「Temp」等共用資料夾設為加密屬性，新檔落地即加密。
• 極機密資料：直接在加密資料夾內建立/複製，避免純文字殘留磁碟。
• 透過群組原則/登入腳本/安全性範本強制推送資料夾加密設定。
• 啟用離線檔案加密（客戶端快取策略）。
• 行動電腦啟用 syskey.exe 模式 2 或 3（開機需密碼/磁碟金鑰）。
• 注意：加密系統 Temp 目錄可能嚴重影響效能，謹慎評估。

Cipher.exe /W：徹底抹除磁碟空閒空間

EFS 加密既有檔案時會建立純文字備份，刪除後磁碟殘留明文片段。執行 cipher /W:<目錄>（需管理員權限、關閉所有程式）可覆寫空閒叢集，消除殘留風險。執行時間視磁碟容量而定，不可中斷，完成後建議執行 chkdsk。Windows 2000 亦可下載相容版本。

離線檔案加密與 WebDAV 資料夾應用

XP 支援對離線檔案資料庫整體加密（使用 EFS 機器憑證），啟用方式：「資料夾選項」→「離線檔案」頁籤→勾選「啟用離線檔案」與「加密離線檔案以保護資料」。注意：加密後離線檔案不再以替代色彩顯示，且管理員同樣可存取 CSC 資料庫，故須配合 SYSKEY 與嚴格 ACL 管控。

「針對 WebDAV 資料夾使用 EFS」讓使用者透過不安全網路（如 MSN 社群）安全共享加密檔案，無需額外軟體，簡化 B2B 協作流程。

關機清除分頁檔，防止記憶體殘留洩密

透過群組原則啟用：「電腦設定」→「Windows 設定」→「安全性設定」→「本地原則」→「安全性選項」→「關機：清除虛擬記憶體分頁檔」=「已啟用」。關機時將分頁檔覆寫，確保敏感記憶體內容不以明文落盤。