Cikk azonos�t�ja: 299656 - Utols� ellen�rz�s: 2007. december 3. - Verzi�sz�m: 9.2

Mik�nt akad�lyozhat� meg, hogy a Windows a jelsz� LAN-kezel� �ltal l�trehozott �zenetkivonat�t az Active Directory c�mt�rban �s a helyi SAM-adatb�zisokban t�rolja

A cikkben �rintett term�kek list�j�nak megtekint�se.

RendszertippA jelen cikk az �n �ltal haszn�ltt�l elt�r� oper�ci�s rendszerre vonatkozik. A cikk azon tartalmait, amelyek nem relev�nsak �nnek, letiltjuk.

Fontos! Ebben a cikkben a be�ll�t�sjegyz�k (kor�bbi nev�n rendszerle�r� adatb�zis) m�dos�t�s�val kapcsolatos tudnival�k olvashat�k. A be�ll�t�sjegyz�kr�l m�dos�t�sa el�tt k�sz�tsen biztons�gi m�solatot, illetve gy�z�dj�n meg arr�l, hogy sz�ks�g eset�n helyre tudja �ll�tani a be�ll�t�sjegyz�ket. A be�ll�t�sjegyz�k biztons�gi ment�s�r�l, vissza�ll�t�s�r�l �s m�dos�t�s�r�l a Microsoft Tud�sb�zis al�bbi cikk�ben t�j�koz�dhat:

256986� (http://support.microsoft.com/kb/256986/ ) A Microsoft Windows rendszerle�r� adatb�zis�nak ismertet�se

A lap tartalma

Az �sszes kibont�sa | Az �sszes �sszecsuk�sa

�sszefoglal�

A Windows a felhaszn�l�i fi�kok jelszavait nem egyszer� sz�veges form�tumban t�rolja, hanem k�t elt�r� jelsz�form�tumm�, ismertebb n�ven �kivonatokk� alak�tja �t azokat. A felhaszn�l�i jelszavak be�ll�t�sakor vagy m�dos�t�sakor a Windows a 15 karaktern�l r�videbb jelszavak eset�ben egyar�nt l�trehozza a jelsz� LAN Manager-kivonat�t (LM-kivonat) �s Windows NT-kivonat�t (NT-kivonat). Ezeket a kivonatokat a helyi Biztons�gi fi�kkezel� (SAM) szolg�ltat�s adatb�zis�ban vagy az Active Directory c�mt�rban t�rolja.

Az LM-kivonat az NT-kivonathoz k�pest gyenge titkos�t�snak sz�m�t, ez�rt kev�sb� v�dett a gyors jelsz�felt�r� programokkal szemben, ez�rt c�lszer� lehet megakad�lyozni azt, hogy a Windows LM-kivonatban t�rolja a jelsz�t. Ez a cikk ezt az elj�r�st ismerteti, amelynek eredm�nyek�ppen a Windows csak az er�sebb titkos�t�s� NT-kivonatban fogja t�rolni a jelsz�t.

A lap tetej�re

Tov�bbi inform�ci�

A Windows 2000- �s Windows Server 2003-alap� kiszolg�l�k k�pesek a Windows kor�bbi verzi�it futtat� sz�m�t�g�pekr�l kapcsol�d� felhaszn�l�k hiteles�t�s�re. A Windows 2000 rendszern�l kor�bbi verzi�j� Windows rendszerek azonban nem haszn�lnak Kerberos-hiteles�t�st. A visszamen�leges kompatibilit�s �rdek�ben a Windows 2000 �s a Windows Server 2003 t�mogatja az LM-, az NTLM- �s az NTLMv2-hiteles�t�st. Az NTLM, az NTLMv2 �s a Kerberos mind az NT-kivonatot haszn�lja, amelyet Unicode-kivonatnak is neveznek. Az LM-hiteles�t�si protokoll az LM-kivonatot haszn�lja.

