സ്റ്റാൻഡേർഡ് പാസ്‌വേഡുകൾ എങ്ങനെ നിരോധിക്കുകയും എല്ലാവരേയും നിങ്ങളെ വെറുക്കുകയും ചെയ്യും

മനുഷ്യൻ, നിങ്ങൾക്കറിയാവുന്നതുപോലെ, ഒരു മടിയനാണ്.
അതിലും കൂടുതൽ ശക്തമായ പാസ്‌വേഡ് തിരഞ്ഞെടുക്കുമ്പോൾ.

ലൈറ്റ്, സ്റ്റാൻഡേർഡ് പാസ്‌വേഡുകൾ ഉപയോഗിക്കുന്നതിൽ എല്ലാ അഡ്മിനിസ്ട്രേറ്ററും എപ്പോഴെങ്കിലും പ്രശ്നം നേരിട്ടിട്ടുണ്ടെന്ന് ഞാൻ കരുതുന്നു. ഈ പ്രതിഭാസം പലപ്പോഴും കമ്പനി മാനേജ്മെന്റിന്റെ ഉയർന്ന തലത്തിൽ സംഭവിക്കാറുണ്ട്. അതെ, അതെ, രഹസ്യമോ ​​വാണിജ്യപരമോ ആയ വിവരങ്ങളിലേക്ക് ആക്‌സസ് ഉള്ളവരിൽ, പാസ്‌വേഡ് ചോർച്ച/ഹാക്കിംഗ്, തുടർന്നുള്ള സംഭവങ്ങൾ എന്നിവയുടെ അനന്തരഫലങ്ങൾ ഇല്ലാതാക്കുന്നത് അങ്ങേയറ്റം അഭികാമ്യമല്ല.

എന്റെ പ്രയോഗത്തിൽ, പാസ്‌വേഡ് നയം പ്രവർത്തനക്ഷമമാക്കിയിട്ടുള്ള ഒരു ആക്റ്റീവ് ഡയറക്‌ടറി ഡൊമെയ്‌നിൽ, "Pas$w0rd1234" പോലൊരു പാസ്‌വേഡ് പോളിസി ആവശ്യകതകൾക്ക് തികച്ചും അനുയോജ്യമാണെന്ന ആശയത്തിലേക്ക് അക്കൗണ്ടന്റുമാർ സ്വതന്ത്രമായി എത്തിയ സന്ദർഭം ഉണ്ടായിരുന്നു. അതിന്റെ അനന്തരഫലം എല്ലായിടത്തും ഈ പാസ്‌വേഡിന്റെ വ്യാപകമായ ഉപയോഗമായിരുന്നു. ചിലപ്പോൾ അവൻ തന്റെ സംഖ്യകളിൽ മാത്രം വ്യത്യാസപ്പെട്ടിരുന്നു.

ഒരു പാസ്‌വേഡ് നയം പ്രവർത്തനക്ഷമമാക്കാനും പ്രതീക സെറ്റ് നിർവചിക്കാനും മാത്രമല്ല, നിഘണ്ടു പ്രകാരം ഫിൽട്ടർ ചെയ്യാനും ഞാൻ ശരിക്കും ആഗ്രഹിച്ചു. അത്തരം പാസ്‌വേഡുകൾ ഉപയോഗിക്കുന്നതിനുള്ള സാധ്യത ഒഴിവാക്കുന്നതിന്.

ഒരു കംപൈലർ, IDE എന്നിവ കൈയിൽ പിടിക്കാൻ അറിയാവുന്ന, C++ ശരിയായി ഉച്ചരിക്കാൻ അറിയുന്ന ഏതൊരാൾക്കും അവർക്ക് ആവശ്യമായ ലൈബ്രറി കംപൈൽ ചെയ്യാനും സ്വന്തം ധാരണയനുസരിച്ച് ഉപയോഗിക്കാനും കഴിയുമെന്ന് ലിങ്ക് വഴി Microsoft ദയവായി ഞങ്ങളെ അറിയിക്കുന്നു. നിങ്ങളുടെ എളിയ ദാസൻ ഇതിന് കഴിവില്ലാത്തതിനാൽ എനിക്ക് ഒരു റെഡിമെയ്ഡ് പരിഹാരം തേടേണ്ടിവന്നു.

