web-dev-qa-db-ja.com

管理者が読み取れないようにネットワークドライブ内のファイルを暗号化するにはどうすればよいですか？

ファイルを暗号化でき、限られたユーザーグループ（ファイルまたはサブディレクトリごとに構成可能）のみがファイルを読み取ることができる専用スペースをネットワークドライブに提供したいと思います。 TrueCryptの使用をすでに考えていましたが、これでネットワーク経由の同時アクセスをサポートできると思います...

私はMicrosoftWindows ActiveDirectory環境で作業しています。

AがBおよびCとファイルを安全に共有したい場合は、A、B、およびCのみがそれらのファイルにアクセスできる必要があります。他の誰も（システム管理者でさえも）ファイルを読み取ることができないはずです。 （もちろん、証明書、キー、パスワードを紛失した場合、ファイルは回復できません。それは私たちが取りたいリスクです...）

それを成し遂げる方法について何かアイデアはありますか？

ベストトム

networkingencryption
1
TomS

GPGなどのサードパーティの暗号化ソフトウェアが必要なようです。 GPGを使用すると、ファイルの復号化を許可するユーザーを指定してファイルを暗号化できます。管理者は暗号化されたファイルを表示できますが、復号化することはできません。

1
hymie

設計上 Active Directory環境のドメイン管理者（すべてのWindows PCを想定）は、ドメイン内のほぼすべてを自動的に完全に制御できるか、すぐに取得できる可能性があります。

  • BitLockerを使用すると、回復キーをADに強制的に保存できます。
  • EFSを使用している場合は、「データ回復エージェント」証明書をインストールできます。
  • TrueCryptを使用している場合は、ボリュームのロックを解除するまで待つことができます。
  • SMB 'ファイル共有']を介してフォルダを共有すると、管理上の「ディスク全体」の共有にアクセスできます。
  • グループポリシーを使用してファイアウォールルールを変更できます。
  • GPOを介して任意のレジストリ設定を設定できます。
  • GPOブート/ログインスクリプトを使用して、コンピューター上で任意のコマンドを実行できます。

あなたの会社がタスクで信頼できないドメイン管理者を雇った場合、データを安全に共有する唯一の方法は、ドメインマシンにデータを決して公開しないことです。これには、A、B、and C。

（まあ、それでもstore暗号化されたデータは可能ですが、データが実際に何であるかを知らない必要があります-すべてのアクセスは依然として非ドメインデバイスを介して行われる必要があります。）

5
user1686

私の知る限り、コンピューター間で個々のファイルを共有する方法はありません。これには、コンピューターの1つでパスワードと暗号化が含まれ、管理者に対する証拠となります。暗号化されたファイルでさえ、それらを暗号化したユーザーのみがアクセスできます。

したがって、ソリューションを他の場所、つまりクラウドで探す必要があります。ファイルを暗号化された形式で保持し、共有を許可するファイル共有Webサイトがあります。ローカル管理者は、クラウド共有ファイルへのアクセスを強制する方法がありません。

そのようなサービスの1つは SpiderOak で、これには空きアカウント用のディスクスペースが十分に割り当てられています。ファイルまたはフォルダーのURLをユーザーに送信することで、ユーザー間で情報を共有できます（実際には、同じエンベロープ内で共有するファイルのグループである「部屋」を定義します）。彼らの記事の説明を参照してください SpiderOak Share 。

もう1つは [〜＃〜] mega [〜＃〜] です。これは、無料アカウントにいくつかの特殊性と制限があるため、使用を停止しました。

Dropboxを使用して暗号化されたファイルを共有することもできます。暗号化を行うための製品があります。

私が試したSpiderOakのほかにもそのようなサービスがありますが、最終的に私に最も柔軟性とスペースを与えたサービスとして決定しました。

1
harrymc