有一款占用大量 CPU 的应用程序会生成非常敏感的数据。到目前为止，这款应用程序一直在一台隐蔽的 Windows 10 计算机上运行，其数据已写入 BitLocker 加密卷。
现在，该应用程序将在具有强大 CPU 能力的平台上运行。许多用户同时登录该平台，无论是本地登录还是通过远程桌面和 PowerShell 远程登录。（每个人都有单独的用户帐户。）重要的是，这些敏感数据对其他用户保持加密。问题是，如何做到这一点？显然，基于密码的 BitLocker 方法不再是有效的解决方案，因为一旦安装卷，它对所有人都是可见的。
我简单考虑了一下 EFS，但 EFS 只加密文件内容。文件夹结构和文件名保持未加密状态。有没有办法以只有安装用户才能访问的方式安装加密卷？
更新：我需要请求平台管理员安装我的应用。因此，我也可以要求他们安装任何其他应用，包括授予加密访问权限的应用。
答案1
我建议您考虑将这些数据放入带有加密虚拟磁盘的虚拟机 (VM) 中。如果用户能够自行启动 VM，则加密数据将受到权限保护（只有获得许可的用户才能访问），并且加密密钥在 VM 启动时提供，这会将未加密的数据保存在内存中而不是磁盘上。
您应该确保系统上没有不受信任的用户拥有系统管理员权限，但这应该是不言而喻的。