FiveTech Support Forums

//----------------------------------------------------------------------------//
// DPAPI.PRG (v5)
// v2: la info del blob se muestra en dos SAYs cortos; la linea unica
// con el hex quedaba cortada en el Wine de validacion (430px no dan
// para etiqueta + longitud + 32 caracteres hex).
// v3: SOLO comentarios (precision documental del flag LOCAL_MACHINE y
// del MAC), sin cambios en el codigo ejecutable.
// v4: SOLO comentarios (matiz del fallo de descifrado: no prometer
// deteccion de toda manipulacion), sin cambios en el codigo ejecutable.
// v5: SOLO comentarios (esta nota de versiones), sin cambios en el
// codigo ejecutable. Validado compilando el fuente v4 (mismo codigo
// ejecutable) con Harbour 3.2.1dev + FWH 26.10 + llvm-mingw en
// Wine 11.19 el 4 nov 2026.
// Cifrar y descifrar un texto con DPAPI (CryptProtectData/CryptUnprotectData)
// Ejemplo didactico FiveWin (FWH) + Harbour
//
// Que muestra:
//   - CryptProtectData: cifra un buffer ligandolo a la credencial del
//     usuario actual (o al equipo, con el flag LOCAL_MACHINE)
//   - CryptUnprotectData: lo descifra en las mismas condiciones
//   - El blob cifrado incluye un MAC (comprobacion de integridad con
//     clave) para proteger contra la manipulacion del dato cifrado
//     (doc. Microsoft)
//   - La estructura DATA_BLOB y la liberacion del resultado con LocalFree
//
// Limites documentados por Microsoft (importantes para usarlo bien):
//   - TIPICAMENTE solo lo descifra el mismo usuario en el mismo equipo.
//     Excepcion documentada: con perfil movil (roaming) se puede
//     descifrar desde otro equipo del dominio.
//   - El flag CRYPTPROTECT_LOCAL_MACHINE lo abre a CUALQUIER usuario
//     de ese equipo (doc. Microsoft). El checkbox solo selecciona el
//     flag: el round-trip se hace con el mismo usuario; el acceso
//     cruzado entre usuarios no se prueba en este ejemplo.
//   - No es una caja fuerte: protege bytes en reposo ligados a la
//     credencial; la doc. indica que puede descifrarlos un usuario
//     con la misma credencial de inicio de sesion.
//   - El flujo con CRYPTPROTECT_PROMPTSTRUCT esta obsoleto y Microsoft
//     anuncia su retirada en feb 2027: aqui pasamos NULL.
//
// USA SOLO DATOS DE PRUEBA: este ejemplo no guarda nada en disco.
//
// Documentacion de Microsoft:
//   CryptProtectData:   https://learn.microsoft.com/en-us/windows/win32/api/dpapi/nf-dpapi-cryptprotectdata
//   CryptUnprotectData: https://learn.microsoft.com/en-us/windows/win32/api/dpapi/nf-dpapi-cryptunprotectdata
//   Ejemplo MS en C:    https://learn.microsoft.com/en-us/windows/win32/seccrypto/example-c-program-using-cryptprotectdata
//
// Compilar enlazando crypt32: -lcrypt32
//----------------------------------------------------------------------------//

#include "FiveWin.ch"

static cTxtEntrada  := "Texto de prueba DPAPI 12345"
static lLocalMachine := .F.
static cBlob        := ""   // blob cifrado (binario), solo en memoria
static cTxtEstado   := "Sin cifrar todavia"
static cTxtBlob     := ""
static cTxtHex      := ""
static cTxtDesc     := ""
static oGet, oSayEstado, oSayBlob, oSayHex, oSayDesc, oChk

//----------------------------------------------------------------------------//

function Main()

   local oWnd

   DEFINE WINDOW oWnd ;
      FROM 0, 0 TO 380, 460 PIXEL ;
      TITLE "DPAPI: CryptProtectData / CryptUnprotectData"

   @ 15, 15 SAY "DPAPI cifra datos ligados a la credencial del usuario" OF oWnd SIZE 430, 15 PIXEL

   @ 33, 15 SAY "actual (o al equipo entero). Usa SOLO datos de prueba." OF oWnd SIZE 430, 15 PIXEL

   @ 62, 15 SAY "Texto a cifrar:" OF oWnd SIZE 430, 15 PIXEL

   @ 80, 15 GET oGet VAR cTxtEntrada OF oWnd SIZE 430, 22 PIXEL

   @ 112, 15 CHECKBOX oChk VAR lLocalMachine ;
      PROMPT "LOCAL_MACHINE: cualquier usuario de ESTE equipo podra descifrar" ;
      OF oWnd SIZE 430, 18 PIXEL

   @ 142, 15 BUTTON "1. Cifrar (CryptProtectData)" OF oWnd ;
      SIZE 210, 26 PIXEL ACTION BtnCifrar()

   @ 142, 235 BUTTON "2. Descifrar (CryptUnprotectData)" OF oWnd ;
      SIZE 210, 26 PIXEL ACTION BtnDescifrar()

   @ 180, 15 SAY oSayEstado VAR cTxtEstado OF oWnd SIZE 430, 20 PIXEL

   @ 203, 15 SAY oSayBlob VAR cTxtBlob OF oWnd SIZE 430, 20 PIXEL

   @ 226, 15 SAY oSayHex VAR cTxtHex OF oWnd SIZE 430, 20 PIXEL

   @ 249, 15 SAY oSayDesc VAR cTxtDesc OF oWnd SIZE 430, 20 PIXEL

   @ 282, 180 BUTTON "Cerrar" OF oWnd SIZE 100, 26 PIXEL ACTION oWnd:End()

