windows - DPAPI:在用户登录前使用 CryptUnprotect

Question

我正在使用 DPAPI 来存储 XML 数据。 CryptProtectData 之后的数据存储在一个文件中。在我的一个用例中，需要在任何用户登录到工作站之前解密此数据。因为，我不能在这里使用用户特定的 key ，所以我在加密时设置了标志“CRYPTPROTECT_LOCAL_MACHINE”。熵键是一个静态文本。

Unprotect 在所有情况下都有效，除非我在登录前调用它(没有用户登录)。返回错误87(参数不正确)。

我重新阅读了整个 DPAPI 文档以了解 key 是如何生成的。但是，不幸的是，对于这个特定的标志，没有足够的信息。

CryptUnprotectData 在这种情况下是否有效？它可以被在某些用户 session 下运行的应用程序调用吗？感谢您的帮助。

谢谢，

Answer 1

我们使用 DPAPI 来存储服务所需的密码:

• 使用 CRYPTPROTECT_LOCAL_MACHINE 加密 | CRYPTPROTECT_UI_FORBIDDEN。

• 使用 CRYPTPROTECT_UI_FORBIDDEN 解密

服务在机器启动时运行(即登录前)；一切正常。