ວິທີການຫ້າມລະຫັດຜ່ານມາດຕະຖານແລະເຮັດໃຫ້ທຸກຄົນກຽດຊັງທ່ານ

ຜູ້ຊາຍ, ຕາມທີ່ທ່ານຮູ້, ເປັນສັດຂີ້ກຽດ.
ແລະແມ້ກະທັ້ງຫຼາຍດັ່ງນັ້ນໃນເວລາທີ່ມັນມາກັບການເລືອກລະຫັດຜ່ານທີ່ເຂັ້ມແຂງ.

ຂ້າພະເຈົ້າຄິດວ່າຜູ້ບໍລິຫານທຸກຄົນເຄີຍປະເຊີນກັບບັນຫາຂອງການໃຊ້ລະຫັດຜ່ານທີ່ເບົາບາງແລະມາດຕະຖານ. ປະກົດການນີ້ມັກຈະເກີດຂຶ້ນໃນບັນດາ echelon ເທິງຂອງການຄຸ້ມຄອງບໍລິສັດ. ແມ່ນແລ້ວ, ແມ່ນແລ້ວ, ແນ່ນອນໃນບັນດາຜູ້ທີ່ເຂົ້າເຖິງຂໍ້ມູນລັບ ຫຼື ການຄ້າ ແລະມັນເປັນສິ່ງທີ່ບໍ່ສົມຄວນທີ່ຈະລົບລ້າງຜົນສະທ້ອນຂອງການຮົ່ວໄຫຼ/ການແຮັກລະຫັດຜ່ານ ແລະ ເຫດການຕໍ່ໄປ.

ໃນການປະຕິບັດຂອງຂ້ອຍ, ມີກໍລະນີທີ່, ໃນໂດເມນ Active Directory ທີ່ມີນະໂຍບາຍລະຫັດຜ່ານທີ່ເປີດໃຊ້, ນັກບັນຊີໄດ້ມາຄິດຢ່າງເປັນເອກະລາດວ່າລະຫັດຜ່ານເຊັ່ນ "Pas$w0rd1234" ເຫມາະສົມກັບຂໍ້ກໍານົດນະໂຍບາຍຢ່າງສົມບູນ. ຜົນສະທ້ອນແມ່ນການນໍາໃຊ້ລະຫັດຜ່ານນີ້ຢ່າງກວ້າງຂວາງຢູ່ທົ່ວທຸກແຫ່ງ. ບາງຄັ້ງລາວແຕກຕ່າງກັນພຽງແຕ່ໃນຊຸດຂອງຕົວເລກຂອງລາວ.

ຂ້າພະເຈົ້າຢາກຈະສາມາດບໍ່ພຽງແຕ່ເປີດໃຊ້ນະໂຍບາຍລະຫັດຜ່ານ ແລະກໍານົດຊຸດຕົວອັກສອນເທົ່ານັ້ນ, ແຕ່ຍັງການກັ່ນຕອງຕາມວັດຈະນານຸກົມ. ເພື່ອຍົກເວັ້ນຄວາມເປັນໄປໄດ້ຂອງການນໍາໃຊ້ລະຫັດຜ່ານດັ່ງກ່າວ.

ໄມໂຄຣຊອຟຂໍແຈ້ງມາຍັງພວກເຮົາຜ່ານທາງລິ້ງວ່າ ຜູ້ໃດທີ່ຮູ້ວິທີຖື compiler, IDE ຢ່າງຖືກຕ້ອງຢູ່ໃນມື ແລະຮູ້ການອອກສຽງ C++ ຢ່າງຖືກຕ້ອງ, ສາມາດລວບລວມຫ້ອງສະໝຸດທີ່ເຂົາເຈົ້າຕ້ອງການ ແລະໃຊ້ໄດ້ຕາມຄວາມເຂົ້າໃຈຂອງຕົນເອງ. ຜູ້ຮັບໃຊ້ທີ່ຖ່ອມຕົວຂອງເຈົ້າບໍ່ສາມາດໃນເລື່ອງນີ້ໄດ້, ສະນັ້ນຂ້ອຍຕ້ອງຊອກຫາວິທີແກ້ໄຂທີ່ກຽມພ້ອມ.

