ProHoster > Blogs > Administrācija > Kā aizliegt standarta paroles un likt visiem tevi ienīst

Kā aizliegt standarta paroles un likt visiem tevi ienīst

Cilvēks, kā zināms, ir slinks radījums.
Un vēl jo vairāk, ja runa ir par spēcīgas paroles izvēli.

Es domāju, ka katrs administrators kādreiz ir saskāries ar vieglo un standarta paroļu lietoÅ”anas problēmu. Å Ä« parādÄ«ba bieži sastopama uzņēmuma vadÄ«bas augstākajos eÅ”elonos. Jā, jā, tieÅ”i starp tiem, kuriem ir pieejama slepena vai komerciāla informācija un bÅ«tu ārkārtÄ«gi nevēlami likvidēt paroļu noplÅ«des/uzlauÅ”anas un turpmāko incidentu sekas.

Manā praksē bija gadÄ«jums, kad Active Directory domēnā ar iespējotu paroles politiku grāmatveži neatkarÄ«gi nonāca pie domas, ka tāda parole kā ā€œPas$w0rd1234ā€ lieliski atbilst politikas prasÄ«bām. Sekas bija Ŕīs paroles plaÅ”a izmantoÅ”ana visur. Dažreiz viņŔ atŔķīrās tikai ar savu skaitļu komplektu.

Es ļoti vēlējos ne tikai iespējot paroles politiku un definēt rakstzÄ«mju kopu, bet arÄ« filtrēt pēc vārdnÄ«cas. Lai izslēgtu iespēju izmantot Ŕādas paroles.

Microsoft ar saiti laipni informē, ka ikviens, kurÅ” prot pareizi turēt rokās kompilatoru, IDE un prot pareizi izrunāt C++, spēj sastādÄ«t sev nepiecieÅ”amo bibliotēku un izmantot to pēc savas izpratnes. JÅ«su pazemÄ«gais kalps uz to nav spējÄ«gs, tāpēc man nācās meklēt gatavu risinājumu.

Pēc ilgas meklÄ“Å”anas stundas atklājās divi problēmas risināŔanas varianti. Es, protams, runāju par OpenSource risinājumu. Galu galā ir maksas iespējas - no sākuma lÄ«dz beigām.

Opcijas numurs 1. OpenPasswordFilter

Apmēram 2 gadus nav veiktas nekādas saistÄ«bas. Vietējais instalētājs Å”ad un tad darbojas, jums tas ir jālabo manuāli. Izveido savu atseviŔķu pakalpojumu. Atjauninot paroles failu, DLL automātiski neuztver mainÄ«to saturu; jums ir jāpārtrauc pakalpojums, jāuzgaida taimauts, jārediģē fails un jāsāk pakalpojums.

Nav ledus!

Opcijas numurs 2. PassFiltEx

Projekts ir aktīvs, dzīvs un nevajag pat spārdīt aukstu ķermeni.
Filtra instalÄ“Å”ana ietver divu failu kopÄ“Å”anu un vairāku reÄ£istra ierakstu izveidi. Paroles fails neatrodas slēdzenē, tas ir, tas ir pieejams rediģēŔanai un, saskaņā ar projekta autora ideju, tas tiek vienkārÅ”i lasÄ«ts reizi minÅ«tē. Tāpat, izmantojot papildu reÄ£istra ierakstus, varat tālāk konfigurēt gan paÅ”u filtru, gan pat paroles politikas nianses.

Tātad.
Dots: Active Directory domēns test.local
Windows 8.1 testa darbstacija (nav svarīga problēmas risinājumam)
paroles filtrs PassFiltEx

  • Lejupielādējiet jaunāko versiju no saites PassFiltEx
  • Kopēt PassFiltEx.dll Š² C: WindowsSystem32 (Vai %SystemRoot%System32).
    Kopēt PassFiltExBlacklist.txt Š² C: WindowsSystem32 (Vai %SystemRoot%System32). Ja nepiecieÅ”ams, papildinām to ar savām veidnēm
    Kā aizliegt standarta paroles un likt visiem tevi ienīst
  • ReÄ£istra filiāles rediģēŔana: HKLMSYSTEMCurrentControlSetControlLsa => Paziņojumu paketes
    Pievienot PassFiltEx lÄ«dz saraksta beigām. (PaplaÅ”inājums nav jānorāda.) Pilns skenÄ“Å”anai izmantoto pakotņu saraksts izskatÄ«sies Ŕādi "rassfm scecli PassFiltEx".
    Kā aizliegt standarta paroles un likt visiem tevi ienīst
  • Atsāknējiet domēna kontrolleri.
  • Mēs atkārtojam iepriekÅ” minēto procedÅ«ru visiem domēna kontrolleriem.

