Nadzor najmanjše dolžine gesla in uveljavljanje v določenih različicah Windows

Povzetek

Windows 10 posodobitve, izdane 18. avgusta 2020, dodajo podporo za te:

• Nadzor dogodkov, da ugotovite, ali programi in storitve podpirajo 15-znakovna ali daljša gesla.

• Uveljavljanje najmanjših dolžin gesel, ki so 15 znakov ali več v strežniku Windows Server, različica 2004 krmilnikov domen (DCs).

Podprte različice Windows

Nadzor dolžin gesel je podprt v teh različicah Windows. Uveljavljanje najmanjših dolžin gesel, ki je dolgo 15 znakov ali več, je podprto v strežniku Windows Server, različici 2004 in novejših različicah Windows.

Predlagana uvedba

Navodila za uvedbo

Če želite dodati podporo za nadzor in uveljavljanje najmanjše dolžine gesla, upoštevajte te korake:

1. Uvedi posodobitev v vseh podprtih Windows v vseh krmilnikih domene.

   1. Krmilnik domene: Posodobitve in novejše posodobitve omogočajo podporo za vse DCs-je, da preverijo pristnost računov uporabnikov ali storitev, ki so konfigurirani za uporabo več kot 14-znakovnih gesel.

   2. Administrativna delovna postaja: Uvedi posodobitve za skrbniške delovne postaje, da omogočite uporabo novih nastavitev pravilnika skupine za DCs.

2. Omogočite nastavitev pravilnika skupine MinimumPasswordLengthAudit v domeni ali gozdu, kjer so želena daljša zahtevana gesla. Ta nastavitev pravilnika mora biti omogočena v privzetem pravilniku krmilnika domene, ki je povezan z enoto OU (kontrolniki domene).

3. Priporočamo, da pravilnik nadzora onemogočite za tri do šest mesecev, da zaznate vso programsko opremo, ki ne podpira gesel, večjih od 14 znakov.

4. Nadzirajte domene za dogodke DIRECTORY-Services-SAM 16978, ki so zabeleženi v dnevnik s programsko opremo, ki upravlja gesla za tri do šest mesecev. Dogodkov Directory-Services-SAM 16978, ki so zabeleženi v dnevnik, vam ni treba nadzirati v uporabniških računih.

   1. Če je mogoče, konfigurirajte programsko opremo tako, da bo daljša za geslo.

   2. Obrnite se na dobavitelja programske opreme in posodobite programsko opremo tako, da bo delovala z daljšimi gesli.

   3. Za ta račun uvedi pravilnik za natančno geslo tako, da uporabite vrednost, ki se ujema z dolžino gesla, ki jo uporablja programska oprema.

   4. Za programsko opremo, ki upravlja gesla za račun, vendar ne uporablja samodejno dolgih gesel in jih ni mogoče konfigurirati za uporabo dolgih gesel, lahko za te račune uporabite pravilnik za gesla s drobno gesli.

5. Ko so obravnavani vsi dogodki DIRECTORY-Services-SAM 16978, omogočite minimalno geslo. To naredite tako:

   1. Uvedi različico strežnika Windows Server, ki podpira uveljavljanje v vseh DCS-jih (vključno z Read-Only računalnike).

   2. Omogočite pravilnik skupine »RelaxMinimumPasswordLengthLimits« za vse DCs-je.

   3. Konfigurirajte pravilnik skupine MinimumPasswordLength za vse DCs.

Pravilnik skupine

Windows sporočil dnevnika dogodkov

V to dodatno podporo so vključena tri nova sporočila dnevnika ID-ja dogodka.

Navodila za spreminjanje gesla programske opreme

Pri nastavljanju gesla v programski opremi uporabite največjo dolžino gesla.

Zgodovina

Čeprav je splošna Microsoftova varnostna strategija močno osredotočena na prihodnost, ki ne bo več namenjena geslu, številnih strank ni mogoče preseliti iz gesel za kratko-srednjo obdobje. Nekatere stranke, ki si želijo prisluhnete varnosti, želijo konfigurirati privzeto nastavitev najmanjše dolžine gesla za domeno, ki je večja od 14 znakov (stranke lahko na primer uporabijo daljše geslo namesto tradicionalnih kratkih gesel za en žeton). V podporo tej zahtevi je posodobitev sistema Windows v aprilu 2018 za Windows Server 2016 omogočila spremembo pravilnika skupine, zaradi katere je bila najmanjša dolžina gesla s 14 na 20 znakov. Čeprav se je ta sprememba pojavila v podpori za daljše geslo, je bila ta na koncu nezadostna in je zavrnila novo vrednost, ko je bil uporabljen pravilnik skupine. Te zavrnitve so bile tihe in zahtevane so bile podrobne zahteve za preskušanje, s katerih je mogoče ugotoviti, da sistem ne podpira daljših gesel. Na voljo je posodobitev plasti SAM (Security Account Manager) za strežnik Windows Server 2016 in Windows Server 2019, s tem pa je omogočen sistem za pravilno delovanje od konca do konca, pri čemer je minimalna dolžina gesla večja od 14 znakov. Na voljo je posodobitev plasti SAM (Security Account Manager) za strežnik Windows Server 2016 in Windows Server 2019, s tem pa je omogočen sistem za pravilno delovanje od konca do konca, pri čemer je minimalna dolžina gesla večja od 14 znakov.

