Hai crittografato una cartella con EFS, poi è successo qualcosa: una reinstallazione, il ripristino di un profilo, un’eliminazione accidentale o lo spostamento del disco su un altro PC. Ora i file sono di nuovo disponibili, ma per ognuno compare il messaggio «Accesso negato». I dati non sono danneggiati: manca semplicemente la chiave privata necessaria per sbloccarli. Questa guida spiega perché succede e come recuperare e decrittografare i file crittografati con EFS usando RS Partition Recovery.
Contenuti
- Perché i file EFS diventano inaccessibili: gli scenari di recupero più comuni
- Preparazione al recupero dei file EFS: come individuare il certificato
- Come recuperare e decrittografare i file EFS con RS Partition Recovery
- Cosa fare se non si dispone del certificato EFS
Nessun software di recupero dati può aggirare la crittografia EFS. RS Partition Recovery può individuare e ripristinare file crittografati da un volume NTFS eliminato o danneggiato, ma per decrittografarli è comunque necessario il certificato originale con la relativa chiave privata oppure, in un ambiente di dominio, il certificato di un agente di recupero dati. Se la chiave è andata persa definitivamente, i file recuperati restano crittografati.
Perché i file EFS diventano inaccessibili: gli scenari di recupero più comuni
EFS associa ogni file crittografato a un certificato e a una chiave privata archiviati nel profilo di uno specifico utente Windows. Il file in sé non viene spostato né modificato, ma se il certificato non si trova più nella posizione in cui Windows se lo aspetta, il file diventa illeggibile per chiunque, compreso l’utente che lo ha crittografato. La maggior parte dei casi di recupero dei dati EFS rientra in una di queste sei situazioni:
Reinstallazione o ripristino di Windows
Un’installazione pulita o la procedura «Reimposta il PC» crea un nuovo profilo utente con un nuovo certificato. Il vecchio certificato, l’unica chiave in grado di decrittografare i file, viene perso se non è stato esportato in precedenza.
Spostamento del disco su un altro PC o profilo
I file vengono trasferiti, ma il certificato no. I certificati EFS risiedono nel profilo utente del computer originale, non sul disco che contiene i dati crittografati.
Reimpostazione della password di amministratore
La reimpostazione della password di un account locale tramite uno strumento di amministrazione, anziché la modifica diretta da parte dell’utente, interrompe il collegamento usato da Windows per sbloccare la chiave master EFS, anche se è ancora possibile accedere normalmente all’account.
Profilo utente danneggiato o eliminato
Il danneggiamento del profilo, un aggiornamento non riuscito o l’eliminazione della cartella del profilo possono causare la perdita dell’archivio dei certificati, spesso senza alcun preavviso.
Eliminazione accidentale
È il caso più semplice: un file o una cartella crittografati vengono eliminati. Il certificato è ancora integro, ma prima di poterli decrittografare è necessario recuperare i file dal volume.
Spostamento su unità esterne o rimovibili
EFS richiede NTFS. La copia di file crittografati su una chiavetta FAT32 o exFAT rimuove la crittografia senza avviso oppure impedisce del tutto la copia. Anche con un’unità esterna NTFS, resta valido il problema del certificato descritto sopra. Se si vuole proteggere l’intera unità anziché singoli file, BitLocker To Go è la soluzione più diffusa per i supporti rimovibili e prevede una procedura di recupero distinta.
Come capire se un file è crittografato con EFS e non semplicemente soggetto a restrizioni di accesso:
- In Esplora file, su un volume NTFS con EFS attivo, il nome del file è visualizzato in verde
- Aprendo il file compare il messaggio «Accesso negato», anche se si è connessi con l’account proprietario
- Nelle proprietà del file, in Avanzate, è selezionata l’opzione «Crittografa contenuto per la protezione dei dati»
- Durante l’analisi, RS Partition Recovery contrassegna gli elementi crittografati con un’icona a forma di lucchetto; nel riquadro di anteprima compare «File crittografato» al posto del contenuto
Preparazione al recupero dei file EFS: come individuare il certificato
Prima di avviare un software di recupero, verifica di poter accedere al certificato EFS: da questo dipende la procedura da seguire. Se riesci ancora ad accedere all’account Windows con cui hai crittografato i file, il certificato si trova già nell’archivio certificati e RS Partition Recovery può recuperarlo direttamente da Windows, senza passaggi aggiuntivi. Se invece stai usando un altro computer o profilo, oppure un’immagine montata del vecchio disco, ti servirà un’esportazione PFX del certificato: creata in precedenza, recuperata da un backup o fornita da un agente di recupero dati del dominio.
Apri certmgr.msc (premi Win+R, digita il comando e premi Invio).
Vai a Personale → Certificati e cerca un certificato intestato al tuo nome utente, con lo scopo previsto «Encrypting File System».
Fai clic con il pulsante destro del mouse sul certificato e seleziona Tutte le attività → Esporta per avviare l’Esportazione guidata certificati.
