DPAPI (Data Protection API)

Définition

DPAPI (Data Protection API) est une interface de programmation Windows chargée de chiffrer transparentement des données sensibles au repos pour le compte des applications et du système d'exploitation, sans que les développeurs n'aient à gérer eux-mêmes la cryptographie sous-jacente. DPAPI protège notamment les mots de passe enregistrés dans les navigateurs comme Chrome et Edge, les identifiants stockés dans le Windows Credential Vault, les clés privées associées au chiffrement EFS (Encrypting File System), et les cookies de session de certaines applications. Le chiffrement DPAPI dérive une clé maîtresse à partir du mot de passe de session de l'utilisateur, ce qui signifie qu'un attaquant disposant de ce mot de passe, ou de son hachage combiné à des informations supplémentaires selon le contexte, peut déchiffrer l'ensemble des secrets protégés par DPAPI sur la machine compromise. Dans un environnement Active Directory, un mécanisme de recouvrement complémentaire existe via la Domain Backup Key, une clé maîtresse stockée au niveau du domaine permettant théoriquement de déchiffrer n'importe quel secret DPAPI d'un compte de domaine, y compris sans connaître son mot de passe local. Le vol de cette clé de sauvegarde de domaine, extractible via des outils comme Mimikatz sur un contrôleur de domaine compromis, constitue une technique de persistance et d'extraction de secrets à très fort impact, largement documentée en post-exploitation Active Directory.