Dat is afhankelijk van de applicatie.

http://securityxploded.com/passwordsecrets.php

worden gestolen middels opslaan van toetsaanslagen. Elke keer als jij inlogt op een website of andere service, typ je een wachtwoord in. Die worden keurig afgevangen en met de URL of service erbij doorgezonden naar de eigenaar.
Maar er zitten ook wachtwoorden in je browsers verstopt die gejat (en gekraakt) kunnen worden.
En je windows SAM-bestand bevat versleutelde wachtwoorden.

Als je bedoelt van Windows zelf, deze worden opgeslagen in een zogenaamde SAM database.
Lees:
http://technet.microsoft.com/en-us/library/cc723740.aspx
voor meer info.

Een nuttige en eenvoudige maatregel is in ieder geval om geen wachtwoorden te laten onthouden door je browser, en/of die automatisch te laten verwijderen bij het sluiten van de browser.
Beide is in te stellen in de browser.

De wachtwoorden worden op zoveel plaatsen opgeslagen, afhankelijk van jouw systeemconfiguratie:

- De SAM database
- Protected Storage
- Aparte (config) files, b.v. bij plugins
- Het register (zie b.v. de AutoLogon functionaliteit)
- Batch files (b.v. voor FTP of SSH scripts)
- Authenticatie databases van applicaties (b.v. de KeePass software)
- URL's (als de maker van een inlogpagina zo dom is om die gegevens al dan niet gecodeerd in een URL op te nemen)
- ...

En dan hebben we het inderdaad nog niet over keyboard en netwerk sniffers.

"worden gestolen middels opslaan van toetsaanslagen. Elke keer als jij inlogt op een website of andere service, typ je een wachtwoord in."

Dat is een manier om te stelen. Andere manieren is het stelen van wachtwoorden die op de computer zijn opgeslagen, en daar gaat de vraag over.

Voor de mensen die zich hier niet van bewust zijn, kijk voor de grap eens met tools van onderstaande website, zoals IE Passview of PassWordFox welke wachtwoorden je hebt opgeslagen op je (windows) pc :

Nirsoft Password Recovery Tools
http://www.nirsoft.net/password_recovery_tools.html

Met behulp van dit soort programma's kan je op de meeste windows pc's tientallen wachtwoorden achterhalen.

Daarnaast worden wachtwoorden onder Windows opgeslagen als hashes en niet het wachtwoord zelf. Het wachtwoord is in theorie ook niet op te vragen doordat het een-weg encryptie is. Dit kan overigens uit worden gezet doormiddel van een Group policy setting.

Beleid voor locale computer\Computer Configuratie\Windows-Instellingen\Beveiligings instellingen\Accountbeleid\Wachtwoorden met omkeerbare versleuteling opslaan

Default: Uitgeschakeld

Wachtwoorden met omkeerbare versleuteling opslaan

Met deze beveiligingsinstelling wordt bepaald of wachtwoorden door het besturingssysteem worden opgeslagen met omkeerbare versleuteling.

Dit beleid biedt ondersteuning voor toepassingen waarin protocollen worden gebruikt waarvoor het wachtwoord van de gebruiker vereist is voor verificatiedoeleinden. Het opslaan van wachtwoorden met omkeerbare versleuteling is hetzelfde als het opslaan van wachtwoorden in normale tekst. Het wordt om deze reden afgeraden dit beleid in te schakelen, tenzij de toepassingsvereisten zwaarder wegen dan de behoefte om wachtwoordgegevens te beveiligen.

Dit beleid is vereist als u CHAP-verificatie (Challenge-Handshake Authentication Protocol) gebruikt via externe toegang of IAS (Internet Authentication Services). Dit beleid is ook vereist als u verificatiesamenvatting gebruikt in IIS (Internet Information Services).

Standaardwaarde: Uitgeschakeld.

pfft gewoon een iphone 4 met een leuk proggie naast het keyboard leggen... :-)