Проаналізуйте виведення утиліти `istat` для файлу, зашифрованого за допомогою EFS. Чи можливо відновити вміст файлу за цими даними?

Question

Answer

Так, оскільки EFS-шифрування є суто програмним обмеженням провідника Windows і повністю ігнорується Sleuth Kit

Answer

Ні, тому що зашифровані за допомогою EFS файли взагалі не відображаються у виведенні будь-яких утиліт TSK

Answer

Ні: istat показує лише метадані та структуру атрибутів, але не містить ключів для дешифрування вмісту $DATA

Answer

Так: виведення утиліти istat містить повний симетричний ключ FEK у відкритому шістнадцятковому представленні

Crowdly