Grâce à EFS (Encrypting File System), vous pouvez facilement protéger l'accès à vos fichiers confidentiels en chiffrant ceux-ci.
Néanmoins, Microsoft a pensé à tout et vous propose de pouvoir partager des fichiers chiffrés avec d'autres utilisateurs sans pour autant leur communiquer votre certificat EFS ou votre clé privée.

1. Fonctionnement d'EFS
2. Chiffrer un fichier à partager
3. Autoriser un autre utilisateur EFS à accéder à un fichier chiffré
4. Partager un fichier chiffré avec un nouvel utilisateur
   1. Chiffrer un fichier à partager avec un nouvel utilisateur
   2. Nouvel utilisateur non disponible pour l'accès EFS
   3. Générer une clé publique pour le nouvel utilisateur
   4. Autoriser le nouvel utilisateur à accéder à votre fichier chiffré

1. Fonctionnement d'EFS

Lorsque vous chiffrez un fichier sous Windows grâce à EFS, une clé symétrique (FEK) est générée de façon aléatoire et est utilisée pour chiffrer le contenu de ce fichier avec un chiffrement symétrique.
Ensuite, il chiffre cette clé symétrique (FEK) grâce à la clé publique de votre certificat EFS et la stocke dans un en-tête chiffré de ce fichier.
Etant donné que la clé symétrique (FEK) permettant de déchiffrer ce fichier est chiffrée avec votre clé publique, vous êtes le seul à pouvoir déchiffrer cette clé symétrique, car vous êtes le seul à posséder la clé privée associée.

Si besoin, référez-vous à nos articles "A quoi sert et comment fonctionne le chiffrement ?" et "Windows 10 / 11 - Chiffrer des données grâce à EFS" pour comprendre comment fonctionnent les différents types de chiffrement (chiffrement symétrique et asymétrique), ainsi que comment fonctionne EFS.

Pour que vous puissiez partager ce fichier chiffré, EFS peut ajouter autant d'en-têtes que d'utilisateurs qui peuvent accéder à ce fichier.
Pour cela, lorsque vous ajouterez un accès pour un 2ème utilisateur, Windows déchiffrera votre en-tête à l'aide de votre propre clé privée pour obtenir temporairement la clé symétrique qui s'y trouve.
Ensuite, il créera un 2ème en-tête dans lequel il ajoutera la même clé symétrique, mais qu'il chiffrera avec la clé publique de ce 2ème utilisateur.
Ainsi, ce 2ème utilisateur pourra déchiffrer son en-tête en utilisant sa clé privée.

Note : la clé publique est visible par tout le monde, contrairement à la clé privée qui n'est visible que par l'utilisateur concerné.
D'où le fait que Windows puisse accéder à la clé publique d'un autre utilisateur pour chiffrer l'en-tête qui est destiné à cet utilisateur.
De plus, étant donné que les données chiffrées avec une clé publique ne peuvent être déchiffrées qu'avec la clé privée associée, ce 2ème utilisateur sera le seul à pouvoir déchiffrer cette copie de l'en-tête.

2. Chiffrer un fichier à partager

Pour commencer, créez un fichier non chiffré.

Pour le moment, nous avons ajouté un texte indiquant que c'est l'admin qui a créé ce fichier.

Chiffrez ce fichier en passant par les propriétés du fichier, puis le bouton "Avancé", puis cochez la case "Chiffrer le contenu pour sécuriser les données" ou utilisez l'option "Chiffrer" du menu contextuel (si vous l'avez ajoutée).

Le fichier est chiffré.
Dans notre cas, nous sommes connectés en tant qu'Administrateur. Donc, seul l'administrateur a accès à ce fichier.

Si un autre utilisateur tente d'y accéder, un avertissement s'affichera et le contenu du fichier n'apparaitra pas.

Vous n'avez pas l'autorisation d'ouvrir ce fichier. Consultez le propriétaire du fichier ou un administrateur pour obtenir cette autorisation.

3. Autoriser un autre utilisateur EFS à accéder à un fichier chiffré

Pour qu'un autre utilisateur puisse aussi accéder à votre fichier chiffré (sans lui communiquer votre certificat ni votre clé privée), vous devez accéder aux propriétés du fichier souhaité et cliquez sur : Avancé.

Ensuite, cliquez sur le bouton : Détails.

Dans la fenêtre "Accès utilisateur à [nom du fichier]" qui apparait, cliquez sur : Ajouter.

Dans la fenêtre "Sécurité Windows - Système de fichiers EFS (Encrypting File System)" qui apparait, cliquez sur "Autres choix" pour voir tous les utilisateurs EFS disponibles.

Sélectionnez l'utilisateur EFS que vous souhaitez autoriser à accéder à ce fichier.

Note : si l'utilisateur souhaité n'apparait pas dans la liste, c'est que celui-ci ne possède pas encore de certificat EFS.
Pour mieux comprendre ce problème, référez-vous à l'étape "4. Partager un fichier chiffré avec un nouvel utilisateur" de ce tutoriel.

Si vous cliquez sur le lien "Cliquez ici pour afficher les propriétés du certificat" qui apparait pour cet utilisateur, vous pourrez voir son certificat.

Dans l'onglet "Détails" de ce certificat, vous pourrez voir qu'il s'agit d'un certificat EFS étant donné que la valeur du champ "Utilisation avancée de la clé" est "Système de fichiers EFS (Encrypting File System) (1.3.6.1.4.1.311.10.3.4)".

Une fois l'utilisateur souhaité sélectionné, cliquez sur OK.

L'utilisateur ajouté apparait dans la liste des utilisateurs pouvant accéder à ce fichier.
Cliquez sur OK pour fermer cette fenêtre.

Cliquez sur OK.

Fermez cette fenêtre de propriétés en cliquant sur OK.

Connectez-vous avec l'utilisateur à qui vous avez accordé un accès à votre fichier chiffré.

Le fichier chiffré est visible.

Ce 2ème utilisateur peut lire le contenu du fichier chiffré partagé par le 1er utilisateur.

Il peut tenter de le modifier.

Et il peut enregistrer les modifications effectuées.
Donc, il peut aussi modifier sans problème ce fichier chiffré accessible par 2 personnes de façon sécurisée.