Windows Server 2003 Service Pack 1 modifica o comportamento de autenticação de rede do NTLM

Microsoft Windows Server 2003 Service Pack 1 (SP1) modifica o comportamento de autenticação de rede do NTLM. Após a instalação do Windows Server 2003 SP1, os usuários do domínio podem usar sua senha antiga para acessar a rede para uma hora após a senha é alterada. Componentes existentes que são projetados para usar o Kerberos para autenticação não são afetados por essa alteração.

Para suportar acesso à rede confiável para autenticação de rede NTLM em ambientes distribuídos, o Windows Server 2003 SP1 modifica o comportamento de autenticação NTLM rede da seguinte maneira:

• Depois que um usuário de domínio com êxito altera uma senha usando NTLM, a senha antiga ainda pode ser usada para acesso à rede para um período de tempo definíveis pelo usuário. Esse comportamento permite que contas, como contas de serviço, que estão conectadas vários computadores para acessar a rede enquanto se propaga a alteração de senha.
• A extensão da senha período de tempo de vida só se aplica a acesso à rede usando NTLM. Comportamento de logon interativo não é alterada. Esse comportamento não se aplica a contas que são hospedadas em servidores autônomos ou servidores membro. Somente os usuários do domínio são afetados por esse comportamento.
• O período de tempo de vida da senha antiga pode ser configurado pela edição do registro em um controlador de domínio. Nenhuma reinicialização é necessária para essa alteração do registro tenha efeito.

Como alterar o período de tempo de vida de uma senha antiga

importante Esta seção, método ou tarefa contém etapas que informam sobre como modificar o registro. No entanto, sérios problemas poderão ocorrer se você modificar o registro incorretamente. Por isso, certifique-se que você execute essas etapas cuidadosamente. Para proteção adicional, fazer backup do registro antes de modificá-lo. Em seguida, você pode restaurar o registro se ocorrer um problema. Para obter mais informações sobre como fazer backup e restaurar o registro, clique no número abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:

Para alterar o período de tempo de vida de uma senha antiga, adicione uma entrada DWORD chamado OldPasswordAllowedPeriod para a seguinte subchave do registro em um controlador de domínio: Para fazer isso, execute as seguintes etapas:

1. Clique em Iniciar , clique em Executar , digite regedit e, em seguida, clique em OK .
2. Localize e, em seguida, clique na seguinte subchave do Registro:
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
3. No menu Editar , aponte para novo e, em seguida, clique em Valor DWORD .
4. Digite OldPasswordAllowedPeriod como o nome do DWORD e pressione ENTER.
5. Clique com o botão direito do mouse OldPasswordAllowedPeriod e, em seguida, clique em Modificar .
6. Na caixa dados do valor , digite o valor em minutos que você deseja usar e, em seguida, clique em OK .
   
   Observação O período de tempo de vida é definido em minutos. Se esse valor do Registro não estiver definido, o padrão período de tempo de vida de uma senha antiga é 60 minutos.
7. Feche o Editor do Registro.
   
   Observação Essa configuração do Registro não exige uma reinicialização entrem em vigor.

Observação Esse comportamento não causa uma vulnerabilidade de segurança. Desde que apenas um usuário sabe as duas senhas, o usuário ainda segura é autenticado usando qualquer senha.

Se a senha do usuário é conhecida por ser comprometida, o administrador deve redefinir a senha para esse usuário. O administrador deve pedir ao usuário alterar a senha no próximo logon para invalidar a senha antiga, assim que possível.

Para redefinir a senha do usuário, execute estas etapas:

1. Início Active Directory Users and Computers.
2. Localize a conta de usuário cuja senha deve ser redefinida.
3. Clique com o botão direito do mouse o objeto de usuário e clique em Redefinir senha .
4. Digite a nova senha na caixa nova senha e na caixa Confirmar senha .
5. Clique para selecionar a caixa de seleção usuário deve alterar a senha no próximo logon e, em seguida, clique em OK .

Observação O comportamento descrito neste artigo ocorre apenas se a diretiva de senha efetiva nos controladores de domínio tem Aplicar histórico de senhas definida como um valor que especifica que dois ou mais senhas serão lembradas. A diretiva de senha deve ser definida no nível do domínio. Você pode determinar se a diretiva tenha entrado em vigor nos controladores de domínio usando o snap-in secpol.msc.