☰

在为管理员用户创建密码时，我收到一条令人恐惧的消息“将丢失所有 EFS 加密文件、个人证书和存储的密码”

tag-icon • tag-icon windows windows-10 passwords
在为管理员用户创建密码时，我收到一条令人恐惧的消息“将丢失所有 EFS 加密文件、个人证书和存储的密码”

我有一台运行 Windows 10 的个人笔记本电脑

Edition Windows 10 Home Single Language
Version 21H2
Installed on    ‎11-‎04-‎2021
OS build    19044.2006
Experience  Windows Feature Experience Pack 120.2212.4180.0

从一开始，我就一直以管理员级别的本地用户身份运行它，该用户不受密码保护。现在我打算将笔记本电脑交给一些供应商，所以我想为这个用户设置一个密码，并为维修人员提供第二个标准用户密码。

当我尝试为我的原始用户创建密码时，我收到以下令人恐惧的消息

在此处输入图片描述

这到底意味着什么？我会丢失 Firefox 浏览器上的所有缓存密码吗？还是 Edge？还是其他？

答案1

从技术角度来看，您将丢失使用 Windows 数据保护 API (DPAPI) 保护的所有内容，该 API 将使用您的登录密码来解锁主加密密钥。示例：

  • “凭据管理器”控制面板部分中的所有内容均使用 DPAPI 进行保护。（但是，那里的“Web 凭据”子部分几乎只是 Internet Explorer - Chrome/Edge 和 Firefox 都不使用它，它们都使用自己的数据库。）

  • 中的证书certmgr.msc也受 DPAPI 保护，其中可能包括用于连接到工作 VPN 的证书，或用于 EFS 文件加密的证书。（EFS 是文件属性对话框中的“加密此文件”复选框。）

  • 镀铬/边缘做使用 DPAPI 来保护其存储的密码数据库，但之前有人说过，他们使用“机器范围”保护，这种保护与您的 Windows 帐户个人无关。

    据我所知，Firefox/Mozilla 不使用 DPAPI，但这种情况将来可能会改变。

  • 基于软件的“Windows Hello”WebAuthn 令牌很可能使用 DPAPI。

  • Windows 版 OpenSSH 的 ssh-agent 组件使用 DPAPI 来保护使用 ssh-add 加载的 SSH 私钥。

  • Dropbox 使用 DPAPI 加密其整个配置文件 - 您不会丢失文件，但您需要重新登录并重新设置同步（并等待它重新索引所有内容）。

但你可以通过以下方式避免这一切不是通过管理员密码重置功能。而是让用户更改自己的密码——也就是说，你需要登录作为要更改密码的用户，然后点击CtrlAltDel并使用“更改密码”选项。在此模式下，旧密码和新密码都会提供给操作系统，以便操作系统可以正确地重新加密 DPAPI 主密钥。

相关内容