Descrizione dei protocolli di modifica della password in Windows

Questo articolo descrive i meccanismi per la modifica delle password in Windows.

Si applica a: Windows 10, Windows Server 2012 R2
Numero KB originale: 264480

Riepilogo

Windows usa molti meccanismi diversi per la modifica delle password. Questo articolo descrive questi meccanismi.

Ulteriori informazioni

I protocolli di modifica della password supportati sono:

1. Protocollo NetUserChangePassword
2. Protocollo NetUserSetInfo
3. Protocollo di modifica della password Kerberos (IETF Internet Draft Draft-ietf-cat-kerb-chg-password-02.txt) [porta 464]
4. Protocollo set-password Kerberos (IETF Internet Draft Draft-ietf-cat-kerberos-set-passwd-00.txt) [porta 464]
5. Attributo LDAP (Lightweight Directory Access Protocol) write-password (se si usa Secure Sockets Layer [SSL] a 128 bit)
6. XACT-SMB per la compatibilità pre-Microsoft Windows NT (LAN Manager)

Le operazioni di modifica della password richiedono che la password corrente dell'utente sia nota prima che la modifica sia consentita. Le operazioni set-password non hanno questo requisito, ma sono controllate dalle autorizzazioni Reimposta password per l'account.

Quando si usa LDAP (metodo 5), il controller di dominio e il client devono essere entrambi in grado di usare SSL a 128 bit per proteggere la connessione. Se il controller di dominio non è configurato per SSL o se le chiavi di lunghezza appropriata non sono disponibili, la scrittura della modifica della password viene negata.

Un controller di dominio Active Directory è in ascolto delle richieste di modifica della password in tutti questi protocolli.

Come indicato in precedenza in questo articolo, protocolli diversi vengono usati in circostanze diverse. Ad esempio:

• I client Kerberos interoperabili usano i protocolli Kerberos. I sistemi basati su UNIX con MIT Kerberos versione 5 1.1.1 possono modificare le password utente in un dominio basato su Windows usando il protocollo Kerberos change-password (metodo 3).
• Quando gli utenti modificano le proprie password premendo CTRL+ALT+CANC e quindi facendo clic su Cambia password, Windows NT fino a Windows 2003 viene usato il meccanismo NetUserChangePassword (metodo 1) se la destinazione è un dominio. Da Windows Vista in poi, il protocollo di modifica password Kerberos viene usato per gli account di dominio. Se la destinazione è un'area di autenticazione Kerberos, viene usato il protocollo di modifica-password Kerberos (metodo 3).
• Le richieste di modifica di una password dai computer che eseguono Microsoft Windows 95/Microsoft Windows 98 usano XACT-SMB (metodo 6).
• Un programma che usa il metodo ChangePassword nell'interfaccia IaDSUser di Active Directory Services Interface (ADSI) tenta prima di tutto di modificare la password usando LDAP (metodo 5) e quindi il protocollo NetUserChangePassword (metodo 1).
• Un programma che utilizza il metodo SetPassword sull'interfaccia ADSI IaDSUser tenta prima di modificare la password tramite LDAP (metodo 5), quindi il protocollo set-password Kerberos (metodo 4) e quindi il protocollo NetUserSetInfo (metodo 2).
• Lo snap-in Utenti e computer di Active Directory usa operazioni ADSI per l'impostazione delle password utente.