איך לאסור סיסמאות סטנדרטיות ולגרום לכולם לשנוא אותך

האדם, כידוע, הוא יצור עצלן.
ועוד יותר מכך בכל הנוגע לבחירת סיסמה חזקה.

אני חושב שכל מנהל התמודד אי פעם עם הבעיה של שימוש בסיסמאות קלות וסטנדרטיות. תופעה זו מתרחשת לרוב בקרב הדרגים הגבוהים של הנהלת החברה. כן, כן, דווקא בקרב בעלי גישה למידע סודי או מסחרי ויהיה זה מאוד לא רצוי לבטל את ההשלכות של דליפות/פריצה של סיסמאות ואירועים נוספים.

בתרגול שלי, היה מקרה שבו, בדומיין של Active Directory עם מדיניות סיסמה מופעלת, רואי חשבון הגיעו באופן עצמאי לרעיון שסיסמה כמו "Pas$w0rd1234" מתאימה באופן מושלם לדרישות המדיניות. התוצאה הייתה השימוש הנרחב בסיסמה זו בכל מקום. לפעמים הוא היה שונה רק בקבוצת המספרים שלו.

מאוד רציתי להיות מסוגל לא רק להפעיל מדיניות סיסמאות ולהגדיר ערכת תווים, אלא גם לסנן לפי מילון. כדי למנוע את האפשרות להשתמש בסיסמאות כאלה.

מיקרוסופט מודיעה לנו בחביבות דרך הקישור שכל מי שיודע להחזיק מהדר, IDE נכון בידיו ויודע לבטא נכון C++, מסוגל להרכיב את הספרייה שהוא צריך ולהשתמש בה לפי הבנתו. עבדך הצנוע אינו מסוגל לכך, אז נאלצתי לחפש פתרון מוכן.

לאחר שעה ארוכה של חיפושים נחשפו שתי אפשרויות לפתרון הבעיה. אני, כמובן, מדבר על פתרון OpenSource. אחרי הכל, יש אפשרויות בתשלום - מההתחלה ועד הסוף.

אפשרות מס '1. OpenPasswordFilter

אין התחייבויות כבר כשנתיים, המתקין המקומי עובד מדי פעם, צריך לתקן את זה ידנית. יוצר שירות נפרד משלו. בעת עדכון קובץ סיסמה, ה-DLL אינו קולט אוטומטית את התוכן שהשתנה; עליך להפסיק את השירות, להמתין לזמן קצוב, לערוך את הקובץ ולהפעיל את השירות.

בלי קרח!

אפשרות מס '2. PassFiltEx

הפרויקט פעיל, חי ואין צורך אפילו לבעוט בגוף הקר.
התקנת המסנן כרוכה בהעתקת שני קבצים ויצירת מספר ערכי רישום. קובץ הסיסמה אינו במנעול, כלומר, הוא זמין לעריכה, ולפי הרעיון של מחבר הפרויקט, הוא פשוט נקרא פעם בדקה. כמו כן, באמצעות ערכי רישום נוספים, תוכל להגדיר עוד יותר הן את המסנן עצמו ואפילו את הניואנסים של מדיניות הסיסמאות.

אז.
נתון: תחום Active Directory test.local
תחנת עבודה לבדיקה של Windows 8.1 (לא חשוב למטרת הבעיה)
מסנן סיסמאות PassFiltEx

• הורד את המהדורה האחרונה מהקישור PassFiltEx
• עותק PassFiltEx.dll в C: WindowsSystem32 (או %SystemRoot%System32).
  עותק PassFiltExBlacklist.txt в C: WindowsSystem32 (או %SystemRoot%System32). במידת הצורך, אנו משלימים אותו עם תבניות משלנו
  
• עריכת סניף הרישום: HKLMSYSTEMCurrentControlSetControlLsa => חבילות הודעות
  הוסף PassFiltEx לסוף הרשימה. (אין צורך לציין את התוסף.) הרשימה המלאה של החבילות המשמשות לסריקה תיראה כך "rassfm scecli PassFiltEx".
  
• הפעל מחדש את בקר התחום.
• אנו חוזרים על ההליך לעיל עבור כל בקרי התחום.

אתה יכול גם להוסיף את ערכי הרישום הבאים, מה שנותן לך גמישות רבה יותר בשימוש במסנן זה:

פֶּרֶק: HKLMSOFTWAREPassFiltEx - נוצר באופן אוטומטי.

• HKLMSOFTWAREPassFiltExBlacklistFileName, REG_SZ, ברירת מחדל: PassFiltExBlacklist.txt

  BlacklistFileName — מאפשר לך לציין נתיב מותאם אישית לקובץ עם תבניות סיסמה. אם ערך הרישום ריק או אינו קיים, נעשה שימוש בנתיב ברירת המחדל, שהוא - %SystemRoot%System32. אתה יכול אפילו לציין נתיב רשת, אבל אתה צריך לזכור שלקובץ התבנית חייבות להיות הרשאות ברורות לקריאה, כתיבה, מחיקה, שינוי.

