Cómo migrar datos protegidos por DPAPI durante la migración de perfiles de Windows

CopyRight2 incluye ahora la opción Migrate DPAPI para los trabajos de migración de equipos y perfiles. Esta función ayuda a conservar el acceso a los datos protegidos por DPAPI: descifra las claves maestras DPAPI del usuario con la contraseña del dominio de origen y vuelve a cifrarlas para la cuenta de destino después de la migración.

Cuando una organización migra equipos o perfiles de usuario a otro dominio de Windows, puede trasladar correctamente muchos archivos y ajustes visibles mientras algunos datos protegidos siguen vinculados a la cuenta original. Una causa habitual es la API de protección de datos de Windows, o DPAPI, que las aplicaciones utilizan para proteger datos confidenciales del usuario con claves asociadas a su perfil y credenciales de Windows.

Por qué DPAPI importa durante la migración

Windows y muchas aplicaciones utilizan DPAPI para proteger secretos y datos cifrados específicos de cada usuario. Durante una migración de dominio o de perfil, esos datos pueden seguir dependiendo de claves creadas con la cuenta de origen.

Si las claves no se migran correctamente, es posible que algunas credenciales guardadas u otros elementos protegidos dejen de estar disponibles después de la migración, aunque se hayan trasladado el perfil y los archivos.

La opción Migrate DPAPI está diseñada para cubrir esta necesidad de migración de datos protegidos por Windows DPAPI, entre ellos:

• Contraseñas guardadas en Chrome, Edge, Internet Explorer y otros navegadores basados en Chromium, como Opera, Brave y Vivaldi.
• Credenciales guardadas del Protocolo de escritorio remoto (RDP).
• Certificados de usuario y sus claves privadas.
• Datos cifrados mediante DPAPI por aplicaciones de terceros.

Cómo funciona la opción Migrate DPAPI

Los administradores pueden habilitar Migrate DPAPI en un trabajo de migración de equipos o perfiles de CopyRight2.

Cuando se habilita la opción, CopyRight2 instala un programa adicional en el equipo cliente. Este programa se ejecuta cuando el usuario inicia sesión por primera vez con el perfil migrado en el entorno de destino.

En ese primer inicio de sesión, se pide al usuario la contraseña que utilizaba en el dominio de origen. Se necesita la contraseña correcta para descifrar sus claves maestras DPAPI existentes. CopyRight2 utiliza entonces esa contraseña para descifrar las claves y volver a cifrarlas para la cuenta de destino. Si también se utilizó la migración de contraseñas de CopyRight2, puede ser la misma contraseña que el usuario ya emplea después de migrar.

Qué experimentan los usuarios

Desde la perspectiva del usuario, el proceso tiene lugar después de la migración, en el primer inicio de sesión con el perfil migrado. Aparece un mensaje que solicita la contraseña del dominio de origen.

Tras introducir la contraseña correcta, las claves maestras DPAPI se descifran y vuelven a cifrar para la cuenta de destino. Si la contraseña es incorrecta o no está disponible, no se pueden migrar esas claves mediante este diálogo y los datos afectados pueden seguir siendo inaccesibles.

Si el proceso concluye correctamente, ayuda a conservar el acceso a los elementos protegidos por DPAPI de los que dependen las aplicaciones, como las contraseñas guardadas en el navegador, las credenciales RDP, las claves privadas de los certificados de usuario y otros datos protegidos por DPAPI.

Para los administradores, esto establece un procedimiento de migración más claro: habilitar la opción en el trabajo, avisar a los usuarios de que se les pedirá la contraseña en el primer inicio de sesión y reducir la posibilidad de que los datos protegidos por DPAPI queden inaccesibles después del traslado.

Aspectos de planificación para administradores

La nueva opción resulta especialmente pertinente cuando los usuarios dependen de credenciales guardadas, certificados, almacenes de contraseñas del navegador o aplicaciones que protegen datos locales del usuario mediante DPAPI.

Antes de habilitarla de forma general, los administradores deben incluirla en la planificación y en las comunicaciones a los usuarios para que sepan qué contraseña necesitarán en el primer inicio de sesión. Esto es especialmente importante si la contraseña del dominio de origen difiere de la del dominio de destino.

Una migración más completa del perfil de usuario

La opción Migrate DPAPI refuerza los procedimientos de migración de equipos y perfiles de CopyRight2 al abordar una parte concreta e importante del perfil de Windows: los datos protegidos por DPAPI.

Para las organizaciones que planifican migraciones de dominio, ayuda a reducir las interrupciones posteriores al conservar el acceso a credenciales guardadas, certificados y datos de aplicaciones protegidos tras el traslado.