Varat arī pievienot Ŕādus reģistra ierakstus, kas nodroŔina lielāku elastību Ŕī filtra lietoŔanā:

nodaļa: HKLMSOFTWAREPassFiltEx ā€” tiek izveidots automātiski.

  • HKLMSOFTWAREPassFiltExBlacklistFileName, REG_SZ, Noklusējums: PassFiltExBlacklist.txt

    BlacklistFileName ā€” ļauj norādÄ«t pielāgotu ceļu uz failu ar paroles veidnēm. Ja Å”is reÄ£istra ieraksts ir tukÅ”s vai neeksistē, tiek izmantots noklusējuma ceļŔ, kas ir - %SystemRoot%System32. JÅ«s pat varat norādÄ«t tÄ«kla ceļu, BET jums jāatceras, ka veidnes failam ir jābÅ«t skaidrām atļaujām lasÄ«t, rakstÄ«t, dzēst, mainÄ«t.

  • HKLMSOFTWAREPassFiltExTokenPercentageOfPassword, REG_DWORD, Noklusējums: 60

    TokenPercentageOfPassword ā€” ļauj norādÄ«t maskas procentuālo daudzumu jaunajā parolē. Noklusējuma vērtÄ«ba ir 60%. Piemēram, ja gadÄ«juma procentuālais daudzums ir 60 un veidnes failā ir virkne starwars, tad parole Starwars1! parole tiks noraidÄ«ta starwars1!DarthVader88 tiks pieņemts, jo paroles virknes procentuālā daļa ir mazāka par 60%

  • HKLMSOFTWAREPassFiltExRequireCharClasses, REG_DWORD, Noklusējums: 0

    RequireCharClasses ā€” ļauj paplaÅ”ināt paroles prasÄ«bas salÄ«dzinājumā ar standarta ActiveDirectory paroles sarežģītÄ«bas prasÄ«bām. IebÅ«vētās sarežģītÄ«bas prasÄ«bām ir nepiecieÅ”amas 3 no 5 iespējamajiem dažādo veidu rakstzÄ«mēm: lielie burti, mazie burti, cipars, Ä«paÅ”ais un unikods. Izmantojot Å”o reÄ£istra ierakstu, varat iestatÄ«t paroles sarežģītÄ«bas prasÄ«bas. VērtÄ«ba, ko var norādÄ«t, ir bitu kopa, no kuriem katrs ir atbilstoÅ”s divu pakāpju.
    Tas ir, 1 = mazie burti, 2 = lielie burti, 4 = cipars, 8 = speciālā rakstzīme un 16 = unikoda rakstzīme.
    Tātad ar vērtÄ«bu 7 prasÄ«bas bÅ«tu ā€œlielie burtiā€. UN mazie burti UN ciparsā€ un ar vērtÄ«bu 31 - ā€œLielie burti UN mazie burti UN cipars UN Ä«paÅ”s simbols UN Unikoda rakstzÄ«me."
    JÅ«s pat varat kombinēt - 19 = ā€œLielais burts UN mazie burti UN Unikoda rakstzÄ«me."

  • Kā aizliegt standarta paroles un likt visiem tevi ienÄ«st

Veidojot veidnes failu, jāievēro vairāki noteikumi:

  • Veidnes nav reÄ£istrjutÄ«gas. Tāpēc faila ieraksts zvaigžņu kari Šø Zvaigžņu kari tiks noteikta kā tāda pati vērtÄ«ba.
  • Melnā saraksta fails tiek atkārtoti lasÄ«ts ik pēc 60 sekundēm, lai jÅ«s to varētu viegli rediģēt; pēc minÅ«tes jaunos datus izmantos filtrs.
  • PaÅ”laik nav unikoda atbalsta paraugu saskaņoÅ”anai. Tas ir, parolēs varat izmantot unikoda rakstzÄ«mes, taču filtrs nedarbosies. Tas nav kritiski, jo es neesmu redzējis lietotājus, kuri izmanto Unicode paroles.
  • Veidnes failā vēlams neatļaut tukÅ”as rindas. Pēc tam atkļūdoÅ”anas laikā varat redzēt kļūdu, ielādējot datus no faila. Filtrs darbojas, bet kāpēc papildu izņēmumi?