ഒരു മണിക്കൂർ നീണ്ട തിരച്ചിലിനൊടുവിൽ പ്രശ്നം പരിഹരിക്കാനുള്ള രണ്ട് വഴികൾ കണ്ടെത്തി. ഞാൻ തീർച്ചയായും ഓപ്പൺ സോഴ്‌സ് സൊല്യൂഷനെക്കുറിച്ചാണ് സംസാരിക്കുന്നത്. എല്ലാത്തിനുമുപരി, പണമടച്ചുള്ള ഓപ്ഷനുകൾ ഉണ്ട് - തുടക്കം മുതൽ അവസാനം വരെ.

ഓപ്ഷൻ നമ്പർ 1. OpenPasswordFilter

ഇപ്പോൾ ഏകദേശം 2 വർഷമായി ഒരു കമ്മിറ്റും ഇല്ല. നേറ്റീവ് ഇൻസ്റ്റാളർ ഇടയ്ക്കിടെ പ്രവർത്തിക്കുന്നു, നിങ്ങൾ അത് സ്വമേധയാ ശരിയാക്കേണ്ടതുണ്ട്. അതിന്റേതായ പ്രത്യേക സേവനം സൃഷ്ടിക്കുന്നു. ഒരു പാസ്‌വേഡ് ഫയൽ അപ്‌ഡേറ്റ് ചെയ്യുമ്പോൾ, DLL സ്വപ്രേരിതമായി മാറിയ ഉള്ളടക്കം എടുക്കുന്നില്ല; നിങ്ങൾ സേവനം നിർത്തേണ്ടതുണ്ട്, സമയപരിധി കാത്തിരിക്കുക, ഫയൽ എഡിറ്റ് ചെയ്ത് സേവനം ആരംഭിക്കുക.

ഐസ് ഇല്ല!

ഓപ്ഷൻ നമ്പർ 2. പാസ്ഫിൽറ്റ്എക്സ്

പദ്ധതി സജീവമാണ്, സജീവമാണ്, തണുത്ത ശരീരത്തെ ചവിട്ടേണ്ട ആവശ്യമില്ല.
ഫിൽട്ടർ ഇൻസ്റ്റാൾ ചെയ്യുന്നത് രണ്ട് ഫയലുകൾ പകർത്തുകയും നിരവധി രജിസ്ട്രി എൻട്രികൾ സൃഷ്ടിക്കുകയും ചെയ്യുന്നു. പാസ്‌വേഡ് ഫയൽ ഒരു ലോക്കിലല്ല, അതായത്, ഇത് എഡിറ്റുചെയ്യാൻ ലഭ്യമാണ്, കൂടാതെ പ്രോജക്റ്റിന്റെ രചയിതാവിന്റെ ആശയം അനുസരിച്ച്, ഇത് മിനിറ്റിൽ ഒരിക്കൽ വായിക്കുന്നു. കൂടാതെ, അധിക രജിസ്ട്രി എൻട്രികൾ ഉപയോഗിച്ച്, നിങ്ങൾക്ക് ഫിൽട്ടറും പാസ്‌വേഡ് നയത്തിന്റെ സൂക്ഷ്മതകളും കൂടി കോൺഫിഗർ ചെയ്യാൻ കഴിയും.

ശരി, പിന്നെ.
നൽകിയിരിക്കുന്നത്: Active Directory domain test.local
വിൻഡോസ് 8.1 ടെസ്റ്റ് വർക്ക്സ്റ്റേഷൻ (പ്രശ്നത്തിന്റെ ഉദ്ദേശ്യത്തിന് പ്രധാനമല്ല)
പാസ്‌വേഡ് ഫിൽട്ടർ PassFiltEx

• ലിങ്കിൽ നിന്ന് ഏറ്റവും പുതിയ പതിപ്പ് ഡൗൺലോഡ് ചെയ്യുക പാസ്ഫിൽറ്റ്എക്സ്
• പകർത്തുക PassFiltEx.dll в സി: WindowsSystem32 (അല്ലെങ്കിൽ %SystemRoot%System32).
  പകർത്തുക PassFiltExBlacklist.txt в സി: WindowsSystem32 (അല്ലെങ്കിൽ %SystemRoot%System32). ആവശ്യമെങ്കിൽ, ഞങ്ങളുടെ സ്വന്തം ടെംപ്ലേറ്റുകൾ ഉപയോഗിച്ച് ഞങ്ങൾ ഇത് സപ്ലിമെന്റ് ചെയ്യുന്നു
  
