Vous avez chiffré un dossier avec EFS, puis un incident est survenu : réinstallation de Windows, réinitialisation du profil, suppression accidentelle ou déplacement du disque vers un autre PC. Les fichiers sont de nouveau accessibles, mais chacun affiche le message « Accès refusé ». Les données ne sont pas endommagées : il manque simplement la clé privée nécessaire pour les déchiffrer. Ce guide explique pourquoi cela se produit et comment récupérer et déchiffrer des fichiers chiffrés avec EFS à l’aide de RS Partition Recovery.
Contenu
- Pourquoi les fichiers EFS deviennent inaccessibles : les scénarios de récupération les plus courants
- Préparer la récupération EFS : localiser votre certificat
- Comment récupérer et déchiffrer des fichiers chiffrés avec EFS à l’aide de RS Partition Recovery
- Que faire si vous ne disposez pas du certificat EFS
Aucun outil de récupération de données ne peut contourner le chiffrement EFS. RS Partition Recovery peut localiser et restaurer des fichiers chiffrés depuis un volume NTFS supprimé ou endommagé, mais leur déchiffrement nécessite toujours le certificat et la clé privée d’origine ou, dans un environnement de domaine, le certificat d’un agent de récupération des données. Si cette clé est définitivement perdue, les fichiers récupérés restent chiffrés.
Pourquoi les fichiers EFS deviennent inaccessibles : les scénarios de récupération les plus courants
EFS associe chaque fichier chiffré à un certificat et à une clé privée enregistrés dans un profil utilisateur Windows précis. Le fichier lui-même ne change pas et n’est pas déplacé, mais dès que le certificat ne se trouve plus à l’emplacement attendu par Windows, le fichier devient illisible pour tout le monde, y compris pour la personne qui l’a chiffré. La plupart des cas de récupération de données EFS relèvent de l’une de ces six situations :
Réinstallation ou réinitialisation de Windows
Une installation propre ou la commande « Réinitialiser ce PC » crée un nouveau profil utilisateur avec un nouveau certificat. L’ancien certificat — la seule clé permettant de déchiffrer vos fichiers — est perdu, sauf s’il a été exporté au préalable.
Déplacement du disque vers un autre PC ou profil
Les fichiers sont transférés, mais pas le certificat. Les certificats EFS sont stockés dans le profil utilisateur de l’ordinateur d’origine, et non sur le disque qui contient les données chiffrées.
Réinitialisation du mot de passe administrateur
La réinitialisation du mot de passe d’un compte local à l’aide d’un outil d’administration, au lieu d’un changement effectué directement par l’utilisateur, rompt le mécanisme utilisé par Windows pour déverrouiller la clé principale EFS — même si la connexion au compte fonctionne toujours normalement.
Profil utilisateur endommagé ou supprimé
Une corruption du profil, une mise à jour qui s’est mal déroulée ou la suppression du dossier de profil peut entraîner la perte du magasin de certificats, souvent sans aucun avertissement préalable.
Suppression accidentelle
Le cas le plus simple : un fichier ou un dossier chiffré est supprimé. Le certificat est toujours intact, mais il faut d’abord récupérer le fichier sur le volume avant de pouvoir envisager son déchiffrement.
Déplacement vers un disque externe ou amovible
EFS nécessite le système de fichiers NTFS. La copie de fichiers chiffrés vers une clé USB en FAT32 ou exFAT supprime le chiffrement sans avertissement ou bloque complètement la copie. Même sur un disque externe NTFS, le problème de certificat décrit plus haut demeure. Pour protéger l’intégralité du disque plutôt que des fichiers individuels, BitLocker To Go est une solution plus couramment utilisée pour les supports amovibles, avec sa propre procédure de récupération.
Comment savoir si un fichier est chiffré avec EFS et non simplement soumis à des restrictions d’accès :
- L’Explorateur de fichiers affiche le nom du fichier en vert sur un volume NTFS où EFS est activé
- L’ouverture du fichier affiche le message « Accès refusé », même si vous êtes connecté au compte qui en est propriétaire
- Dans les propriétés du fichier, sous Avancé, l’option « Chiffrer le contenu pour sécuriser les données » est cochée
- Dans RS Partition Recovery, les éléments chiffrés sont signalés par une icône de cadenas pendant l’analyse, et l’aperçu affiche « Fichier chiffré » au lieu du contenu
Préparer la récupération EFS : localiser votre certificat
Avant d’ouvrir un outil de récupération, vérifiez si vous pouvez accéder au certificat EFS : cela déterminera la procédure à suivre. Si vous pouvez encore vous connecter au compte Windows qui a servi à chiffrer les fichiers, le certificat se trouve déjà dans votre magasin de certificats, et RS Partition Recovery peut le récupérer directement depuis Windows, sans étape supplémentaire. Si vous utilisez un autre ordinateur, un autre profil ou une image montée de l’ancien disque, vous aurez besoin d’un certificat exporté au format PFX : créé à l’avance, récupéré depuis une sauvegarde ou fourni par un agent de récupération des données du domaine.
Ouvrez certmgr.msc (appuyez sur Win+R, saisissez la commande, puis appuyez sur Entrée).
Accédez à Personnel → Certificats et recherchez un certificat délivré à votre nom d’utilisateur, dont l’usage prévu est « Système de fichiers EFS ».
Cliquez avec le bouton droit sur le certificat, puis sélectionnez Toutes les tâches → Exporter pour lancer l’Assistant Exportation de certificat.
