Windows系统存储区DPAPI的解密技术研究

摘要：

目的 在电子数据取证过程中,数据的加解密经常是取证人员关注的重点.数据保护接口(DPAPI)作为Windows系统提供的数据保护接口被广泛使用,目前主要用于保护加密的数据.其特性主要表现在加密和解密必须在同一台计算机上操作,密钥的生成、使用和管理由Windows系统内部完成,如果更换计算机则无法解开DPAPI加密数据.通过对DPAPI加密机制的分析,以达到对Windows系统存储区的DPAPI加密数据进行离线解密的目的.方法 通过深入研究分析Windows XP、Windows 7、Windows 10等多款操作系统的DPAPI加密流程和解密流程,确定系统存储区数据离线解密主要依赖于系统的注册表文件和主密钥文件.结果 利用还原后的解密流程和算法,以及系统的注册表文件和主密钥文件,可以正常解开DPAPI加密数据.结论 该方法可达到对Windows系统存储区的DPAPI加密数据进行离线解密的目的.

关键词：数据保护接口、系统存储区、主密钥、解密、取证

分类号：TP309(计算技术、计算机技术)

资助基金：十三五国家重点研发计划;司法鉴定科学研究院技术攻关项目;上海市司法鉴定专业技术服务平台资助项目

在线出版日期：2021-05-24（万方平台首次上网日期，不代表论文的发表时间）

页数：共7页

页码：50-56