Encrypting File System
Encrypting File System(EFS)은 Windows의 NTFS 파일 시스템에서 사용자별로 파일과 디렉터리를 암호화할 수 있게 하는 기술이다. Windows 2000에서 도입됐으며 사용자 계정에 연결된 암호화 키·인증서로 파일 데이터에 대한 접근을 보호한다. 드라이브 전체를...
| 약칭 | EFS |
|---|---|
| 분류 | NTFS 사용자·파일별 암호화 기능 |
| 개발사 | Microsoft |
| 초기 도입 | Windows 2000 |
| 주요 지원 | Windows Professional·Enterprise 등 지원 에디션 |
| 대상 파일 시스템 | NTFS |
| 암호화 단위 | 파일·폴더, 사용자별 인증서와 키 |
| 기본 기술 | 대칭 파일 키·사용자 공개키 보호 |
| 복구 | 인증서·개인 키·데이터 복구 에이전트 |
| 유사 기능 | BitLocker(볼륨 암호화) |
| 지원 | Windows 릴리스·정책별 제한 |
| 공식 문서 | Microsoft Learn: EFS |
Encrypting File System(EFS)은 Windows의 NTFS 파일 시스템에서 사용자별로 파일과 디렉터리를 암호화할 수 있게 하는 기술이다. Windows 2000에서 도입됐으며 사용자 계정에 연결된 암호화 키·인증서로 파일 데이터에 대한 접근을 보호한다. 드라이브 전체를 암호화하는 BitLocker와 달리, 파일 단위로 선택해 적용하므로 보호 범위·키 관리와 복구 방식이 서로 다르다.[1]
EFS는 파일 내용을 대칭키로 암호화하고 해당 파일 암호화 키를 사용자의 공개키 등으로 보호한다. 사용자는 자신의 계정과 인증서·개인 키를 통해 파일을 열 수 있지만 시스템을 새로 설치하거나 키를 분실하면 원래 파일에 접근할 수 없게 될 수 있다. 기업용 Windows에서는 관리자가 복구 에이전트를 설정하여 비상 복구를 계획할 수 있다.
파일을 암호화한 다음 다른 파일 시스템·공유 위치로 복사하거나 백업하면 대상의 기능과 도구에 따라 암호화 상태가 달라질 수 있다. EFS 암호화가 활성화된 파일을 일반 Windows 사용자 계정으로 열 수 있는지 여부는 접근 ACL 외에도 키 소유·암호화 정책에 의존한다. 같은 사용자 이름을 새로 만든다고 기존 암호화 키를 자동으로 복원할 수 있는 것은 아니다.
오늘날에는 장치 분실 대응을 위한 BitLocker와 클라우드·보안 정책이 함께 사용된다. EFS는 특정 파일에 대한 사용자별 암호화를 제공하지만 악성코드가 사용자의 권한으로 접근하는 상황까지 모두 막는 만능 방어 기능은 아니다. 보안 설계에서는 볼륨 암호화·파일별 접근 권한과 EFS 키 복구를 별도의 통제로 다뤄야 한다.