_ [コンピュータ] Windows暗号化ファイルシステム秘密鍵の共有とバックアップ

ノートＰＣなどを持ち歩く場合は、重要な情報の紛失に備えてファイルの暗号化をすることが好ましいと言えます。メールの内容や各種Ｗｅｂサービスのパスワードなど、盗難にあうと思ったよりも大きな被害になる事があります。たとえば「なりすまし」などをされることによって周りの人にも被害を広げることになるかもしれません。

ログインパスワードを設定しておく事は当然ですが、それだけでは不十分です。ＰＣに物理的にアクセス可能であれば、ＨＤＤを取り出して読むなりリムーバブルメディアから起動するなり、あらゆる方法で中身を見放題だからです。

ま、気軽なのはWindows2000から導入された暗号化ファイルシステムでしょう。使用方法自体は簡単です。

ドライブがNTFSでフォーマットされているならばファイル又はフォルダのプロパティから「内容を暗号化してデータをセキュリティで保護する」をチェックするだけです。難点はファイル名は暗号化されないことでしょうか。。あくまで隠匿されるのはファイルの内容だけです。

NTFSなら超簡単

ただし、注意点を知らずに使うと痛い目に遭います。

＊Windows2000の場合の注意

物理的にHDDにアクセスできる場合、ハッキングツールなどでユーザーのパスワードを強制的にリセットしてしまう事が可能です。こうなると（暗号化ファイルシステムの）秘密鍵も読まれてしまいます。

"SYSKEY"のモードを変更することで対処することはできますが、かなり面倒で実用的でないので可能ならばWindowsXPかWindows2003Serverにすると良いでしょう。

これらのOSではパスワードが強制的に変更されると暗号鍵にアクセスできなくなるように改良されています。

＊その他の注意点

・ユーザーのパスワードは十分に複雑なものにしておく

（秘密鍵はログオンパスワードで暗号化されて保存されているし、そもそもログオンされたらお手上げ）

・【重要】Windowsを起動できなくなったときのために、秘密鍵のバックアップをしておくこと。

　意外とこれをやらずにシステムクラッシュやＯＳ再インストールで泣く人がいます。

　ログインパスワードだけでは暗号化ファイルを復元する事はできません。

　バックアップのやりかたは下記参照。

[秘密鍵の複数ＰＣ間での共有とバックアップ]

USBハードディスクなどのポータブルデバイスを使う場合は、以下のように秘密鍵を共有しておくと便利。

秘密鍵を共有するＰＣであれば、どちらで暗号化されたファイルでも開く事ができます。

ついでに秘密鍵のバックアップもしておきましょう。

１．ＰＣ１でどこかのフォルダを暗号化（最低１回は暗号化を使わないと証明書が作られない）

２．ＰＣ１，インターネットオプション→コンテンツ→証明書→個人→証明書の目的が暗号化ファイルシステムなのを選択

　・エクスポート→「秘密鍵をエクスポート」→協力な保護を有効にする→パスワードを設定して出力

３．ＰＣ２，暗号化ファイルがある場合は一度全て暗号化を解除する

　複数の秘密鍵があると大混乱になりますので注意。

４．ＰＣ２，インターネットオプション→証明書→個人

　・証明書の目的が暗号化ファイルシステムなものを念のため前述の要領で全てエクスポートしておく（秘密鍵を含めるのを忘れないように）

　存在しない場合はそのままで良い。

　エクスポートしておく意味は、（１コ前の手順で復号化しわすれて）暗号化したファイルがまだ残っていた場合に備えてです。

　・証明書の目的が暗号化ファイルシステムなものを全て削除する。

５．ＰＣ２，一度ログオフしてからログオンしなおす。

６．ＰＣ２，インターネットオプション→証明書→個人

　ＰＣ１でエクスポートした証明書をインポートする

７．ＰＣ１でエクスポートした証明書は厳重にバックアップして保管する。このファイル及びパスワードが漏れると暗号化の意味がなくなるし、失くすと何らかの理由でシステムが壊れた時に自分でも暗号化を解除できなくなる。ｶﾅｼｽ。

　ＰＣ２でエクスポートした証明書はもう不要だが、念のために取っておくと吉。

　ＰＣ２で最初に暗号化を解除し忘れたファイルがあったときのため。

ところで証明書の有効期限が１００年間になっていますが、これは気にする必要はありません。

絶対生きていませんしね。。

タネを明かすと、証明書の有効期限は西暦の下２桁だけしか保存されない仕様なのです。

よく判りませんが、今生きている人のほとんどには関係ないのでほっときましょう（ｗ

ちょっと話は変わりますが、僕の場合は一番モバイルで使う１台は敢えて他のＰＣやドメインユーザーと違うユーザーで使用しています。

パスワードも他のものに比べて単純。外で重要なパスワード何回も入力するのも嫌だし、実用上その方が楽なので・・・。あんまし良くないですが。

そのかわりこのＰＣには無くなって困るデータは入れないし、証明書も共有しない。このＰＣが盗難にあっても自宅サーバや他のＰＣのリソースへはアクセスされるという最悪の事態は避けられるはず。。

（ブラウザのクッキーが心配だけど）