ຫຼັງຈາກການຊອກຫາເວລາດົນນານ, ສອງທາງເລືອກໃນການແກ້ໄຂບັນຫາໄດ້ຖືກເປີດເຜີຍ. ຂ້າພະເຈົ້າ, ແນ່ນອນ, ເວົ້າກ່ຽວກັບການແກ້ໄຂ OpenSource. ຫຼັງຈາກທີ່ທັງຫມົດ, ມີທາງເລືອກທີ່ຈ່າຍ - ຕັ້ງແຕ່ເລີ່ມຕົ້ນຈົນຈົບ.

ໂຕເລືອກ 1. OpenPasswordFilter

ບໍ່ມີຄໍາຫມັ້ນສັນຍາສໍາລັບປະມານ 2 ປີໃນປັດຈຸບັນ. ການຕິດຕັ້ງພື້ນເມືອງເຮັດວຽກທຸກຄັ້ງແລະຫຼັງຈາກນັ້ນ, ທ່ານຕ້ອງແກ້ໄຂມັນດ້ວຍຕົນເອງ. ສ້າງການບໍລິການແຍກຕ່າງຫາກຂອງຕົນເອງ. ເມື່ອອັບເດດໄຟລ໌ລະຫັດຜ່ານ, DLL ບໍ່ໄດ້ເອົາເນື້ອຫາທີ່ປ່ຽນແປງໂດຍອັດຕະໂນມັດ; ທ່ານຈໍາເປັນຕ້ອງຢຸດການບໍລິການ, ລໍຖ້າເວລາຫມົດເວລາ, ແກ້ໄຂໄຟລ໌, ແລະເລີ່ມຕົ້ນການບໍລິການ.

ບໍ່ມີນ້ຳກ້ອນ!

ໂຕເລືອກ 2. PassFiltEx

ໂຄງການດັ່ງກ່າວແມ່ນມີການເຄື່ອນໄຫວ, ມີຊີວິດຊີວາແລະບໍ່ຈໍາເປັນຕ້ອງເຕະຮ່າງກາຍເຢັນ.
ການຕິດຕັ້ງຕົວກອງກ່ຽວຂ້ອງກັບການຄັດລອກສອງໄຟລ໌ແລະການສ້າງລາຍການລີຈິດຊີຫຼາຍ. ໄຟລ໌ລະຫັດຜ່ານບໍ່ໄດ້ຢູ່ໃນລັອກ, ນັ້ນແມ່ນ, ມັນສາມາດໃຊ້ໄດ້ສໍາລັບການດັດແກ້ແລະ, ອີງຕາມຄວາມຄິດຂອງຜູ້ຂຽນຂອງໂຄງການ, ມັນພຽງແຕ່ອ່ານຫນຶ່ງຄັ້ງຕໍ່ນາທີ. ນອກຈາກນີ້, ການນໍາໃຊ້ການລົງທະບຽນເພີ່ມເຕີມ, ທ່ານສາມາດ configure ທັງຕົວກອງຕົວມັນເອງແລະແມ້ກະທັ້ງ nuances ຂອງນະໂຍບາຍລະຫັດຜ່ານ.

ດີ, ຫຼັງຈາກນັ້ນ.
ໃຫ້: Active Directory domain test.local
ສະຖານີທົດສອບ Windows 8.1 (ບໍ່ສໍາຄັນສໍາລັບຈຸດປະສົງຂອງບັນຫາ)
ຕົວກອງລະຫັດຜ່ານ PassFiltEx

• ດາວໂຫລດລຸ້ນລ້າສຸດຈາກລິ້ງ PassFiltEx
• ສຳເນົາ PassFiltEx.dll в C: WindowsSystem32 (ຫຼື %SystemRoot%System32).
  ສຳເນົາ PassFiltExBlacklist.txt в C: WindowsSystem32 (ຫຼື %SystemRoot%System32). ຖ້າຈໍາເປັນ, ພວກເຮົາເສີມມັນດ້ວຍແມ່ແບບຂອງພວກເຮົາເອງ
  
