Kuidas keelata standardparoolid ja panna kõik sind vihkama

Inimese, nagu tuntud, on laisk olend.
Eriti kui on tegemist tugeva parooli valimisega.

Usun, et iga administraator on kunagi silmitsi seisnud kergete ja standardsete paroolide kasutamise probleemiga. Selline nähtus esineb tihti ettevõtte juhtkonna kõrgeimates tasandites. Jah, just nende seas, kes pääsevad ligi salajasele või ärisaladusele, ja oleks äärmiselt ebasoovitav ilma tagajärgedeta jätta parooli leket/murdmise ja hilisemate intsidentide kõrvaldamine.

Minu praktikas oli juhtum, kui Active Directory domeenis, kus oli kehtestatud paroolipoliitika, jõudsid raamatupidajad iseseisvalt arusaamisele, et parool nagu „Pas$w0rd1234” sobib suurepäraselt poliitikate nõuetele. Selle tagajärjeks oli selle parooli laialdane kasutamine kõikjal. Erines see mõnikord vaid numbrite komplektiga.

Mul oli väga soov mitte ainult kehtestada paroolipoliitikat ja määrata sümbolite kogumit, vaid ka filtreerida sõnastike järgi. Et välistada sellist tüüpi paroolide kasutamise võimalus.

Microsoft teavitab meid lingil, et igaüks, kes oskab õigesti hoida kompilaatorit, IDE-d ja õigesti hääldada C++-d, suudab enda jaoks vajaliku teegi kompileerida ja kasutada vastavalt oma arusaamadele. Minu alandlik teenija ei suuda seda teha, seega tuli mul otsida valmislahendust.

Pärast pika tunni otsimist ilmusid välja kaks lahenduse varianti. Räägin muidugi OpenSource lahendusest, sest tasulisi variante leidub igasuguseid.

Variant nr 1. OpenPasswordFilter

Kohandusi pole tehtud juba kaks aastat. Originaalne installatsiooniprotsess töötab kordajad, tuleb kätega parandada. Luuakse eraldi teenus. Paroolifaili uuendamisel DLL ei võta automaatselt muudatustega sisu üles, tuleb teenus peatada, oodata ajastust, redigeerida faili ja teenus uuesti käivitada.

Ei ole just parim!

Variant nr 2. PassFiltEx

Projekt on aktiivne, elav ja ei ole isegi vajalik külma keha tagant tõukamine.
Filtri seadistamine hõlmab kahe faili kopeerimist ja mitme registrikande loomist. Paroolide fail ei ole lukustatud, st - see on redigeeritav ning projekti autori kavatsuse kohaselt loetakse see lihtsalt iga minuti tagant. Lisaks saab täiendavate registrikannete abil teha täiendavaid seadeid nii filtrile kui ka paroolipoliitika nüanssidele.

Nii et.
Antud: Active Directory domeen test.local
testimisjaam Windows 8.1 (ülesande tingimusena - ebaoluline)
Paroolifilter PassFiltEx

• Laadige alla viidatud viimane väljaanne PassFiltEx
• Kopeeri PassFiltEx.dll ühes C:WindowsSystem32 (või %SystemRoot%System32).
  Kopeeri PassFiltExBlacklist.txt ühes C:WindowsSystem32 (või %SystemRoot%System32). Vajadusel täiendame seda oma mallidega
  
• Muudame registri haru: HKLMSYSTEMCurrentControlSetControlLsa => Teavitamise paketid
  Lisame PassFiltEx loetellu juurde. (Laiendust ei ole vaja näidata.) Täielik nimekiri kontrollimiseks kasutatavatest pakettidest näeb välja selline «rassfm scecli PassFiltEx«.
  
• Taaskäivitage domeeni kontroller.
• Korrake ülaltoodud protseduuri kõigi domeeni kontrollerite jaoks.

Samuti saab lisada järgmised registrikanded, mis annavad suurema paindlikkuse selle filtri kasutamisel:

Jagunemine: HKLMSOFTWAREPassFiltEx — luuakse automaatselt.

• HKLMSOFTWAREPassFiltExBlacklistFileName, REG_SZ, Vaikimisi: PassFiltExBlacklist.txt

  BlacklistFileName — võimaldab määrata kohandatud tee paroolide mallifailile. Kui selle registri toimingu väärtus on tühi või seda ei eksisteeri, siis kasutatakse vaikimisi teed, nimelt — %SystemRoot%System32. Võib määrata isegi võrgu tee, KUID tuleb meeles pidada, et mallifailil peavad olema kehtestatud selged lugemise, kirjutamise, kustutamise ja muutmise õigused.