• രജിസ്ട്രി ബ്രാഞ്ച് എഡിറ്റുചെയ്യുന്നു: HKLMSYSTEMCcurrentControlSetControlLsa => അറിയിപ്പ് പാക്കേജുകൾ
  ചേർക്കുക പാസ്ഫിൽറ്റ്എക്സ് പട്ടികയുടെ അവസാനം വരെ. (വിപുലീകരണം വ്യക്തമാക്കേണ്ടതില്ല.) സ്കാനിംഗിനായി ഉപയോഗിക്കുന്ന പാക്കേജുകളുടെ പൂർണ്ണമായ ലിസ്റ്റ് ഇതുപോലെ കാണപ്പെടും "rassfm secli PassFiltEx".
  
• ഡൊമെയ്ൻ കൺട്രോളർ റീബൂട്ട് ചെയ്യുക.
• എല്ലാ ഡൊമെയ്ൻ കൺട്രോളറുകൾക്കുമായി ഞങ്ങൾ മുകളിൽ പറഞ്ഞ നടപടിക്രമം ആവർത്തിക്കുന്നു.

നിങ്ങൾക്ക് ഇനിപ്പറയുന്ന രജിസ്ട്രി എൻട്രികൾ ചേർക്കാനും കഴിയും, ഇത് ഈ ഫിൽട്ടർ ഉപയോഗിക്കുന്നതിന് കൂടുതൽ വഴക്കം നൽകുന്നു:

അധ്യായം: HKLMSOFTWAREPassFiltEx — സ്വയമേവ സൃഷ്ടിക്കപ്പെടുന്നു.

• HKLMSOFTWAREPassFiltExBlacklistFileName, REG_SZ, ഡിഫോൾട്ട്: PassFiltExBlacklist.txt

  ബ്ലാക്ക്‌ലിസ്റ്റ് ഫയലിന്റെ പേര് — പാസ്‌വേഡ് ടെംപ്ലേറ്റുകളുള്ള ഒരു ഫയലിലേക്കുള്ള ഇഷ്‌ടാനുസൃത പാത്ത് വ്യക്തമാക്കാൻ നിങ്ങളെ അനുവദിക്കുന്നു. ഈ രജിസ്ട്രി എൻട്രി ശൂന്യമോ നിലവിലില്ലെങ്കിലോ, ഡിഫോൾട്ട് പാത്ത് ഉപയോഗിക്കുന്നു, അതായത് - %SystemRoot%System32. നിങ്ങൾക്ക് ഒരു നെറ്റ്‌വർക്ക് പാത്ത് പോലും വ്യക്തമാക്കാൻ കഴിയും, പക്ഷേ ടെംപ്ലേറ്റ് ഫയലിന് വായിക്കാനും എഴുതാനും ഇല്ലാതാക്കാനും മാറ്റാനുമുള്ള വ്യക്തമായ അനുമതികൾ ഉണ്ടായിരിക്കണമെന്ന് നിങ്ങൾ ഓർമ്മിക്കേണ്ടതുണ്ട്.

• HKLMSOFTWAREPassFiltExTokenPercentageOfPassword, REG_DWORD, ഡിഫോൾട്ട്: 60

  പാസ്‌വേഡിന്റെ ടോക്കൺ ശതമാനം — പുതിയ പാസ്‌വേഡിൽ മാസ്കിന്റെ ശതമാനം വ്യക്തമാക്കാൻ നിങ്ങളെ അനുവദിക്കുന്നു. സ്ഥിര മൂല്യം 60% ആണ്. ഉദാഹരണത്തിന്, സംഭവത്തിന്റെ ശതമാനം 60 ആണെങ്കിൽ, ടെംപ്ലേറ്റ് ഫയലിൽ സ്ട്രിംഗ് സ്റ്റാർവാർസ് ആണെങ്കിൽ, പാസ്‌വേഡ് Starwars1! പാസ്‌വേഡ് സമയത്ത് നിരസിക്കപ്പെടും starwars1!DarthVader88 പാസ്‌വേഡിലെ സ്ട്രിംഗിന്റെ ശതമാനം 60% ൽ കുറവായതിനാൽ അംഗീകരിക്കപ്പെടും

