Chrome 105 Cookie加密变更致解密失败求助（错误码-1073741811）

核心变更点 #

Chrome 105版本对Windows平台的Cookie加密逻辑做了关键调整：

• 原版本使用DPAPI直接加密Cookie数据，105+改为基于AES-GCM的加密方案，密钥派生流程从单一DPAPI保护，改为结合用户/机器密钥的分层生成机制。
• 错误码-1073741811对应STATUS_INVALID_PARAMETER，说明你的密钥生成流程不符合新的参数要求。

修复步骤 #

1. 重新处理根密钥

   • 根密钥仍存储在%USERPROFILE%\AppData\Local\Google\Chrome\User Data\Local State的os_crypt.encrypted_key字段中，需先通过用户上下文的DPAPI解密，得到32字节的AES根密钥。
   • 注意：105+不再允许直接用该根密钥生成解密会话密钥，需结合Cookie的加密元数据派生。

2. 拆分Cookie加密数据结构
   Chrome 105+的encrypted_value结构变为：

   • 前3字节：固定标识v10
   • 接下来12字节：AES-GCM的初始化向量（IV）
   • 中间部分：真正的Cookie加密数据
   • 最后16字节：GCM认证标签
     需严格按此结构拆分数据，不能再用旧版本的拆分逻辑。

3. 修正BCrypt接口调用流程

   • BCryptOpenAlgorithmProvider：指定算法为BCRYPT_AES_ALGORITHM，获取算法句柄后，通过BCRYPT_OBJECT_LENGTH属性获取密钥对象的正确长度。
   • BCryptSetProperty：将算法的BCRYPT_CHAINING_MODE设置为BCRYPT_CHAIN_MODE_GCM。
   • BCryptGenerateSymmetricKey：传入解密后的32字节根密钥，确保密钥长度参数准确匹配32字节，避免因参数不匹配触发STATUS_INVALID_PARAMETER错误。
   • 解密阶段调用BCryptDecrypt时，需传入提取的IV和认证标签，且附加认证数据（AAD）设为空字符串。

验证要点 #

• 确认DPAPI解密后的根密钥是32字节二进制数据，而非编码后的字符串。
• 拆分encrypted_value时，确保IV和认证标签的字节长度完全符合要求。
• 调用BCrypt接口时，所有参数的长度和类型需严格匹配文档要求，避免因内存溢出或参数越界导致错误。

内容的提问来源于stack exchange，提问作者Franky Brandt