Hardware-Bindung und DPAPI

Wie die Windows-Konto-Bindung technisch funktioniert, und warum sie nicht auf einem anderen Rechner funktioniert.

Die Windows-Konto-Bindung nutzt die Windows-eigene DPAPI-Verschlüsselung, die den Vault-Schlüssel an das konkrete Windows-Benutzerkonto auf dem konkreten Rechner koppelt, eine kopierte Schlüsseldatei ist auf einem anderen Rechner deshalb nutzlos.

Was DPAPI ist

DPAPI (Data Protection API) ist eine Windows-eigene Funktion, die Daten so verschlüsselt, dass nur dasselbe Windows-Benutzerkonto auf demselben Rechner sie wieder entschlüsseln kann. CustoDoc nutzt DPAPI, um den Vault-Schlüssel zusätzlich zur Passphrase an dieses Konto zu binden.

Warum das ein echter Schutz ist

Wird die verschlüsselte Schlüsseldatei kopiert und auf einem anderen Rechner oder unter einem anderen Konto geöffnet, verweigert Windows selbst die Entschlüsselung, noch bevor CustoDoc überhaupt beteiligt ist. Ein gestohlener Datenträger allein reicht damit nicht, um an den Klartext-Schlüssel zu kommen.

Häufige Fragen

Funktioniert die Windows-Konto-Bindung auf einem anderen Rechner?

Nein. DPAPI koppelt die Entschlüsselung an das konkrete Windows-Konto auf dem konkreten Rechner, eine kopierte Schlüsseldatei lässt sich auf einem anderen Gerät nicht entschlüsseln.