Az LM-kivonat t�rol�s�t c�lszer� megakad�lyozni, kiv�ve, ha a visszamen�leges kompatibilit�s miatt sz�ks�g van r�. Ha a h�l�zathoz Windows 95-, Windows 98- vagy Macintosh-alap� �gyf�lsz�m�t�g�pek is csatlakoznak, a k�vetkez� probl�m�k jelentkezhetnek az LM-kivonatok tartom�nyban t�rt�n� t�rol�s�nak megakad�lyoz�sa eset�n:

Az LM-kivonattal nem rendelkez� felhaszn�l�k csak abban az esetben tudnak Windows 95- vagy Windows 98-alap�, kiszolg�l�k�nt m�k�d� sz�m�t�g�pekhez csatlakozni, ha a Windows 95 �s Windows 98 rendszerhez k�sz�lt C�mszolg�ltat�sok �gyf�lprogram telep�tve van a kiszolg�l�n.
A Windows 95- vagy Windows 98-alap� sz�m�t�g�pet haszn�l�kat csak abban az esetben tudj�k hiteles�teni a kiszolg�l�k a tartom�nyi fi�kjuk alapj�n, ha e sz�m�t�g�peken telep�tve van a C�mszolg�ltat�sok �gyf�lprogram.
A Windows 95- vagy Windows 98-alap� sz�m�t�g�pet haszn�l�kat a helyi fi�kjuk alapj�n csak abban az esetben tudj�k hiteles�teni az LM-kivonatok haszn�lat�t letilt� kiszolg�l�k, ha e sz�m�t�g�peken telep�tve van a C�mszolg�ltat�sok �gyf�lprogram.
El�fordulhat, hogy a felhaszn�l�k nem tudj�k m�dos�tani tartom�nyi jelszavukat Windows 95- vagy Windows 98-alap� sz�m�t�g�pr�l, illetve ilyen esetekben fi�kz�rol�si probl�m�k fell�phetnek.
El�fordulhat, hogy a Macintosh Outlook 2001-�gyfelek nem f�rnek hozz� a Microsoft Exchange-kiszolg�l�kon l�v� postafi�kjukhoz. Az Outlook programban a k�vetkez�h�z hasonl� hiba�zenet jelenhet meg:
A megadott bejelentkez�si hiteles�t� adatok nem megfelel�ek. Ellen�rizze, hogy helyes felhaszn�l�nevet �s tartom�nyt adott-e meg, majd �rja be ism�t a jelszav�t.

A Windows 95 �s Windows 98 rendszerhez k�sz�lt C�mt�rszolg�ltat�sok �gyf�lprogram beszerz�s�r�l a Microsoft Tud�sb�zis al�bbi cikk�ben t�j�koz�dhat:

323455� (http://support.microsoft.com/kb/323455/ ) A Windows 98 rendszer friss�t�se a C�mt�rszolg�ltat�sok �gyf�lprogrammal (El�fordulhat, hogy a hivatkoz�s r�szben vagy teljes eg�sz�ben angol nyelv� tartalomra mutat.)

A k�vetkez� m�dszerek b�rmelyik�vel megakad�lyozhatja, hogy a Windows a jelsz� LM-kivonat�t t�rolja.

A lap tetej�re

1. m�dszer: A NoLMHash h�zirend enged�lyez�se a csoporth�zirend haszn�lat�val

Ha le szeretn� tiltani a felhaszn�l�i jelszavak LM-kivonatainak a helyi sz�m�t�g�p SAM-adatb�zisaiban t�rt�n� t�rol�s�t a helyi csoporth�zirend haszn�lat�val (Windows XP vagy Windows Server 2003 rendszerben), illetve Windows Server 2003 Active Directory-k�rnyezetben az Active Directory csoporth�zirendj�nek haszn�lat�val (Windows Server 2003 rendszerben), k�vesse az al�bbi l�p�seket:

A Csoporth�ziren ablakban bontsa ki a Sz�m�t�g�p konfigur�ci�ja, a Windows be�ll�t�sai, a Biztons�gi be�ll�t�sok, �s v�g�l a Helyi h�zirendek csom�pontot, majd kattintson a Biztons�gi lehet�s�gek elemre.
Az el�rhet� h�zirendek list�j�ban kattintson dupl�n a H�l�zati biztons�g: A k�vetkez� jelsz�m�dos�t�skor ne t�rolja a LAN-kezel� �zenetkivonat�t elemre.
Kattintson az Enged�lyezve elemre, majd az OK gombra.

