如何加密网络驱动器中的文件，以便管理员无法读取它？

Question

我想在网络驱动器上提供一个专用空间，可以在其中加密文件，并且只有有限的用户组（每个文件或子目录可配置）能够读取它们。我已经想过使用TrueCrypt，但我猜这可以支持通过网络并发访问......

我在 Microsoft Windows Active Directory 环境中工作。

如果 A 想与 B 和 C 安全地共享文件，则只有 A、B 和 C 应该能够访问这些文件。没有其他人（甚至不是系统管理员）应该能够读取这些文件。（当然，如果证书、密钥和/或密码丢失，文件将无法恢复。这是我们愿意承担的风险......）

关于如何完成这项工作的任何想法？

最好的汤姆

Answer 1

按照设计， Active Directory 环境中的域管理员（假设全是 Windows PC）要么自动拥有，要么可能快速获得对域中几乎所有内容的完全控制。

• 如果您使用 BitLocker，他们可以强制将恢复密钥存储在 AD 中。
• 如果您使用 EFS，他们可以安装“数据恢复代理”证书。
• 如果您使用 TrueCrypt，他们可以等到您解锁该卷。
• 如果您通过 SMB 的“文件共享”共享文件夹，则他们可以访问管理“整个磁盘”共享。
• 他们可以通过组策略更改防火墙规则。
• 他们可以通过 GPO 设置任意注册表设置。
• 他们可以通过 GPO 启动/登录脚本在您的计算机上运行任意命令。

如果您的公司聘请了无法信任该任务的域管理员，则安全共享数据的唯一方法是永远不要将其透露给域计算机 - 这包括 A、B和C的计算机。

（嗯，它仍然可以存储加密数据，但它必须对数据的实际内容视而不见——所有访问仍然必须通过非域设备。）