Како да ги забраните стандардните лозинки и сите да ве мразат

Човекот, како што знаете, е мрзливо суштество.
И уште повеќе кога станува збор за избор на силна лозинка.

Мислам дека секој администратор некогаш се соочил со проблемот да користи светли и стандардни лозинки. Овој феномен често се јавува меѓу повисоките ешалони на менаџментот на компанијата. Да, да, токму меѓу оние кои имаат пристап до тајни или комерцијални информации и би било крајно непожелно да се елиминираат последиците од протекување/хакирање на лозинка и дополнителни инциденти.

Во мојата пракса, имаше случај кога, во домен на Active Directory со овозможена политика за лозинка, сметководителите независно дојдоа до идејата дека лозинката како „Pas$w0rd1234“ совршено одговара на барањата на политиката. Последица на тоа беше широката употреба на оваа лозинка насекаде. Понекогаш тој се разликуваше само во неговиот сет на броеви.

Навистина сакав да можам не само да овозможам политика за лозинка и да дефинирам збир на знаци, туку и да филтрирам по речник. За да се исклучи можноста за користење на такви лозинки.

Мајкрософт љубезно не информира преку линкот дека секој кој знае правилно да држи компајлер, IDE во свои раце и знае правилно да изговара C++, може да ја состави библиотеката што му е потребна и да ја користи според сопственото разбирање. Твојот понизен слуга не е способен за ова, па морав да барам готово решение.

По долгочасовно пребарување, откриени се две опции за решавање на проблемот. Јас, се разбира, зборувам за решението OpenSource. На крајот на краиштата, постојат платени опции - од почеток до крај.

Опција број 1. OpenPasswordFilter

Нема заложби веќе околу 2 години, оригиналниот инсталатер работи одвреме-навреме, мора рачно да го коригирате. Создава своја посебна услуга. Кога ажурирате датотека со лозинка, DLL автоматски не ја зема променетата содржина; треба да ја прекинете услугата, да чекате истек на време, да ја уредите датотеката и да ја стартувате услугата.

Нема мраз!

Опција број 2. PassFiltEx

Проектот е активен, жив и нема потреба ниту да се клоца на студеното тело.
Инсталирањето на филтерот вклучува копирање на две датотеки и создавање неколку записи во регистарот. Датотеката со лозинка не е во заклучување, односно е достапна за уредување и, според идејата на авторот на проектот, едноставно се чита еднаш во минута. Исто така, користејќи дополнителни записи во регистарот, можете дополнително да го конфигурирате и самиот филтер, па дури и нијансите на политиката за лозинка.

Тоа.
Дадено: тест за домен на Active Directory.local
Windows 8.1 тест работна станица (не е важно за целта на проблемот)
филтер за лозинка PassFiltEx

• Преземете го најновото издание од врската PassFiltEx
• Копирај PassFiltEx.dll в C: WindowsSystem32 (Или %SystemRoot%System32).
  Копирај PassFiltExBlacklist.txt в C: WindowsSystem32 (Или %SystemRoot%System32). Доколку е потребно, го дополнуваме со наши шаблони
  
• Уредување на филијалата на регистарот: HKLMSYSTEMCcurrentControlSetControlLsa => Пакети за известување
  Додај PassFiltEx до крајот на листата. (Екстензијата не треба да се специфицира.) Целосната листа на пакети што се користат за скенирање ќе изгледа вака “rassfm scecli PassFiltEx".
  
• Рестартирајте го контролорот на доменот.
• Ја повторуваме горната постапка за сите контролери на домени.

Можете исто така да ги додадете следните записи во регистарот, што ви дава поголема флексибилност во користењето на овој филтер:

Поглавје: HKLMSOFTWAREPassFiltEx — се креира автоматски.

• HKLMSOFTWAREPassFiltExBlacklistИме на датотеката, REG_SZ, Стандардно: PassFiltExBlacklist.txt

  Црна листа Име на датотека — ви овозможува да наведете сопствена патека до датотека со шаблони за лозинки. Ако овој запис во регистарот е празен или не постои, тогаш се користи стандардната патека, која е - %SystemRoot%System32. Можете дури и да наведете мрежна патека, НО треба да запомните дека датотеката со шаблон мора да има јасни дозволи за читање, пишување, бришење, промена.

