डीफॉल्ट पासवर्ड कसे प्रतिबंधित करावे आणि प्रत्येकाला तुमचा तिरस्कार कसा करावा

माणूस, जसे तुम्हाला माहिती आहे, एक आळशी प्राणी आहे.
आणि त्याहूनही अधिक म्हणजे जेव्हा सशक्त पासवर्ड निवडण्याची वेळ येते.

मला वाटते की प्रत्येक प्रशासकाला हलके आणि मानक संकेतशब्द वापरण्याच्या समस्येचा सामना करावा लागला आहे. ही घटना अनेकदा कंपनी व्यवस्थापनाच्या वरच्या वर्गांमध्ये आढळते. होय, होय, तंतोतंत त्यांच्यापैकी ज्यांच्याकडे गुप्त किंवा व्यावसायिक माहितीचा प्रवेश आहे आणि पासवर्ड लीक/हॅकिंग आणि पुढील घटनांचे परिणाम दूर करणे अत्यंत अवांछनीय असेल.

माझ्या प्रॅक्टिसमध्ये, अशी एक घटना घडली जेव्हा, पासवर्ड पॉलिसी सक्षम असलेल्या सक्रिय निर्देशिका डोमेनमध्ये, लेखापालांना स्वतंत्रपणे असा विचार आला की “Pas$w0rd1234” सारखा पासवर्ड पॉलिसीच्या आवश्यकता पूर्ण करतो. याचा परिणाम सर्वत्र या पासवर्डचा मोठ्या प्रमाणावर वापर झाला. काहीवेळा तो फक्त त्याच्या संख्येच्या संचामध्ये भिन्न होता.

मला खरोखरच पासवर्ड पॉलिसी सक्षम करण्यास आणि वर्ण संच परिभाषित करण्यास सक्षम व्हायचे नाही तर शब्दकोशानुसार फिल्टर देखील करायचे होते. असे पासवर्ड वापरण्याची शक्यता वगळण्यासाठी.

मायक्रोसॉफ्ट आम्हाला लिंकद्वारे कळवते की ज्याला कंपाइलर, IDE योग्यरित्या हातात कसे धरायचे आणि C++ चा उच्चार योग्यरित्या कसा करायचा हे माहित आहे, तो त्यांना आवश्यक असलेली लायब्ररी संकलित करू शकतो आणि त्यांच्या स्वतःच्या समजुतीनुसार त्याचा वापर करू शकतो. तुमचा नम्र सेवक हे सक्षम नाही, म्हणून मला तयार उपाय शोधावा लागला.

तासाभराच्या शोधानंतर समस्या सोडवण्याचे दोन पर्याय समोर आले. मी अर्थातच ओपनसोर्स सोल्यूशनबद्दल बोलत आहे. शेवटी, सशुल्क पर्याय आहेत - सुरुवातीपासून शेवटपर्यंत.

पर्याय क्रमांक 1. पासवर्डफिल्टर उघडा

आता सुमारे 2 वर्षांपासून कोणतीही कमिट केलेली नाही. नेटिव्ह इंस्टॉलर प्रत्येक वेळी कार्य करते, तुम्हाला ते व्यक्तिचलितपणे दुरुस्त करावे लागेल. स्वतःची स्वतंत्र सेवा तयार करते. पासवर्ड फाइल अपडेट करताना, DLL बदललेली सामग्री आपोआप उचलत नाही; तुम्हाला सेवा थांबवावी लागेल, कालबाह्य प्रतीक्षा करावी लागेल, फाइल संपादित करावी लागेल आणि सेवा सुरू करावी लागेल.

बर्फ नाही!

