Auditarea și impunerea minimă a lungimii parolelor pentru anumite versiuni Windows

Rezumat

Windows 10 lansate la 18 august 2020 adaugă suport pentru următoarele:

• Evenimente de auditare pentru a identifica dacă aplicațiile și serviciile acceptă parole cu 15 caractere sau mai lungi.

• Aplicarea lungimilor minime ale parolelor de 15 caractere sau mai mari pe Windows Server, controlerele de domeniu (DCS) versiunea 2004.

Versiuni acceptate de Windows

Auditarea lungimilor parolelor este suportată în următoarele versiuni de Windows. Aplicarea lungimilor minime ale parolelor de 15 caractere sau mai multe este suportată în Windows Server, versiunea 2004 și în versiunile mai recente de Windows.

Implementare sugerată

Instrucțiuni de implementare

Pentru a adăuga suport pentru auditarea și impunerea minimă a parolelor, urmați acești pași:

1. Implementați actualizarea pe toate versiunile de Windows acceptate pe toate controlerele de domeniu.

   1. Controler domeniu: Actualizările și actualizările ulterioare activează suportul pentru toate DCS-urile pentru autentificarea conturilor de utilizator sau de serviciu configurate să utilizeze parole mai mari de 14 caractere.

   2. Stația de lucru administrativă: Implementați actualizările pentru stațiile de lucru administrative pentru a permite aplicarea noilor setări ale Politicii de grup la PC-uri.

2. Activați setarea Politicii de grupPasswordLengthAudit pentru un domeniu sau o pădure unde se solicită parole mai lungi. Această setare de politică trebuie activată în politica implicită de controler de domeniu legată de controlerele de domeniu din unitatea organizațională (OU).

3. Se recomandă să lăsând politica de auditare activată timp de trei până la șase luni pentru a detecta toate programele software care nu acceptă parole mai mari de 14 caractere.

4. Monitorizați domeniile pentru evenimente Directory-Services-SAM 16978 înregistrate cu software-ul care a gestionat parole timp de trei până la șase luni. Nu trebuie să monitorizați evenimentele Directory-Services-SAM 16978 înregistrate în conturile de utilizator.

   1. Dacă este posibil, configurați software-ul pentru a utiliza o lungime mai lungă a parolei.

   2. Lucrați cu distribuitorul software-ului pentru a actualiza software-ul pentru a utiliza parole mai lungi.

   3. Implementați o politică de parolă fină pentru acest cont utilizând o valoare care se potrivește cu lungimea parolei utilizată de software.

   4. Pentru software-ul care gestionează parole de cont, dar nu utilizează automat parole lungi și nu poate fi configurat să utilizeze parole lungi, se poate utiliza o politică de parole foarte fină pentru aceste conturi.

5. După ce se adresează toate evenimentele Directory-Services-SAM 16978, activați o parolă minimă. Pentru a face acest lucru, urmați acești pași:

   1. Implementați o versiune de Windows Server care acceptă impunerea pentru toate DCs-urile (inclusiv Read-Only DCs).

   2. Activați politica de grup RelaxMinimumPasswordLengthLimits pe toate DCs-urile.

   3. Configurați Politica de grup MinimumPasswordLength pe toate DCs-urile.

Politică de grup

Windows de jurnal de evenimente

Trei mesaje noi în jurnalul cu ID-uri de eveniment sunt incluse ca parte a acestui suport adăugat.

Instrucțiuni pentru modificarea parolei software-ului

Utilizați lungimea maximă a parolei atunci când setți o parolă în software.

Istoric

Deși strategia generală de securitate Microsoft se concentrează ferm pe un viitor fără parole, mulți clienți nu pot migra departe de parole pentru termenul scurt și mediu. Unii clienți conștienți de securitate doresc să poată configura o setare implicită cu lungimea minimă a parolei pentru domeniu, care este mai mare de 14 caractere (de exemplu, clienții pot face acest lucru după ce își instruiesc utilizatorii să utilizeze frază de acces mai lungă în locul parolelor tradiționale scurte și unice pentru simboluri). În această solicitare, actualizările Windows din aprilie 2018 pentru Windows Server 2016 au activat o modificare de politică de grup care a mărit lungimea minimă a parolei de la 14 la 20 de caractere. Deși această modificare a apărut pentru a susține parola mai lungă, aceasta a fost, în cele din urmă, insuficientă și a respins valoarea nouă atunci când s-a aplicat Politica de grup. Aceste respingeri au fost silențioase și au necesitat o testare detaliată pentru a determina dacă sistemul nu acceptă parole mai lungi. O actualizare ulterioară a nivelului SAM (Security Account Manager) a fost inclusă atât pentru Windows Server 2016, cât și pentru Windows Server 2019, pentru a permite sistemului să funcționeze corect end-to-end, cu o lungime minimă a parolei mai mare de 14 caractere. O actualizare ulterioară a nivelului SAM (Security Account Manager) a fost inclusă atât pentru Windows Server 2016, cât și pentru Windows Server 2019, pentru a permite sistemului să funcționeze corect end-to-end, cu o lungime minimă a parolei mai mare de 14 caractere.

