Проверка и прилагане на минимална дължина на паролата за определени версии на Windows

Резюме

Windows 10 актуализации, издадени на 18 август 2020 г., добавя поддръжка за следното:

• Проверка на събития, за да определите дали приложенията и услугите поддържат 15 знака или по-дълги пароли.

• Прилагане на минимални дължини на паролите от 15 знака или повече на Windows Server, версия 2004 домейн контролери (DCs).

Поддържани версии на Windows

Проверката на дължините на паролите се поддържа на следните версии на Windows. Прилагането на минимални дължини на пароли от 15 знака или повече се поддържа в Windows Server, версия 2004 и в по-нови версии на Windows.

Предложено разполагане

Указания за разполагане

За да добавите поддръжка за проверка и изпълнение на минимална дължина на паролата, изпълнете следните стъпки:

1. Разполагане на актуализацията на всички поддържани Windows версии на всички домейн контролери.

   1. Домейнов контролер: Актуализациите и по-новите актуализации позволяват поддръжка на всички домейнови контролери за удостоверяване на акаунти за потребители или услуги, които са конфигурирани да използват по-големи от 14 знака пароли.

   2. Административна работна станция: Разположи актуализациите на административните работни станции, за да позволите прилагането на новите настройки на групови правила към компютри с групови правила.

2. Разрешете настройката за групови правила MinimumPasswordLengthAudit в домейн или гора, където са желани по-дълги задължителни пароли. Тази настройка на правила трябва да бъде разрешена в правилата на домейновия контролер по подразбиране, свързани с организационната единица на домейн контролерите (OU).

3. Препоръчваме да оставите правилата за проверка разрешени за три до шест месеца, за да откриете целия софтуер, който не поддържа пароли с повече от 14 знака.

4. Наблюдавайте домейни за събития на Directory-Services-SAM 16978, регистрирани срещу софтуер, управляван с пароли за три до шест месеца. Не е необходимо да следите събитията в Directory-Services-SAM 16978, регистрирани спрямо потребителски акаунти.

   1. Ако е възможно, конфигурирайте софтуера да използва по-дълга дължина на паролата.

   2. Работете с доставчика на софтуер, за да актуализирате софтуера, за да използвате по-дълги пароли.

   3. Разполагане на правила за фина парола за този акаунт с помощта на стойност, която съответства на дължината на паролата, използвана от софтуера.

   4. За софтуер, който управлява паролите за акаунти, но не използва автоматично дълги пароли и не може да бъде конфигуриран да използва дълги пароли, за тези акаунти могат да се използват правила за фина парола.

5. След като са разгледани всички събития в Directory-Services-SAM 16978, разрешете минимална парола. За да направите това, следвайте тези стъпки:

   1. Разполагане на версия на Windows сървър, която поддържа прилагане на всички компютри (включително Read-Only компютри).

   2. Разрешете груповите правила на RelaxMinimumPasswordLengthLimits на всички компютри.

   3. Конфигуриране на груповите правила на MinimumPasswordLength на всички компютри.

Групови правила

Windows на събития

Като част от тази добавена поддръжка са включени три нови съобщения в регистрационния файл на ИД на събитие.

Указания за промяна на паролата на софтуера

Използвайте максималната дължина на паролата, когато задавате парола в софтуера.

„Хронология“

Въпреки че цялостната стратегия за защита на Microsoft е силно фокусирана върху бъдеще без парола, много клиенти не могат да мигрират далеч от паролите за краткосрочен и среден план. Някои клиенти, които са наясно със защитата, искат да могат да конфигурират настройка за минимална дължина на паролата за домейна по подразбиране, която е по-голяма от 14 знака (например клиентите може да направят това, след като образоят потребителите си да използват по-дълги пароли за достъп вместо традиционните кратки пароли с един маркер). В подкрепа на това искане Windows актуализациите през април 2018 г. за Windows Server 2016 разрешиха промяна на груповите правила, която увеличи минималната дължина на паролата от 14 на 20 знака. Макар че тази промяна изглежда, че поддържа по-дълга парола, в крайна сметка е била недостатъчна и е отхвърлила новата стойност, когато са приложени груповите правила. Тези откази бяха тихи и изискваха подробно тестване, за да се определи, че системата не поддържа по-дълги пароли. За Windows Server 2016 и Windows Server 2019 е включена актуализация за диспечера на акаунти за защита (SAM), за да позволите на системата да работи правилно от край до край с минимална дължина на паролата, по-голяма от 14 знака. За Windows Server 2016 и Windows Server 2019 е включена актуализация за диспечера на акаунти за защита (SAM), за да позволите на системата да работи правилно от край до край с минимална дължина на паролата, по-голяма от 14 знака.

