Minimalno nadgledanje i sprovođenje minimalne dužine lozinke u određenim verzijama Windows

Rezime

Windows 10 ispravke objavljene 18. avgusta 2020. dodaju podršku za sledeće:

• Događaji nadzora kako biste identifikovali da li aplikacije i usluge podržavaju lozinke od 15 znakova ili duže.

• Sprovođenje minimalne dužine lozinke od 15 znakova ili više njih na Windows Serveru, verziji 2004 kontrolera domena (DC-ove).

Podržane verzije programa Windows

Nadzor dužina lozinke je podržan u sledećim verzijama sistema Windows. Sprovođenje minimalne dužine lozinke od 15 ili više znakova podržano je u sistemu Windows Server, verziji 2004 i novijim verzijama programa Windows.

Predložena primena

Uputstva za primenu

Da biste dodali podršku za nadzor i sprovođenje minimalne dužine lozinke, pratite ove korake:

1. Primenite ispravku na sve podržane verzije Windows na svim kontrolera domena.

   1. Kontroler domena: Ispravke i kasnije ispravke omogućavaju podršku na svim DC-ovima da potvrde identitet korisničkih naloga ili naloga usluga koji su konfigurisani da koriste lozinke veće od 14 znakova.

   2. Administrativna radna sveska: Primenite ispravke na administrativne radne sveske da biste omogućili primenu novih postavki smernica grupe na DCs.

2. Omogućite postavku Smernice grupe MinimumPasswordLengthAudit smernica grupe na domenu ili šumi gde su željene duže potrebne lozinke. Ova postavka smernica trebalo bi da bude omogućena u smernicama podrazumevanog kontrolera domena povezanim sa organizacionom jedinicom (OU) za kontrolere domena.

3. Preporučujemo da smernice za nadzor ostavite omogućene u toku tri do šest meseci da biste otkrili sav softver koji ne podržava lozinke veće od 14 znakova.

4. Nadgledajte domene za događaje Directory-Services-SAM 16978 evidentirane u softveru koji je upravljao lozinkama tri do šest meseci. Ne morate da nadgledate događaje Directory-Services-SAM 16978 evidentirane u korisničkim nalozima.

   1. Ako je to moguće, konfigurišite softver tako da koristi dužu dužinu lozinke.

   2. Radite sa prodavcem softvera da biste ažurirali softver tako da koristi duže lozinke.

   3. Primenite fine smernice za lozinku za ovaj nalog tako što će koristiti vrednost koja odgovara dužini lozinke koju softver koristi.

   4. Za softver koji upravlja lozinkama naloga, ali ne koristi duge lozinke i ne može da se konfiguriše za upotrebu dugih lozinki, za te naloge mogu da se koriste fine smernice za lozinke.

5. Kada se reše svi događaji Directory-Services-SAM 16978, omogućite minimalnu lozinku. Da biste to uradio, sledite ove korake:

   1. Primenite verziju sistema Windows koja podržava sprovođenje na svim DC-ovima (uključujući Read-Only DCs).

   2. Omogućite smernice grupe RelaxMinimumPasswordLengthLimits na svim DC-ovima.

   3. Konfigurišite smernice grupe MinimumPasswordLength na svim DC-ovima.

Smernice grupe

Windows poruka evidencije događaja

Tri nove poruke evidencije ID-a događaja uključene su kao deo ove dodatne podrške.

Uputstvo za promenu lozinke softvera

Koristite maksimalnu dužinu lozinke prilikom postavljanja lozinke u softveru.

Istorija

Iako je celokupna Microsoft bezbednosna strategija čvrsto usredsređena na buduću bez lozinke, mnogi klijenti ne mogu da migriraju od lozinki u kratkom roku. Neki korisnici svesni bezbednosti žele da mogu da konfiguriše postavku minimalne dužine lozinke podrazumevanog domena koja je veća od 14 znakova (na primer, klijenti bi to mogli da uče od korisnika da koriste duže lozinke umesto tradicionalnih kratkih, jedinstvenih lozinki od jednog tokena). U podršci za ovaj zahtev, Windows Ispravke u aprilu 2018. za Windows Server 2016 omogućile su promenu smernica grupe koja je povećala minimalnu dužinu lozinke sa 14 na 20 znakova. Iako se ova promena pojavljivala kao da podržava dužu lozinku, ona je na kraju nedovoljna i odbačena je nova vrednost kada je primenjena smernica grupe. Ova odbacivanja su tiha i zahtevana detaljna testiranja da bi se utvrdilo da sistem ne podržava duže lozinke. Ispravka za sloj "Security Account Manager (SAM)" uključena je za Windows Server 2016 i Windows Server 2019 kako bi se sistemu omogućilo da ispravno funkcioniše od kraja do kraja sa minimalnom dužinom lozinke većom od 14 znakova. Ispravka za sloj "Security Account Manager (SAM)" uključena je za Windows Server 2016 i Windows Server 2019 kako bi se sistemu omogućilo da ispravno funkcioniše od kraja do kraja sa minimalnom dužinom lozinke većom od 14 znakova.

