मानक पासवर्ड पर प्रतिबंध कैसे लगाएं और हर कोई आपसे नफरत करने लगे

जैसा कि आप जानते हैं, मनुष्य एक आलसी प्राणी है।
और इससे भी अधिक जब एक मजबूत पासवर्ड चुनने की बात आती है।

मुझे लगता है कि प्रत्येक व्यवस्थापक को कभी न कभी हल्के और मानक पासवर्ड का उपयोग करने की समस्या का सामना करना पड़ा है। यह घटना अक्सर कंपनी प्रबंधन के ऊपरी क्षेत्रों में घटित होती है। हां, हां, बिल्कुल उन लोगों के बीच जिनकी पहुंच गुप्त या व्यावसायिक जानकारी तक है और पासवर्ड लीक/हैकिंग और आगे की घटनाओं के परिणामों को खत्म करना बेहद अवांछनीय होगा।

मेरे अभ्यास में, एक ऐसा मामला था, जब सक्रिय निर्देशिका डोमेन में पासवर्ड नीति सक्षम होने पर, अकाउंटेंट स्वतंत्र रूप से इस विचार पर आए कि "Pas$w0rd1234" जैसा पासवर्ड नीति आवश्यकताओं को पूरी तरह से फिट बैठता है। नतीजा यह हुआ कि इस पासवर्ड का हर जगह बड़े पैमाने पर इस्तेमाल होने लगा। कभी-कभी वह केवल अपने अंकों के समूह में ही भिन्न होते थे।

मैं वास्तव में न केवल पासवर्ड नीति को सक्षम करने और वर्ण सेट को परिभाषित करने में सक्षम होना चाहता था, बल्कि शब्दकोश के अनुसार फ़िल्टर करने में भी सक्षम होना चाहता था। ऐसे पासवर्ड के उपयोग की संभावना को बाहर करने के लिए।

माइक्रोसॉफ्ट कृपया हमें लिंक के माध्यम से सूचित करता है कि जो कोई भी कंपाइलर, आईडीई को अपने हाथों में सही ढंग से पकड़ना जानता है और सी++ का सही उच्चारण करना जानता है, वह अपनी जरूरत की लाइब्रेरी को संकलित करने और अपनी समझ के अनुसार इसका उपयोग करने में सक्षम है। आपका विनम्र सेवक इसके लिए सक्षम नहीं है, इसलिए मुझे एक तैयार समाधान की तलाश करनी पड़ी।

लंबे समय तक खोज करने के बाद, समस्या के समाधान के लिए दो विकल्प सामने आए। निस्संदेह, मैं ओपनसोर्स समाधान के बारे में बात कर रहा हूं। आख़िरकार, भुगतान विकल्प मौजूद हैं - शुरू से अंत तक।

विकल्प संख्या 1। ओपनपासवर्डफ़िल्टर

अब लगभग 2 वर्षों से कोई प्रतिबद्धता नहीं है। मूल इंस्टॉलर समय-समय पर काम करता है, आपको इसे मैन्युअल रूप से ठीक करना होगा। अपनी अलग सेवा बनाता है. पासवर्ड फ़ाइल को अपडेट करते समय, डीएलएल स्वचालित रूप से परिवर्तित सामग्री को नहीं उठाता है, आपको सेवा को रोकने, टाइमआउट की प्रतीक्षा करने, फ़ाइल को संपादित करने और सेवा शुरू करने की आवश्यकता होती है।

बर्फ नहीं!

विकल्प संख्या 2। पासफिल्टएक्स

परियोजना सक्रिय है, जीवंत है और ठंडे शरीर को लात मारने की भी जरूरत नहीं है।
फ़िल्टर स्थापित करने में दो फ़ाइलों की प्रतिलिपि बनाना और कई रजिस्ट्री प्रविष्टियाँ बनाना शामिल है। पासवर्ड फ़ाइल लॉक में नहीं है, अर्थात, यह संपादन के लिए उपलब्ध है और, प्रोजेक्ट के लेखक के विचार के अनुसार, इसे केवल एक मिनट में एक बार पढ़ा जाता है। साथ ही, अतिरिक्त रजिस्ट्री प्रविष्टियों का उपयोग करके, आप फ़िल्टर और यहां तक ​​कि पासवर्ड नीति की बारीकियों दोनों को और अधिक कॉन्फ़िगर कर सकते हैं।

तो.
दिया गया: सक्रिय निर्देशिका डोमेन परीक्षण.स्थानीय
विंडोज़ 8.1 परीक्षण कार्य केंद्र (समस्या के उद्देश्य से महत्वपूर्ण नहीं)
पासवर्ड फ़िल्टर PassFiltEx

• लिंक से नवीनतम रिलीज़ डाउनलोड करें पासफिल्टएक्स
• प्रतिलिपि PassFiltEx.dll в सी: WindowsSystem32 (या %SystemRoot%System32).
  प्रतिलिपि PassFiltExब्लैकलिस्ट.txt в सी: WindowsSystem32 (या %SystemRoot%System32). यदि आवश्यक हो, तो हम इसे अपने स्वयं के टेम्पलेट्स के साथ पूरक करते हैं
  