• HKLMSOFTWAREPassFiltExRequireCharClasses, REG_DWORD, ഡിഫോൾട്ട്: 0

  ചാർക്ലാസ്സുകൾ ആവശ്യമാണ് — സ്റ്റാൻഡേർഡ് ActiveDirectory പാസ്‌വേഡ് സങ്കീർണ്ണത ആവശ്യകതകളുമായി താരതമ്യപ്പെടുത്തുമ്പോൾ പാസ്‌വേഡ് ആവശ്യകതകൾ വികസിപ്പിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്നു. ബിൽറ്റ്-ഇൻ സങ്കീർണ്ണത ആവശ്യകതകൾക്ക് സാധ്യമായ 3 വ്യത്യസ്ത തരത്തിലുള്ള പ്രതീകങ്ങളിൽ 5 എണ്ണം ആവശ്യമാണ്: വലിയക്ഷരം, ചെറിയക്ഷരം, അക്കം, പ്രത്യേകം, യൂണികോഡ്. ഈ രജിസ്ട്രി എൻട്രി ഉപയോഗിച്ച്, നിങ്ങളുടെ പാസ്‌വേഡ് സങ്കീർണ്ണത ആവശ്യകതകൾ സജ്ജമാക്കാൻ കഴിയും. സൂചിപ്പിക്കാൻ കഴിയുന്ന മൂല്യം ഒരു കൂട്ടം ബിറ്റുകളാണ്, അവയിൽ ഓരോന്നും രണ്ടിന്റെ അനുബന്ധ ശക്തിയാണ്.
  അതായത്, 1 = ചെറിയക്ഷരം, 2 = വലിയക്ഷരം, 4 = അക്കം, 8 = പ്രത്യേക പ്രതീകം, 16 = യൂണികോഡ് പ്രതീകം.
  അതിനാൽ 7 മൂല്യമുള്ള ആവശ്യകതകൾ "അപ്പർ കേസ്" ആയിരിക്കും ഒപ്പം ചെറിയക്ഷരം ഒപ്പം അക്കം", കൂടാതെ 31 - "അപ്പർ കേസ് ഒപ്പം ചെറിയ കേസ് ഒപ്പം അക്കം ഒപ്പം പ്രത്യേക ചിഹ്നം ഒപ്പം യൂണികോഡ് പ്രതീകം."
  നിങ്ങൾക്ക് സംയോജിപ്പിക്കാൻ പോലും കഴിയും - 19 = “അപ്പർ കേസ് ഒപ്പം ചെറിയ കേസ് ഒപ്പം യൂണികോഡ് പ്രതീകം."

• 

ഒരു ടെംപ്ലേറ്റ് ഫയൽ സൃഷ്ടിക്കുമ്പോൾ നിരവധി നിയമങ്ങൾ:

• ടെംപ്ലേറ്റുകൾ കേസ് സെൻസിറ്റീവ് അല്ല. അതിനാൽ, ഫയൽ എൻട്രി സ്റ്റാർവാറുകൾ и സ്റ്റാർവാർസ് ഒരേ മൂല്യമാണെന്ന് നിർണ്ണയിക്കപ്പെടും.
• ബ്ലാക്ക്‌ലിസ്റ്റ് ഫയൽ ഓരോ 60 സെക്കൻഡിലും വീണ്ടും വായിക്കുന്നു, അതിനാൽ നിങ്ങൾക്കത് എളുപ്പത്തിൽ എഡിറ്റുചെയ്യാനാകും; ഒരു മിനിറ്റിനുശേഷം, പുതിയ ഡാറ്റ ഫിൽട്ടർ ഉപയോഗിക്കും.
• പാറ്റേൺ പൊരുത്തപ്പെടുത്തലിന് നിലവിൽ യൂണികോഡ് പിന്തുണയില്ല. അതായത്, നിങ്ങൾക്ക് പാസ്വേഡുകളിൽ യൂണികോഡ് പ്രതീകങ്ങൾ ഉപയോഗിക്കാം, പക്ഷേ ഫിൽട്ടർ പ്രവർത്തിക്കില്ല. ഇത് നിർണായകമല്ല, കാരണം യൂണികോഡ് പാസ്‌വേഡുകൾ ഉപയോഗിക്കുന്ന ഉപയോക്താക്കളെ ഞാൻ കണ്ടിട്ടില്ല.
• ടെംപ്ലേറ്റ് ഫയലിൽ ശൂന്യമായ വരികൾ അനുവദിക്കാതിരിക്കുന്നതാണ് ഉചിതം. ഒരു ഫയലിൽ നിന്ന് ഡാറ്റ ലോഡുചെയ്യുമ്പോൾ ഡീബഗ്ഗിൽ നിങ്ങൾക്ക് ഒരു പിശക് കാണാൻ കഴിയും. ഫിൽട്ടർ പ്രവർത്തിക്കുന്നു, പക്ഷേ എന്തിനാണ് അധിക ഒഴിവാക്കലുകൾ?

