Странная временная ошибка "Доступ запрещен" при доступе к зашифрованным файлам

Question

После перезагрузки системы (Win7 x64) приложение сообщило, что не может получить доступ к файлу в зашифрованном EFS-каталоге.

• Доступ через программы дал "Доступ запрещен".
• Разрешения были нормальные и нормальные.
• Проблема затронула еще 2 случайно выбранных файла.
• В течение долгого времени не было никаких соответствующих изменений или проблем.

Таким образом, это выглядело как этот вопрос, и действительно, файл был зашифрован в другой сертификат в соответствии с отпечатком сертификата, показанным в диалоговом окне, которое появляется, когда вы нажимаете "Сведения" в диалоговом окне "Дополнительные атрибуты".

Но вот странная вещь:

• Открытие диалогового окна "Расширенные атрибуты" (из диалогового окна свойств файла) занимало ~ 10 секунд и 100% ЦП каждый раз и только для этого файла.
  Следы стека, полученные с помощью ProcessHacker, были полны «efscore.dll», «bcrypt.dll», «crypt32.dll» и тому подобного.
• certmgr.msc показал новый сертификат EFS, который я не создал сам. Он был действителен 3 дня назад, и его отпечаток был тем, который я видел в файле, к которому у меня не было доступа.
• Мастер экспорта позволил экспортировать этот новый сертификат EFS, но он выдал сообщение об ошибке наполовину ("Ключ недопустим для использования в указанном состоянии".), И файл, который он создал, на самом деле не содержал выбранного сертификата, но другой. ,
• На клонированной копии системы через некоторое время файл снова стал доступен, а его содержимое не повреждено!Я проверил отпечаток сертификата, связанного с ним, и на этот раз это был отпечаток моего обычного сертификата, а не нового созданного сертификата.

Итак, это заставляет меня задуматься о надежности EFS.

1. Почему новый сертификат был тихо создан и, по-видимому, использован для шифрования нескольких файлов?
2. Почему сертификат, связанный с файлом, изменился?

Answer 1

После дальнейшего анализа я пришел к следующему выводу:

SSD, содержащий ОС, выходил из строя, вызывая молчаливое, произвольное повреждение данных в течение как минимум нескольких дней.
Наблюдаемыми эффектами были - в этом порядке - снижение производительности диска, возможно, незначительные неспецифические программные ошибки, повреждение секретного ключа сертификата EFS, сбои Explorer, BSOD.

Это моя реконструкция событий:
Прибл. За 10-14 дней до инцидента Windows по какой-то причине создала новый сертификат EFS, закрытый ключ которого был поврежден и, следовательно, вскоре стал недоступным. Все файлы, которые теперь не могут быть расшифрованы, вероятно, были переписаны после потери личного ключа. Возможно, ошибочное поведение Windows было вызвано тем, что умирающий твердотельный накопитель иногда возвращал правильные данные, иногда нет.

Также я узнал, что Windows может без каких-либо ошибок декодировать зашифрованные файлы в мусор. Таким образом, возможность расшифровывать файлы не доказывает их целостность. (То есть SSD, возможно, доставил поврежденные данные в Windows, но Windows не обнаружила это при расшифровке файлов.)