DPAPI : fiche forensique

Présentation

La Data Protection API (DPAPI) est le service Windows qui chiffre des secrets pour le compte des applications afin qu'elles n'aient jamais à stocker de clé elles-mêmes. Mots de passe Wi-Fi, identifiants RDP enregistrés, clés de cookies et de mots de passe des navigateurs, mots de passe de tâches planifiées et de nombreux secrets applicatifs sont autant de blobs protégés par DPAPI. Chaque blob est chiffré avec une clé maîtresse par utilisateur (ou par machine), elle-même dérivée du mot de passe de l'utilisateur (ou d'un secret machine) et, en domaine, sauvegardée sur le contrôleur de domaine. Le Gestionnaire d'identifiants et le coffre Windows sont les stockages visibles qui contiennent nombre de ces blobs. Pour l'enquêteur, ces fichiers répondent à deux questions : quels secrets ce compte a-t-il conservés, et (avec le bon matériel de clé) quels étaient-ils.

Emplacement

Élément	Chemin
Clés maîtresses utilisateur	`%APPDATA%\Microsoft\Protect\<SID>\<GUID>`
Clés maîtresses machine	`%WINDIR%\System32\Microsoft\Protect\S-1-5-18\`
Blobs du Gestionnaire d'identifiants	`%LOCALAPPDATA%\Microsoft\Credentials\`, `%APPDATA%\Microsoft\Credentials\`
Coffre (Vault)	`%LOCALAPPDATA%\Microsoft\Vault\`, `%APPDATA%\Microsoft\Vault\`, `%WINDIR%\System32\config\systemprofile\...\Vault\`
Clé de sauvegarde DPAPI (DC)	Secret LSA du contrôleur de domaine (extrait hors ligne)

Le dossier Protect\<SID> contient aussi un fichier Preferred désignant le GUID de clé maîtresse courant. La disposition est stable de Vista à Windows 11 ; XP utilisait un format de clé maîtresse plus ancien.

Ce que l'artefact prouve

Que des secrets ont été stockés par le compte : une entrée du Gestionnaire d'identifiants pour un serveur, un partage ou un site montre que l'utilisateur y a enregistré des identifiants, avant même tout déchiffrement.
Quel était le secret, uniquement après un déchiffrement réussi avec le bon matériel de clé. Les métadonnées du blob seules ne révèlent pas le clair.
Cela ne prouve pas que l'identifiant a été utilisé, ni par qui. La présence d'une clé maîtresse n'indique pas en soi un vol ; les blobs DPAPI naissent d'un usage normal.

Champs clés

Champ	Signification
GUID de clé maîtresse	Nom de fichier sous `Protect\<SID>` ; chaque blob référence le GUID qui le protège
GUID / description du blob	Cible de l'identifiant (par ex. `Domain:target=TERMSRV/host` pour un RDP enregistré)
Données protégées	Secret chiffré AES/3DES, déverrouillé via la clé maîtresse
`Preferred`	Pointe vers la clé maîtresse active
Référence de sauvegarde	Indique qu'une sauvegarde de domaine (`bk-<domaine>`) était disponible à la création

Horodatages

Les fichiers de clés maîtresses et de Credentials portent les horodatages NTFS $STANDARD_INFORMATION et $FILE_NAME (UTC sur disque). La date de création d'un fichier GUID de clé maîtresse approxime le moment où le compte ou son mot de passe a été positionné sur cet hôte ; une nouvelle clé maîtresse apparaît souvent après un changement de mot de passe. Ne lisez pas les dates des blobs comme le moment où un identifiant a été utilisé.

Rétention et effacement

Les clés maîtresses ne sont pas supprimées lors d'un changement de mot de passe ; Windows conserve les anciennes clés pour que les blobs anciens restent déchiffrables, ce qui est utile longtemps après. Les entrées du Gestionnaire d'identifiants persistent tant que l'utilisateur ne les retire pas (cmdkey /delete ou Panneau de configuration). Supprimer un profil retire le dossier Protect\<SID>, mais les clichés instantanés ou sauvegardes en conservent souvent des copies. Voir les clichés instantanés de volume.

Collecte

Collectez les dossiers de clés maîtresses, Credentials et Vault, ainsi que les ruches de registre SAM/SECURITY/SYSTEM (pour les secrets locaux et la boot key), car le déchiffrement en a besoin comme d'un ensemble.

cmdkey /list
robocopy %APPDATA%\Microsoft\Protect E:\case\Protect /E /COPY:DAT
robocopy %LOCALAPPDATA%\Microsoft\Credentials E:\case\Credentials /E /COPY:DAT

Le déchiffrement hors ligne exige l'un de ces éléments : le mot de passe en clair de l'utilisateur, son hash NTLM, ou la clé de sauvegarde DPAPI de domaine (extraite du DC, qui déchiffre les clés maîtresses de n'importe quel utilisateur du domaine). Documentez celui utilisé pour la chaîne de possession.

Outils d'analyse

SharpDPAPI (open source) : énumère et, avec un mot de passe/hash/clé de sauvegarde, déchiffre clés maîtresses, credentials, coffres et secrets RDP/navigateur. Cité factuellement ici pour le triage défensif.
impacket dpapi.py (open source) : les sous-commandes masterkey, credential et vault analysent et déchiffrent les blobs hors ligne ; se combine avec la sortie de secretsdump.
DataProtectionDecryptor (NirSoft, gratuit) : déchiffre les données DPAPI à partir du mot de passe de session ou de la clé.
mimikatz modules dpapi:: : analyse les mêmes structures ; considérez toute présence de mimikatz sur l'hôte comme suspecte.

Conseils d'investigation

Les identifiants RDP enregistrés (Domain:target=TERMSRV/* dans le Gestionnaire) sont un pivot fréquent pour le mouvement latéral ; corrélez avec les connexions RDP.
Les clés de mots de passe et de cookies des navigateurs sont protégées par DPAPI ; une clé déchiffrée permet de lire le stockage des artefacts de navigateur.
L'accès à Protect\<SID> ou Credentials par un processus inhabituel, ou une copie de ces dossiers préparée pour l'exfiltration, peut indiquer un vol d'identifiants. À traiter comme une piste à corroborer, pas une preuve en soi.
Lors d'une compromission de domaine, l'extraction de la clé de sauvegarde DPAPI de domaine depuis un contrôleur de domaine permet de déchiffrer les secrets de tous les utilisateurs ; vérifiez les accès au DC autour de la fenêtre d'incident.
Les clés maîtresses machine sous S-1-5-18 protègent les identifiants de services et de tâches planifiées ; ne les négligez pas quand seules des données utilisateur semblent présentes.

DPAPI et Gestionnaire d'identifiants

Outils