O Windows 7 fornece suporte a criptografia de pastas e arquivos através do EFS – Encripted File System (Sistema de Arquivos com Criptografia). Com o uso de criptografia temos um nível de segurança maior do que somente com o uso de permissões NTFS. Somente é possível criptografar arquivos e pastas em volumes formatados com o sistema de arquivos NTFS. Com a criptografia é possível garantir que somente o usuário que criptografou um determinado arquivo tenha acesso a ele.

Criptografia é o processo de converter dados em um formato que não possa ser lido por um outro usuário, a não ser o usuário que criptografou o arquivo. Depois que um usuário criptografar um arquivo, esse arquivo permanecerá automaticamente criptografado quando for armazenado em disco.

Descriptografia é o processo de converter dados do formato criptografado no seu formato original. Depois que um usuário descriptografar um arquivo, esse arquivo permanecerá descriptografado quando for armazenado em disco.

Nota: No Windows 7 Starter, Windows 7 Home Basic e no Windows 7 Home Premium, não está disponível o recurso de criptografia/Descriptografia de arquivos.

Com o uso somente das permissões NTFS temos alguns problemas quanto à segurança dos dados:

• O Administrador da máquina pode usar o recurso de Take Ownership (tornar-se dono), descrito anteriormente, tornando-se desta forma dono dos arquivos/pastas desejados. Após ter “dado um Take Ownership”, o Administrador pode atribuir permissões de acesso para si mesmo e, com isso, acessar qualquer arquivo ou pasta que estiver no computador.

• Um usuário pode utilizar um disquete de boot ou instalar um outro sistema operacional no computador e utilizar alguns programas comerciais existentes, para ter  acesso a pastas e arquivos protegidos por permissões NTFS.

A grande questão é a seguinte: “Com o uso da criptografia, mesmo que o seu computador seja roubado ou que outro usuário tenha acesso ao computador, não será possível acessar os arquivos e pastas que você criptografou. A única maneira de ter acesso é fazendo o logon com a sua conta e senha”. Em resumo: Com a criptografia, os dados estão protegidos, mesmo que outras pessoas tenham acesso ao seu computador, e a única maneira de acessar os arquivos criptografados é fazendo o logon com a conta do usuário que criptografou os arquivos. Já com as permissões NTFS, conforme descrito anteriormente, este nível de proteção não existe, no caso de o computador ser roubado ou de um usuário mal-intencionado ter acesso ao computador.

Claro que também existem situações adversas que podem surgir com o uso da criptografia. Por exemplo, vamos supor que um funcionário criptografou arquivos importantes. Neste meio tempo o funcionário foi demitido. Como é que a empresa poderá ter acesso aos arquivos criptografados se o funcionário demitido se negar a fazer o logon com a sua conta e descriptografar os arquivos? Por isso que o EFS permite que uma conta seja configurada como Agente de Recuperação, a qual pode ser utilizada em situações como a descrita neste parágrafo. Mais adiante trataremos, em detalhes, sobre o agente de recuperação.
O uso de criptografia é especialmente recomendado para usuários de notebooks e outros dispositivos móveis. Não é rara a ocorrência de roubos de notebooks, sendo que estes podem conter dados importantes da empresa, tais como planos estratégicos e relatórios de vendas. O uso da criptografia é a forma mais indicada para proteger estes dados, mesmo em situações de roubo de um notebook, o que não seria possível apenas com o uso de permissões NTFS, conforme descrito anteriormente.

A criptografia é transparente para o usuário que criptografou o arquivo. Isso significa que você não precisa descriptografar manualmente o arquivo criptografado para poder usá-lo. Você pode abrir e alterar o arquivo da maneira habitual. Por exemplo, vamos supor que você tenha criptografado um documento do Word. Ao dar um clique duplo no documento, o Windows 7 Descriptografia, automaticamente, o arquivo, abre o Word e carrega o arquivo para o usuário. Observe que para o usuário toda a operação é transparente, ou seja, é como se o arquivo não estivesse criptografado. Se outro usuário, que não o que criptografou o arquivo, tentar abrir o arquivo, receberá uma mensagem de acesso negado ou o arquivo será aberto, mas com conteúdo em branco, como se nada existisse no arquivo.

O uso do EFS é semelhante ao uso de permissões para arquivos e pastas. Ambos os métodos podem ser usados para restringir o acesso aos dados. No entanto, um intruso que obtenha acesso físico não-autorizado aos seus arquivos ou pastas criptografados não conseguirá lê-los. Se o intruso tentar abrir ou copiar sua pasta ou arquivo criptografado, verá uma mensagem de acesso negado. As permissões NTFS, isoladamente, sem o uso de Criptografia, definidas para arquivos e pastas não os protegem contra ataques físicos não-autorizados, conforme já descrito anteriormente.

Você criptografa ou descriptografa uma pasta ou arquivo definindo a propriedade de criptografia para pastas e arquivos da mesma forma como define qualquer outro atributo, como somente leitura, compactado ou oculto. Se você criptografar uma pasta, todos os novos arquivos e sub-pastas criados na pasta criptografada serão automaticamente criptografados. É recomendável que você use a criptografia para pastas e não para arquivos individualmente, pois isso facilita a administração dos arquivos criptografados.

Nota: Você também pode criptografar ou descriptografar um arquivo ou pasta usando o comando cipher. Trataremos deste comando mais adiante, no final do Capítulo.

Antes de aprender a criptografar arquivos e pastas, vamos colocar algumas observações importantes sobre a criptografia no Windows 7:

• Somente arquivos e pastas em volumes NTFS podem ser criptografados.

• As pastas e os arquivos compactados não podem ser criptografados. Se o usuário marcar um arquivo ou pasta para criptografia, ele será descompactado. Falaremos sobre a compactação de pastas e arquivos mais adiante, neste capítulo.

• Se você mover arquivos descriptografados para uma pasta criptografada, esses arquivos serão automaticamente criptografados na nova pasta. No entanto, a operação inversa não descriptografa automaticamente os arquivos. Nesse caso, é necessário descriptografar manualmente os arquivos.

• Criptografar um arquivo ou uma pasta não protege contra exclusão ou listagem de arquivos ou pastas. Qualquer pessoa com permissões NTFS adequadas pode excluir ou listar pastas ou arquivos criptografados, desde que tenha a devida permissão NTFS para fazer isso. A proteção da criptografia é contra o acesso e alteração do conteúdo dos arquivos, ou seja, somente o usuário que criptografou o arquivo terá acesso. Por isso, recomenda-se o uso da criptografia em combinação com as permissões do NTFS, utilizando as permissões NTFS para impedir que outros usuários possam excluir e até mesmo listar os arquivos que estão em um pasta criptografada.

• Você pode criptografar ou descriptografar pastas e arquivos localizados em um computador remoto ativado para criptografia remota. No entanto, se você abrir o arquivo criptografado na rede, os dados transmitidos através da rede não serão criptografados, há não ser que você utilize o protocolo IpSec.

Agora que já temos um bom entendimento sobre os aspectos teóricos relacionados com o EFS, vamos aprender sobre as tarefas práticas, relacionadas com a criptografia de arquivos e pastas no Windows 7.

Em primeiro lugar vamos falar sobre algumas medidas preventivas que devem ser tomadas, para garantir que você sempre possa ter acesso aos arquivos e pastas que você criptografou.