Аудит і застосування мінімальної довжини паролів у певних версіях Windows

Зведення

Windows 10 оновлень, випущених 18 серпня 2020 р., додає підтримку для таких продуктів:

• Перевіряти події, щоб визначити, які програми та служби підтримують 15-символьні або довші паролі.

• Примусовий застосування мінімальної довжини пароля 15-символьних або більше символів на Windows Server, контролери домену версії 2004 (DC).

Підтримувані версії Windows

Перевіряти довжину паролів можна в наведених нижче версіях Windows. У Windows Server, версії 2004 та пізніших версій Windows підтримується забезпечення мінімальної довжини пароля, довжина яких не може сягати 15 Windows.

Рекомендоване розгортання

Рекомендації з розгортання

Щоб додати підтримку аудиту й застосування мінімальної довжини пароля, виконайте такі дії:

1. Розгорніть оновлення для всіх підтримуваних Windows версій на всіх контролерах доменів.

   1. Контролер домену. Оновлення та новіші оновлення. Активуйте підтримку для всіх комп'ютерах DC, щоб автентифікувати облікові записи користувачів або служб, які мають більше 14-символьних паролів.

   2. Адміністративна робоча група. Розгорніть оновлення для адміністративних робочих установ, щоб дозволити застосування нових параметрів групової політики до пк.

2. Увімкніть параметр MinimumPasswordLengthAudit групової політики для домену або лісу, де потрібні довші обов'язкові паролі. Цей параметр політики потрібно ввімкнути в політиці контролера домену за замовчуванням, пов'язаній з організаційним підрозділом контролерів доменів.

3. Ми радимо не виходити з політики аудиту на три–шість місяців, щоб виявити все програмне забезпечення, яке не підтримує паролі, що не підтримуються понад 14 символів.

4. Відстежуйте домени для подій SAM 16978, що заносяться до програмного забезпечення, яке керує паролями на три–шість місяців. Не потрібно відстежувати події 16978 Directory-Services-SAM у облікових записах користувачів.

   1. Якщо це можливо, настройте програмне забезпечення на використання довшої довжини пароля.

   2. Працюйте з постачальником програмного забезпечення, щоб оновити програмне забезпечення для використання довших паролів.

   3. Розгорніміть точну політику паролів для цього облікового запису, використовуючи значення, яке відповідає довжині пароля, використаному програмним забезпеченням.

   4. У програмному забезпечення, яке керує паролями облікових записів, але не використовує довгі паролі автоматично, і його не можна налаштувати на використання довгих паролів, для цих облікових записів можна використовувати точну політику паролів.

5. Після того як вирішите всі події Directory-Services-SAM 16978, увімкніть мінімальний пароль. Для цього зробіть ось що:

   1. Розгорніть версію Windows Server, яка підтримує застосування на всіх ПК (Read-Only ПК).

   2. Увімкніть групову політику RelaxMinimumPasswordLengthLimits для всіх DCs.

   3. Настройте групову політику MinimumPasswordLength для всіх користувачів.

Групова політика

Windows повідомлень журналу подій

До цієї доданої підтримки додаються три нові повідомлення журналу ідентифікаторів подій.

Указівки щодо змінення пароля програмного забезпечення

Установлення пароля в програмному забезпечення максимальну довжину пароля.

"Журнал".

Хоча загальну стратегію безпеки Корпорації Майкрософт активно зосереджено на майбутніх паролях, багато клієнтів не можуть перенести паролі в короткостроковий період. Деякі клієнти, які знають безпеку, хочуть налаштувати мінімальну довжину пароля за замовчуванням, розмір якого перевищує 14 символів (наприклад, користувачі можуть це зробити, навчивши користувачів використовувати довші паролі замість традиційних коротких однотонних паролів). На підтримку цього запиту в Windows квітень 2018 р. для Windows Server 2016 активовано змінення групової політики, яка збільшила мінімальну довжину пароля від 14 до 20 символів. Хоча ця зміна з'явилася для підтримки довшого пароля, виявилось недостатньо та відхилено нове значення, коли застосовано групову політику. Ці відхилення виявлялись мовленими й вимагали докладного тестування, щоб визначити, що система не підтримує довші паролі. Подальше оновлення до рівня Диспетчера облікових записів безпеки (SAM) включено як для Windows Server 2016, так і для Windows Server 2019, щоб система правильно працювала наприкінці терміну дії, що містить мінімальну довжину пароля, більшу за 14 символів. Подальше оновлення до рівня Диспетчера облікових записів безпеки (SAM) включено як для Windows Server 2016, так і для Windows Server 2019, щоб система правильно працювала наприкінці терміну дії, що містить мінімальну довжину пароля, більшу за 14 символів.

