如何在自定义凭据提供程序中调用LogonPasswordReset及获取Windows密码安全问题？

一、调用LogonPasswordReset组件的方法 #

你找到的注册表项HKEY_CLASSES_ROOT\WOW6432Node\CLSID\{8841d728-1a76-4682-bb6f-a9ea53b4b3ba}指向的keymgr.dll中包含Windows内置的密码重置COM对象，可通过COM接口直接调用：

1. COM初始化与实例创建
   在C++代码中，可通过以下步骤获取ILogonPasswordReset接口（需包含对应头文件并链接ole32.lib）：

   HRESULT hr = CoInitializeEx(NULL, COINIT_APARTMENTTHREADED);
   if (SUCCEEDED(hr)) {
       ILogonPasswordReset* pReset = nullptr;
       hr = CoCreateInstance(
           __uuidof(LogonPasswordReset), // 对应CLSID{8841d728-1a76-4682-bb6f-a9ea53b4b3ba}
           NULL,
           CLSCTX_INPROC_SERVER,
           __uuidof(ILogonPasswordReset),
           (void**)&pReset
       );
       if (SUCCEEDED(hr)) {
           // 调用接口方法，如获取安全问题、验证答案、重置密码
           pReset->Release();
       }
       CoUninitialize();
   }
   

   注：ILogonPasswordReset接口的核心方法包括获取安全问题列表、验证安全答案、执行密码重置，具体定义需参考Windows内部接口规范。

2. 自定义凭据提供程序中触发重置
   若要在你的2FA凭据提供程序中集成重置功能，需实现ICredentialProviderCredential2接口的ResetPassword方法。当用户在登录界面点击“重置密码”时，系统会调用此方法，你可在该方法内部初始化并调用上述COM组件完成流程。

二、获取安全问题列表与重置密码的Windows API #

Windows提供了原生API用于处理用户安全问题与密码重置：

1. 获取用户安全问题
   使用NetUserGetInfo函数，指定信息级别为USER_INFO_23，可获取本地用户的安全问题（注意：安全答案以加密哈希形式存储，无法获取明文）：

   USER_INFO_23* pUserInfo = nullptr;
   NET_API_STATUS status = NetUserGetInfo(
       nullptr, // 本地计算机
       L"UserName", // 目标用户名
       23, // 信息级别
       (LPBYTE*)&pUserInfo
   );
   if (status == NERR_Success) {
       // pUserInfo->usri23_password_hint 包含安全问题
       NetApiBufferFree(pUserInfo);
   }
   

2. 验证安全答案并重置密码

   • 验证安全答案：推荐使用ILogonPasswordReset接口的验证方法，由系统内部处理加密逻辑，避免自行处理哈希验证的风险。
   • 重置密码：验证通过后，调用NetUserChangePassword或NetUserSetInfo函数完成密码更新：

     NET_API_STATUS status = NetUserChangePassword(
         nullptr,
         L"UserName",
         L"", // 安全验证通过后可传入空值或系统认可的标识
         L"NewPassword"
     );
     

三、关键注意事项 #

• 权限要求：调用上述API或COM组件需具备本地管理员权限，或当前用户的身份验证权限（重置自身密码时）。
• 加密存储限制：安全答案以不可逆加密形式存储，无法直接读取明文，只能通过系统接口验证正确性。
• 凭据提供程序注册：自定义2FA凭据提供程序需正确注册到注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\Credential Providers路径下，并实现完整的重置密码接口逻辑，才能在登录界面显示重置选项。

内容的提问来源于stack exchange，提问作者reddream