• HKLMSOFTWAREPassFiltExTokenPercentageOfPassword, REG_DWORD, Стандардно: 60

  TokenPercentageOfPassword — ви овозможува да го наведете процентот на маската во новата лозинка. Стандардната вредност е 60%. На пример, ако процентот на појава е 60 и стрингот starwars е во датотеката со шаблон, тогаш лозинката Starwars1! ќе биде одбиена додека лозинката starwars1!DarthVader88 ќе бидат прифатени бидејќи процентот на низата во лозинката е помал од 60%

• HKLMSOFTWAREPassFiltExRequireCharClasses, REG_DWORD, Стандардно: 0

  RequireCharClasses — ви овозможува да ги проширите барањата за лозинка во споредба со стандардните барања за сложеност на лозинката ActiveDirectory. Вградените барања за сложеност бараат 3 од 5-те можни различни типови на знаци: големи, мали, цифри, специјални и Unicode. Користејќи го овој запис во регистарот, можете да ги поставите барањата за сложеност на вашата лозинка. Вредноста што може да се наведе е збир на битови, од кои секоја е соодветна моќност од два.
  Односно, 1 = мала, 2 = голема, 4 = цифра, 8 = посебен знак и 16 = знак на Уникод.
  Значи, со вредност од 7, барањата би биле „Големиот букви“ И мали букви И цифра“, а со вредност 31 - „Голема буква И мала буква И цифра И посебен симбол И Уникод карактер."
  Можете дури и да комбинирате - 19 = „Голема буква И мала буква И Уникод карактер."

• 

Голем број правила при креирање датотека со шаблон:

• Шаблоните немаат чувствителност на букви. Затоа, внесувањето на датотеката војна на ѕвездите и Војна на ѕвездите ќе се утврди дека е иста вредност.
• Датотеката на црната листа повторно се чита на секои 60 секунди, така што можете лесно да ја уредувате; по една минута, новите податоци ќе се користат од филтерот.
• Во моментов нема поддршка за Уникод за совпаѓање на шаблони. Тоа е, можете да користите знаци на Уникод во лозинките, но филтерот нема да работи. Ова не е критично, бидејќи не сум видел корисници кои користат лозинки за Уникод.
• Препорачливо е да не се дозволуваат празни линии во датотеката со шаблон. Во дебагирањето потоа можете да видите грешка при вчитување податоци од датотека. Филтерот работи, но зошто дополнителни исклучоци?

За отстранување грешки, архивата содржи сериски датотеки што ви дозволуваат да креирате дневник и потоа да го анализирате користејќи, на пример, Мајкрософт за анализатор на пораки.
Овој филтер за лозинка користи Следење настани за Windows.

Обезбедувачот на ETW за овој филтер за лозинка е 07d83223-7594-4852-babc-784803fdf6c5. Така, на пример, можете да го конфигурирате следењето на настани по следното рестартирање:
logman create trace autosessionPassFiltEx -o %SystemRoot%DebugPassFiltEx.etl -p "{07d83223-7594-4852-babc-784803fdf6c5}" 0xFFFFFFFF -ets

Следењето ќе започне по следното рестартирање на системот. За да престанете:
logman stop PassFiltEx -ets && logman delete autosessionPassFiltEx -ets
Сите овие команди се наведени во скриптите StartTracingAtBoot.cmd и StopTracingAtBoot.cmd.

За еднократна проверка на работата на филтерот, можете да користите StartTracing.cmd и StopTracing.cmd.
Со цел лесно да ги прочитате издувните гасови за отстранување грешки на овој филтер Анализатор на пораки на Microsoft Се препорачува да ги користите следните поставки:

При запирање на најавување и парсирање Анализатор на пораки на Microsoft сè изгледа вака:

Овде можете да видите дека имало обид да се постави лозинка за корисникот - ова ни го кажува магичниот збор СЕТ во дебагирање. И лозинката беше одбиена поради присуството во датотеката со шаблон и повеќе од 30% совпаѓање во внесениот текст.

Ако се направи успешен обид за промена на лозинката, го гледаме следново:

Има некои непријатности за крајниот корисник. Кога се обидувате да промените лозинка што е вклучена во списокот со датотека со шаблони, пораката на екранот не се разликува од стандардната порака кога политиката за лозинка не е предадена.

Затоа, бидете подготвени за повици и извици: „Ја внесов лозинката правилно, но не работи“.

Резултатот.

Оваа библиотека ви овозможува да забраните употреба на едноставни или стандардни лозинки во домен на Active Directory. Да речеме "Не!" лозинки како: „P@ssw0rd“, „Qwerty123“, „ADm1n098“.
Да, се разбира, корисниците ќе ве сакаат уште повеќе затоа што се грижите за нивната безбедност и потребата да се изнајдат лозинки кои предизвикуваат памет. И, можеби, бројот на повици и барања за помош со вашата лозинка ќе се зголеми. Но, безбедноста има своја цена.

Врски до користените ресурси:
Напис на Мајкрософт во врска со библиотеката за прилагодени филтри за лозинки: Филтри за лозинка
PassFiltEx: PassFiltEx
Линк за издавање: Последното издание
Списоци со лозинки:
Даниел Мајслер наведува: Линк.
Список на зборови од слабеење. Линк.
Список со зборови од репото berzerk0: Линк.
Анализатор на пораки на Microsoft: Мајкрософт за анализатор на пораки.

Извор: www.habr.com