Kuidas keelata vaikimisi paroole ja sundida kõiki sind vihkama

Inimene on, nagu teada, laisk olend.
Veelgi enam, kui juttu on tugevate paroolide valimisest.

Usun, et iga administraator on kunagi silmitsi seisnud probleemiga, et kasutatakse lihtsaid ja vaikimisi paroole. See nähtus on sage ettevõtte juhi kõrgemates ringkondades. Jah, just nende seas, kes pääsevad salajasele või ärisaladusele, ja oleks äärmiselt soovimatu, et parooli lekkimise / häkkimise ja edasiste sündmuste tagajärgi eemaldada.

Kord oli mul praktikas juhtum, kus Active Directory domeenis, kus oli sisse lülitatud paroolipoliitika, jõudsid raamatupidajad iseseisvalt järeldusele, et parool "Pas$w0rd1234" vastab poliitika nõuetele. Selle tulemusena hakati seda parooli igal pool ja kõikjal laialdaselt kasutama. Ainus erinevus oli vahel vaid numbride komplekt.

Tõeliselt tahtsin, et mitte ainult saaksin sisse lülitada paroolipoliitika ja määrata sümbolite komplekti, vaid ka filtreerida sõnastiku järgi. Et välistada selliste paroolide kasutamise võimalus.

Ettevõte Microsoft teatab meile lingil, et igaüks, kes oskab õiget pidi hoida kompilaatorit, IDE-d ja oskab õigesti öelda C++, suudab endale vajaliku teegi ise kompileerida ja kasutada oma äranägemise järgi. Teie alandlik teenija ei suuda seda teha, seega pidin otsima valmis lahendust.

Pikaotsingu järel ilmusid silmade ette kaks varianti probleemi lahendamiseks. Loomulikult räägin ma OpenSource lahendusest. Sest tasulisi variante on - ise ja veel.

Variant nr 1. OpenPasswordFilter

Koodi ei ole juba umbes 2 aastat. Originaalinstallija töötab ükshaaval, tuleb kätega reguleerida. Loob oma eraldi teenuse. Paroolifaili uuendamisel DLL ei tõsta automaatselt muudetud sisu, tuleb teenus peatada, oodata ajavahemik, redigeerida faili, käivitada teenus.

Ei ole lahe!

Variant nr 2. PassFiltEx

Projekt on aktiivne, elav ja isegi ei pea külma keha üles äratama.
Filtri installimine seisneb kahe faili kopeerimises ja mitme registrikirje loomises. Paroolide fail ei ole lukustatud, st et see on redigeerimiseks saadaval ja vastavalt projekti autori kavatsusele loetakse seda lihtsalt kord minutis. Samuti on võimalus registrikirjete abil filtreid ja isegi paroolipoliitika nüansse täiendavalt seadistada.

Nii et.
Antud: Active Directory domeen test.local
katse Windows 8.1 töökäik (ülesande tingimusena - ebaoluline)
paroolifilter PassFiltEx

• Laadige alla link järgmisel vabastamisel PassFiltEx
• Kopeerime PassFiltEx.dll ja C:WindowsSystem32 (või %SystemRoot%System32).
  Kopeerime PassFiltExBlacklist.txt ja C:WindowsSystem32 (või %SystemRoot%System32). Vajadusel täiendame seda oma mallidega
  
• Redigeerime registri haru: HKLMSYSTEMCurrentControlSetControlLsa => Teavitamispaketid
  Lisame PassFiltEx loendi lõppu. (Faili laiendust ei ole vaja näidata.) Täielik loetelu kontrollimiseks kasutatavatest pakettidest näeb välja järgmiselt «rassfm scecli PassFiltEx«.
  
• Taaskäivitame domeeni kontrolleri.
• Korrame ülaltoodud protseduuri kõigi domeeni kontrollerite jaoks.

Samuti on võimalik lisada järgmised registrikirjed, mis pakuvad suuremat paindlikkust selle filtri kasutamisel:

Jaotis: HKLMSOFTWAREPassFiltEx — luuakse automaatselt.

• HKLMSOFTWAREPassFiltExBlacklistFileName, REG_SZ, Vaikeväärtus: PassFiltExBlacklist.txt

  BlacklistFileName — võimaldab määrata kohandatud teek faili paroolimallide jaoks. Kui selle registrikirje väärtus on tühi või seda ei eksisteeri, kasutatakse vaike teed, nimelt - %SystemRoot%System32. Võib määrata isegi võrgu tee, KUID tuleb meeles pidada, et mallifailidel peaksid olema selged lugemis-, kirjutamis-, kustutamis- ja muutmiskinnitused.

