Defcon 駭客大會揭露：Windows 內建資料保護 API（DPAPI）存在弱點，瀏覽器（IE/Chrome/Firefox）、即時通訊軟體（MSN/Skype/QQ 等）儲存的「雲端密碼」可被開源工具（如 OWADE）在 Linux 環境下輕易提取，包含 Facebook、Gmail 等帳號密碼。若筆記本遺失，所有儲存密碼恐外洩，必須立即更換。
漏洞核心
- DPAPI 允許應用程式呼叫 API 加密雜湊資料，但金鑰衍生機制可被逆向。
- OWADE 等工具可在 Ubuntu/Debian 掛載 Windows 磁碟後，直接解密提取瀏覽器與 IM 客戶端的密碼資料庫。
- Wi-Fi 儲存密碼、Firefox 離線資料同樣脆弱；Skype 加較強，但 9talk、Pidgin 等第三方 IM 風險極高。
防護對策
- 啟用磁碟加密（BitLocker/EFS/第三方加密）：唯有全磁碟或使用者資料夾加密，能在裝置遺失時阻擋離線攻擊。
- 不儲存敏感密碼於瀏覽器/IM：改用專業密碼管理器（如 KeePass、Bitwarden、1Password），資料庫以主密鑰加密。
- 設定 BIOS/UEFI 開機密碼 + 硬碟密碼：增加物理存取門檻。
- 定期清理瀏覽器儲存的表單/密碼：降低暴露面。
微軟回應
微軟承諾將公開回應，但 DPAPI 架構限制短期難以根治。使用者應採取「假設已被入侵」的防禦心態，以加密與密碼管理器為核心防線。