पर्याय क्रमांक 2. PassFiltEx

प्रकल्प सक्रिय, जिवंत आहे आणि थंड शरीराला लाथ मारण्याची गरज नाही.
फिल्टर स्थापित करताना दोन फायली कॉपी करणे आणि अनेक नोंदणी नोंदी तयार करणे समाविष्ट आहे. पासवर्ड फाइल लॉकमध्ये नाही, म्हणजेच ती संपादनासाठी उपलब्ध आहे आणि प्रकल्पाच्या लेखकाच्या कल्पनेनुसार, ती फक्त मिनिटातून एकदा वाचली जाते. तसेच, अतिरिक्त रेजिस्ट्री एंट्री वापरून, तुम्ही स्वतः फिल्टर आणि अगदी पासवर्ड पॉलिसीचे बारकावे दोन्ही कॉन्फिगर करू शकता.

तर
दिले: सक्रिय निर्देशिका डोमेन test.local
Windows 8.1 चाचणी वर्कस्टेशन (समस्येच्या उद्देशाने महत्त्वाचे नाही)
पासवर्ड फिल्टर PassFiltEx

• दुव्यावरून नवीनतम प्रकाशन डाउनलोड करा PassFiltEx
• कॉपी करा PassFiltEx.dll в सी: विंडोज सिस्टम एक्सएमएक्स (किंवा %सिस्टमरूट%सिस्टम32).
  कॉपी करा PassFiltExBlacklist.txt в सी: विंडोज सिस्टम एक्सएमएक्स (किंवा %सिस्टमरूट%सिस्टम32). आवश्यक असल्यास, आम्ही ते आमच्या स्वतःच्या टेम्पलेट्ससह पूरक करतो
  
• नोंदणी शाखा संपादित करणे: HKLMSYSTECurrentControlSetControlLsa => सूचना पॅकेजेस
  जोडा PassFiltEx सूचीच्या शेवटी. (विस्तार निर्दिष्ट करणे आवश्यक नाही.) स्कॅनिंगसाठी वापरल्या जाणार्‍या पॅकेजेसची संपूर्ण यादी अशी दिसेल “rassfm scecli PassFiltEx".
  
• डोमेन कंट्रोलर रीबूट करा.
• आम्ही सर्व डोमेन नियंत्रकांसाठी वरील प्रक्रिया पुन्हा करतो.

तुम्ही खालील नोंदणी नोंदी देखील जोडू शकता, जे तुम्हाला हे फिल्टर वापरण्यात अधिक लवचिकता देते:

धडा: HKLMSOFTWAREPassFiltEx - आपोआप तयार होते.

• HKLMSOFTWAREPassFiltExBlacklistFileName, REG_SZ, डीफॉल्ट: PassFiltExBlacklist.txt

  BlacklistFileName — तुम्हाला पासवर्ड टेम्प्लेटसह फाईलचा सानुकूल मार्ग निर्दिष्ट करण्यास अनुमती देते. जर ही नोंदणी एंट्री रिक्त असेल किंवा अस्तित्वात नसेल, तर डीफॉल्ट मार्ग वापरला जातो, जो आहे - %सिस्टमरूट%सिस्टम32. आपण नेटवर्क पथ देखील निर्दिष्ट करू शकता, परंतु आपल्याला हे लक्षात ठेवणे आवश्यक आहे की टेम्पलेट फाईलमध्ये वाचणे, लिहिणे, हटविणे, बदलणे यासाठी स्पष्ट परवानग्या असणे आवश्यक आहे.

• HKLMSOFTWAREPassFiltExTokenPercentageOfPassword, REG_DWORD, डीफॉल्ट: 60

  TokenPercentageOfPassword — तुम्हाला नवीन पासवर्डमध्ये मास्कची टक्केवारी निर्दिष्ट करण्यास अनुमती देते. डीफॉल्ट मूल्य 60% आहे. उदाहरणार्थ, जर टक्केवारीची घटना 60 असेल आणि स्ट्रिंग स्टारवॉर्स टेम्पलेट फाइलमध्ये असेल, तर पासवर्ड Starwars1! पासवर्ड असताना नाकारले जाईल starwars1!DarthVader88 स्वीकारले जाईल कारण पासवर्डमधील स्ट्रिंगची टक्केवारी 60% पेक्षा कमी आहे

