OVH Cloud OVH Cloud

Windows 7 - 64bits : Chiffrement EFS - corruption des fichiers

4 réponses
Avatar
loich
Bonjour à tous, j'aimerais vous faire part de mon problème avec le système de chiffrement EFS incorporé à Windows :

J'avais quelques centaines de photos personnelles dans un dossier de mon disque dur. Pour éviter que ces photos ne tombent entre de mauvaises mains si jamais mon PC portable est volé, j'ai chiffré ces photos en utilisant EFS (d'ailleurs je chiffre quasiment tous les documents personnels de mon ordinateur portable).

J'ai déplacé ces photos (chiffrées, couleur verte dans l'explorateur) dans un autre dossier de ma partition, qui lui n'était pas chiffré mais compressé (couleur bleue). Voulant m'assurer que les prochaines photos que j'ajouterai dans ce dossier seront elles aussi chiffrées, j'ai décidé de chiffrer ce dossier auparavent compressé. Windows me demande si je veux aussi appliquer cette modification aux objets à l'intérieur de ce dossier, j'ai donc confirmé, sachant que ces objets étaient en fait mes photos déjà chiffrées + une arborescence de quelques sous-dossiers dans lesquels j'avais rangé d'autres photos.

Lorsque je suis retourné dans ce dossier après l'opération de chiffrement (que j'ai trouvé anormalement longue compte tenu que la majorité des photos qu'il contient étaient déjà chiffrées), quelle ne fut pas ma stupeur en me rendant compte que 90% des photos qu'il contient sont corrompues ! Les seules photos encore lisibles sont celles que j'ai consulté avant le chiffrement (et qui se trouvaient vraissemblablement dans la mémoire cache). Après un redémarrage (au cas où une partie du noyau s'était plantée), rien ne change ! Toutefois, je précise que les miniatures de ces photos restent affichées, même après plusieurs chiffrements / déchiffrements / compressions / décompressions successifs...

Etant informaticien, je suis quasiment certain de ne pas avoir commis de mauvaise manipulation. Cependant, la comparaison octet à octet d'un fichier corrompu de mon dossier avec son original (je possède encore et heureusement quelques originaux des photos corrompues) me montre que les fichiers sont radicalement différents bien qu'ayant la même taille : le fichier corrompu ne possède même pas le header exif dans ses premiers octets !

Curieux et inquiet de l'avenir de mes fichiers chiffrés avec ce système, je me pose quelques questions :

1. Le système EFS est-il vraimment fiable ? Est-ce que d'autres personnes ont eu ce genre de mésaventures ?

2. D'après le site de Microsoft, les miniatures des photos chiffrées avec EFS ne sont pas mises en cache (sur le disque dans le dossier AppData du profil utilisateur). Toutefois, la présence des miniatures des fichiers corrompus (qui n'ont binairement plus rien à voir avec des JPEG), et ceci même après un redémarrage, prouve le contraire ! Y a-t-il un détail qui m'échappe ?

3. Je rêve peut-être, mais y aurait-il un moyen de récupérer les fichiers corrompus, qui semblent en fait avoir été chiffrés une fois de trop ? Je me doute que pour réaliser une telle opération il faudrait carrément réimplémenter toute la procédure de génération des clés symétriques à partir du header EFS et du certificat. De plus, il me semble même que le header du premier chiffrement n'existe peut-être plus ! Il serait plus rapide pour moi de récupérer tout ce que je peux à partir de la carte mémoire de l'appareil photo (pour les photos les plus récentes).



J'ai essayé de reproduire cette corruption avec d'autres fichiers mais je n'ai pas réussi. D'ailleurs, quand les fichiers ont été corrompus, le noyau n'était plus très stable (poste de travail lent, clés usb non accessibles dès la première tentative) et je recontrais quelques bugs avec la barre d'adresse de l'explorateur. Le redémarrage m'a peut-être empêché de reproduire le problème...

Avec cette mésaventure (+ d'autres problèmes depuis la réinstallation de mon système sur un nouveau disque dur), je me rends compte que les solutions fournies par Microsoft sont vraiment aléatoires et je compte m'en éloigner le plus possible lors de mes prochaines réinstallations. J'en viens même à regretter de ne pas avoir directement chiffré tout mon disque avec TrueCrypt compte tenu de ces problèmes avec EFS (corruption + noms des fichiers cryptés quand même visibles sans le certificat).

