Microsoft DP API и его ключи

Google-fu меня подводит, и я не смог найти документацию, которая ответила бы на следующий вопрос: если приложение использует ключ машины Windows или ключ пользователя для шифрования определенных данных, и зашифрованные данные все еще доступны, но машина становится неработоспособной (неисправность жесткого диска, ошибочно отформатированный диск и т. д.), как можно сделать резервное копирование и восстановление ключей, чтобы использовать их для восстановления после аварии?

Я понимаю, что возможно создать образ такой машины и восстановить ее из образа, но я ищу решение, которое не зависит от образа. Существует ли такое решение? То есть возможно ли сделать резервную копию ключа машины или пользователя Windows и повторно применить ее на другой машине, если оригинальная полностью потеряна?

Я предполагаю, что создание такой резервной копии представляет собой риск безопасности, но сейчас меня интересует только сама возможность такого подхода.

Похоже, здесь говорится о использовании альтернативного местоположения для ключей в файловой системе: Провайдеры хранения ключей в ASP.NET Core. Странно, что я не смог сначала это найти, но результат появился, как только я убрал ‘Microsoft’ из поисковых запросов DPAPI.

Связанная статья, должно быть, говорит о ключах пользователя, если только я что-то не упускаю. Это имело бы смысл, потому что, как я предполагал, резервное копирование ключа машины — это риск безопасности. Я довольно уверен, что смогу продолжить с этого и базировать любое дальнейшее шифрование на ключах пользователя.

Мне также была интересна статья DPAPI и переносимые профили, которая связана с Шифрованием ключей в покое в Windows и Azure с использованием ASP.NET Core, но она выдает 404.

Решение высокого уровня, похоже, состоит в том, чтобы использовать хранилище ключей пользователя, основанное на файловой системе, и включить шифрование ключей в покое, при этом убедившись, что ключ шифрования также резервируется где-то.

Согласно этой (устаревшей, последний раз обновлялась в 2010 году, но, возможно, она все еще актуальна) документации Microsoft для DPAPI, мастер-ключ пользователя может быть сохранен. Я не уверен, относится ли это также к ключу машины.

Когда компьютер является членом домена, у DPAPI есть механизм резервного копирования для восстановления данных. Когда создается мастер-ключ, DPAPI связывается с контроллером домена. Контроллеры домена имеют пару публичных/приватных ключей, связанных исключительно с DPAPI. Локальный клиент DPAPI получает публичный ключ контроллера домена, используя взаимно аутентифицированный и защищенный от прослушивания RPC-вызов. Клиент шифрует мастер-ключ с использованием публичного ключа контроллера домена. Затем он сохраняет этот резервный мастер-ключ вместе с мастер-ключом, защищенным паролем пользователя.

При расшифровке данных, если DPAPI не может использовать мастер-ключ, защищенный паролем пользователя, он отправляет резервный мастер-ключ контроллеру домена, используя взаимно аутентифицированный и защищенный от прослушивания RPC-вызов. Контроллер домена затем расшифровывает мастер-ключ с помощью своего приватного ключа и отправляет его обратно клиенту, используя тот же защищенный RPC-вызов. Этот защищенный RPC-вызов используется, чтобы гарантировать, что никто, кто слушает в сети, не сможет получить мастер-ключ.

Теперь вы, вероятно, думаете, что это резервное копирование отлично работает с клиентами домена, но вы также задаетесь вопросом, что происходит со всеми домашними пользователями, которые работают с автономными системами или в рабочей группе. Ну, в Windows XP появилась новая функция: диск сброса пароля (PRD). Пользователь может создать PRD из панели управления в любое время, и это позволяет пользователю сбросить свой пароль, когда он его забывает. Когда пароль сбрасывается с помощью PRD, все мастер-ключи пользователя шифруются заново под новый пароль.