• HKLMSOFTWAREPassFiltExRequireCharClasses, REG_DWORD, डीफॉल्ट: 0

  CharClasses आवश्यक आहे — तुम्हाला मानक ActiveDirectory पासवर्ड जटिलता आवश्यकतांच्या तुलनेत पासवर्ड आवश्यकता विस्तृत करण्यास अनुमती देते. बिल्ट-इन जटिलता आवश्यकतांसाठी 3 संभाव्य विविध प्रकारच्या वर्णांपैकी 5 आवश्यक आहेत: अप्परकेस, लोअरकेस, अंक, विशेष आणि युनिकोड. या नोंदणी एंट्रीचा वापर करून, तुम्ही तुमची पासवर्ड जटिलता आवश्यकता सेट करू शकता. जे मूल्य निर्दिष्ट केले जाऊ शकते ते बिट्सचा एक संच आहे, ज्यापैकी प्रत्येक दोनची परस्पर शक्ती आहे.
  म्हणजेच, 1 = लोअरकेस, 2 = अप्परकेस, 4 = अंक, 8 = विशेष वर्ण आणि 16 = युनिकोड वर्ण.
  तर 7 च्या मूल्यासह आवश्यकता "अपर केस" असेल आणि लोअरकेस आणि अंक", आणि 31 च्या मूल्यासह - "अप्पर केस आणि लोअर केस आणि अंक आणि विशेष चिन्ह आणि युनिकोड वर्ण."
  तुम्ही एकत्र करू शकता - 19 = “अपर केस आणि लोअर केस आणि युनिकोड वर्ण."

• 

टेम्पलेट फाइल तयार करताना अनेक नियम:

• टेम्पलेट केस असंवेदनशील आहेत. त्यामुळे, फाइल नोंद स्टार वॉर्स и स्टार वॉर्स समान मूल्य असल्याचे निर्धारित केले जाईल.
• ब्लॅकलिस्ट फाइल प्रत्येक 60 सेकंदांनी पुन्हा वाचली जाते, त्यामुळे तुम्ही ती सहज संपादित करू शकता; एका मिनिटानंतर, फिल्टरद्वारे नवीन डेटा वापरला जाईल.
• पॅटर्न मॅचिंगसाठी सध्या युनिकोड सपोर्ट नाही. म्हणजेच, तुम्ही पासवर्डमध्ये युनिकोड वर्ण वापरू शकता, परंतु फिल्टर कार्य करणार नाही. हे गंभीर नाही, कारण मी युनिकोड पासवर्ड वापरणारे वापरकर्ते पाहिले नाहीत.
• टेम्प्लेट फाईलमध्ये रिकाम्या ओळींना परवानगी देऊ नये असा सल्ला दिला जातो. डीबगमध्ये तुम्ही फाइलमधून डेटा लोड करताना त्रुटी पाहू शकता. फिल्टर कार्य करते, परंतु अतिरिक्त अपवाद का?

डीबगिंगसाठी, आर्काइव्हमध्ये बॅच फाइल्स असतात ज्या तुम्हाला लॉग तयार करण्यास आणि नंतर ते वापरून विश्लेषित करण्याची परवानगी देतात, उदाहरणार्थ, मायक्रोसॉफ्ट संदेश विश्लेषक.
हा पासवर्ड फिल्टर विंडोजसाठी इव्हेंट ट्रेसिंग वापरतो.