Sélectionnez Oui, exporter la clé privée, puis enregistrez le certificat dans un fichier .pfx protégé par un mot de passe.
Enregistrez ce fichier PFX sur un autre disque que celui qui contient les fichiers protégés. Une sauvegarde du certificat conservée uniquement sur le disque à récupérer ne vous sera d’aucune utilité si ce disque tombe en panne.
Si vous n’avez accès ni au compte d’origine ni à une exportation PFX, passez à la section Que faire si vous ne disposez pas du certificat. La récupération de la structure des fichiers ne rétablit pas l’accès au contenu chiffré sans l’un de ces éléments.
Comment récupérer et déchiffrer des fichiers chiffrés avec EFS à l’aide de RS Partition Recovery
RS Partition Recovery procède en deux étapes pour récupérer des fichiers EFS : il restaure d’abord la structure des fichiers depuis le disque, au moyen du même processus d’analyse que pour des données supprimées ou perdues, puis déchiffre les fichiers récupérés à l’aide du certificat fourni. Le certificat n’est pas nécessaire pour lancer l’analyse : vous pouvez parcourir les résultats avant de choisir comment déverrouiller les fichiers.
Connectez le disque, puis lancez RS Partition Recovery. Sélectionnez le volume — ou le disque physique si la partition elle-même a disparu — et lancez une analyse. Une analyse rapide suffit généralement pour les fichiers récemment supprimés. Si elle ne retrouve pas les éléments recherchés, effectuez une analyse complète.
Une fois l’analyse terminée, vérifiez si la synthèse des résultats indique « Fichiers chiffrés détectés », ce qui confirme que des éléments protégés par EFS ont été repérés sur le volume.
Parcourez l’arborescence des fichiers récupérés. Les éléments chiffrés sont signalés par une icône de cadenas ; les éléments supprimés portent une icône distincte représentant une croix rouge. Un fichier peut présenter les deux icônes. Lorsque vous sélectionnez un fichier chiffré, le message « Fichier chiffré — l’aperçu est indisponible tant que les données de déchiffrement n’ont pas été ajoutées » s’affiche à la place d’une miniature.
Double-cliquez sur le fichier chiffré ou cliquez sur le bouton Ajouter les données de déchiffrement dans le volet Aperçu pour ouvrir la boîte de dialogue de déchiffrement. Dans le champ Type, sélectionnez Certificat du système de fichiers EFS (.pfx, .p12).
Choisissez comment fournir la clé. Cliquez sur Importer depuis Windows si la récupération est effectuée sous le même compte Windows que celui qui a servi à chiffrer les fichiers : aucune autre saisie n’est nécessaire. Dans le cas contraire, recherchez votre fichier .pfx exporté et saisissez son mot de passe. L’empreinte du certificat est renseignée automatiquement pour confirmer que le bon certificat a été sélectionné.
Cliquez sur Ajouter. Un message confirme que la clé EFS a été importée. Dans le volet Aperçu, le message « Fichier chiffré » est alors remplacé par le contenu réel du fichier.
Le certificat s’applique désormais à tous les fichiers correspondant à cette empreinte : il n’est pas nécessaire de répéter l’opération pour chaque fichier. Sélectionnez les fichiers souhaités et enregistrez-les sur un autre disque physique que celui en cours de récupération.
À retenir sur cette procédure :
- La récupération et le déchiffrement sont indépendants : l’absence de certificat n’empêche pas l’analyse de trouver et de restaurer les fichiers, mais elle empêche d’en lire le contenu
- L’option Importer depuis Windows fonctionne uniquement si l’outil est exécuté sous le même compte et dans le même profil Windows que ceux qui contiennent le certificat d’origine
- Les fichiers récupérés sont enregistrés sous forme déchiffrée. Il n’est pas nécessaire de leur réappliquer EFS, sauf si vous le souhaitez
- N’enregistrez jamais les fichiers récupérés sur le disque ou la partition en cours de récupération : vous risqueriez d’écraser les données que vous essayez de restaurer
Que faire si vous ne disposez pas du certificat EFS
Si le compte d’origine, l’exportation PFX et toutes les sauvegardes du certificat sont perdus, aucun outil de récupération ni aucune attaque cryptographique par force brute ne peut rétablir le déchiffrement. La longueur des clés rend toute tentative de deviner la clé impraticable. Il reste toutefois une piste à vérifier avant de renoncer aux données.
Vérifier la présence d’un agent de récupération des données (DRA)
Dans un environnement de domaine, un administrateur peut avoir configuré un agent de récupération des données (Data Recovery Agent, DRA), c’est-à-dire un certificat désigné permettant de déchiffrer tout fichier EFS protégé par la stratégie du domaine, indépendamment de la clé propre à chaque utilisateur. Il s’agit d’un mécanisme au niveau du domaine, qui n’est pas disponible sur un PC personnel autonome, sauf s’il a été configuré explicitement. Si l’ordinateur a déjà été joint à un domaine, contactez l’administrateur informatique ou l’autorité de certification avant de conclure que les fichiers ne peuvent pas être récupérés.
En dehors d’un DRA, il n’existe aucune méthode prise en charge pour déchiffrer des fichiers EFS sans la clé d’origine. L’absence de certificat, de sauvegarde et de DRA de domaine constitue une impasse pour le déchiffrement : la structure des fichiers peut toujours être récupérée et enregistrée, mais leur contenu restera chiffré.
