Ha cifrado una carpeta con EFS y, después, algo ha ocurrido: ha reinstalado Windows, se ha restablecido el perfil, ha eliminado archivos por accidente o ha conectado la unidad a otro PC. Ahora los archivos vuelven a estar ahí, pero al intentar abrirlos aparece el error «Acceso denegado». Los datos no están dañados; simplemente falta la clave privada necesaria para descifrarlos. En esta guía se explica por qué ocurre y cómo recuperar y descifrar archivos cifrados con EFS mediante RS Partition Recovery.
Contenido
- Por qué no se puede acceder a los archivos EFS: situaciones habituales
- Preparativos para recuperar archivos EFS: cómo localizar el certificado
- Cómo recuperar y descifrar archivos cifrados con EFS mediante RS Partition Recovery
- Qué hacer si no tiene el certificado EFS
Ninguna herramienta de recuperación de datos puede eludir el cifrado EFS. RS Partition Recovery permite localizar y restaurar archivos cifrados de un volumen NTFS eliminado o dañado, pero para descifrarlos sigue siendo necesario el certificado original y su clave privada o, en un entorno de dominio, un certificado del agente de recuperación de datos. Si esa clave se ha perdido definitivamente, los archivos recuperados seguirán cifrados.
Por qué no se puede acceder a los archivos EFS: situaciones habituales
EFS vincula cada archivo cifrado a un certificado y una clave privada almacenados en un perfil de usuario concreto de Windows. El archivo no se mueve ni cambia, pero, en cuanto ese certificado deja de estar donde Windows lo espera, nadie puede leerlo, ni siquiera la persona que lo cifró. Seis situaciones explican la mayoría de los casos de recuperación de datos EFS:
Reinstalación o restablecimiento de Windows
Una instalación limpia o la opción «Restablecer este PC» crea un perfil de usuario con un certificado nuevo. El certificado antiguo —la única clave capaz de descifrar los archivos— desaparece, a menos que se hubiera exportado previamente.
Traslado de la unidad a otro PC o perfil
Los archivos se trasladan, pero el certificado no. Los certificados EFS se almacenan en el perfil de usuario del equipo original, no en la unidad que contiene los datos cifrados.
Restablecimiento de la contraseña de administrador
Restablecer la contraseña de una cuenta local mediante una herramienta de administrador, en lugar de cambiarla desde la propia cuenta, rompe el vínculo que Windows utiliza para desbloquear la clave maestra de EFS, aunque se siga pudiendo iniciar sesión con normalidad.
Perfil de usuario dañado o eliminado
La corrupción del perfil, una actualización fallida o la eliminación de la carpeta del perfil pueden hacer que también desaparezca el almacén de certificados, a menudo sin que se muestre ningún aviso en ese momento.
Eliminación accidental
El caso más sencillo: se elimina un archivo o una carpeta cifrados. El certificado sigue intacto, pero primero hay que recuperar el archivo del volumen; el descifrado solo será posible después.
Traslado a unidades externas o extraíbles
EFS requiere NTFS. Al copiar archivos cifrados a una unidad flash FAT32 o exFAT, el cifrado se elimina sin avisar o la copia se bloquea directamente. Además, incluso en una unidad externa NTFS, sigue siendo aplicable el problema del certificado descrito anteriormente. Si se quiere proteger toda la unidad en lugar de archivos individuales, BitLocker To Go es una opción más habitual para los medios extraíbles, aunque tiene su propio proceso de recuperación.
Cómo saber si un archivo está cifrado con EFS y no solo tiene restricciones de acceso:
- En un volumen NTFS con EFS habilitado, el Explorador de archivos de Windows muestra el nombre del archivo en verde
- Al abrir el archivo aparece el mensaje «Acceso denegado», incluso si se ha iniciado sesión con la cuenta a la que pertenece
- En las propiedades del archivo, en «Opciones avanzadas», está marcada la opción «Cifrar contenido para proteger datos»
- En RS Partition Recovery, durante el análisis, los elementos cifrados se identifican con un icono de candado y, en la vista previa, aparece «Archivo cifrado» en lugar del contenido
Preparativos para recuperar archivos EFS: cómo localizar el certificado
Antes de abrir cualquier herramienta de recuperación, compruebe si tiene acceso al certificado EFS. De ello depende el método de recuperación que debe seguir. Si todavía puede iniciar sesión en la cuenta de Windows con la que se cifraron los archivos, el certificado ya está en el almacén de certificados y RS Partition Recovery puede obtenerlo directamente de Windows, sin pasos adicionales. Si está utilizando otro equipo o perfil, o una imagen montada de la unidad antigua, necesitará una exportación PFX del certificado: puede haberse creado con antelación, recuperado de una copia de seguridad o proporcionado por un agente de recuperación de datos del dominio.
Abra certmgr.msc (pulse Win+R, escriba el nombre y presione Intro).
Vaya a Personal → Certificados y busque un certificado emitido a su nombre de usuario cuyo uso previsto sea «Sistema de cifrado de archivos».