J'espère que quelqu'un pourra m'éclairer un peu plus sur cette affaire, et pourquoi pas Jean-Claude BELLAMY qui semble être la personne la plus calée du web francophone sur EFS et NTFS !

Merci d'avance et bonne journée !

PS : désolé d'avoir écrit un pavé, mais je voulais être le plus précis possible si jamais d'autres personnes se retrouvent un jour dans la même situation que moi.

4 réponses

Avatar
Delta Ophiuchus
*Bonjour loich*, qui a écrit le 30/11/2012 03:46 :

3. Je rêve peut-être, mais y aurait-il un moyen de récupérer les fichiers
corrompus, qui semblent en fait avoir été chiffrés une fois de trop ?



As-tu essayé le retour à un point de restauration antérieur ?

Panneau de configurationTous les Panneaux de
configurationSystèmePropriétes systèmeProtection du
systèmeRestauration du système...
Penser à cocher "Afficher d'autres points de restauration"

J'espère que quelqu'un pourra m'éclairer un peu plus sur cette affaire, et
pourquoi pas Jean-Claude BELLAMY qui semble être la personne la plus calée du
web francophone sur EFS et NTFS !



Sauf erreur de ma part, il n'est pas abonné à ce groupe et ne publie pas
dedans.
Publie à nouveau ton message dans le groupe fr.comp.os.ms-windows

PS : désolé d'avoir écrit un pavé, mais je voulais être le plus précis possible
si jamais d'autres personnes se retrouvent un jour dans la même situation que
moi.



Merci pour cette longue et détaillée explication.
Je ne peux pas t'aider pour résoudre ton problème en dehors d'essayer la
restauration système et je ne répondre à tes questions. Je ne me
retrouverai pas dans ta situation car pour crypter mes fichiers,
j'utilise cette solution : http://www.axantum.com/axcrypt/


--
http://www.synec-doc.be/doc/accents2.htm
Avatar
loich
Le vendredi 30 Novembre 2012 à 03:46 par loich :
Bonjour à tous, j'aimerais vous faire part de mon problème avec
le système de chiffrement EFS incorporé à Windows :

J'avais quelques centaines de photos personnelles dans un dossier de mon disque
dur. Pour éviter que ces photos ne tombent entre de mauvaises mains si
jamais mon PC portable est volé, j'ai chiffré ces photos en
utilisant EFS (d'ailleurs je chiffre quasiment tous les documents personnels de
mon ordinateur portable).

J'ai déplacé ces photos (chiffrées, couleur verte dans
l'explorateur) dans un autre dossier de ma partition, qui lui n'était
pas chiffré mais compressé (couleur bleue). Voulant m'assurer que
les prochaines photos que j'ajouterai dans ce dossier seront elles aussi
chiffrées, j'ai décidé de chiffrer ce dossier auparavent
compressé. Windows me demande si je veux aussi appliquer cette
modification aux objets à l'intérieur de ce dossier, j'ai donc
confirmé, sachant que ces objets étaient en fait mes photos
déjà chiffrées + une arborescence de quelques
sous-dossiers dans lesquels j'avais rangé d'autres photos.

Lorsque je suis retourné dans ce dossier après l'opération
de chiffrement (que j'ai trouvé anormalement longue compte tenu que la
majorité des photos qu'il contient étaient déjà
chiffrées), quelle ne fut pas ma stupeur en me rendant compte que 90%
des photos qu'il contient sont corrompues ! Les seules photos encore lisibles
sont celles que j'ai consulté avant le chiffrement (et qui se trouvaient
vraissemblablement dans la mémoire cache). Après un
redémarrage (au cas où une partie du noyau s'était
plantée), rien ne change ! Toutefois, je précise que les
miniatures de ces photos restent affichées, même après
plusieurs chiffrements / déchiffrements / compressions /
décompressions successifs...

Etant informaticien, je suis quasiment certain de ne pas avoir commis de
mauvaise manipulation. Cependant, la comparaison octet à octet d'un
fichier corrompu de mon dossier avec son original (je possède encore et
heureusement quelques originaux des photos corrompues) me montre que les
fichiers sont radicalement différents bien qu'ayant la même taille
: le fichier corrompu ne possède même pas le header exif dans ses
premiers octets !

