როგორ აკრძალოთ სტანდარტული პაროლები და ყველას შეგაძულოთ

ადამიანი, მოგეხსენებათ, ზარმაცი არსებაა.
და მით უმეტეს, როდესაც საქმე ეხება ძლიერი პაროლის არჩევას.

ვფიქრობ, ყველა ადმინისტრატორს ოდესმე შეექმნა მსუბუქი და სტანდარტული პაროლების გამოყენების პრობლემა. ეს ფენომენი ხშირად გვხვდება კომპანიის მენეჯმენტის ზედა ეშელონებში. დიახ, დიახ, ზუსტად მათ შორის, ვისაც აქვს წვდომა საიდუმლო ან კომერციულ ინფორმაციაზე და უკიდურესად არასასურველი იქნება პაროლის გაჟონვის/ჰაკერების და შემდგომი ინციდენტების შედეგების აღმოფხვრა.

ჩემს პრაქტიკაში იყო შემთხვევა, როდესაც Active Directory დომენში ჩართული პაროლის პოლიტიკით, ბუღალტერები დამოუკიდებლად მივიდნენ აზრამდე, რომ პაროლი, როგორიცაა „Pas$w0rd1234“ იდეალურად ერგება პოლიტიკის მოთხოვნებს. შედეგი იყო ამ პაროლის ფართო გამოყენება ყველგან. ზოგჯერ ის განსხვავდებოდა მხოლოდ მისი რიცხვების ნაკრებით.

ძალიან მინდოდა შემეძლოს არა მხოლოდ პაროლის პოლიტიკის ჩართვა და სიმბოლოების ნაკრების განსაზღვრა, არამედ ლექსიკონის მიხედვით გაფილტვრაც. ასეთი პაროლების გამოყენების შესაძლებლობის გამორიცხვის მიზნით.

მაიკროსოფტი ბმულით გვამცნობს, რომ ვინც იცის კომპილატორის, IDE-ის სწორად ხელში დაჭერა და იცის C++-ის სწორად წარმოთქმა, შეუძლია შეადგინოს მისთვის საჭირო ბიბლიოთეკა და გამოიყენოს იგი საკუთარი გაგებით. შენს თავმდაბალ მსახურს ეს არ ძალუძს, ამიტომ მზა გამოსავალი უნდა მეძია.

მრავალსაათიანი ძიების შემდეგ გამოვლინდა პრობლემის გადაჭრის ორი ვარიანტი. მე, რა თქმა უნდა, ვსაუბრობ OpenSource გადაწყვეტაზე. ყოველივე ამის შემდეგ, არსებობს ფასიანი ვარიანტები - თავიდან ბოლომდე.

ვარიანტი ნომერი 1. OpenPasswordFilter

დაახლოებით 2 წელია არანაირი შეკვეთა არ არის, მშობლიური ინსტალერი მუშაობს დროდადრო, ხელით უნდა გაასწორო. ქმნის თავის ცალკეულ სერვისს. პაროლის ფაილის განახლებისას, DLL ავტომატურად არ აიღებს შეცვლილ შინაარსს; თქვენ უნდა შეწყვიტოთ სერვისი, დაელოდოთ დროის ამოწურვას, შეცვალოთ ფაილი და დაიწყოთ სერვისი.

არა ყინული!

ვარიანტი ნომერი 2. PassFiltEx

პროექტი აქტიურია, ცოცხალი და არ არის საჭირო ცივ სხეულზე წიხლის დარტყმაც.
ფილტრის დაყენება გულისხმობს ორი ფაილის კოპირებას და რეესტრის რამდენიმე ჩანაწერის შექმნას. პაროლის ფაილი არ არის საკეტში, ანუ ის ხელმისაწვდომია რედაქტირებისთვის და, პროექტის ავტორის იდეის მიხედვით, ის უბრალოდ იკითხება წუთში ერთხელ. ასევე, რეესტრის დამატებითი ჩანაწერების გამოყენებით, შეგიძლიათ შემდგომ დააკონფიგურიროთ როგორც თავად ფილტრი, ასევე პაროლის პოლიტიკის ნიუანსებიც კი.

ასე რომ.
მოცემულია: Active Directory domain test.local
Windows 8.1 სატესტო სამუშაო სადგური (მნიშვნელოვანი არ არის პრობლემის მიზნისთვის)
პაროლის ფილტრი PassFiltEx

• ჩამოტვირთეთ უახლესი გამოშვება ბმულიდან PassFiltEx
• კოპირება PassFiltEx.dll в C: WindowsSystem32 (ან %SystemRoot%System32).
  კოპირება PassFiltExBlacklist.txt в C: WindowsSystem32 (ან %SystemRoot%System32). საჭიროების შემთხვევაში, ჩვენ ვავსებთ მას ჩვენივე შაბლონებით
  
• რეესტრის ფილიალის რედაქტირება: HKLMSYSTEMCcurrentControlSetControlLsa => შეტყობინებების პაკეტები
  დამატება PassFiltEx სიის ბოლომდე. (გაფართოება არ საჭიროებს დაზუსტებას.) სკანირებისთვის გამოყენებული პაკეტების სრული სია ასე გამოიყურება.rassfm sccli PassFiltEx".
  