Haga clic con el botón derecho en el certificado y seleccione Todas las tareas → Exportar para iniciar el Asistente para exportación de certificados.
Seleccione Sí, exportar la clave privada y guarde el certificado como un archivo .pfx protegido con contraseña.
Guarde el archivo PFX en una unidad distinta de aquella que contiene los archivos protegidos. Una copia del certificado almacenada únicamente en la unidad que intenta recuperar no servirá si esta falla.
Si no tiene acceso a la cuenta original ni a una exportación PFX, vaya directamente a Qué hacer si no tiene el certificado. Recuperar la estructura de archivos no permitirá acceder al contenido cifrado sin uno de estos elementos.
Cómo recuperar y descifrar archivos cifrados con EFS mediante RS Partition Recovery
RS Partition Recovery realiza la recuperación de archivos EFS en dos etapas: primero recupera la estructura de archivos de la unidad mediante el mismo proceso de análisis que se utiliza para encontrar datos eliminados o perdidos y, después, descifra los archivos recuperados con el certificado que se proporcione. Para analizar la unidad no se necesita el certificado; puede ejecutar el análisis y examinar los resultados antes de decidir cómo desbloquear los archivos.
Conecte la unidad e inicie RS Partition Recovery. Seleccione el volumen o el disco físico si la partición ha desaparecido y ejecute un análisis. El análisis rápido suele bastar para encontrar archivos eliminados recientemente. Si no aparecen los que busca, ejecute un análisis completo.
Cuando finalice el análisis, compruebe si en el resumen de resultados aparece el aviso «Se han encontrado archivos cifrados», que confirma que se han detectado elementos protegidos con EFS en el volumen.
Examine el árbol de archivos recuperados. Los elementos cifrados llevan un icono de candado; los eliminados se identifican con una marca roja distinta, y un archivo puede mostrar ambos iconos. Al seleccionar un archivo cifrado, en lugar de una miniatura aparece el mensaje «Archivo cifrado: la vista previa no está disponible hasta que se añadan los datos de descifrado».
Haga doble clic en el archivo cifrado o pulse el botón Añadir datos de descifrado del panel de vista previa para abrir el cuadro de diálogo de descifrado. En Tipo, seleccione Certificado del sistema de cifrado de archivos (EFS) (.pfx, .p12).
Seleccione cómo proporcionar la clave. Pulse Importar desde Windows si está realizando la recuperación con la misma cuenta en la que se cifraron originalmente los archivos; no tendrá que introducir nada más. En caso contrario, busque el archivo .pfx exportado e introduzca su contraseña. La huella digital del certificado se completará automáticamente para confirmar que se ha seleccionado el certificado correcto.
Pulse Añadir. Aparecerá un mensaje de confirmación indicando que la clave EFS se ha importado correctamente y la vista previa mostrará el contenido real del archivo en lugar del mensaje «Archivo cifrado».
El certificado se aplicará a todos los archivos que coincidan con esa huella digital; no es necesario repetir el proceso para cada archivo. Seleccione los archivos que necesita y guárdelos en una unidad física distinta de la que está recuperando.
Notas sobre este proceso:
- La recuperación y el descifrado son procesos independientes. La falta del certificado no impide que el análisis encuentre y restaure los archivos, pero sí impide leer su contenido
- La opción Importar desde Windows solo funciona si la herramienta se ejecuta con la misma cuenta y el mismo perfil de Windows que contienen el certificado original
- Los archivos recuperados se guardan descifrados; no es necesario volver a aplicar EFS, salvo que se desee hacerlo
- No guarde nunca los archivos recuperados en la unidad o partición que está recuperando: podría sobrescribir los datos que intenta restaurar
Qué hacer si no tiene el certificado EFS
Si ya no tiene la cuenta original, la exportación PFX ni ninguna copia de seguridad del certificado, ninguna herramienta de recuperación —ni la fuerza bruta criptográfica— puede recuperar el descifrado. La longitud de las claves hace que intentar adivinarlas no sea viable. Antes de dar los datos por perdidos, conviene comprobar una posibilidad.
Compruebe si hay un agente de recuperación de datos (DRA)
En un entorno de dominio, es posible que un administrador haya configurado un agente de recuperación de datos (DRA): un certificado designado que permite descifrar cualquier archivo EFS cifrado según la directiva del dominio, independientemente de la clave del usuario. Se trata de un mecanismo de dominio; no está disponible en un PC doméstico independiente, salvo que se haya configurado expresamente. Si el equipo estuvo unido a un dominio, consulte al administrador de TI o a la entidad de certificación antes de dar los archivos por irrecuperables.
Salvo que haya un DRA, no existe ningún método admitido para descifrar archivos EFS sin la clave original. Si no hay certificado, copia de seguridad ni DRA de dominio, no será posible descifrarlos. Aun así, se puede recuperar y guardar la estructura de los archivos, pero su contenido seguirá cifrado.