ഡീബഗ്ഗിംഗിനായി, ആർക്കൈവിൽ ബാച്ച് ഫയലുകൾ അടങ്ങിയിരിക്കുന്നു, അത് ഒരു ലോഗ് സൃഷ്‌ടിക്കാനും തുടർന്ന് അത് പാഴ്‌സ് ചെയ്യാനും നിങ്ങളെ അനുവദിക്കുന്നു, ഉദാഹരണത്തിന്, മൈക്രോസോഫ്റ്റ് മെസേജ് അനലൈസർ.
ഈ പാസ്‌വേഡ് ഫിൽട്ടർ വിൻഡോസിനായുള്ള ഇവന്റ് ട്രെയ്‌സിംഗ് ഉപയോഗിക്കുന്നു.

ഈ പാസ്‌വേഡ് ഫിൽട്ടറിന്റെ ETW ദാതാവാണ് 07d83223-7594-4852-babc-784803fdf6c5. അതിനാൽ, ഉദാഹരണത്തിന്, ഇനിപ്പറയുന്ന റീബൂട്ടിന് ശേഷം നിങ്ങൾക്ക് ഇവന്റ് ട്രെയ്‌സിംഗ് ക്രമീകരിക്കാൻ കഴിയും:
logman create trace autosessionPassFiltEx -o %SystemRoot%DebugPassFiltEx.etl -p "{07d83223-7594-4852-babc-784803fdf6c5}" 0xFFFFFFFF -ets

അടുത്ത സിസ്റ്റം റീബൂട്ടിന് ശേഷം ട്രേസിംഗ് ആരംഭിക്കും. നിർത്താൻ:
logman stop PassFiltEx -ets && logman delete autosessionPassFiltEx -ets
ഈ കമാൻഡുകളെല്ലാം സ്ക്രിപ്റ്റുകളിൽ വ്യക്തമാക്കിയിട്ടുണ്ട് StartTracingAtBoot.cmd и StopTracingAtBoot.cmd.

ഫിൽട്ടർ പ്രവർത്തനത്തിന്റെ ഒറ്റത്തവണ പരിശോധനയ്ക്കായി, നിങ്ങൾക്ക് ഉപയോഗിക്കാം StartTracing.cmd и StopTracing.cmd.
ഈ ഫിൽട്ടറിന്റെ ഡീബഗ് എക്‌സ്‌ഹോസ്റ്റ് സൗകര്യപ്രദമായി വായിക്കുന്നതിന് Microsoft മെസ്സേജ് അനലിസ്റ്റർ ഇനിപ്പറയുന്ന ക്രമീകരണങ്ങൾ ഉപയോഗിക്കാൻ ശുപാർശ ചെയ്യുന്നു:

ലോഗിൻ ചെയ്യുന്നതും പാഴ്‌സ് ചെയ്യുന്നതും നിർത്തുമ്പോൾ Microsoft മെസ്സേജ് അനലിസ്റ്റർ എല്ലാം ഇതുപോലെ കാണപ്പെടുന്നു:

ഉപയോക്താവിനായി ഒരു പാസ്‌വേഡ് സജ്ജീകരിക്കാനുള്ള ശ്രമം നടന്നതായി ഇവിടെ നിങ്ങൾക്ക് കാണാൻ കഴിയും - മാന്ത്രിക വാക്ക് ഇത് നമ്മോട് പറയുന്നു സെറ്റ് ഡീബഗ്ഗിൽ. ടെംപ്ലേറ്റ് ഫയലിൽ അതിന്റെ സാന്നിധ്യവും നൽകിയ വാചകത്തിൽ 30% ത്തിലധികം പൊരുത്തവും കാരണം പാസ്‌വേഡ് നിരസിക്കപ്പെട്ടു.

