leHACK Conferences & workshops 📅 iCal

La DPAPI est une API des OS Windows mise à disposition des développeurs pour stocker facilement les secrets des utilisateurs, sans qu’ils aient à se prendre la tête avec la partie crypto. Pour les développeurs, il suffit d’utiliser les fonctions Protect et Unprotect pour respectivement stocker de manière sécurisé les données et accéder aux données stockées.

Beaucoup de secrets differents sont stockés via la DPAPI : – Mots de passe de Tasks Scheduled – Mots de passe dans les navigateurs (Chrome Based et Internet Explorer) – Clé privée des certificats – Mots de passe de certaines solutions (notamment des solutions d’administrations à distance) – etc.

D’un point de vue offensif, ces secrets sont très intéressants à récupérer, pré et post compromission de domaine, et permettent souvent de pousser plus loin la compromission d’un SI.

Durant cette présentation, nous commencerons par présenter la DPAPI d’un point de vue théorique : expliquer comment cette API fonctionne, son évolution au fil des nouveaux OS Windows, ses utilités et ses implémentations. Puis nous expliqueront comme l’aborder d’un point de vue offensif : quels intérêts pour l’attaquant ou l’auditeur, comment l’exploiter, dans quelles circonstances et avec quels outils. Nous démontrerons nos propos à l’aide de scénarios réalistes que nous avons confrontés lors de tests internes. Enfin, nous parlerons des différentes mesures de protections qui peuvent être mises en place dans un SI pour limiter l’impact de l’exploitation de la DPAPI.