• გადატვირთეთ დომენის კონტროლერი.
• ჩვენ ვიმეორებთ ზემოთ მოცემულ პროცედურას ყველა დომენის კონტროლერისთვის.

თქვენ ასევე შეგიძლიათ დაამატოთ შემდეგი რეესტრის ჩანაწერები, რაც გაძლევთ მეტ მოქნილობას ამ ფილტრის გამოყენებისას:

თავი: HKLMSOFTWAREPassFiltEx — იქმნება ავტომატურად.

• HKLMSOFTWAREPassFiltExBlacklistFileName, REG_SZ, ნაგულისხმევი: PassFiltExBlacklist.txt

  BlacklistFileName — საშუალებას გაძლევთ მიუთითოთ პირადი ბილიკი ფაილში პაროლის შაბლონებით. თუ ეს რეესტრის ჩანაწერი ცარიელია ან არ არსებობს, მაშინ გამოიყენება ნაგულისხმევი გზა, რომელიც არის - %SystemRoot%System32. თქვენ შეგიძლიათ მიუთითოთ ქსელის ბილიკი, მაგრამ უნდა გახსოვდეთ, რომ შაბლონის ფაილს უნდა ჰქონდეს მკაფიო ნებართვები წაკითხვის, ჩაწერის, წაშლის, შეცვლისთვის.

• HKLMSOFTWAREPassFiltExTokenPercentageOfPassword, REG_DWORD, ნაგულისხმევი: 60

  TokenPercentageOfPassword — საშუალებას გაძლევთ მიუთითოთ ნიღბის პროცენტი ახალ პაროლში. ნაგულისხმევი მნიშვნელობა არის 60%. მაგალითად, თუ პროცენტული შემთხვევა არის 60 და string starwars არის შაბლონის ფაილში, მაშინ პაროლი Starwars1! უარყოფილი იქნება პაროლის დროს starwars1!DarthVader88 მიიღება, რადგან პაროლში სტრიქონის პროცენტული მაჩვენებელი 60%-ზე ნაკლებია

• HKLMSOFTWAREPassFiltExRequireCharClasses, REG_DWORD, ნაგულისხმევი: 0

  RequireCharClasses — საშუალებას გაძლევთ გააფართოვოთ პაროლის მოთხოვნები ActiveDirectory პაროლის სირთულის სტანდარტულ მოთხოვნებთან შედარებით. ჩაშენებული სირთულის მოთხოვნები მოითხოვს 3 შესაძლო სხვადასხვა ტიპის სიმბოლოდან 5: ზედა, მცირე, ციფრული, სპეციალური და უნიკოდ. რეესტრის ამ ჩანაწერის გამოყენებით, შეგიძლიათ დააყენოთ თქვენი პაროლის სირთულის მოთხოვნები. მნიშვნელობა, რომელიც შეიძლება მითითებული იყოს, არის ბიტების ნაკრები, რომელთაგან თითოეული არის ორი შესაბამისი სიმძლავრე.
  ანუ, 1 = მცირე, 2 = დიდი, 4 = ციფრი, 8 = სპეციალური სიმბოლო და 16 = უნიკოდის სიმბოლო.
  ასე რომ, 7 მნიშვნელობით, მოთხოვნები იქნება "ზედა საქმე" და პატარა ასო და ციფრი“, ხოლო 31 მნიშვნელობით - „ზედა რეგისტრი და მცირე ასო და ციფრი და სპეციალური სიმბოლო და უნიკოდის სიმბოლო."
  შეგიძლიათ დააკავშიროთ კიდეც - 19 = „ზედა და მცირე ასო და უნიკოდის სიმბოლო."

• 

შაბლონის ფაილის შექმნის რამდენიმე წესი:

• შაბლონები რეგისტრირებულია. ამიტომ, ფაილის ჩანაწერი ვარსკვლავური ომები и Ვარსკვლავური ომები დადგინდება, რომ იგივე მნიშვნელობა იქნება.
• შავი სიის ფაილი ხელახლა იკითხება ყოველ 60 წამში, ასე რომ თქვენ შეგიძლიათ მარტივად შეცვალოთ იგი; ერთი წუთის შემდეგ, ახალი მონაცემები გამოყენებული იქნება ფილტრის მიერ.
• ამჟამად არ არსებობს უნიკოდის მხარდაჭერა შაბლონების შესატყვისისთვის. ანუ, თქვენ შეგიძლიათ გამოიყენოთ Unicode სიმბოლოები პაროლებში, მაგრამ ფილტრი არ იმუშავებს. ეს არ არის კრიტიკული, რადგან მე არ მინახავს მომხმარებლები, რომლებიც იყენებენ Unicode პაროლებს.
• მიზანშეწონილია არ დაუშვათ ცარიელი ხაზები შაბლონის ფაილში. გამართვის დროს შეგიძლიათ ნახოთ შეცდომა ფაილიდან მონაცემების ჩატვირთვისას. ფილტრი მუშაობს, მაგრამ რატომ არის დამატებითი გამონაკლისები?