• रजिस्ट्री शाखा का संपादन: HKLMSYSTEMCurrentControlSetControlLsa => अधिसूचना पैकेज
  जोड़ना पासफिल्टएक्स सूची के अंत तक. (एक्सटेंशन को निर्दिष्ट करने की आवश्यकता नहीं है।) स्कैनिंग के लिए उपयोग किए जाने वाले पैकेजों की पूरी सूची इस तरह दिखेगी।rassfm scecli PassFiltEx"।
  
• डोमेन नियंत्रक को रीबूट करें।
• हम सभी डोमेन नियंत्रकों के लिए उपरोक्त प्रक्रिया दोहराते हैं।

आप निम्नलिखित रजिस्ट्री प्रविष्टियाँ भी जोड़ सकते हैं, जो आपको इस फ़िल्टर का उपयोग करने में अधिक लचीलापन देती है:

अनुभाग: HKLMSOFTWAREPassFiltEx - स्वचालित रूप से बनाया गया है.

• HKLMSOFTWAREPassFiltExब्लैकलिस्टफ़ाइलनाम, REG_SZ, डिफ़ॉल्ट: PassFiltExblacklist.txt

  ब्लैकलिस्टफ़ाइलनाम - आपको पासवर्ड टेम्प्लेट वाली फ़ाइल के लिए एक कस्टम पथ निर्दिष्ट करने की अनुमति देता है। यदि यह रजिस्ट्री प्रविष्टि खाली है या मौजूद नहीं है, तो डिफ़ॉल्ट पथ का उपयोग किया जाता है, जो है - %SystemRoot%System32. आप एक नेटवर्क पथ भी निर्दिष्ट कर सकते हैं, लेकिन आपको यह याद रखना होगा कि टेम्पलेट फ़ाइल में पढ़ने, लिखने, हटाने, बदलने के लिए स्पष्ट अनुमति होनी चाहिए।

• HKLMSOFTWAREPassFiltExTokenPercentageOfPassword, REG_DWORD, डिफ़ॉल्ट: 60

  टोकन प्रतिशतऑफपासवर्ड - आपको नए पासवर्ड में मास्क का प्रतिशत निर्दिष्ट करने की अनुमति देता है। डिफ़ॉल्ट मान 60% है. उदाहरण के लिए, यदि घटना प्रतिशत 60 है और स्ट्रिंग स्टारवार्स टेम्पलेट फ़ाइल में है, तो पासवर्ड स्टारवार्स1! पासवर्ड अस्वीकार कर दिया जाएगा स्टारवार्स1!डार्थवाडर88 स्वीकार किया जाएगा क्योंकि पासवर्ड में स्ट्रिंग का प्रतिशत 60% से कम है

• HKLMSOFTWAREPassFiltExRequireCharClasses, REG_DWORD, डिफ़ॉल्ट: 0

  आवश्यकताचारक्लासेस - आपको मानक ActiveDirectory पासवर्ड जटिलता आवश्यकताओं की तुलना में पासवर्ड आवश्यकताओं का विस्तार करने की अनुमति देता है। अंतर्निहित जटिलता आवश्यकताओं के लिए 3 संभावित विभिन्न प्रकार के वर्णों में से 5 की आवश्यकता होती है: अपरकेस, लोअरकेस, अंक, विशेष और यूनिकोड। इस रजिस्ट्री प्रविष्टि का उपयोग करके, आप अपनी पासवर्ड जटिलता आवश्यकताओं को निर्धारित कर सकते हैं। जो मान निर्दिष्ट किया जा सकता है वह बिट्स का एक सेट है, जिनमें से प्रत्येक दो की संगत शक्ति है।
  वह है - 1 = लोअरकेस, 2 = अपरकेस, 4 = अंक, 8 = विशेष वर्ण, और 16 = यूनिकोड वर्ण।
  तो 7 के मान के साथ आवश्यकताएँ "अपर केस" होंगी और छोटे और अंक", और 31 के मान के साथ - "अपर केस और निचला मामला और आकृति और विशेष प्रतीक और यूनिकोड वर्ण।"
  आप जोड़ भी सकते हैं - 19 = “अपर केस और निचला मामला और यूनिकोड वर्ण।"

• 

टेम्प्लेट फ़ाइल बनाते समय कई नियम:

• टेम्प्लेट केस असंवेदनशील हैं. इसलिए, फ़ाइल प्रविष्टि नक्षत्रयुद्ध и स्टार वार्स समान मान निर्धारित किया जाएगा।
• ब्लैकलिस्ट फ़ाइल को हर 60 सेकंड में दोबारा पढ़ा जाता है, ताकि आप इसे आसानी से संपादित कर सकें, एक मिनट के बाद नया डेटा फ़िल्टर द्वारा उपयोग किया जाएगा।
• पैटर्न मिलान के लिए वर्तमान में कोई यूनिकोड समर्थन नहीं है। यानी आप पासवर्ड में यूनिकोड कैरेक्टर का इस्तेमाल कर सकते हैं, लेकिन फिल्टर काम नहीं करेगा। यह महत्वपूर्ण नहीं है, क्योंकि मैंने ऐसे उपयोगकर्ता नहीं देखे हैं जो यूनिकोड पासवर्ड का उपयोग करते हों।
• टेम्प्लेट फ़ाइल में खाली पंक्तियों की अनुमति न देने की सलाह दी जाती है। डिबग में आप किसी फ़ाइल से डेटा लोड करते समय एक त्रुटि देख सकते हैं। फ़िल्टर काम करता है, लेकिन अतिरिक्त अपवाद क्यों?