या पासवर्ड फिल्टरसाठी ETW प्रदाता आहे 07d83223-7594-4852-babc-784803fdf6c5. म्हणून, उदाहरणार्थ, तुम्ही खालील रीबूट केल्यानंतर इव्हेंट ट्रेसिंग कॉन्फिगर करू शकता:
logman create trace autosessionPassFiltEx -o %SystemRoot%DebugPassFiltEx.etl -p "{07d83223-7594-4852-babc-784803fdf6c5}" 0xFFFFFFFF -ets

पुढील सिस्टम रीबूट केल्यानंतर ट्रेसिंग सुरू होईल. थांबण्यासाठी:
logman stop PassFiltEx -ets && logman delete autosessionPassFiltEx -ets
या सर्व आज्ञा स्क्रिप्टमध्ये नमूद केल्या आहेत StartTracingAtBoot.cmd и StopTracingAtBoot.cmd.

फिल्टर ऑपरेशनच्या एक-वेळच्या तपासणीसाठी, आपण वापरू शकता StartTracing.cmd и StopTracing.cmd.
मध्ये या फिल्टरचे डीबग एक्झॉस्ट सोयीस्करपणे वाचण्यासाठी मायक्रोसॉफ्ट मेसेज अॅनालिजर खालील सेटिंग्ज वापरण्याची शिफारस केली जाते:

लॉगिंग आणि पार्सिंग थांबवताना मायक्रोसॉफ्ट मेसेज अॅनालिजर सर्व काही असे दिसते:

येथे आपण पाहू शकता की वापरकर्त्यासाठी संकेतशब्द सेट करण्याचा प्रयत्न केला गेला होता - जादूचा शब्द आम्हाला हे सांगतो सेट डीबग मध्ये. आणि टेम्प्लेट फाईलमध्ये त्याच्या उपस्थितीमुळे आणि प्रविष्ट केलेल्या मजकुरात 30% पेक्षा जास्त जुळल्यामुळे पासवर्ड नाकारण्यात आला.

पासवर्ड बदलण्याचा यशस्वी प्रयत्न केल्यास, आम्हाला पुढील गोष्टी दिसतात:

अंतिम वापरकर्त्यासाठी काही गैरसोय आहे. जेव्हा तुम्ही टेम्प्लेट फाइलच्या सूचीमध्ये समाविष्ट असलेला पासवर्ड बदलण्याचा प्रयत्न करता, तेव्हा पासवर्ड पॉलिसी पास होत नाही तेव्हा स्क्रीनवरील संदेश मानक संदेशापेक्षा वेगळा नसतो.

म्हणून, कॉल आणि ओरडण्यासाठी तयार रहा: "मी पासवर्ड योग्यरित्या प्रविष्ट केला आहे, परंतु तो कार्य करत नाही."

निकाल.

हे लायब्ररी तुम्हाला अॅक्टिव्ह डिरेक्ट्री डोमेनमध्ये साधे किंवा मानक पासवर्डचा वापर प्रतिबंधित करण्यास अनुमती देते. चला "नाही!" पासवर्ड जसे: “P@ssw0rd”, “Qwerty123”, “ADm1n098”.
होय, अर्थातच, वापरकर्त्यांना त्यांच्या सुरक्षिततेची काळजी घेतल्याबद्दल आणि मनाला आनंद देणारे संकेतशब्द तयार करण्याची गरज असल्यामुळे ते तुमच्यावर अधिक प्रेम करतील. आणि, कदाचित, आपल्या पासवर्डसह मदतीसाठी कॉल आणि विनंत्यांची संख्या वाढेल. परंतु सुरक्षा किंमतीला येते.

वापरलेल्या संसाधनांचे दुवे:
सानुकूल पासवर्ड फिल्टर लायब्ररी संबंधित Microsoft लेख: पासवर्ड फिल्टर्स
PassFiltEx: PassFiltEx
रिलीझ लिंक: नवीनतम प्रकाशन
पासवर्ड याद्या:
डॅनियलमिस्लर सूची: दुवा
weakpass.com वरून शब्दसूची: दुवा
berzerk0 repo मधील शब्दसूची: दुवा
मायक्रोसॉफ्ट मेसेज विश्लेषक: मायक्रोसॉफ्ट संदेश विश्लेषक.

स्त्रोत: www.habr.com