Curieux et inquiet de l'avenir de mes fichiers chiffrés avec ce
système, je me pose quelques questions :

1. Le système EFS est-il vraimment fiable ? Est-ce que d'autres
personnes ont eu ce genre de mésaventures ?

2. D'après le site de Microsoft, les miniatures des photos
chiffrées avec EFS ne sont pas mises en cache (sur le disque dans le
dossier AppData du profil utilisateur). Toutefois, la présence des
miniatures des fichiers corrompus (qui n'ont binairement plus rien à
voir avec des JPEG), et ceci même après un redémarrage,
prouve le contraire ! Y a-t-il un détail qui m'échappe ?

3. Je rêve peut-être, mais y aurait-il un moyen de
récupérer les fichiers corrompus, qui semblent en fait avoir
été chiffrés une fois de trop ? Je me doute que pour
réaliser une telle opération il faudrait carrément
réimplémenter toute la procédure de
génération des clés symétriques à partir du
header EFS et du certificat. De plus, il me semble même que le header du
premier chiffrement n'existe peut-être plus ! Il serait plus rapide pour
moi de récupérer tout ce que je peux à partir de la carte
mémoire de l'appareil photo (pour les photos les plus récentes).



J'ai essayé de reproduire cette corruption avec d'autres fichiers mais
je n'ai pas réussi. D'ailleurs, quand les fichiers ont été
corrompus, le noyau n'était plus très stable (poste de travail
lent, clés usb non accessibles dès la première tentative)
et je recontrais quelques bugs avec la barre d'adresse de l'explorateur. Le
redémarrage m'a peut-être empêché de reproduire le
problème...

Avec cette mésaventure (+ d'autres problèmes depuis la
réinstallation de mon système sur un nouveau disque dur), je me
rends compte que les solutions fournies par Microsoft sont vraiment
aléatoires et je compte m'en éloigner le plus possible lors de
mes prochaines réinstallations. J'en viens même à regretter
de ne pas avoir directement chiffré tout mon disque avec TrueCrypt
compte tenu de ces problèmes avec EFS (corruption + noms des fichiers
cryptés quand même visibles sans le certificat).

J'espère que quelqu'un pourra m'éclairer un peu plus sur cette
affaire, et pourquoi pas Jean-Claude BELLAMY qui semble être la personne
la plus calée du web francophone sur EFS et NTFS !

Merci d'avance et bonne journée !

PS : désolé d'avoir écrit un pavé, mais je voulais
être le plus précis possible si jamais d'autres personnes se
retrouvent un jour dans la même situation que moi.


Bonjour Delta Ophiuchus,

Merci pour ta réponse.

En fait la restauration du système est exclue pour moi, car comme son nom l'indique, elle ne concerne que les fichiers du système, et pas ma partition de données.

Je connaissais axcrypt mais je voulais essayer EFS qui était carrément intégré au noyau de Windows et permet donc un accès à la volée transparent. Je vais plutôt généraliser TrueCrypt sur ma prochaine installation système (pas tout de suite malheureusement) pour éviter ce genre de désagrément, et augmenter la fréquence de mes backups.

Puisque tu me dis que JCB n'est pas abonné à ce groupe, je vais tenter de le contacter directement via son site perso (que je recommande vivement à toute personne s'intéressant aux entrailles de Windows).

Bonne journée, et encore merci pour ta réponse
Avatar
Delta Ophiuchus
*Bonjour loich*, qui a écrit le 30/11/2012 10:31 :

En fait la restauration du système est exclue pour moi, car comme son nom
l'indique, elle ne concerne que les fichiers du système, et pas ma partition de
données.



C'est dommage car il est tout à fait possible d'inclure les partitions
de données à la restauration système et de restaurer ainsi ses fichiers
dans un état antérieur.

--
http://www.synec-doc.be/doc/accents2.htm
Avatar
loich
Le vendredi 30 Novembre 2012 à 10:47 par Delta Ophiuchus :
*Bonjour loich*, qui a écrit le 30/11/2012 10:31 :

En fait la restauration du système est exclue pour moi, car comme son
nom
l'indique, elle ne concerne que les fichiers du système, et pas ma
partition de
données.




C'est dommage car il est tout à fait possible d'inclure les partitions
de données à la restauration système et de restaurer ainsi
ses fichiers
dans un état antérieur.

--
http://www.synec-doc.be/doc/accents2.htm


Oui, mais malheureusement le problème n'est pas là (il concerne EFS / NTFS), et là encore la fréquence des backups est déterminante...

De plus, vu cette corruption de données en utilisant du tout Microsoft, je ne pense pas qu'utiliser une sauvegarde codée par Microsoft soit plus sûr. Sans compter le fait que la restauration du système n'est pas chiffrée !