വിജയകരമായ ഒരു പാസ്‌വേഡ് മാറ്റാനുള്ള ശ്രമം നടത്തിയാൽ, ഞങ്ങൾ ഇനിപ്പറയുന്നവ കാണുന്നു:

അന്തിമ ഉപയോക്താവിന് ചില അസൗകര്യങ്ങൾ ഉണ്ട്. ടെംപ്ലേറ്റുകളുടെ ലിസ്റ്റിൽ ഉൾപ്പെടുത്തിയിരിക്കുന്ന ഒരു പാസ്‌വേഡ് മാറ്റാൻ നിങ്ങൾ ശ്രമിക്കുമ്പോൾ, പാസ്‌വേഡ് നയം പാസ്സാക്കാത്തപ്പോൾ സ്ക്രീനിലെ സന്ദേശം സാധാരണ സന്ദേശത്തിൽ നിന്ന് വ്യത്യസ്തമല്ല.

അതിനാൽ, കോളുകൾക്കും ആക്രോശങ്ങൾക്കും തയ്യാറാകുക: "ഞാൻ പാസ്‌വേഡ് ശരിയായി നൽകി, പക്ഷേ അത് പ്രവർത്തിക്കുന്നില്ല."

ഫലം.

ഒരു സജീവ ഡയറക്‌ടറി ഡൊമെയ്‌നിൽ ലളിതമോ സാധാരണമോ ആയ പാസ്‌വേഡുകൾ ഉപയോഗിക്കുന്നത് നിരോധിക്കാൻ ഈ ലൈബ്രറി നിങ്ങളെ അനുവദിക്കുന്നു. നമുക്ക് "ഇല്ല!" ഇതുപോലുള്ള പാസ്‌വേഡുകൾ: "P@ssw0rd", "Qwerty123", "ADm1n098".
അതെ, തീർച്ചയായും, ഉപയോക്താക്കൾ അവരുടെ സുരക്ഷയുടെ കാര്യത്തിലും മനസ്സിനെ ത്രസിപ്പിക്കുന്ന പാസ്‌വേഡുകൾ കൊണ്ടുവരേണ്ടതിന്റെ ആവശ്യകതയിലും നിങ്ങളെ കൂടുതൽ സ്‌നേഹിക്കും. കൂടാതെ, ഒരുപക്ഷേ, നിങ്ങളുടെ പാസ്‌വേഡ് ഉപയോഗിച്ച് സഹായത്തിനായുള്ള കോളുകളുടെയും അഭ്യർത്ഥനകളുടെയും എണ്ണം വർദ്ധിക്കും. എന്നാൽ സുരക്ഷയ്ക്ക് ഒരു വിലയുണ്ട്.

ഉപയോഗിച്ച ഉറവിടങ്ങളിലേക്കുള്ള ലിങ്കുകൾ:
ഒരു ഇഷ്‌ടാനുസൃത പാസ്‌വേഡ് ഫിൽട്ടർ ലൈബ്രറിയെക്കുറിച്ചുള്ള Microsoft ലേഖനം: പാസ്‌വേഡ് ഫിൽട്ടറുകൾ
PassFiltEx: പാസ്ഫിൽറ്റ്എക്സ്
റിലീസ് ലിങ്ക്: പുതിയ റിലീസ്
പാസ്‌വേഡ് ലിസ്റ്റുകൾ:
DanielMiessler ലിസ്റ്റുകൾ: ലിങ്ക്.
Weakpass.com-ൽ നിന്നുള്ള വേഡ്‌ലിസ്റ്റ്: ലിങ്ക്.
berzerk0 repo-ൽ നിന്നുള്ള വേഡ്‌ലിസ്റ്റ്: ലിങ്ക്.
മൈക്രോസോഫ്റ്റ് മെസേജ് അനലൈസർ: മൈക്രോസോഫ്റ്റ് മെസേജ് അനലൈസർ.

അവലംബം: www.habr.com