• ການ​ແກ້​ໄຂ​ສາ​ຂາ​ການ​ຈົດ​ທະ​ບຽນ​: HKLMSYSTEMCurrentControlSetControlLsa => ແພັກເກດການແຈ້ງເຕືອນ
  ຕື່ມ PassFiltEx ໃນຕອນທ້າຍຂອງບັນຊີລາຍຊື່. (ສ່ວນຂະຫຍາຍບໍ່ຈໍາເປັນຕ້ອງລະບຸ.) ບັນຊີລາຍຊື່ເຕັມຂອງແພັກເກດທີ່ໃຊ້ສໍາລັບການສະແກນຈະມີລັກສະນະແບບນີ້ “rassfm scecli PassFiltEx"
  
• reboot ຕົວຄວບຄຸມໂດເມນ.
• ພວກເຮົາເຮັດຊ້ໍາຂັ້ນຕອນຂ້າງເທິງສໍາລັບຜູ້ຄວບຄຸມໂດເມນທັງຫມົດ.

ນອກນັ້ນທ່ານຍັງສາມາດເພີ່ມລາຍການລົງທະບຽນຕໍ່ໄປນີ້, ເຊິ່ງເຮັດໃຫ້ທ່ານມີຄວາມຍືດຫຍຸ່ນຫຼາຍຂຶ້ນໃນການນໍາໃຊ້ຕົວກອງນີ້:

ບົດ: HKLMSOFTWAREPassFiltEx — ຖືກ​ສ້າງ​ຕັ້ງ​ອັດ​ຕະ​ໂນ​ມັດ​.

• HKLMSOFTWAREPassFiltExBlacklistFileName, REG_SZ, ຄ່າເລີ່ມຕົ້ນ: PassFiltExBlacklist.txt

  BlacklistFileName — ອະ​ນຸ​ຍາດ​ໃຫ້​ທ່ານ​ເພື່ອ​ລະ​ບຸ​ເສັ້ນ​ທາງ​ທີ່​ກໍາ​ນົດ​ເອງ​ກັບ​ໄຟລ​໌​ທີ່​ມີ​ແມ່​ແບບ​ລະ​ຫັດ​ຜ່ານ​. ຖ້າການລົງທະບຽນນີ້ຫວ່າງເປົ່າ ຫຼືບໍ່ມີ, ເສັ້ນທາງເລີ່ມຕົ້ນຖືກໃຊ້, ເຊິ່ງແມ່ນ - %SystemRoot%System32. ທ່ານຍັງສາມາດກໍານົດເສັ້ນທາງເຄືອຂ່າຍ, ແຕ່ທ່ານຈໍາເປັນຕ້ອງຈື່ວ່າໄຟລ໌ແມ່ແບບຕ້ອງມີການອະນຸຍາດທີ່ຊັດເຈນສໍາລັບການອ່ານ, ຂຽນ, ລຶບ, ປ່ຽນ.

• HKLMSOFTWAREPassFiltExTokenPercentageOfPassword, REG_DWORD, ຄ່າເລີ່ມຕົ້ນ: 60

  TokenPercentageOfPassword — ອະ​ນຸ​ຍາດ​ໃຫ້​ທ່ານ​ເພື່ອ​ລະ​ບຸ​ອັດ​ຕາ​ສ່ວນ​ຂອງ​ຫນ້າ​ກາກ​ໃນ​ລະ​ຫັດ​ຜ່ານ​ໃຫມ່​. ຄ່າເລີ່ມຕົ້ນແມ່ນ 60%. ຕົວຢ່າງ, ຖ້າອັດຕາສ່ວນການປະກົດຕົວແມ່ນ 60 ແລະ string starwars ຢູ່ໃນໄຟລ໌ແມ່ແບບ, ຫຼັງຈາກນັ້ນລະຫັດຜ່ານ. Starwars1! ຈະຖືກປະຕິເສດໃນຂະນະທີ່ລະຫັດຜ່ານ starwars1!DarthVader88 ຈະຖືກຍອມຮັບເພາະວ່າອັດຕາສ່ວນຂອງສະຕຣິງໃນລະຫັດຜ່ານແມ່ນຫນ້ອຍກວ່າ 60%