Postavka smernica MinimumPasswordLength dugo ima dostupan opseg od 0 do 14 (mnogo prečica) na svim Microsoft platformama. Ova postavka se odnosi i na lokalne Windows bezbednosti i na Active Directory (i na NT4 domene pre toga). Vrednost nula (0) podrazumeva da lozinka nije potrebna za bilo koji nalog.

U prethodnim verzijama programa Windows, korisnički korisnički nalog smernica grupe nije omogućio postavljanje minimalne potrebne lozinke dužine duže od 14 znakova. Međutim, u aprilu 2018. objavili smo ispravke za Windows 10 koje su u UI smernica grupe dodale podršku za više od 14 znakova, kao deo ispravki kao što su:

• KB 4093120:17. april 2018. – KB4093120 (re4393.2214)

Ovo ažuriranje je obuhvatalo sledeći tekst natpisa izdanja:

"Povećava minimalnu dužinu lozinke u smernicama grupe na 20 znakova."

Neki klijenti koji su instalirali izdanja iz aprila 2018, kao i zamenske ispravke, otkrili su da i dalje ne mogu da koriste lozinke veće od 14 znakova. Istraživanje je utvrdilo da dodatne ispravke treba da se instaliraju na računarima uloga u DC-u koji služe za servisiranje lozinki većih od 14 znakova koje su definisane u smernicama za lozinke. Sledeće ispravke su omogućene za Windows Server 2016, Windows 10, verziju 1607 i početno izdanje kontrolera domena Windows 10 za prijavljivanje usluge i zahteve za potvrdu identiteta sa lozinkama većim od 14 znakova:

• KB 4467684:27. novembar 2018. – KB4467684 (re44393.2639)

Ovo ažuriranje je obuhvatalo sledeći tekst natpisa izdanja:

"Rešava problem koji sprečava kontrolere domena da primene smernice za lozinke smernica grupe kada je konfigurisana minimalna dužina lozinke da bude veća od 14 znakova."

• KB 4471327:11. decembar 2018. – KB4471321 (rebuka OS 14393.2665)

Neki klijenti su u smernicama definisali lozinke veće od 14 znakova pošto su instalirali ispravke od aprila 2018. do oktobra 2018. koje su u suštini ostale neaktivne do novembra 2018. i decembra 2018. ili kada su osnovni kontrolori domena omogućili kontrolorima domena većim od 14 znakova, i time uklonili vezu ka vremenu/uzroku između funkcija i aplikacija za smernice. Bilo da ste instalirali ispravke za smernice grupe i kontrolera domena u isto vreme ili ne, možda ćete videti sledeće strane efekata:

• Izloženi problemi sa aplikacijama koje trenutno nisu kompatibilne sa lozinkama većim od 14 znakova.

• Izloženi problemi kada domeni koji se sastoje od mešavine izdanje verzije sistema Windows Server 2019 ili ažuriranih DC-ova verzije 2016 koji podržavaju lozinke veće od 14 znakova i starije od Windows Server 2016 DC-ova koji ne podržavaju lozinke veće od 14 znakova (sve dok ne postoje backports (sve dok ne budu vraćeni znakovi i instalirani za Windows Server 2016).

• Kada instalirate KB4467684,usluga klastera možda neće početi sa greškom "2245 (NERR_PasswordTooShort)" ako je smernica grupe "Minimalna dužina lozinke" konfigurisana sa više od 14 znakova.

  Uputstvo za ovaj poznati problem bilo je postavljanje podrazumevane smernice "Minimalna dužina lozinke" na manje od ili jednako 14 znakova. Radimo na rešenju i obezbedićemo ispravku u predstojećem izdanju.

Zbog ranijih problema, podrška na strani DC za lozinke veća od 14 znakova uklonjena je u ispravkama iz januara 2019. kako se funkcija ne bi koristila.