डिबगिंग के लिए, संग्रह में बैच फ़ाइलें होती हैं जो आपको एक लॉग बनाने और फिर उसका उपयोग करके पार्स करने की अनुमति देती हैं, उदाहरण के लिए, माइक्रोसॉफ्ट संदेश विश्लेषक.
यह पासवर्ड फ़िल्टर विंडोज़ के लिए इवेंट ट्रेसिंग का उपयोग करता है।

इस पासवर्ड फ़िल्टर के लिए ETW प्रदाता है 07d83223-7594-4852-babc-784803fdf6c5. इसलिए, उदाहरण के लिए, आप निम्नलिखित रीबूट के बाद इवेंट ट्रेसिंग को कॉन्फ़िगर कर सकते हैं:
logman create trace autosessionPassFiltEx -o %SystemRoot%DebugPassFiltEx.etl -p "{07d83223-7594-4852-babc-784803fdf6c5}" 0xFFFFFFFF -ets

अगले सिस्टम रीबूट के बाद ट्रेसिंग शुरू हो जाएगी। रोक लेना:
logman stop PassFiltEx -ets && logman delete autosessionPassFiltEx -ets
ये सभी आदेश स्क्रिप्ट में निर्दिष्ट हैं स्टार्टट्रेसिंगएटबूट.सीएमडी и स्टॉपट्रेसिंगएटबूट.सीएमडी.

फ़िल्टर ऑपरेशन की एक बार जांच के लिए, आप इसका उपयोग कर सकते हैं स्टार्टट्रेसिंग.cmd и स्टॉपट्रेसिंग.cmd.
इस फ़िल्टर के डिबग एग्ज़ॉस्ट को आसानी से पढ़ने के लिए माइक्रोसॉफ्ट संदेश विश्लेषक निम्नलिखित सेटिंग्स का उपयोग करने की अनुशंसा की जाती है:

लॉगिंग और पार्सिंग रोकते समय माइक्रोसॉफ्ट संदेश विश्लेषक सब कुछ कुछ इस तरह दिखता है:

यहां आप देख सकते हैं कि उपयोगकर्ता के लिए पासवर्ड सेट करने का प्रयास किया गया था - जादुई शब्द हमें यह बताता है SET डिबग में. और पासवर्ड टेम्प्लेट फ़ाइल में मौजूद होने और दर्ज किए गए टेक्स्ट में 30% से अधिक मेल खाने के कारण अस्वीकार कर दिया गया था।

यदि पासवर्ड बदलने का सफल प्रयास किया जाता है, तो हम निम्नलिखित देखते हैं:

अंतिम उपयोगकर्ता के लिए कुछ असुविधा है. जब आप टेम्प्लेट फ़ाइल की सूची में शामिल पासवर्ड को बदलने का प्रयास करते हैं, तो पासवर्ड नीति पारित नहीं होने पर स्क्रीन पर संदेश मानक संदेश से अलग नहीं होता है।

इसलिए, कॉल और चिल्लाहट के लिए तैयार रहें: "मैंने पासवर्ड सही ढंग से दर्ज किया है, लेकिन यह काम नहीं करता है।"

सारांश.

यह लाइब्रेरी आपको सक्रिय निर्देशिका डोमेन में सरल या मानक पासवर्ड के उपयोग को प्रतिबंधित करने की अनुमति देती है। आइए कहें "नहीं!" पासवर्ड जैसे: "P@ssw0rd", "Qwerty123", "ADm1n098"।
हां, निश्चित रूप से, उपयोगकर्ता अपनी सुरक्षा का इतना ध्यान रखने और आश्चर्यजनक पासवर्ड बनाने की आवश्यकता के लिए आपको और भी अधिक पसंद करेंगे। और, शायद, आपके पासवर्ड के संबंध में सहायता के लिए कॉल और अनुरोधों की संख्या में वृद्धि होगी। लेकिन सुरक्षा की एक कीमत चुकानी पड़ती है।

प्रयुक्त संसाधनों के लिंक:
कस्टम पासवर्ड फ़िल्टर लाइब्रेरी के संबंध में Microsoft आलेख: पासवर्ड फ़िल्टर
पासफिल्टएक्स: पासफिल्टएक्स
रिलीज़ लिंक: नवीनतम प्रकाशन
पासवर्ड सूचियाँ:
डेनियलमिस्लर सूचियाँ: संपर्क।
Weakpass.com से शब्द सूची: संपर्क।
berzerk0 रेपो से शब्द सूची: संपर्क।
माइक्रोसॉफ्ट संदेश विश्लेषक: माइक्रोसॉफ्ट संदेश विश्लेषक.

स्रोत: www.habr.com