• HKLMSOFTWAREPassFiltExTokenPercentageOfPassword, REG_DWORD, Vaikimisi: 60

  TokenPercentageOfPassword — võimaldab määrata protsentuaalse sisalduse mustri uues paroolis. Vaikimisi on väärtus 60%. Näiteks, kui on määratud protsentuaalne sisaldus 60 ja mallifailis on rida starwars, siis parool Starwars1! tagandatakse, samas kui parool starwars1!DarthVader88 võetakse vastu, kuna stringi protsentuaalne sisaldus paroolis on väiksem kui 60%

• HKLMSOFTWAREPassFiltExRequireCharClasses, REG_DWORD, Vaikimisi: 0

  RequireCharClasses — võimaldab laiendada paroolinõudeid võrreldes ActiveDirectory vaikeparooli keerukuse nõuetega. Sisseehitatud keerukuse nõuded nõuavad 3 5-st erinevat sümbolitüüpi: Suur tähemärk, Väike tähemärk, Number, Eriline ning Unicode. Selle registri sisestamise abil on võimalik määrata oma paroolikeerukuse nõuded. Määratav väärtus on bittide komplekt, kus igaüks neist on vastav kahekümnes.
  See tähendab — 1 = väike täht, 2 = suur täht, 4 = number, 8 = erisümbol, ja 16 = Unicode sümbol.
  Seega, väärtusel 7 on nõuded “Suur täht AND väike täht AND number ”, ja väärtusel 31 on nõuded “Suur täht AND väike täht AND number AND erisümbol AND Unicode sümbol”.
  Saab isegi kombineerida — 19 = “Suur täht AND väike täht AND Unicode sümbol”.

• 

Reeglid mallifaili koostamisel:

• Mallid on suurusjärku mittetäielikud. Seega, failis starwars ja StarWarS tuvastatakse sama väärtusena.
• Mustandifaili loetakse iga 60 sekundi tagant uuesti, seega saab seda rahulikult redigeerida, uued andmed hakkavad filtris töötama minutiga.
• Praegu ei toetata Unicode'i mustri kontrollimist. See tähendab, et saate kasutada Unicode-sümboleid paroolides, kuid filter ei toimi. See ei ole kriitiline, sest ma ei ole näinud kasutajaid, kes kasutavad Unicode'i paroolide jaoks.
• Soovitav on vältida tühje ridu mallifailis. Vigade jälgimine näitab viga, kui andmed laaditakse failist. Filter töötab, aga miks lisada tarbetuid erandeid?

Veaparanduse jaoks on arhiivis skriptid, mis võimaldavad luua logi ja seejärel seda analüüsida näiteks Microsoft Message Analyzer.
See paroolifilter kasutab Windowsi sündmuste jälgimist.

ETW pakkuja selle paroolifiltri jaoks — 07d83223-7594-4852-babc-784803fdf6c5. Näiteks saab sündmuste jälgimist seadistada pärast järgmise taaskäivitamise tegemist:
logman create trace autosessionPassFiltEx -o %SystemRoot%DebugPassFiltEx.etl -p "{07d83223-7594-4852-babc-784803fdf6c5}" 0xFFFFFFFF -ets

Sündmuste jälgimine käivitatakse pärast järgmise süsteemi taaskäitamist. Peatamiseks:
logman stop PassFiltEx -ets && logman delete autosessionPassFiltEx -ets
Kõik need käsud on deklareeritud skriptides StartTracingAtBoot.cmd ja StopTracingAtBoot.cmd.

Ühekordseks filtri töö kontrollimiseks saab kasutada StartTracing.cmd ja StopTracing.cmd.
Kasutajatel on mugavam lugeda selle filtri silumisvõrkude tulemust Microsoft Message Analyzer soovitatakse kasutada järgmisi seadeid:

Logi peatamise ja analüüsimise ajal Microsoft Message Analyzer näeb see välja ligikaudu selline:

Siit näeme, et oli katse seada parool kasutajale — sellest annab märku müstiline sõna SET silumises. Ja parool lükati tagasi, kuna see oli mallifailis ja vastas rohkem kui 30% sisestatud tekstist.

Eduka parooli vahetuse korral näeme järgmist:

Lõppkasutajale on teatav ebamugavus. Parooli vahetamise katsed, mis langevad kokku mallifaili nimekirjas, kuvavad ekraanil sõnumi, mis ei erine nutikuse ja arusaamise poolest standardse sõnumist paroolipoliitika läbikukkumise korral.

Seega olge valmis kõnede ja karjumisteks: „Ma sisestasin parooli nagu peab, ja see ei tööta.”

Kokkuvõte.

See raamatukogu võimaldab keelata lihtsate või standardsete paroolide kasutamise Active Directory domeenis. Ütleme "Ei!" paroolidele nagu: "P@ssw0rd", "Qwerty123", "ADm1n098".
Jah, kindlasti armastavad kasutajad teid veelgi rohkem selle eest, et hoolite nende turvalisusest ja vajadusest välja mõelda keerulisi paroole. Ja võib-olla suureneb ka kõnede ja palvete arv, et aidata paroolidega. Kuid turvalisuse eest tuleb maksta.

Kasutatud ressursside lingid:
Artikkel Microsoftilt seoses kohandatud paroolifiltri raamatukoguga: Paroolifiltrid
PassFiltEx: PassFiltEx
Lingid väljaandele: Viimane väljaanne
Paroolide nimekirjad:
DanielMiessler'i nimekirjad: Link.
Nimekiri weakpass.com'ist: Link.
Nimekiri berzerk0 reservist: Link.
Microsoft Message Analyzer: Microsoft Message Analyzer.

Allikas: habr.com