Windows系统存储区DPAPI的解密技术研究

• 作者: 苏再添 郭弘 王欣 吴少华 吴世雄
• 来源期刊: 中国司法鉴定
• 关键词: 数据保护接口 系统存储区 主密钥 解密 取证
• 年，卷（期）: 2021,（2）
• 所属期刊栏目: 鉴定科学|Forensic Science
• 页码范围: 50-56
• 页数: 7页
• 分类号: TP309
• 语种: 中文
• DOI: 10.3969/j.issn.1671-2072.2021.02.008

摘要

目的 在电子数据取证过程中,数据的加解密经常是取证人员关注的重点.数据保护接口(DPAPI)作为Windows系统提供的数据保护接口被广泛使用,目前主要用于保护加密的数据.其特性主要表现在加密和解密必须在同一台计算机上操作,密钥的生成、使用和管理由Windows系统内部完成,如果更换计算机则无法解开DPAPI加密数据.通过对DPAPI加密机制的分析,以达到对Windows系统存储区的DPAPI加密数据进行离线解密的目的.方法 通过深入研究分析Windows XP、Windows 7、Windows 10等多款操作系统的DPAPI加密流程和解密流程,确定系统存储区数据离线解密主要依赖于系统的注册表文件和主密钥文件.结果 利用还原后的解密流程和算法,以及系统的注册表文件和主密钥文件,可以正常解开DPAPI加密数据.结论 该方法可达到对Windows系统存储区的DPAPI加密数据进行离线解密的目的.