Шифрование общих файлов в домене AD

Question

Могу ли я зашифровать общие файлы на сервере Windows и разрешить доступ к этим файлам только зарегистрированным пользователям домена?

Сценарий выглядит следующим образом:

У меня есть компания по разработке программного обеспечения, и я хотел бы защитить мой исходный код от копирования моими программистами.

Одна проблема заключается в том, что некоторые программисты используют свои собственные ноутбуки для разработки программного обеспечения компании.

В этом случае невозможно запретить разработчикам копировать исходный код для своих ноутбуков.

В этом случае я подумал о следующем решении, но я не знаю, возможно ли это реализовать.

Идея состоит в том, чтобы зашифровать исходный код, и они доступны (расшифрованы) только тогда, когда разработчики вошли в домен AD, т.е. если они не вошли в домен AD, исходный код был бы зашифрован бесполезно.

Как можно реализовать это с помощью EFS? или есть другие инструменты для этого?

Answer 1

Что мешает им войти в домен, открыть и расшифровать исходный код в notepad/VS/ что угодно, а затем скопировать и вставить содержимое в локальный файл?

Шифрование не предназначено для защиты данных от пользователей, которые уже имеют к ним доступ. У вас социальная / политическая проблема, а не техническая.

Answer 2

Проблема в том, что, получив доступ к источнику, они могут просто сделать копию и полностью обойти всю эту систему, о которой вы думаете. Если вы не доверяете кому-либо данные, вам не следует их передавать, потому что, как только они получат доступ, они смогут делать копии и делать с ними все, что захотят (кроме изменения оригинальной копии).

Лучшее, что вы можете сделать, - это настроить брандмауэр, чтобы определить, передается ли исходный код через вашу сеть (хотя это было нарушено шифрованием), и не разрешать какие-либо устройства хранения.

Answer 3

Я провел несколько тестов, используя EFS и домен AD. Я думаю, что следующее решение может быть использовано.

Я использовал EFS для шифрования папки и дал разрешение пользователю X. Когда этот логин пользователя с учетными данными домена имеет полный доступ к этой папке и может копировать все файлы. (зашифрованные файлы!)

Но если пользователь не входит в систему с учетными данными домена AD, он не может получить доступ к файлам. Даже если он использует учетную запись локального администратора на машине.

Проблема в том, что AD остается в кэше информации о пользователях.

Теперь мне нужно знать, можно ли настроить AD для проверки подлинности ноутбуков только в том случае, если сервер подключен к сети, и не разрешать этим пользователям расшифровывать файлы с помощью EFS.

Вы уже реализовали что-то подобное?

Answer 4

Чтобы ответить на ваш вопрос, как указано: да, вы можете зашифровать данные с помощью EFS и разрешить нескольким пользователям AD доступ к ним. Как уже отмечали некоторые другие, хотя это технически верно, это также практически бесполезно. Любой, кто может расшифровать файл, может сохранить, распечатать, скопировать расшифрованный исходный код, особенно если вы позволяете ему делать это на компьютерах, которые вы не контролируете.