A lap tetej�re

2. m�dszer: A NoLMHash h�zirend enged�lyez�se a be�ll�t�sjegyz�k m�dos�t�s�val

Windows 2000 Service Pack 2 (SP2) �s �jabb rendszerben a k�vetkez� elj�r�sokkal akad�lyozhatja meg, hogy a Windows a k�vetkez� jelsz�m�dos�t�skor t�rolja a jelsz� LM-kivonat�t.

Windows 2000 SP2 �s �jabb rendszer eset�n

Figyelem! A Be�ll�t�sszerkeszt� helytelen haszn�lata komoly probl�m�khoz vezethet, amelyek az oper�ci�s rendszer �jratelep�t�s�t tehetik sz�ks�gess�. A Microsoft nem garant�lja az ilyen jelleg� probl�m�k megoldhat�s�g�t, ez�rt a Be�ll�t�sszerkeszt�t csak saj�t felel�ss�g�re haszn�lhatja.
Fontos: A

NoLMHash

be�ll�t�skulcsot �s annak m�k�d�s�t nem tesztelt�k �s nem dokument�lt�k, ez�rt nem tekinthet� biztons�gosnak a Windows 2000 SP2 rendszern�l kor�bbi rendszert haszn�l� munkak�rnyezetekben.

A kulcs Be�ll�t�sszerkeszt�vel t�rt�n� hozz�ad�s�hoz k�vesse az al�bbi l�p�seket:

Ind�tsa el a Be�ll�t�sszerkeszt�t (kor�bbi nev�n Rendszerle�r�adatb�zis-szerkeszt�) (Regedt32.exe).
Keresse meg, majd kattintson a k�vetkez� kulcsra:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
Kattintson a Szerkeszt�s men� Kulcs hozz�ad�sa parancs�ra, �s �rja be a NoLMHash �rt�ket, majd nyomja le az ENTER billenty�t.
L�pjen ki a Be�ll�t�sszerkeszt�b�l.
Ind�tsa �jra a sz�m�t�g�pet, majd m�dos�tsa a jelsz�t a be�ll�t�s aktiv�l�s�hoz.

Megjegyz�sek

Ezt a be�ll�t�skulcsot Windows 2000 Active Directory-k�rnyezetben az �sszes Windows 2000-alap� tartom�nyvez�rl�n m�dos�tani kell ahhoz, hogy a felhaszn�l�i jelszavak LM-kivonat�nak t�rol�sa le legyen tiltva.
Ez a be�ll�t�skulcs megakad�lyozza az �j LM-kivonatok l�trehoz�s�t a Windows 2000-alap� sz�m�t�g�peken, de nem t�rli a sz�m�t�g�peken t�rolt kor�bbi LM-kivonatok el�zm�nyeit. A sz�m�t�g�peken t�rolt megl�v� LM-kivonatokat a jelszavak m�dos�t�sakor t�vol�tja el a rendszer.