Параметр політики minimumPasswordLength має допустимий діапазон від 0 до 14 протягом дуже тривалого часу (багато десятиліть) на всіх платформах Microsoft. Цей параметр застосовується як до локальних Windows безпеки, так і до доменів Active Directory (і NT4). Значення нуля (0) означає, що для жодного облікового запису не потрібно вказувати пароль.

У попередніх версіях Windows користувача групової політики не ввімкнув параметр мінімальної довжини пароля, довжина яких перевищує 14 символів. Однак у квітні 2018 року ми випустили оновлення Windows 10, які додали підтримку більше 14 символів в інтерфейсі користувача групової політики, як-от:

• KB 4093120: 17 квітня 2018 р. – KB4093120 (збірка ОС 14393.2214)

Це оновлення включало такий текст нотатки про випуск:

"Збільшує мінімальну довжину пароля в груповій політиці до 20 символів".

Деякі клієнти, які інсталюли випуски за квітень 2018 року та замінили оновлення, виявили, що в них усе ще не можна було використовувати більші 14-символьні паролі. Дослідження визначило, що на комп'ютерах із роллю DC потрібно інсталювати додаткові оновлення, які обслуговують понад 14-символьні паролі, визначені в політиці паролів. Наведені нижче оновлення ввімкнуто для Windows Server 2016, Windows 10, версії 1607 і початкового випуску контролерів домену Windows 10 для входу в службу та запитів на автентифікацію з більш ніж 14-символьними паролями:

• KB 4467684: 27 листопада 2018 р. – KB4467684 (збірка ОС 14393.2639)

Це оновлення включало такий текст нотатки про випуск:

"Вирішено проблему, яка перешкоджає контролерам домену застосовувати політику паролів групової політики, якщо мінімальна довжина пароля перевищує 14 символів".

• KB 4471327: 11 грудня 2018 р. – KB4471321 (збірка ОС 14393.2665)

Деякі клієнти, які визначили більше 14-символьних паролів у політиці після інсталяції оновлень за квітень 2018 року по жовтень 2018 року, які, по суті, залишались незмінними до оновлень за листопад 2018 року та грудня 2018 року, або контролери доменів, які підтримують власну ОС, для обслуговування понад 14-символьних паролів у політиці, тому вилучаються посилання на час і порушення між увімкнутим компонентом і програмою політики. Незалежно від того, чи інстальовано ви оновлення групової політики та контролера домену одночасно, можуть відображатися такі побічні ефекти:

• Проблеми з програмами, несумісними з більш ніж 14-символьними паролями.

• Виявляються проблеми, коли домени, які складаються з поєднання випуску версії Windows Server 2019 або оновлення 2016, які підтримують понад 14-символьні паролі та попередньо інстальовані для комп'ютерів із попередньою версією Windows Server 2016, які не підтримують понад 14-символьні паролі (доки не існують і не інстальовано для Windows Server 2016).

• Після інсталяції KB4467684служба кластерів може не починатися з помилки "2245 (NERR_PasswordTooShort)", якщо для групової політики "Мінімальна довжина пароля" настроєно більше 14 символів.

  Указівки з цієї відомої проблеми – установити для домену стандартну політику "Мінімальна довжина пароля" менше 14 символів. Ми працюємо над вирішенням цієї проблеми та надамо відповідне оновлення в наступному випуску.

У зв'язаних із попередніми версіями проблем зі службою підтримки в січні 2019 р. підтримку для понад 14-символьних паролів було видалено, тому цю функцію не можна використовувати.