GPP-wachtwoorden
Microsoft liet beheerders via groepsbeleid lokale wachtwoorden instellen, versleuteld met AES-256, en publiceerde de sleutel in de eigen documentatie.
De functie kwam in 2008 met Group Policy Preferences en was echt nuttig: een manier om hetzelfde lokale beheerderswachtwoord over het hele park in te stellen zonder script. Het wachtwoord belandde in een XML-veld cpassword in een bestand in SYSVOL. De versleuteling was sterk, maar de statische sleutel stond in de openbare protocolspecificatie, en SYSVOL is per ontwerp leesbaar voor elke geauthenticeerde gebruiker in het domein. Iedereen kon het dus ophalen en ontsleutelen. Microsoft haalde in 2014 de mogelijkheid weg om nieuwe zulke wachtwoorden in te stellen, maar verwijderde bestaande bestanden nooit, en daarom duikt de bevinding ruim tien jaar later nog op. Ga in SYSVOL zoeken voordat een ander dat doet.