Nel nome della separazione dei compiti, mi chiedevo se esiste un modo semplice (o addirittura non così semplice) di dividere la capacità di decrittografare un file crittografato EFS in modo tale da richiedere due DRA per decodificare il file , pur consentendo al proprietario del file di decrittografarlo da solo. È possibile?
Se ci sono alternative a EFS che hanno questa opzione, sarebbe anche un'informazione utile.
Sì, questo è possibile, ma non credo che EFS lo supporti direttamente. Esiste una tecnica di condivisione segreta chiamata Condivisione segreta di Shamir che fornisce informazioni sulla condivisione sicura teorica di un dato segreto in cui un numero arbitrario delle singole parti sono tenuti a calcolare il segreto originale. Dall'articolo di Wikipedia, una delle proprietà fornite sembra descrivere ciò che si desidera perfettamente:
In organizations where hierarchy is important, we can supply each participant different number of pieces according to their importance inside the organization. For instance, the president can unlock the safe alone, whereas 3 secretaries are required together to unlock it.
Nella tua situazione, vorrai usare il segreto come chiave di crittografia del file. È possibile dividere il segreto in modo che siano necessari due qualsiasi DRA per decodificare un file, ma il proprietario del file ha abbastanza "parti" del segreto da poter ricavare l'ultimo segreto richiesto per decrittografarlo senza altre informazioni dall'esterno. Una semplice implementazione sarebbe l'open source ssss o sss utilità.
Leggi altre domande sui tag privilege-separation efs