ユーザーのパスワードを使用した暗号化

Question

WINAPIを使用しているWindowsマシンのログインユーザーのパスワードを使用して、特定のデータを暗号化します。私はトークン（またはそのようなもの）を使用する関数を探していましたが、見つけられませんでした。

誰でもその方法を知っていますか？

ありがとうございます！ :-)

Answer 1

私が前にDPAPIを聞いたことがなかったので、私は、以前にこの答えを書かれたが、その後再検討していました。しかし、さらに検討すると、私は以下の意見を述べたいと思います。ここでの重要な序文は、すべてあなたのニーズに依存するということです。二つの相反する可能性が頭に浮かぶ：

1. あなたはあなたのユーザー完全な保護と利用者が唯一の彼女は関係なく、状況を復号化しないことができるようになります信頼できる暗号化を提供したいと考えています。

2. あなたはエンタープライズITマネージャーであり、すべての従業員が緊密につながっています。ワークフローの一部としてビジネスデータを暗号化して、お互いのデータを見ることができないようにしたいと考えていますが、管理者はすべてのデータを喜んで読むことができます。

状況（2）にいる場合は、今すぐ読んでから、そのケースに適したDPAPIをお試しください。シナリオ（1）を好むなら、下の私の元の答えをお読みください。

---

これはおそらく良い考えではありません。理由は次のとおりです。

実際のパスワードは、Windows 3.11などがない限り、システムに保存されません。代わりに、パスワードのハッシュだけが保存され、ログイン時にユーザーが入力したパスワードがハッシュされ、保存されたハッシュと比較されます。

システムから保存されたハッシュを取得することができます（たとえば、管理者権限を持っている場合）。ただし、これが唯一のデータであれば、実際のパスワードではなく、その暗号化キーがそのハッシュから派生します。したがって、システムへのアクセス権を持つ誰もが格納されたハッシュに到達し、そこから比較的簡単に暗号化キーを導き出すことができます。

要するに、しないでください。ユーザーにデータのための専用の新しいパスワードを要求し、そのパスワードのみに使用します。

Answer 2

Windows Data Protection APIはあなたの必要とするように聞こえる。 CryptProtectData and CryptUnprotectData関数は、現在のユーザーのログオン資格情報を使用して暗号化を実行します。

Answer 3

独自のログインアルゴリズムを設計する代わりに、Kerberos（Linuxベースの認証サーバー、またはKerberosを使用する他のサーバー）/ LDAPフレームワーク（Windowsサーバー）を使用します。

WindowsプラットフォームSDK &サードパーティライブラリには、これらのフレームワークを持つコネクタがあります。 KerberosについてのMSDNで

詳細情報：http://msdn.microsoft.com/en-us/library/ff649429.aspx

Answer 4

How to safely store a password

のWin32 bcryptの：http://msdn.microsoft.com/en-us/library/aa375421%28v=vs.85%29.aspx