Setarea de politică MinimumPasswordLength a avut o zonă permisă de la 0 la 14 pentru o perioadă foarte lungă de timp (multe zeci) pe toate platformele Microsoft. Această setare se aplică atât la setările Windows securitate locală, cât și la domeniile Active Directory (și NT4 înainte de aceasta). O valoare zero (0) înseamnă că nu este necesară nicio parolă pentru niciun cont.

În versiunile anterioare de Windows, interfața de utilizator a Politicii de grup nu a activat setarea lungimilor minime necesare pentru parole mai lungi de 14 caractere. Cu toate acestea, în aprilie 2018, am lansat actualizări Windows 10 care au adăugat suport pentru mai mult de 14 caractere în interfața de utilizator pentru politica de grup, ca parte a actualizărilor cum ar fi:

• KB 4093120: 17 aprilie 2018 - KB4093120 (compilare sistem de operare 14393.2214)

Această actualizare includea următorul text al notei privind versiunea:

"Mărește lungimea minimă a parolei în Politica de grup la 20 de caractere."

Unii clienți care au instalat lansarea din aprilie 2018 și au suprasa unor actualizări au descoperit că încă nu puteau utiliza parole mai mari de 14 caractere. Investigație identificată că actualizările suplimentare care trebuie instalate pe computere cu roluri DC care oferă parole mai mari de 14 caractere care au fost definite în politica pentru parole. Următoarele actualizări activate Windows Server 2016, Windows 10, versiunea 1607 și lansarea inițială Windows 10 controlerelor de domeniu Windows 10 pentru serviciile de conectare și solicitările de autentificare cu parole mai mari de 14 caractere:

• KB 4467684: 27 noiembrie 2018 - KB4467684 (compilare sistem de operare 14393.2639)

Această actualizare includea următorul text al notei privind versiunea:

"Abordează o problemă care împiedică controlerele de domeniu să aplice politica de parolă pentru Politica de grup atunci când lungimea minimă a parolei este configurată să fie mai mare de 14 caractere."

• KB 4471327: 11 decembrie 2018 - KB4471321 (compilare sistem de operare 14393.2665)

Unii clienți au definit în politică parole mai mari de 14 caractere după instalarea actualizărilor din aprilie 2018 până în octombrie 2018, care, în esență, au rămas inactive până în noiembrie 2018 și actualizările din decembrie 2018 sau un controlere de domeniu activate pentru sistemul de operare native pentru a oferi servicii mai mari de 14 caractere în politică, eliminând astfel legătura de timp/deutilizare dintre activarea caracteristicilor și aplicația politică. Indiferent dacă ați instalat în același timp politica de grup și controlerul de domeniu, este posibil să vedeți următoarele efecte secundare:

• Expuse ale problemelor cu aplicații care sunt în prezent incompatibile cu parole mai mari de 14 caractere.

• Expuse probleme atunci când domeniile care constau într-o combinație între versiunea de lansare Windows Server 2019 sau DCS-uri 2016 actualizate care acceptă mai mult de 14 caractere parole și DCS-uri de pre-Windows Server 2016 care nu acceptă parole mai mari de 14 caractere (până când nu există backporturi și sunt instalate pentru Windows Server 2016).

• După instalarea KB4467684,serviciul de cluster poate să nu înceapă cu eroarea "2245 (NERR_PasswordTooShort)" dacă politica de grup "Lungime minimă a parolei" este configurată cu mai mult de 14 caractere.

  Instrucțiunile pentru această problemă cunoscută era să setați politica implicită pentru domeniu "Lungime minimă a parolei" la mai puțin de sau egal cu 14 caractere. Lucrăm la o rezolvare și vom furniza o actualizare într-o ediție viitoare.

Din cauza problemelor anterioare, suportul lateral pentru DC pentru parole mai mari de 14 caractere a fost eliminat în actualizările din ianuarie 2019, astfel încât caracteristica să nu poată fi utilizată.