DPAPI Forensics

Définition

DPAPI (Data Protection API) est un système cryptographique Windows permettant aux applications de chiffrer des données sensibles (mots de passe, clés de chiffrement, certificats privés) sans avoir à gérer elles-mêmes les clés de chiffrement. Forensiquement, DPAPI est critique car de nombreuses applications Windows stockent leurs secrets via DPAPI : navigateurs web (mots de passe Chrome, Edge, passwords Firefox), clients de messagerie (Outlook), VPN clients, et AWS/Azure CLI tokens. DPAPI utilise une hiérarchie de clés à deux niveaux. Les MasterKeys sont des blobs chiffrés stockés dans C:\Users\[username]\AppData\Roaming\Microsoft\Protect\[SID]\ — ils protègent les clés réelles. Les MasterKeys sont chiffrés avec une dérivation du mot de passe de l'utilisateur (PBKDF2 avec SHA1), permettant leur déchiffrement si le mot de passe utilisateur est connu. Dans un domaine Active Directory, les MasterKeys peuvent aussi être chiffrés avec la clé du contrôleur de domaine (backup DPAPI domain key), permettant aux administrateurs de domaine de déchiffrer les secrets DPAPI de n'importe quel utilisateur du domaine. Les secrets chiffrés DPAPI (Credential files, Protected storage blobs, etc.) sont stockés dans plusieurs emplacements : C:\Users\[username]\AppData\Roaming\Microsoft\Credentials\ (Windows Credential Manager), C:\Users\[username]\AppData\Local\Google\Chrome\User Data\Default\Login Data (mots de passe Chrome, SQLite), et %APPDATA%\Mozilla\Firefox\Profiles\[profile]\logins.json (mots de passe Firefox, chiffrés avec une clé DPAPI). Pour l'extraction forensique des secrets DPAPI, Mimikatz (dpapi::masterkey, dpapi::cred, dpapi::chrome) est l'outil le plus connu. Impacket (dpapi.py) permet l'extraction offline si les MasterKeys et le mot de passe utilisateur (ou le hash NTLM) sont disponibles. SharpDPAPI (GhostPack) est une implémentation C# moderne. Ces outils peuvent révéler des mots de passe de navigateur, des credentials réseau, et d'autres secrets stockés par l'attaquant sur le système compromis.