DPAPI-NG в Windows 8
В 2000 году с выходом новой версии Windows, Microsoft представила революционный для того времени интерфейс защиты данных, который называется DPAPI. Революционный он был, как видно из нашей предыдущей статьи, потому что:
- Во-первых, обеспечивал должную защиту персональных данных пользователя.
- Во-вторых, предоставлял довольно широкие возможности в настройке криптографических алгоритмов с учетом роста вычислительной можности персональных компьютеров.
- В-третьих, интерфейс DPAPI чрезвычайно прост для применения и состоит всего из двух функций шифрования и расшифровки данных, что позволяет использовать его даже тем разработчикам, которые совсем не разбираются в криптографии.
Самое главное достоинство этой системы состоит в том, что данные, зашифрованные при помощи DPAPI, могут быть расшифрованы только на том компьютере и под той учетной записью, где они были зашифрованы.
С выходом Windows 8, Microsoft решила исправить ситуацию, выпустив новое поколение DPAPI, назвав его DPAPI-NG. Главное отличие от старой системы состоит в том, что исходные данные (например, секреты или пароли), зашифрованные на одном компьютере, теперь можно расшифровывать на другом. Но, как утверждают в Microsoft, только после правильное аутентификации и авторизации. Не пояснив, впрочем, что это такое.
DPAPI-NG построен поверх криптографии нового поколения и состоит теперь из десятка функций.
Формат хранения, естественно, тоже изменился. Защищенные данные теперь хранятся в формате ASN.1 и состоят из трех частей: заголовка с описанием, информации получателя, содержащей защищенный ключ шифрования, и самих зашифрованных данных. Ниже представлена соответствующая схема.
Непонятно, почему с таким упорством Microsoft долгое время пытаются объять необъятное - совместить интерфейс для защиты данных и для их хранения. По сути, простые и удобные API для хранения приватных данных это то, чего не хватало Windows на протяжении всей ее жизни. С выходом Windows 95, систему Protected Storage, со всеми его недостатками, с натяжкой еще можно было назвать таковым, хотя использование для этих целей реестра - затея, мягко говоря, не очень хорошая. В Windows 7 появился новый закрытый интерфейс Windows Vault. Но и в нем нет, к примеру, функций синхронизации и миграции данных, работы в облаке (с оглядкой на популяризацию облачных вычислений и был создан новый интерфейс DPAPI-NG) и т.д.
Разработчикам ПО очень не хватает такого интерфейса, поскольку приходится хранить секретные данные, например, зашифрованные при помощи DPAPI, где-попало. Будем надеяться, что с выходом Windows 9 ситуация будет исправлена в лучшую сторону :)
Документ доступен для свободного распространения
и перепечатки с обязательной ссылкой на первоисточник.
(с) 2006 Passcape Software. All rights reserved.
Опубликовано:
11:35:07 23.08.2012
Автор:
Passcape_Admin
Последнее обновление
09:45:34 20.05.2013
English
Русский