• HKLMSOFTWAREPassFiltExTokenPercentageOfPassword, REG_DWORD, ברירת מחדל: 60

  TokenPercentageOfPassword — מאפשר לך לציין את אחוז המסכה בסיסמה החדשה. ערך ברירת המחדל הוא 60%. לדוגמה, אם אחוז ההתרחשות הוא 60 והמחרוזת starwars נמצאת בקובץ התבנית, אז הסיסמה Starwars1! תידחה בזמן שהסיסמה starwars1!DarthVader88 יתקבל מכיוון שאחוז המחרוזת בסיסמה נמוך מ-60%

• HKLMSOFTWAREPassFiltExRequireCharClasses, REG_DWORD, ברירת מחדל: 0

  RequireCharClasses — מאפשר לך להרחיב את דרישות הסיסמה בהשוואה לדרישות מורכבות הסיסמה הסטנדרטיות של ActiveDirectory. דרישות המורכבות המובנות דורשות 3 מתוך 5 סוגי התווים האפשריים: אותיות גדולות, אותיות קטנות, ספרה, מיוחד ו-Unicode. באמצעות ערך הרישום הזה, תוכל להגדיר את דרישות מורכבות הסיסמה שלך. הערך שניתן לציין הוא קבוצה של סיביות, שכל אחת מהן היא חזקה מקבילה של שניים.
  כלומר, 1 = אות קטנה, 2 = אות גדולה, 4 = ספרה, 8 = תו מיוחד ו-16 = תו Unicode.
  אז עם ערך של 7 הדרישות יהיו "אותיות גדולות" ו אותיות קטנות ו ספרה", ובערך 31 - "אותיות גדולות ו אוֹתִיוֹת קְטָנוֹת ו ספרות ו סמל מיוחד ו תו Unicode."
  אתה יכול אפילו לשלב - 19 = "אותיות גדולות ו אוֹתִיוֹת קְטָנוֹת ו תו Unicode."

• 

מספר כללים בעת יצירת קובץ תבנית:

• תבניות אינן תלויות רישיות. לכן, ערך הקובץ מלחמת הכוכבים и מלחמת הכוכבים ייקבע להיות אותו ערך.
• קובץ הרשימה השחורה נקרא מחדש כל 60 שניות, כך שתוכל לערוך אותו בקלות; לאחר דקה, הנתונים החדשים ישמשו את המסנן.
• כרגע אין תמיכה ב-Unicode עבור התאמת דפוסים. כלומר, ניתן להשתמש בתווי Unicode בסיסמאות, אך המסנן לא יעבוד. זה לא קריטי, כי לא ראיתי משתמשים שמשתמשים בסיסמאות Unicode.
• רצוי לא לאפשר שורות ריקות בקובץ התבנית. באיתור הבאגים תוכל לראות שגיאה בעת טעינת נתונים מקובץ. המסנן עובד, אבל למה החריגים הנוספים?

לצורך איתור באגים, הארכיון מכיל קבצי אצווה המאפשרים לך ליצור יומן ולאחר מכן לנתח אותו באמצעות, למשל, Microsoft Message Analyzer.
מסנן סיסמאות זה משתמש במעקב אחר אירועים עבור Windows.

ספק ה-ETW עבור מסנן סיסמאות זה הוא 07d83223-7594-4852-babc-784803fdf6c5. כך, למשל, אתה יכול להגדיר מעקב אחר אירועים לאחר האתחול הבא:
logman create trace autosessionPassFiltEx -o %SystemRoot%DebugPassFiltEx.etl -p "{07d83223-7594-4852-babc-784803fdf6c5}" 0xFFFFFFFF -ets

המעקב יתחיל לאחר האתחול הבא של המערכת. לעצור:
logman stop PassFiltEx -ets && logman delete autosessionPassFiltEx -ets
כל הפקודות הללו מצויינות בסקריפטים StartTracingAtBoot.cmd и StopTracingAtBoot.cmd.

לבדיקה חד פעמית של פעולת הסינון, ניתן להשתמש StartTracing.cmd и StopTracing.cmd.
על מנת לקרוא בנוחות את פליטת ניפוי הבאגים של מסנן זה הודעה Microsoft Analyzer מומלץ להשתמש בהגדרות הבאות:

בעת הפסקת כניסה וניתוח הודעה Microsoft Analyzer הכל נראה בערך כך:

כאן ניתן לראות שהיה ניסיון להגדיר סיסמה למשתמש - מילת הקסם אומרת לנו את זה SET באיתור באגים. והסיסמה נדחתה עקב נוכחותה בקובץ התבנית ויותר מ-30% התאמה בטקסט שהוזן.

אם נעשה ניסיון מוצלח של שינוי סיסמה, אנו רואים את הדברים הבאים:

ישנה אי נוחות מסוימת למשתמש הקצה. כאשר אתה מנסה לשנות סיסמה הכלולה בקובץ רשימת התבניות, ההודעה על המסך אינה שונה מההודעה הרגילה כאשר מדיניות הסיסמאות אינה עוברת.

לכן, היו מוכנים לשיחות וצעקות: "הכנסתי את הסיסמה נכון, אבל זה לא עובד."

התוצאה.

ספרייה זו מאפשרת לך לאסור את השימוש בסיסמאות פשוטות או סטנדרטיות בדומיין של Active Directory. בוא נגיד "לא!" סיסמאות כמו: "P@ssw0rd", "Qwerty123", "ADm1n098".
כן, כמובן, המשתמשים יאהבו אותך אפילו יותר על כך שאתה דואג לאבטחה שלהם ולצורך להמציא סיסמאות מעוררות מחשבה. ואולי, מספר השיחות והבקשות לעזרה עם הסיסמה שלך יגדל. אבל לביטחון יש מחיר.

קישורים למשאבים בשימוש:
מאמר של Microsoft לגבי ספריית מסנן סיסמאות מותאמת אישית: מסנני סיסמאות
PassFiltEx: PassFiltEx
קישור שחרור: מהדורה אחרונה
רשימות סיסמאות:
דניאל מיסלר רשימות: קישור.
רשימת מילים מאת weakpass.com: קישור.
רשימת מילים מ-berzerk0 repo: קישור.
Microsoft Message Analyzer: Microsoft Message Analyzer.

מקור: www.habr.com