Windows XP �s Windows Server 2003 rendszer eset�n

Figyelem: A Be�ll�t�sszerkeszt� helytelen haszn�lata komoly probl�m�khoz vezethet, amelyek az oper�ci�s rendszer �jratelep�t�s�t tehetik sz�ks�gess�. A Microsoft nem garant�lja az ilyen jelleg� probl�m�k megoldhat�s�g�t, ez�rt a Be�ll�t�sszerkeszt�t csak saj�t felel�ss�g�re haszn�lhatja.Figyelem: A Be�ll�t�sszerkeszt� (Rendszerle�r�adatb�zis-szerkeszt�) helytelen haszn�lata az oper�ci�s rendszer �jratelep�t�s�t is sz�ks�gess� tehet�, komoly probl�m�kat is okozhat. A Microsoft nem garant�lja az ilyen jelleg� probl�m�k megoldhat�s�g�t, ez�rt a Be�ll�t�sszerkeszt�t csak saj�t felel�ss�g�re haszn�lhatja.
E duplasz��rt�k Be�ll�t�sszerkeszt�vel t�rt�n� hozz�ad�s�hoz k�vesse az al�bbi l�p�seket:

Kattintson a Start men� Futtat�s parancs�ra, �rja be a regedit parancsot, majd kattintson az OK gombra.
Keresse meg a k�vetkez� be�ll�t�skulcsot (kor�bbi nev�n rendszerle�r� kulcs), majd kattintson r�:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
Mutasson a Szerkeszt�s men� �j pontj�ra, majd kattintson a Duplasz� parancsra.
�rja be a NoLMHash �rt�ket, majd nyomja le az ENTER billenty�t.
Kattintson a Szerkeszt�s men� M�dos�t�s parancs�ra.
�rja be az 1 �rt�ket, majd kattintson az OK gombra.
Ind�tsa �jra a sz�m�t�g�pet, majd m�dos�tsa a jelsz�t.

Megjegyz�sek

A be�ll�t�sjegyz�k e m�dos�t�s�t Windows 2003 Active Directory-k�rnyezetben az �sszes Windows Server 2003-alap� tartom�nyvez�rl�n m�dos�tani kell ahhoz, hogy a felhaszn�l�i jelszavak LM-kivonat�nak t�rol�sa le legyen tiltva. A rendszergazd�k az Active Directory � Felhaszn�l�k �s sz�m�t�g�pek MMC-konzol haszn�lat�val helyezhetik �zembe ezt a h�zirendet a tartom�ny �sszes tartom�nyvez�rl�j�n �s sz�m�t�g�p�n az 1. m�dszer �tmutat�sa szerint (A NoLMHash h�zirend enged�lyez�se a csoporth�zirend haszn�lat�val).
Ezzel a duplasz��rt�kkel megakad�lyozhat� az �j LM-kivonatok l�trehoz�sa Windows XP- �s Windows Server 2003-alap� sz�m�t�g�peken. Az �sszes kor�bbi LM-kivonat el�zm�nye e l�p�sek v�grehajt�sa ut�n t�rl�dik.

Fontos: Ha l�trehoz egy egy�ni h�zirendsablont, amely Windows 2000, Windows XP �s Windows Server 2003 rendszerben is haszn�lhat�, a kulcsot �s az �rt�ket egyar�nt l�trehozhatja. Az �rt�k ugyanott tal�lhat�, ahol a kulcs, �s az 1 �rt�k letiltja az LM-kivonatok l�trehoz�s�t. A Windows 2000 rendszer Windows Server 2003 rendszerre t�rt�n� friss�t�se a kulcsot is friss�ti. C�lszer� azonban mindk�t be�ll�t�st megadni a be�ll�t�sjegyz�kben.

A lap tetej�re

3. m�dszer: Legal�bb 15 karaktert tartalmaz� jelsz� megad�sa

A legegyszer�bben �gy akad�lyozhatja meg, hogy a Windows t�rolja a jelszavak LM-kivonat�t, hogy legal�bb 15 karakter hossz�s�g� jelsz�t haszn�l. Ebben az esetben a Windows �ltal t�rolt LM-kivonat nem alkalmas a felhaszn�l� hiteles�t�s�re.