• HKLMSOFTWAREPassFiltExRequireCharClasses, REG_DWORD, ຄ່າເລີ່ມຕົ້ນ: 0

  ຕ້ອງການCharClasses — ອະ​ນຸ​ຍາດ​ໃຫ້​ທ່ານ​ເພື່ອ​ຂະ​ຫຍາຍ​ຄວາມ​ຕ້ອງ​ການ​ລະ​ຫັດ​ຜ່ານ​ທຽບ​ກັບ​ມາດ​ຕະ​ຖານ​ຄວາມ​ຕ້ອງ​ການ​ຄວາມ​ສັບ​ສົນ​ລະ​ຫັດ​ຜ່ານ ActiveDirectory​. ຄວາມ​ຕ້ອງ​ການ​ຄວາມ​ສັບ​ສົນ​ໃນ​ຕົວ​ຕ້ອງ​ການ 3 ໃນ 5 ປະ​ເພດ​ທີ່​ເປັນ​ໄປ​ໄດ້​ຂອງ​ຕົວ​ອັກ​ສອນ​: ຕົວ​ພິມ​ໃຫຍ່​, ຕົວ​ນ້ອຍ​, ຕົວ​ເລກ​, ພິ​ເສດ​, ແລະ Unicode​. ການນໍາໃຊ້ການລົງທະບຽນນີ້, ທ່ານສາມາດກໍານົດຄວາມຕ້ອງການຄວາມສັບສົນລະຫັດຜ່ານຂອງທ່ານ. ຄ່າທີ່ສາມາດລະບຸໄດ້ແມ່ນຊຸດຂອງບິດ, ແຕ່ລະແມ່ນພະລັງງານທີ່ສອດຄ້ອງກັນຂອງສອງ.
  ນັ້ນແມ່ນ, 1 = ຕົວພິມນ້ອຍ, 2 = ຕົວພິມໃຫຍ່, 4 = ຕົວເລກ, 8 = ຕົວອັກສອນພິເສດ, ແລະ 16 = ຕົວອັກສອນ Unicode.
  ດັ່ງນັ້ນດ້ວຍມູນຄ່າຂອງ 7 ຂໍ້ກໍານົດຈະເປັນ "ກໍລະນີເທິງ" ແລະ ຕົວພິມນ້ອຍ ແລະ ຕົວເລກ", ແລະມີມູນຄ່າ 31 - "ກໍລະນີເທິງ ແລະ ຕົວພິມນ້ອຍ ແລະ ຕົວເລກ ແລະ ສັນ​ຍາ​ລັກ​ພິ​ເສດ​ ແລະ ຕົວອັກສອນ Unicode."
  ທ່ານສາມາດສົມທົບ - 19 = “ກໍລະນີເທິງ ແລະ ຕົວພິມນ້ອຍ ແລະ ຕົວອັກສອນ Unicode."

• 

ກົດລະບຽບຈໍານວນຫນຶ່ງໃນເວລາສ້າງໄຟລ໌ແມ່ແບບ:

• ແມ່ແບບແມ່ນບໍ່ມີຕົວພິມນ້ອຍໃຫຍ່. ເພາະສະນັ້ນ, ໄຟລ໌ເຂົ້າ Starwars и StarWarS ຈະຖືກກໍານົດໃຫ້ເປັນມູນຄ່າດຽວກັນ.
• ໄຟລ໌ບັນຊີດໍາຖືກອ່ານຄືນໃຫມ່ທຸກໆ 60 ວິນາທີ, ດັ່ງນັ້ນທ່ານສາມາດແກ້ໄຂມັນໄດ້ຢ່າງງ່າຍດາຍ; ຫຼັງຈາກນາທີ, ຂໍ້ມູນໃຫມ່ຈະຖືກໃຊ້ໂດຍການກັ່ນຕອງ.
• ໃນປັດຈຸບັນບໍ່ມີການຮອງຮັບ Unicode ສໍາລັບການຈັບຄູ່ຮູບແບບ. ນັ້ນແມ່ນ, ທ່ານສາມາດນໍາໃຊ້ຕົວອັກສອນ Unicode ໃນລະຫັດຜ່ານ, ແຕ່ຕົວກອງຈະບໍ່ເຮັດວຽກ. ນີ້ບໍ່ສໍາຄັນ, ເພາະວ່າຂ້ອຍບໍ່ໄດ້ເຫັນຜູ້ໃຊ້ທີ່ໃຊ້ລະຫັດຜ່ານ Unicode.
• ມັນແນະນໍາໃຫ້ບໍ່ອະນຸຍາດໃຫ້ເສັ້ນຫວ່າງຢູ່ໃນໄຟລ໌ແມ່ແບບ. ໃນ debug ທ່ານສາມາດເບິ່ງຄວາມຜິດພາດໃນເວລາໂຫລດຂໍ້ມູນຈາກໄຟລ໌. ການກັ່ນຕອງເຮັດວຽກ, ແຕ່ເປັນຫຍັງການຍົກເວັ້ນພິເສດ?

ສໍາລັບການ debugging, archive ມີ batch ໄຟລ໌ທີ່ອະນຸຍາດໃຫ້ທ່ານເພື່ອສ້າງບັນທຶກແລະຫຼັງຈາກນັ້ນ parse ມັນໂດຍໃຊ້, ສໍາລັບການຍົກຕົວຢ່າງ, Microsoft Message Analyzer.
ຕົວກອງລະຫັດຜ່ານນີ້ໃຊ້ການຕິດຕາມເຫດການສໍາລັບ Windows.

ຜູ້ໃຫ້ບໍລິການ ETW ສໍາລັບການກັ່ນຕອງລະຫັດຜ່ານນີ້ແມ່ນ 07d83223-7594-4852-babc-784803fdf6c5. ດັ່ງນັ້ນ, ສໍາລັບການຍົກຕົວຢ່າງ, ທ່ານສາມາດ configure ຕິດຕາມເຫດການຫຼັງຈາກ reboot ດັ່ງຕໍ່ໄປນີ້:
logman create trace autosessionPassFiltEx -o %SystemRoot%DebugPassFiltEx.etl -p "{07d83223-7594-4852-babc-784803fdf6c5}" 0xFFFFFFFF -ets

ການຕິດຕາມຈະເລີ່ມຕົ້ນຫຼັງຈາກການປິດລະບົບຕໍ່ໄປ. ຢຸດ:
logman stop PassFiltEx -ets && logman delete autosessionPassFiltEx -ets
ຄໍາສັ່ງທັງຫມົດເຫຼົ່ານີ້ແມ່ນໄດ້ລະບຸໄວ້ໃນສະຄິບ StartTracingAtBoot.cmd и StopTracingAtBoot.cmd.

ສໍາລັບການກວດສອບຫນຶ່ງຄັ້ງຂອງການດໍາເນີນງານການກັ່ນຕອງ, ທ່ານສາມາດນໍາໃຊ້ StartTracing.cmd и StopTracing.cmd.
ເພື່ອສະດວກໃນການອ່ານ debug exhaust ຂອງການກັ່ນຕອງນີ້ໃນ ນັກວິເຄາະຂໍ້ຄວາມ Microsoft ແນະນໍາໃຫ້ໃຊ້ການຕັ້ງຄ່າຕໍ່ໄປນີ້:

ເມື່ອຢຸດການເຂົ້າສູ່ລະບົບ ແລະວິເຄາະ ນັກວິເຄາະຂໍ້ຄວາມ Microsoft ທຸກຢ່າງເບິ່ງຄືດັ່ງນີ້:

ໃນທີ່ນີ້ທ່ານສາມາດເຫັນໄດ້ວ່າມີຄວາມພະຍາຍາມທີ່ຈະຕັ້ງລະຫັດຜ່ານສໍາລັບຜູ້ໃຊ້ - ຄໍາ magic ບອກພວກເຮົານີ້ SET ໃນ debug. ແລະລະຫັດຜ່ານໄດ້ຖືກປະຕິເສດເນື່ອງຈາກມີຢູ່ໃນໄຟລ໌ແມ່ແບບແລະຫຼາຍກວ່າ 30% ກົງກັນໃນຂໍ້ຄວາມທີ່ເຂົ້າມາ.