Nastavitev pravilnika MinimumPasswordLength ima dovoljen obseg od 0 do 14 že zelo dolgo (mnogo želetja) v vseh Microsoftovih platformah. Ta nastavitev velja tako za lokalne varnostne Windows kot tudi za domene Active Directory (in domene NT4 pred tem). Vrednost nič (0) pomeni, da za noben račun ni zahtevano geslo.

V starejših različicah Windows UI pravilnika skupine ni omogočil nastavitve najmanjših zahtevanih dolžin gesel, ki so daljše od 14 znakov. Aprila 2018 smo izdali posodobitve za Windows 10, ki so v uporabniškem vmesniku pravilnika skupine dodali podporo za več kot 14 znakov kot del posodobitev, kot so:

• KB 4093120:17. april 2018 – KB4093120 (gradec operacijskega sistema 14393.2214)

Ta posodobitev je vključevala to besedilo opombe ob izdaji:

»Poveča najmanjšo dolžino gesla v pravilniku skupine na 20 znakov.«

Nekateri uporabniki, ki so namestili izdaje iz aprila 2018 in nadomeščali posodobitve, so ugotovili, da še vedno ne smejo uporabljati več kot 14-znakovnih gesel. Raziskovanje je identificirano, da je treba v računalnike z vlogami v DC namestiti dodatne posodobitve, ki servisiranje več kot 14-znakovnih gesel, določenih v pravilniku o geslih. Te posodobitve so omogočene za Windows Server 2016, Windows 10, različica 1607 in začetna izdaja kontrolnikov domene Windows 10 za prijavo storitve in zahteve za preverjanje pristnosti z več kot 14-znakovnim geslom:

• KB 4467684:27. november 2018 – KB4467684 (gradec operacijskega sistema 14393.2639)

Ta posodobitev je vključevala to besedilo opombe ob izdaji:

»Odpravi težavo, ki prepreči krmilnikom domen uporabo pravilnika za gesla pravilnika skupine, če je najmanjša dolžina gesla konfigurirana tako, da je večja od 14 znakov.«

• KB 4471327:11. december 2018 – KB4471321 (gradec operacijskega sistema 14393.2665)

Nekateri uporabniki so določili več kot 14-znakovno geslo po namestitvi posodobitev iz aprila 2018 do oktobra 2018, kar je v bistvu še vedno neaktivno do posodobitve iz novembra 2018 in decembra 2018 ali izvornega operacijskega sistema, za katerega so bili omogočeni kontrolniki domen, za storitve, večje od 14-znakovnih gesel v pravilniku, s čimer so odstranili povezavo čas/kraje med aplikacijo za omogočanje funkcij in aplikacijo pravilnika. Ne glede na to, ali ste namestili pravilnik skupine in kontrolnik domene se posodabljata hkrati ali ne, se lahko pojavijo ti stranski učinki:

• Izpostavljene težave s programi, ki trenutno niso združljive z več kot 14-kratno gesli.

• Izpostavljene težave, ko so domene sestavljene iz mešati izdajne različice strežnika Windows Server 2019 ali posodobljenih računalnikov 2016, ki podpirajo več kot 14-znakovna gesla in predpomnjene različice strežnika Windows Server 2016, ki ne podpirajo več kot 14-znakovnih gesel (dokler ni podprto podprto podporo za Windows Server 2016).

• Po namestitvi posodobitve KB4467684se storitev gruče morda ne bo začela z napako »2245 (NERR_PasswordTooShort)«, če je pravilnik skupine »Najmanjša dolžina gesla« konfiguriran z več kot 14 znaki.

  Navodila za to znano težavo so bila, da je privzeti pravilnik domene »Najmanjša dolžina gesla« nastavljen na manj kot 14 znakov ali enako 14 znakov. Pripravljamo rešitev in bomo ponudili posodobitev v prihodnji izdaji.

Zaradi prejšnjih težav je bila v posodobitvah iz januarja 2019 odstranjena podpora na strani DC za več kot 14-kratna gesla, tako da te funkcije ni mogoče uporabljati.