• HKLMSOFTWAREPassFiltExTokenPercentageOfPassword, REG_DWORD, Vaikeväärtus: 60

  TokenPercentageOfPassword — võimaldab määrata maksimaalse protsendi maski uue parooli hulgas. Vaikeväärtus on 60%. Näiteks kui maksimaalne protsent on 60 ja mallifailis on rida starwars, siis parool Starwars1! lükatakse tagasi, samas kui parool starwars1!DarthVader88 aktsepteeritakse, kuna stringi esinemise protsent paroolis on vähem kui 60%

• HKLMSOFTWAREPassFiltExRequireCharClasses, REG_DWORD, Vaikeväärtus: 0

  RequireCharClasses — võimaldab laiendada paroolide nõudeid võrreldes Active Directory standardsete keerukusnõudmistega. Sisseehitatud keerukusnõuded nõuavad 3 5 võimalikust erinevast sümbolist: Suur täht, Väike täht, Number, Eriline ja Unicode. Selle registrikirje abil saab määrata oma paroolide keerukuse nõuded. Näitena saab määrata bitti kompaktse kogumi, kus igaüks neist on vastav kahekümne aste.
  See tähendab — 1 = väike täht, 2 = suur täht, 4 = number, 8 = eriline sümbol ja 16 = Unicode sümbol.
  Seega, väärtuse 7 korral on nõuded “Suur täht JA väike täht JA number”, ja 31 väärtuse puhul on nõuded “Suur täht JA väike täht JA number JA eriline sümbol JA Unicode sümbol.”
  Saab isegi kombineerida — 19 = “Suur täht JA väike täht JA Unicode sümbol.”

• 

Reeglid šabloonifaili koostamiseks:

• Šabloonid on suurustundetud. Seetõttu, kirje failis starwars ja StarWarS tuvastatakse kui sama väärtus.
• Mustandifail loetakse iga 60 sekundi järel, seega saab seda rahulikult redigeerida, uued andmed on minuti pärast juba filtri kasutuses.
• Praegu ei ole Unicode'i toetust šablooni kontrollimiseks. Seega, Unicode sümboleid saab paroolides kasutada, kuid filter ei tööta. See ei ole kriitiline, kuna ma ei ole näinud kasutajaid, kes kasutavad paroolides Unicode'i.
• Soovitav on vältida tühje ridu šabloonifailis. Veakood on hiljem debugimisprotsessis nähtav, kui andmed failist laaditakse. Filter töötab, kuid miks luua tarbetuid erandeid?

Debugimiseks on arhiivis skriptid, mis võimaldavad luua logi ja hiljem seda analüüsida, näiteks Microsoft Message Analyzer.
See paroolifilter kasutab Event Tracing for Windows.

ETW pakkuja selle paroolifiltri jaoks on 07d83223-7594-4852-babc-784803fdf6c5. Näiteks saab seadistada sündmuste jälgimise järgmiseks taaskäivituseks:
logman create trace autosessionPassFiltEx -o %SystemRootbugPassFiltEx.etl -p "{07d83223-7594-4852-babc-784803fdf6c5}" 0xFFFFFFFF -ets

Jälgimine käivitub pärast järgmise süsteemi taaskäivitust. Peatamiseks:
logman stop PassFiltEx -ets && logman delete autosessionPassFiltEx -ets
Kõik need käsud on määratud skriptidesse StartTracingAtBoot.cmd ja StopTracingAtBoot.cmd.

Korraga filtri töö kontrollimiseks saab kasutada StartTracing.cmd ja StopTracing.cmd.
Kuidas mugavalt lugeda selle filtri debug-väljundit Microsoft Message Analyzer soovitatakse kasutada järgmisi seadeid:

Logi ja analüüsi peatumine Microsoft Message Analyzer näeb välja umbes selline:

Siit on nähtav, et katse kasutaja parooli seadmiseks on tehtud – meid hoiatab maagiline sõna SET debugis. Ja parool lükati tagasi, kuna see oli olemas mallifailis ja üle 30% ühtivuses sisestatud tekstiga.

Eduka parooli vahetamise katse korral näeme järgmist:

Lõppkasutajale on teatav ebamugavus. Parooli vahetamise katse ajal, mis satub mallifaili nimekirja, ei erine ekraanil kuvatav sõnum mõistamisest ja vaimukusest tavalise parooli poliitika rikkumise sõnumist.

Seetõttu olge valmis kõnedele ja karjumistele: 'Ma sisestasin parooli õigesti, kuid see ei tööta.'

Kokkuvõte.

See teek võimaldab keelduda lihtsate või standardsete paroolide kasutamisest Active Directory domeenis. Ütleme 'Ei!' sellistele paroolidele nagu: 'P@ssw0rd', 'Qwerty123', 'ADm1n098'.
Jah, kindlasti armastavad kasutajad teid veelgi rohkem sellise tähelepanu eest nende turvalisusele ja vajadusele välja mõelda keerulisi paroole. Ja võib-olla suureneb kõnede ja parooliabi taotluste arv. Kuid turvalisuse nimel tuleb maksta.

Kasutatud allikate lingid:
Artikkel Microsoftilt kohandatud paroolifiltri teegi kohta: Password Filters
PassFiltEx: PassFiltEx
Lingid väljaandele: Latest Release
Paroolide nimekirjad:
DanielMiessler loetleb: Link.
Sõnaloend weakpass.com-ist: Link.
Sõnaloend berzerk0 repolt: Link.
Microsoft Message Analyzer: Microsoft Message Analyzer.

Allikas: habr.com