გამართვისთვის, არქივი შეიცავს ჯგუფურ ფაილებს, რომლებიც საშუალებას გაძლევთ შექმნათ ჟურნალი და შემდეგ გააანალიზოთ იგი, მაგალითად, Microsoft შეტყობინებების ანალიზატორი.
პაროლის ეს ფილტრი იყენებს Event Tracing-ს Windows-ისთვის.

ETW პროვაიდერი ამ პაროლის ფილტრისთვის არის 07d83223-7594-4852-babc-784803fdf6c5. ასე რომ, მაგალითად, შეგიძლიათ დააკონფიგურიროთ მოვლენის მიკვლევა შემდეგი გადატვირთვის შემდეგ:
logman create trace autosessionPassFiltEx -o %SystemRoot%DebugPassFiltEx.etl -p "{07d83223-7594-4852-babc-784803fdf6c5}" 0xFFFFFFFF -ets

მიკვლევა დაიწყება სისტემის შემდეგი გადატვირთვის შემდეგ. Შეჩერება:
logman stop PassFiltEx -ets && logman delete autosessionPassFiltEx -ets
ყველა ეს ბრძანება მითითებულია სკრიპტებში StartTracingAtBoot.cmd и StopTracingAtBoot.cmd.

ფილტრის მუშაობის ერთჯერადი შემოწმებისთვის შეგიძლიათ გამოიყენოთ StartTracing.cmd и StopTracing.cmd.
იმისათვის, რომ მოხერხებულად წაიკითხოთ ამ ფილტრის გამართვის გამონაბოლქვი Microsoft შეტყობინება ანალიზატორი რეკომენდებულია შემდეგი პარამეტრების გამოყენება:

შესვლისა და ანალიზის შეწყვეტისას Microsoft შეტყობინება ანალიზატორი ყველაფერი ასე გამოიყურება:

აქ ხედავთ, რომ მომხმარებლისთვის პაროლის დაყენების მცდელობა იყო - ამას ჯადოსნური სიტყვა გვეუბნება უცნობია გამართვაში. და პაროლი უარყოფილია შაბლონის ფაილში ყოფნისა და შეყვანილ ტექსტში 30%-ზე მეტის გამო.

თუ პაროლის შეცვლის წარმატებული მცდელობა განხორციელდა, ჩვენ ვხედავთ შემდეგს:

საბოლოო მომხმარებლისთვის არის გარკვეული უხერხულობა. როდესაც თქვენ ცდილობთ შეცვალოთ პაროლი, რომელიც შედის შაბლონების ფაილების სიაში, ეკრანზე გამოსახული შეტყობინება არაფრით განსხვავდება სტანდარტული შეტყობინებისგან, როდესაც პაროლის პოლიტიკა არ არის გადაცემული.

ამიტომ მოემზადეთ ზარებისთვის და შეძახილებისთვის: „პაროლი სწორად შევიყვანე, მაგრამ არ მუშაობს“.

რეზიუმე.

ეს ბიბლიოთეკა გაძლევთ საშუალებას აკრძალოთ მარტივი ან სტანდარტული პაროლების გამოყენება Active Directory დომენში. მოდით ვთქვათ "არა!" პაროლები, როგორიცაა: "P@ssw0rd", "Qwerty123", "ADm1n098".
დიახ, რა თქმა უნდა, მომხმარებლებს კიდევ უფრო მეტად შეგიყვარებთ, რომ მათ უსაფრთხოებაზე ზრუნავთ და გასაოცარი პაროლების შექმნის აუცილებლობის გამო. და, ალბათ, გაიზრდება ზარების და თხოვნის რაოდენობა თქვენი პაროლით. მაგრამ უსაფრთხოებას ფასი აქვს.

გამოყენებული რესურსების ბმულები:
Microsoft-ის სტატია პერსონალური პაროლის ფილტრის ბიბლიოთეკის შესახებ: პაროლის ფილტრები
PassFiltEx: PassFiltEx
რელიზის ბმული: უახლესი ვერსია
პაროლების სიები:
დანიელ მიესლერის სია: Ბმული.
Wordpass.com-ის სიტყვების სია: Ბმული.
სიტყვების სია berzerk0 რეპოდან: Ბმული.
Microsoft შეტყობინებების ანალიზატორი: Microsoft შეტყობინებების ანალიზატორი.

წყარო: www.habr.com