ຖ້າຄວາມພະຍາຍາມປ່ຽນລະຫັດຜ່ານສຳເລັດຜົນ, ພວກເຮົາເຫັນສິ່ງຕໍ່ໄປນີ້:

ມີຄວາມບໍ່ສະດວກບາງຢ່າງສໍາລັບຜູ້ໃຊ້ສຸດທ້າຍ. ເມື່ອທ່ານພະຍາຍາມປ່ຽນລະຫັດຜ່ານທີ່ລວມຢູ່ໃນລາຍການໄຟລ໌ແມ່ແບບ, ຂໍ້ຄວາມໃນຫນ້າຈໍບໍ່ແຕກຕ່າງຈາກຂໍ້ຄວາມມາດຕະຖານເມື່ອນະໂຍບາຍລະຫັດຜ່ານບໍ່ຜ່ານ.

ດັ່ງນັ້ນ, ຈົ່ງກຽມພ້ອມສໍາລັບການໂທແລະສຽງຮ້ອງ: "ຂ້ອຍໃສ່ລະຫັດຜ່ານຢ່າງຖືກຕ້ອງ, ແຕ່ມັນບໍ່ໄດ້ຜົນ."

ຜົນໄດ້ຮັບ.

ຫ້ອງສະໝຸດນີ້ອະນຸຍາດໃຫ້ທ່ານຫ້າມການໃຊ້ລະຫັດຜ່ານແບບງ່າຍໆ ຫຼືມາດຕະຖານໃນໂດເມນ Active Directory. ໃຫ້ເວົ້າວ່າ "ບໍ່!" ລະຫັດຜ່ານເຊັ່ນ: “P@ssw0rd”, “Qwerty123”, “ADm1n098”.
ແມ່ນແລ້ວ, ແນ່ນອນ, ຜູ້ໃຊ້ຈະຮັກທ່ານຫຼາຍກວ່າເກົ່າສໍາລັບການເບິ່ງແຍງຄວາມປອດໄພຂອງພວກເຂົາແລະຄວາມຕ້ອງການທີ່ຈະມາເຖິງລະຫັດຜ່ານທີ່ຫນ້າຕື່ນເຕັ້ນ. ແລະ, ບາງທີ, ຈໍານວນການໂທແລະການຮ້ອງຂໍການຊ່ວຍເຫຼືອກັບລະຫັດຜ່ານຂອງທ່ານຈະເພີ່ມຂຶ້ນ. ແຕ່ຄວາມປອດໄພມາໃນລາຄາ.

ການ​ເຊື່ອມ​ຕໍ່​ກັບ​ຊັບ​ພະ​ຍາ​ກອນ​ທີ່​ນໍາ​ໃຊ້​:
ບົດຄວາມ Microsoft ກ່ຽວກັບຫ້ອງສະໝຸດຕົວກອງລະຫັດຜ່ານແບບກຳນົດເອງ: ຕົວກອງລະຫັດຜ່ານ
PassFiltEx: PassFiltEx
ລິ້ງການເຜີຍແຜ່: Latest Release
ລາຍການລະຫັດຜ່ານ:
DanielMiessler ລາຍຊື່: ການເຊື່ອມຕໍ່.
ລາຍການຄຳສັບຈາກ weakpass.com: ການເຊື່ອມຕໍ່.
ລາຍການຄໍາຈາກ berzerk0 repo: ການເຊື່ອມຕໍ່.
Microsoft Message Analyzer: Microsoft Message Analyzer.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com