AtkļūdoÅ”anai arhÄ«vā ir pakeÅ”faili, kas ļauj izveidot žurnālu un pēc tam to parsēt, izmantojot, piemēram, Microsoft ziņojumu analizators.
Å is paroles filtrs izmanto notikumu izsekoÅ”anu operētājsistēmai Windows.

Å Ä« paroles filtra ETW nodroÅ”inātājs ir 07d83223-7594-4852-babc-784803fdf6c5. Piemēram, notikumu izsekoÅ”anu varat konfigurēt pēc Ŕādas atsāknÄ“Å”anas:
logman create trace autosessionPassFiltEx -o %SystemRoot%DebugPassFiltEx.etl -p "{07d83223-7594-4852-babc-784803fdf6c5}" 0xFFFFFFFF -ets

IzsekoÅ”ana sāksies pēc nākamās sistēmas atsāknÄ“Å”anas. Apstāties:
logman stop PassFiltEx -ets && logman delete autosessionPassFiltEx -ets
Visas Ŕīs komandas ir norādÄ«tas skriptos StartTracingAtBoot.cmd Šø StopTracingAtBoot.cmd.

Vienreizējai filtra darbÄ«bas pārbaudei varat izmantot StartTracing.cmd Šø StopTracing.cmd.
Lai ērti nolasÄ«tu Ŕī filtra atkļūdoÅ”anas izplÅ«des datus Microsoft ziņu analizators Ieteicams izmantot Ŕādus iestatÄ«jumus:

Kā aizliegt standarta paroles un likt visiem tevi ienīst

Kā aizliegt standarta paroles un likt visiem tevi ienīst

Pārtraucot reÄ£istrÄ“Å”anos un parsÄ“Å”anu Microsoft ziņu analizators viss izskatās apmēram Ŕādi:

Kā aizliegt standarta paroles un likt visiem tevi ienīst

Å eit jÅ«s varat redzēt, ka lietotājam tika mēģināts iestatÄ«t paroli - burvju vārds mums to saka SET atkļūdoÅ”anā. Un parole tika noraidÄ«ta, jo tā bija veidnes failā un vairāk nekā 30% atbilst ievadÄ«tajam tekstam.

Ja tiek veikts veiksmÄ«gs paroles maiņas mēģinājums, mēs redzam sekojoÅ”o:

Kā aizliegt standarta paroles un likt visiem tevi ienīst

Galalietotājam ir dažas neērtÄ«bas. Mēģinot mainÄ«t paroli, kas ir iekļauta veidņu faila sarakstā, ekrānā redzamais ziņojums neatŔķiras no standarta ziņojuma, ja paroles politika netiek nodota.

Kā aizliegt standarta paroles un likt visiem tevi ienīst

Tāpēc esiet gatavs zvaniem un saucieniem: "Es ievadīju paroli pareizi, bet tā nedarbojas."

Kopsavilkums.

Å Ä« bibliotēka ļauj aizliegt vienkārÅ”u vai standarta paroļu izmantoÅ”anu Active Directory domēnā. Teiksim "nē!" paroles, piemēram: "P@ssw0rd", "Qwerty123", "ADm1n098".
Jā, protams, lietotāji jÅ«s vēl vairāk iemÄ«lēs par to, ka rÅ«pējaties par savu droŔību un nepiecieÅ”amÄ«bu izdomāt prātam neaptveramas paroles. Un, iespējams, palielināsies zvanu un palÄ«dzÄ«bas pieprasÄ«jumu skaits ar paroli. Bet droŔībai ir sava cena.

Saites uz izmantotajiem resursiem:
Microsoft raksts par pielāgotu paroļu filtru bibliotēku: Paroles filtri
PassFiltEx: PassFiltEx
Izlaiduma saite: Jaunākās publikācijas
Paroļu saraksti:
DanielMiessler sarakstus: Saite.
Vārdu saraksts no gyengepass.com: Saite.
Vārdu saraksts no berzerk0 repo: Saite.
Microsoft ziņojumu analizators: Microsoft ziņojumu analizators.

Avots: www.habr.com

Pievieno komentāru