DPAPI
Data Protection APIは、ユーザーのログオンやマシンに紐づく鍵で秘密情報を暗号化する、Windows標準の仕組みである。
DPAPIはWindows 2000で導入され、保存されたパスワードや証明書などの秘密を守る。アプリケーションはCryptProtectDataとCryptUnprotectDataを呼ぶだけで、鍵管理はWindowsが行う。アプリが鍵そのものを目にすることはない。
代償として、同じユーザーアカウントで動くものなら何でも復号を要求できる。これはバグではなく、APIを便利にするための設計上の選択だ。情報窃取マルウェアがまさにここを狙うのはそのためである。同じユーザー、同じ鍵、というわけだ。