PFX-Schlüssel von Dokumenten entfernen ohne Zugriffsverlust

[herberthelmer]

Freunde der Sonne,

hab mir eines schönen Tages aus Neugier meine Dokumente auf der lokalen Festplatte per PFX-Lizenzschlüssel gesichert (kein Zusatzprogramm genutzt sondern die "normale" Verschlüsselung von Windows). Hab daraufhin aber festgestellt, dass der PFX-Schlüssel nicht nur den Ordner selbst, sondern auch die einzelnen Dokumente für andere Nutzer "sperrt", solang die den Schlüssel nicht haben.
Da ich nicht jedes Mal den Schlüssel mitverschicken will würde ich nun gerne die Verschlüsselung bei den Dokumenten wieder entfernen, ohne jedoch A: Die Dateien zu löschen oder B: den Zugriff auf die Dokumente zu verlieren.

Wär sehr nett, wenn mir dabei jemand helfen könnte. Der PFX-Schlüssel ist noch vorhanden und auf meiner Festplatte, Betriebssystem ist Win10.

 

[wesch2000]

den haken enfernen:

 

[Yuuri]

Du importierst den Schlüssel einfach wieder in die eigenen Zertifikate (wenn du ihn entfernt hast), Rechtsklick auf die Dateien, Haken bei Verschlüsselung entfernen. Danach kannst du das Zertifikat auch wieder aus dem Speicher entfernen wenn du magst (certmgr.msc -> Eigene Zertifikate -> Beabsichtigte Zwecke = Verschlüsselndes Dateisystem).

Ich glaube du missverstehst aber die Funktion und dir fehlt noch die Terminologie.

Du hast keinen "PFX-Schlüssel" vor dir, sondern einen nach PKCS#12 Standard. Dieser stellt einen Verbund von Public Key (mit welchem du verschlüsselt) und Private Key (mit welchem du entschlüsselst) dar.

Windows nutzt dabei mittels EFS (Encrypted File System, wird ebenso bei BitLocker verwendet) eine transparente Verschlüsselung, d.h. dass die Daten nur auf der Festplatte entschlüsselt vorliegen, nie aber beim Zugriff (insofern du den Private Key vorliegen hast). Der Zugriff erfolgt immer entschlüsselt, da der NTFS-Treiber beim Zugriff transparent die Daten entschlüsselt und diese dann im unverschlüsselt im RAM vorliegen. Sobald also nicht mit den Daten gearbeitet wird (ergo in CPU und RAM verbleiben), liegen diese Daten immer verschlüsselt vor.

Wenn du nun solch eine mittels EFS verschlüsselte Datei verschickst (per Mail, auf einen USB-Stick kopierst, whatever), wandert diese Datei immer unverschlüsselt durch die Leitung. Einzige Ausnahme: Das Zielmedium besitzt ebenso ein NTFS-Dateisystem und die Attribute der Datei werden kopiert. Dann nämlich wird die Datei erstellt, das Attribut kopiert und danach der Inhalt. Auch nicht unverschlüsselt, sondern vom Ablauf her:

TL;DR: Auf dem persistenten Speicher sind die Daten immer verschlüsselt und beim Zugriff liegen sie unverschlüsselt im RAM. Stell es dir wie einen gemounteten TrueCrypt Container vor.

 

[wesch2000]

Man muss aber auch immer das Zertifikat (.cer) sichern, oder? Ich hatte nämlich solche Probleme. Deswegen nutze ich nicht "EFS".

 

[Yuuri]

Jap. Bei der ersten Verwendung bekommst du auch immer ne Info, dass du das Zertifikat sichern solltest.

Einfach im Zertifikatmanager exportieren ist aber einfacher. Mit jedem neuen Nutzer wird nämlich ein neues Zertifikat erstellt. Wenn du das Passwort ändern willst, ohne das Zertifikat zu verlieren, musst du die eingebauten Dialoge verwenden (Systemsteuerung/Einstellungen). Via net user $neuesPasswort wird das Zertifikat nämlich ungültig und du kannst im Nachhinein auch nicht mehr auf die Daten zugreifen (wenn es nicht gesichert wurde). Hab irgendwo mal nen Artikel drüber gelesen, da wurde alles bis ins kleinste Detail aufgeführt... Find nur grad den Link nicht.

Deshalb immer das Zertifikat sichern. Das Zertifikat bei EFS ist wie bei TrueCrypt Containern das Passwort.

Wenn man die Zertifikate entsprechend sichert, kann man zu jederzeit jeden Stand wieder holen. Mein ältestes Importiertes ist bspw. von 2011. Man kann natürlich auch mehrere Zertifikate für EFS importieren und verwenden.

In dem von dir gezeigten Screenshot kannst du unter Details auch alle Zertifikate einsehen, mit welcher der Zugriff auf die Datei möglich ist. Da kannst du auch mehrere hinterlegen, wenn mehrere Benutzer Zugriff erhalten sollen.

 

[wesch2000]

Deshalb nehme ich nur noch Veracrypt- habe nämlich auch schon Lehrgeld bezahlt. Ich glaube der TE hat auch einen Fehler gemacht, denn sonst brauchte er nur den Haken unter Eigenschaften->Erweitert entfernen um eine Datei/Ordner zu entschlüsseln.
Ich halte deinen Beitrag für so wichtig, dass ich mir den Link gespeichert habe, man weiß ja nie, ob man den Beitrag noch einmal braucht.

Danke

 

[herberthelmer]

Vielen lieben Dank für die zahlreichen Antworten und Erklärungen, vor allem an @Yuuri , habt mir sehr geholfen! Das Zertifikat war tatsächlich noch im Zertifikat-Speicher, musste wirklich nur den Harken beim Ordner entfernen.