Sicherheitsproblem bei Dateiverschlüsselung in Windows 2000

Ein Sicherheitsproblem im Encrypted File System (EFS) Windows 2000 ermöglicht lokalen Benutzern, verschlüsselte Dateien auszulesen. Das berichtet Rickard Berglind auf der Sicherheitsmailingliste Bugtraq. Die Sicherheitslücke besteht, weil Windows die ursprüngliche (unverschlüsselte) Datei nur unzurreichend löscht: Beim Verschlüsseln über EFS legt Windows zunächst eine Sicherheitskopie der zu chiffrierenden Datei als efs0.tmp an. Nach erfolgreicher Verschlüsselung löscht Windows diese temporäre Datei – aber leider nicht physisch. Windows löscht lediglich den Dateieintrag mit einem normalen "delete", überschreibt die Datei aber nicht.

Dadurch kann jeder Benutzer, der Zugriff auf den Rechner hat, den Inhalt der Datei mit einem Diskeditor oder Undelete-Programm sichtbar machen. Zwar wird die temporäre Datei durch weitere Schreibzugriffe auf die Festplatte irgendwann tatsächlich überschrieben, je nach Größe der Datei kann dies aber einige Zeit dauern.

Wer sicher sein möchte, dass seine verschlüsselten Dateien auch tatsächlich nicht mehr auslesbar sind, muss sich bis zur Veröffentlichung eines Patches mit einem Tool wie beispielsweise BCWipe selbst helfen, um Dateien physisch zu löschen. (pab)