System szyfrowania plików (EFS, Encrypting File System) chroni dane, szyfrując je w wybranych plikach i folderach systemu plików NTFS. Jest on zintegrowany z systemem plików, więc jest łatwy w zarządzaniu, odporny na ataki i przezroczysty dla użytkownika.

Ale wykorzystuje on również mechanizmy PKI, certyfikaty i klucze publiczne, zrozumienie zależności pomiędzy nimi jest kluczem do prawidłowej implementacji rozwiązania.

Szyfrowanie plików można scharakteryzować następująco:

• Każdy plik ma unikatowy klucz szyfrowania pliku, który jest później wykorzystywany do odszyfrowywania danych znajdujących się w pliku.
• Klucz szyfrowania pliku jest również zaszyfrowany — jest chroniony przez klucz publiczny odpowiadający certyfikatowi użytkownika.
• Aby odszyfrować plik, należy wcześniej odszyfrować klucz szyfrowania pliku. Klucz szyfrowania pliku jest odszyfrowywany, jeśli użytkownik ma klucz prywatny, który pasuje do klucza publicznego.

Jeśli użytkownik posiada certyfikat umożliwiający szyfrowanie plików, jest on wykorzystywany.

Jeśli użytkownik nie posiada certyfikatu, musi on zostać dostarczony na stację roboczą:

• Firma nie posiada urzędu certyfikatów (CA) - certyfikat do szyfrowania jest generowany automatycznie przez system operacyjny – jest to zwany certyfikat samopodpisany.
• Urząd jest zainstalowany i skonfigurowany i jest to urząd typu Enterprise - certyfikat jest wystawiany automatycznie na podstawie poświadczeń użytkownika przesłanych w jego imieniu przez system do urzędu.

I w tym procesie tkwi problem, serwer plików nie ma takich uprawnień, trzeba je nadać:

1. W Active Directory Users and Computers należy znaleźć konto serwera
2. W jego właściwościach na zakładce Delegation zaznaczyć Trust this computer for delegation to any service (Kerberos only) lub Trust this computer for delegation to specified services only.

To rozwiązanie ma pewne wady:

• Użytkownik ma 2 certyfikaty – jeden na serwerze, a drugi na stacji roboczej.
• Plik jest szyfrowany dopiero w momencie zapisania do na serwerze transmisja odbywa się odkrytym tekstem.

Alternatywnym rozwiązaniem pozbawionym tych wad jest zainstalowanie na serwerze IIS i wykorzystanie WebDav na serwerze plików.