事件回顧：Defcon 大會揭露「雲端密碼」輕易被取證工具提取
安全研究人員展示開源工具 OWADE（Offline Windows Authentication Data Extractor），在 Ubuntu/Debian Live 環境下掛載 Windows 磁碟，即可從：
- 瀏覽器（Chrome、Firefox、IE）儲存的登入憑證
- 即時通訊軟體（MSN、QQ、Skype、Pidgin、9talk）資料庫
- Wi-Fi 設定檔（明文或可逆加密）
提取出 Facebook、Gmail 等帳號密碼。意味著：筆電遺失/被竊 = 所有儲存密碼洩露，必須立即更換所有密碼。
技術根因：DPAPI (Data Protection API) 設計權衡
- DPAPI 讓應用程式呼叫
CryptProtectData 加密資料，金鑰衍生自「使用者登入密碼 + 系統機器金鑰」。
- 優點：開發者無需自行管理金鑰，資料在同一使用者/機器下自動解密。
- 缺點：離線攻擊面極大——攻擊者拿到硬碟，暴力破解使用者密碼（或直接讀取 SAM 雜湊），即可衍生 DPAPI Master Key，解開所有應用程式加密資料。
各軟體資安現況（Defcon 實測）
| 軟體類別 | 代表 | 風險等級 | 備註 |
|---|
| 瀏覽器 | Firefox (舊版) | 高 | 離線資料庫未加主密碼時明文可讀 |
| 即時通 | Skype | 低 | 採用額外加密層，OWADE 難破解 |
| 即時通 | Pidgin, 9talk | 高 | 資料庫未加密或金鑰存放不當 |
| Wi-Fi 設定 | Windows 原生 | 中 | 金鑰在 DPAPI 保護下，離線可破 |
防護策略：分層防禦
- 啟用 BitLocker / VeraCrypt 全磁碟加密（Win 7 以上專業版/企業版內建 BitLocker）
物理層面阻擋離線掛載分析，無解密金鑰無法讀取任何檔案系統資料。
- 瀏覽器設定「主密碼」（Firefox：選項 → 隱私權與安全性 → 登入帳號 → 使用主密碼）
即使 DPAPI 被破，密碼資料庫仍需第二層金鑰。
- 不在瀏覽器/IM 儲存敏感帳號密碼，改用專用密碼管理器，支援 Argon2/多重加密、雲端同步加密（如 KeePass、Bitwarden、1Password）。
- 定期清除 Wi-Fi 設定檔：
netsh wlan delete profile name="*" 或圖形介面移除不再使用的熱點。
- 開機 BIOS/UEFI 設定密碼 + 關閉 USB/光碟開機，增加離線取證難度。
微軟官方回應摘要
DPAPI 設計目標為「線上竊取防護」，非「離線物理攻擊防護」。建議企業部署 BitLocker + MBAM 管理，個人用戶開啟裝置加密（Win 10/11 家用版支援）或 VeraCrypt。