A lap tetej�re

A cikkben tal�lhat� inform�ci� a k�vetkez�(k)re vonatkozik:

Microsoft Windows Server 2003, Standard Edition (32-bit x86)
Microsoft Windows Server 2003, Enterprise Edition (32-bit x86)
Microsoft Windows Server 2003, 64-Bit Datacenter Edition
Microsoft Windows Server 2003, Enterprise x64 Edition
Microsoft Windows Server 2003, Datacenter Edition (32-bit x86)
Microsoft Windows XP 64-Bit Edition Version 2002
Microsoft Windows XP 64-Bit Edition Version 2003
Microsoft Windows XP Professional
Microsoft Windows XP Tablet PC Edition
Microsoft Windows 2000 Server SP4
Microsoft Windows 2000 Service Pack 3
Microsoft Windows 2000 Server SP2
Microsoft Windows 2000 Advanced Server SP4
Microsoft Windows 2000 Advanced Server SP3
Microsoft Windows 2000 Advanced Server SP2
Microsoft Windows 2000 Professional SP4
Microsoft Windows 2000 Service Pack 3
Microsoft Windows 2000 Professional SP2
Microsoft Windows 2000 Datacenter Server
Microsoft Windows 2000 Service Pack 3
Microsoft Windows 2000 Datacenter Server SP2
Microsoft Windows Small Business Server 2003 Premium Edition
Microsoft Windows Small Business Server 2003 Standard Edition

A lap tetej�re

kbinfo kbenv kbnetwork KB299656

A lap tetej�re

A Microsoft tud�sb�zisban szolg�ltatott inform�ci�kat "az adott �llapotban", b�rminem� szavatoss�g vagy garancia n�lk�l biztos�tjuk. A Microsoft kiz�r mindennem�, ak�r kifejezett, ak�r v�lelmezett szavatoss�got vagy garanci�t, ide�rtve a forgalomk�pess�gre �s az adott c�lra val� alkalmass�gra vonatkoz� szavatoss�got is. A Microsoft Corporation �s annak besz�ll�t�i semmilyen k�r�lm�nyek k�z�tt nem felel�sek semminem� k�r�rt, �gy a k�zvetlen, a k�zvetett, az �zleti haszon elmarad�s�b�l sz�rmaz� vagy speci�lis k�rok�rt, illetve a k�r k�vetkezm�nyek�nt felmer�l� k�lts�gek megt�r�t�s��rt, m�g abban az esetben sem, ha a Microsoft Corporationt vagy besz�ll�t�it az ilyen k�rok bek�vetkezt�nek lehet�s�g�re figyelmeztett�k. Egyes �llamok joga nem teszi lehet�v� bizonyos k�rok�rt a felel�ss�g kiz�r�s�t vagy korl�toz�s�t, ez�rt a fenti korl�toz�sok az �n eset�ben esetleg nem alkalmazhat�k.

This site in other countries/regions:

Mik�nt akad�lyozhat� meg, hogy a Windows a jelsz� LAN-kezel� �ltal l�trehozott �zenetkivonat�t az Active Directory c�mt�rban �s a helyi SAM-adatb�zisokban t�rolja

A lap tartalma

�sszefoglal�

Tov�bbi inform�ci�

1. m�dszer: A NoLMHash h�zirend enged�lyez�se a csoporth�zirend haszn�lat�val

2. m�dszer: A NoLMHash h�zirend enged�lyez�se a be�ll�t�sjegyz�k m�dos�t�s�val

Windows 2000 SP2 �s �jabb rendszer eset�n

Windows XP �s Windows Server 2003 rendszer eset�n

3. m�dszer: Legal�bb 15 karaktert tartalmaz� jelsz� megad�sa

A cikkben tal�lhat� inform�ci� a k�vetkez�(k)re vonatkozik:

Kulcsszavak:�

Visszajelz�s k�ld�se az inform�ci�r�l

Tov�bbi t�mogat�s

K�z�ss�g

Azonnali seg�ts�g

A cikk ford�t�sa

Kapcsol�d� t�mogat�k�zpontok