Seleziona Sì, esporta la chiave privata, quindi salva il certificato come file .pfx protetto da password.
Conserva il file PFX su un disco diverso da quello contenente i file protetti: un backup del certificato archiviato solo sull’unità che stai cercando di recuperare non è utile se l’unità si guasta.
Se non hai accesso né all’account originale né a un’esportazione PFX, passa alla sezione Cosa fare se non si dispone del certificato. Il recupero della struttura dei file non consente di accedere ai contenuti crittografati senza uno di questi elementi.
Come recuperare e decrittografare i file EFS con RS Partition Recovery
RS Partition Recovery gestisce il recupero dei file EFS in due fasi distinte: prima ripristina la struttura dei file dal disco, usando la stessa procedura di analisi prevista per i dati eliminati o persi; poi decrittografa i file recuperati usando il certificato fornito. Per eseguire l’analisi non serve il certificato: è possibile avviarla e consultare i risultati prima di decidere come sbloccare i file.
Collega l’unità e avvia RS Partition Recovery. Seleziona il volume oppure, se la partizione non è più presente, il disco fisico, quindi avvia l’analisi. In genere, per i file eliminati di recente è sufficiente un’analisi rapida; se non trovi i dati desiderati, esegui un’analisi completa.
Al termine dell’analisi, verifica che nel riepilogo dei risultati sia presente la notifica «Rilevati file crittografati», che conferma la presenza di elementi protetti da EFS sul volume.
Esplora la struttura dei file recuperati. Gli elementi crittografati sono contrassegnati da un’icona a forma di lucchetto; quelli eliminati presentano un indicatore separato con una croce rossa, che può comparire insieme al lucchetto. Selezionando un file crittografato, al posto dell’anteprima viene visualizzato il messaggio «File crittografato: l’anteprima non è disponibile finché non vengono aggiunti i dati di decrittografia».
Fai doppio clic sul file crittografato oppure usa il pulsante Aggiungi dati di decrittografia nel riquadro di anteprima per aprire la finestra di dialogo della decrittografia. In Tipo, seleziona Certificato Encrypting File System (EFS) (.pfx, .p12).
Scegli come fornire la chiave. Fai clic su Importa da Windows se esegui il recupero con lo stesso account con cui hai crittografato i file: non servono altri dati. In caso contrario, seleziona il file .pfx esportato e inserisci la relativa password. L’impronta digitale del certificato viene compilata automaticamente e consente di verificare che sia stato selezionato quello corretto.
Fai clic su Aggiungi. Un messaggio conferma l’importazione della chiave EFS e nell’anteprima il segnaposto «File crittografato» viene sostituito dal contenuto effettivo del file.
Il certificato viene applicato a tutti i file associati alla stessa impronta digitale: non è necessario ripetere l’operazione per ogni file. Seleziona gli elementi desiderati e salvali su un disco fisico diverso da quello in fase di recupero.
Note sulla procedura:
- Recupero e decrittografia sono operazioni indipendenti: l’assenza del certificato non impedisce all’analisi di individuare e ripristinare i file, ma ne impedisce la lettura
- Importa da Windows funziona solo se il software viene eseguito con lo stesso account e profilo Windows che contiene il certificato originale
- I file recuperati vengono salvati in forma decrittografata; non è necessario applicare nuovamente EFS, a meno che non lo si desideri
- Non salvare mai i file recuperati sull’unità o sulla partizione in fase di recupero: si rischia di sovrascrivere i dati che si sta cercando di ripristinare
Cosa fare se non si dispone del certificato EFS
Se non sono più disponibili l’account originale, l’esportazione PFX e qualsiasi backup del certificato, nessun software di recupero e nessun attacco di forza bruta può ripristinare la decrittografia: la lunghezza delle chiavi rende impraticabile qualsiasi tentativo di indovinarle. Prima di rinunciare ai dati, vale la pena verificare un’ultima possibilità.
Verificare la presenza di un agente di recupero dati (DRA)
In un ambiente di dominio, un amministratore potrebbe aver configurato un agente di recupero dati (Data Recovery Agent, DRA): un certificato designato che consente di decrittografare qualsiasi file EFS protetto dai criteri del dominio, indipendentemente dalla chiave del singolo utente. Si tratta di un meccanismo a livello di dominio, non disponibile su un PC domestico autonomo, a meno che non sia stato configurato esplicitamente. Se il computer è stato aggiunto a un dominio, contatta l’amministratore IT o l’autorità di certificazione prima di concludere che i file non siano recuperabili.
Al di fuori di un DRA, non esiste un metodo supportato per decrittografare file EFS senza la chiave originale. Se non sono disponibili il certificato, un backup o un DRA di dominio, la decrittografia non è possibile. La struttura dei file può comunque essere recuperata e salvata, ma i contenuti resteranno crittografati.
