Hur man förbjuder standardlösenord och får alla att hata dig

Människan är, som bekant, ett lat inslag.
Särskilt när det gäller valet av ett säkert lösenord.

Jag tror att varje administratör någon gång har stött på problemet med att använda lätta och standardlösenord. Detta fenomen förekommer ofta bland högre chefer i företaget. Ja, just de som har tillgång till hemlig eller kommersiell information och det skulle vara mycket ogynnsamt att hantera konsekvenserna av en lösenords-läckage/hackning och efterföljande incidenter.

I min erfarenhet har det funnits en situation där personer inom ekonomiadministrationen i en Active Directory-domän med aktiverad lösenordspolicy själva kommit fram till idén att ett lösenord av typen „Pas$w0rd1234” uppfyller policykraven. Detta ledde till att detta lösenord användes överallt. Ibland skilde det sig bara i teckenuppsättning.

Det blev mycket frestande att inte bara kunna aktivera lösenordspolicyn och bestämma teckenuppsättningen, utan också filtrera med hjälp av en ordlista. För att utesluta användning av sådana typer av lösenord.

Microsoft meddelar oss vänligt via en länk att den som kan hantera en kompilator, IDE och korrekt uttala C++ kan själv kompilera och använda det nödvändiga biblioteket efter eget tycke. Din ödmjuka tjänare kan inte göra detta, så jag var tvungen att leta efter en färdig lösning.

Efter en lång timmes sökande dök två alternativ för att lösa problemet upp. Jag pratar naturligtvis om OpenSource-lösningen. För det finns också betalda alternativ — från och till.

Alternativ nr 1. OpenPasswordFilter

Det har inte kommit några commits på över 2 år. Den inbyggda installatören fungerar sporadiskt, man får justera den för hand. Den skapar en separat tjänst. Vid uppdatering av lösenordsfilen fångar DLL:en inte automatiskt den ändrade informationen, man måste stoppa tjänsten, vänta på timeout, redigera filen och starta tjänsten igen.

Inte bra!

Alternativ nr 2. PassFiltEx

Projektet är aktivt, lever och det behövs inte ens en spark i sidan.
Installationen av filtret innebär att kopiera två filer och skapa flera registerposter. Lösenordsfilen ligger inte lokalt, det vill säga - den är tillgänglig för redigering och, enligt projektets skapare, läses den helt enkelt en gång per minut. Dessutom kan ytterligare registerposter användas för att göra ytterligare inställningar både av filtret självt och även av detaljer kring lösenordspolicyn.

Så.
Givet: domänen Active Directory test.local
testarbetsstation Windows 8.1 (för uppgiftens villkor - oväsentlig)
lösenordfilter PassFiltEx

• Ladda ner den senaste utgåvan via länken PassFiltEx
• Kopiera PassFiltEx.dll på C:WindowsSystem32 (eller %SystemRoot%System32).
  Kopiera PassFiltExBlacklist.txt på C:WindowsSystem32 (eller %SystemRoot%System32). Vid behov kompletterar vi med våra egna mallar.
  
• Redigera registergrenen: HKLMSYSTEMCurrentControlSetControlLsa => Notification Packages
  Lägg till PassFiltEx i slutet av listan. (Förlängningen behöver inte anges.) Den fullständiga listan över paket som används för verifiering kommer att se ut på följande sätt «rassfm scecli PassFiltEx«.
  
• Starta om domänkontrollern.
• Upprepa den ovan angivna proceduren för alla domänkontrollanter.

Det går också att lägga till följande registerposter, vilket ger större flexibilitet vid användning av detta filter:

Avsnitt: HKLMSOFTWAREPassFiltEx — skapas automatiskt.

• HKLMSOFTWAREPassFiltExBlacklistFileName, REG_SZ, Standard: PassFiltExBlacklist.txt

  BlacklistFileName — gör det möjligt att ange en anpassad sökväg till filen med mallar för lösenord. Om denna registerpost har ett tomt värde eller inte existerar, används sökvägen som standard, nämligen — %SystemRoot%System32. Det går till och med att ange en nätverksväg, MEN man måste komma ihåg att filen för mallarna måste ha tydliga rättigheter för läsning, skrivning, borttagning, och ändringar.

• HKLMSOFTWAREPassFiltExTokenPercentageOfPassword, REG_DWORD, Standard: 60

  TokenPercentageOfPassword — gör det möjligt att ange procentandelen av masken i det nya lösenordet. Som standard är värdet 60%. Till exempel, om den angivna procentandelen är 60 och det finns en rad i mallfilen som heter starwars, då avvisas lösenordet Starwars1! men lösenordet starwars1!DarthVader88 accepteras, eftersom procentandelen av strängen i lösenordet är mindre än 60%.