Настройката на правилата MinimumPasswordLength е имала достоверен диапазон от 0 до 14 за много дълго време (много десетилетия) на всички платформи на Microsoft. Тази настройка се отнася както за локалните Windows за защита, така и за Домейните на Active Directory (и домейните NT4 преди това). Стойност на нула (0) означава, че не се изисква парола за никакъв акаунт.

В по-старите версии Windows потребителският интерфейс на груповите правила не разрешава задаването на минимални изисквани дължини на паролите, по-дълги от 14 знака. Въпреки това през април 2018 г. изнесохме актуализациите на Windows 10, които добавиха поддръжка за повече от 14 знака в потребителския интерфейс на груповите правила като част от актуализации, като например:

• KB 4093120: 17 април 2018 г. – KB4093120 (компилация на ОС 14393.2214)

Тази актуализация включваше следния текст на бележката за изданието:

"Увеличава минималната дължина на паролата в груповите правила на 20 знака".

Някои клиенти, които са инсталирали изданията от април 2018 г., и заместват актуализациите, установиха, че все още не могат да използват по-големи от 14 знака пароли. Разследването установи, че са необходими допълнителни актуализации за инсталиране на компютри с роли на DC, обслужващи по-големи от 14 знака пароли, които са дефинирани в правилата за пароли. Следните актуализации разрешиха Windows Server 2016, Windows 10, версия 1607 и първоначалното издание на домейн контролери на Windows 10 за влизане в услуги и заявки за удостоверяване с повече от 14 знака пароли:

• KB 4467684: 27 ноември 2018 г. – KB4467684 (компилация на ОС 14393.2639)

Тази актуализация включваше следния текст на бележката за изданието:

"Адресира проблем, който не позволява на домейн контролерите да прилагат правилата за пароли за групови правила, когато минималната дължина на паролата е конфигурирана да бъде по-голяма от 14 знака".

• KB 4471327: 11 декември 2018 г. – KB4471321 (компилация на ОС 14393.2665)

Някои клиенти са дефинирали по-големи от 14-знакови пароли в правилата след инсталирането на актуализациите от април 2018 г. до актуализациите от октомври 2018 г., които по същество остават несменящи до ноември 2018 г. и декември 2018 г. актуализации или основни домейнови контролери с активирана операционна система, за да обслужват по-големи от 14 знака пароли в правилата, като по този начин премахват връзката време/причинно-следствена връзка между приложението за разрешаване на функции и правила. Независимо дали сте инсталирали групови правила и домейн контролери, се актуализират едновременно или не, може да видите следните странични ефекти:

• Открити проблеми с приложения, които в момента са несъвместими с по-големи от 14 знака пароли.

• Открити проблеми, когато домейни, които се състоят от комбинация от версията на изданието на Windows Server 2019 или актуализирани домейнови контролери за 2016 г., които поддържат по-големи от 14 знака пароли и домейни преди Windows Server 2016, които не поддържат по-големи от 14 знака пароли (докато не съществуват и не бъдат инсталирани за Windows Server 2016).

• След инсталирането на KB4467684клъстерната услуга може да не успее да започне с грешката "2245 (NERR_PasswordTooShort)", ако груповите правила "Минимална дължина на паролата" са конфигурирани с повече от 14 знака.

  Указанията за този известен проблем е да зададете правилото по подразбиране за домейна "Минимална дължина на паролата" на по-малко или равно на 14 знака. Работим върху решение и ще предоставим актуализация в предстоящо издание.

Поради по-ранните проблеми поддръжката от страната на DC за по-големи от 14 знака пароли е премахната в актуализациите от януари 2019 г., така че функцията да не може да се използва.