   ACTIVATE WINDOW oWnd CENTERED

return nil

//----------------------------------------------------------------------------//

static function BtnCifrar()

   local cRes

   oGet:Refresh()   // vuelca lo editado al VAR

   if Empty( cTxtEntrada )
      cTxtEstado := "Escribe primero un texto de prueba"
      cTxtBlob   := ""
      cTxtHex    := ""
      cTxtDesc   := ""
   else
      cRes := DPAPI_Protect( cTxtEntrada, lLocalMachine )
      if cRes == NIL
         cTxtEstado := "CryptProtectData fallo (error " + ;
                       AllTrim( Str( DPAPI_LastError() ) ) + ")"
         cTxtBlob   := ""
         cTxtHex    := ""
         cTxtDesc   := ""
      else
         cBlob      := cRes
         cTxtEstado := "Cifrado OK, ambito: " + ;
                       iif( lLocalMachine, "equipo (LOCAL_MACHINE)", ;
                                            "solo este usuario" )
         cTxtBlob   := "Blob cifrado: " + AllTrim( Str( Len( cBlob ) ) ) + ;
                       " bytes"
         cTxtHex    := "Hex primeros bytes: " + ;
                       Left( hb_StrToHex( cBlob ), 24 )
         cTxtDesc   := "Pulsa 2 para descifrarlo"
      endif
   endif

   oSayEstado:Refresh()
   oSayBlob:Refresh()
   oSayHex:Refresh()
   oSayDesc:Refresh()

return nil

//----------------------------------------------------------------------------//

static function BtnDescifrar()

   local cRes

   if Empty( cBlob )
      cTxtEstado := "Cifra un texto primero"
      cTxtBlob   := ""
      cTxtDesc   := ""
   else
      cRes := DPAPI_Unprotect( cBlob )
      if cRes == NIL
         // Un fallo puede deberse a contexto incompatible (otro usuario
         // o equipo) o a datos alterados; consultar el error devuelto
         cTxtEstado := "CryptUnprotectData fallo (error " + ;
                       AllTrim( Str( DPAPI_LastError() ) ) + ")"
         cTxtDesc   := "Otro usuario/equipo, o blob alterado, no descifra"
      else
         cTxtEstado := "Descifrado OK por el mismo usuario y equipo"
         cTxtDesc   := "Texto recuperado: " + cRes
      endif
   endif

   oSayEstado:Refresh()
   oSayDesc:Refresh()

return nil

//----------------------------------------------------------------------------//

#pragma BEGINDUMP

#include <windows.h>
#include <dpapi.h>
#include "hbapi.h"

// Ultimo GetLastError() de CryptProtectData/CryptUnprotectData
static DWORD s_dwLastError = 0;

// DPAPI_Protect( cDatos, lLocalMachine ) -> cBlobCifrado (binario) o NIL
// DATA_BLOB de entrada: { cbData, pbData }; el de salida lo rellena
// CryptProtectData y se libera con LocalFree (doc. Microsoft).
// Flags: 0 = solo este usuario en este equipo;
//        CRYPTPROTECT_LOCAL_MACHINE = cualquier usuario de este equipo.
// pPromptStruct = NULL: el flujo con prompt esta obsoleto (retirada feb 2027).
HB_FUNC( DPAPI_PROTECT )
{
   DATA_BLOB blobIn, blobOut;
   DWORD dwFlags = 0;

   blobIn.pbData = ( BYTE * ) hb_parc( 1 );
   blobIn.cbData = ( DWORD ) hb_parclen( 1 );

   if( hb_parl( 2 ) )
      dwFlags |= CRYPTPROTECT_LOCAL_MACHINE;

   if( CryptProtectData( &blobIn, NULL, NULL, NULL, NULL,
                         dwFlags, &blobOut ) )
   {
      hb_retclen( ( const char * ) blobOut.pbData, blobOut.cbData );
      LocalFree( blobOut.pbData );
      s_dwLastError = 0;
   }
   else
   {
      s_dwLastError = GetLastError();
      hb_ret();   // NIL
   }
}

// DPAPI_Unprotect( cBlobCifrado ) -> cTextoOriginal o NIL
// Misma estructura DATA_BLOB; el resultado tambien se libera con LocalFree.
HB_FUNC( DPAPI_UNPROTECT )
{
   DATA_BLOB blobIn, blobOut;

   blobIn.pbData = ( BYTE * ) hb_parc( 1 );
   blobIn.cbData = ( DWORD ) hb_parclen( 1 );

   if( CryptUnprotectData( &blobIn, NULL, NULL, NULL, NULL,
                           0, &blobOut ) )
   {
      hb_retclen( ( const char * ) blobOut.pbData, blobOut.cbData );
      LocalFree( blobOut.pbData );
      s_dwLastError = 0;
   }
   else
   {
      s_dwLastError = GetLastError();
      hb_ret();   // NIL
   }
}

// DPAPI_LastError() -> ultimo GetLastError() de las dos funciones
HB_FUNC( DPAPI_LASTERROR )
{
   hb_retnl( ( long ) s_dwLastError );
}

#pragma ENDDUMP

//----------------------------------------------------------------------------//