• HKLMSOFTWAREPassFiltExRequireCharClasses, REG_DWORD, Standard: 0

  RequireCharClasses — gör det möjligt att utöka lösenordskrav jämfört med standardkraven för lösenordskomplexitet i Active Directory. Inbyggda krav på komplexitet kräver 3 av 5 möjliga olika typer av tecken: Versaler, gemener, siffror, specialtecken och Unicode. Med denna registerpost kan du ställa in dina egna krav på lösenordskomplexitet. Det värde som kan anges är ett bitmönster, där varje bit är en motsvarande potentiell värde av två.
  Detta betyder alltså — 1 = gemen, 2 = versal, 4 = siffra, 8 = specialtecken, och 16 = Unicode-tecken.
  Således, med ett värde av 7 kommer kraven att vara “Versal OCH gemen OCH siffra”, och med ett värde av 31 — “Versal OCH gemen OCH siffra OCH specialtecken OCH Unicode-tecken”.
  Man kan även kombinera — 19 = “Versal OCH gemen OCH Unicode-tecken”.

• 

En uppsättning regler för att skapa mönsterfiler:

• Mönster är skiftlägesokänsliga. Därför kommer posten i filen starwars och StarWarS att definieras som samma värde.
• Svartlistan läses om var 60:e sekund, så man kan editerar den i lugn och ro, efter en minut kommer de nya uppgifterna att användas av filtret.
• För närvarande finns det inget stöd för Unicode för mönsterkontroll. Det betyder att Unicode-tecken kan användas i lösenord, men filtret kommer inte att fungera. Detta är inte kritiskt, eftersom jag inte har sett användare som använder lösenord i Unicode.
• Det är önskvärt att undvika tomma rader i mönsterfilen. I debuggningen visas ett fel när data laddas från filen. Filtret fungerar, men varför skapa onödiga undantag?

För debuggningsändamål finns det batchfiler i arkivet som gör att du kan skapa en logg och sedan analysera den med hjälp av till exempel Microsoft Message Analyzer.
Detta lösenordsfilter använder Event Tracing for Windows.

ETW-leverantören för detta lösenordsfilter är 07d83223-7594-4852-babc-784803fdf6c5. Så, till exempel, kan du ställa in händelsespårning efter nästa omstart:
logman create trace autosessionPassFiltEx -o %SystemRootbugPassFiltEx.etl -p "{07d83223-7594-4852-babc-784803fdf6c5}" 0xFFFFFFFF -ets

Spårningen kommer att starta efter nästa omstart av systemet. För att stoppa:
logman stop PassFiltEx -ets && logman delete autosessionPassFiltEx -ets
Alla dessa kommandon finns angivna i skripten StartTracingAtBoot.cmd och StopTracingAtBoot.cmd.

För en engångskontroll av filtret kan du använda StartTracing.cmd och StopTracing.cmd.
För att enkelt läsa debuggutdata för denna filter i Microsoft Message Analyzer rekommenderas följande inställningar:

Vid stopp av loggning och analys i Microsoft Message Analyzer ser det hela ungefär ut så här:

Här kan man se att det gjordes ett försök att ställa in ett lösenord för användaren – detta indikeras av det magiska ordet SET i debbugen. Och lösenordet avslogs på grund av att det finns i mallen och mer än 30% överensstämmer med den inmatade texten.

Vid ett lyckat försök att ändra lösenordet ser vi följande:

Det finns en viss oönskad situation för slutkunden. När man försöker ändra ett lösenord som finns med i mallen, är meddelandet på skärmen inte mer intelligent och insiktsfullt än det standardmeddelande som visas vid misslyckande av lösenordspolicyn.

Så var beredd på samtal och rop: "Jag angav lösenordet på rätt sätt, men det fungerar inte."

Slutsats.

Detta bibliotek tillåter att förbjuda användningen av enkla eller standardlösningar i Active Directory-domänen. Säg "Nej!" till lösenord som: "P@ssw0rd", "Qwerty123", "ADm1n098".
Ja, utan tvekan kommer användarna att tycka om er ännu mer för denna omtanke om deras säkerhet och behovet av att komma på komplexa lösenord. Och kanske kommer antalet samtal och hjälpbehov för lösenord att öka hos er. Men säkerhet kostar.

Referenser till använda resurser:
Artikel från Microsoft angående den anpassade lösenordsfilterbiblioteket: Password Filters
PassFiltEx: PassFiltEx
Länk till release: Latest Release
Lösenordslistor:
DanielMiessler lists: Länk.
Wordlist från weakpass.com: Länk.
Wordlist från berzerk0 repo: Länk.
Microsoft Message Analyzer: Microsoft Message Analyzer.

Källa: habr.com