Auditování a vynucení minimální délky hesla v určitých verzích Windows

Shrnutí

Windows 10 vydané 18. srpna 2020 přidává podporu pro následující:

• Události auditování a zjistěte, jestli aplikace a služby podporují 15-ti znaková nebo delší hesla.

• Vynucení minimální délky hesla o délce 15 znaků nebo více na serveru Windows, řadičích domény verze 2004 (DCs).

Podporované verze Windows

Auditování délek hesel je podporované v následujících verzích Windows. V aplikaci Windows Server, verze 2004 a novějších verzích aplikace Windows je podporováno vynucení minimální délky hesla o délce 15 znaků a více znaků.

Navrhované nasazení

Pokyny pro nasazení

Pokud chcete přidat podporu pro auditování a vynucení minimální délky hesla, postupujte takto:

1. Nasaďte aktualizaci na všechny podporované Windows ve všech řadičích domény.

   1. Řadič domény: Aktualizace a novější aktualizace povolují podporu na všech řadičích domény k ověřování uživatelských účtů nebo účtů služeb, které jsou nakonfigurované tak, aby používejte hesla větší než 14 znaků.

   2. Pracovní stanice pro správu: Nasaďte aktualizace na pracovní stanice pro správu, abyste umožnili použití nového Zásady skupiny nastavení na počítačích DCs.

2. Povolte nastavení MinimumPasswordLengthAudit Zásady skupiny domény nebo doménové struktury, kde jsou požadována delší požadovaná hesla. Toto nastavení zásad by mělo být povolené v zásadách výchozího řadiče domény propojených s organizační jednotkou (OU) řadičů domény.

3. Doporučujeme nechat zásady auditování povolené po dobu tří až šesti měsíců, aby bylo možné zjistit veškerý software, který nepodporuje hesla delší než 14 znaků.

4. Sledujte domény pro události Directory-Services-SAM 16978 protokolované se softwarem, který spravoval hesla po dobu tří až šesti měsíců. Nemáte sledovat události Directory-Services-SAM 16978 protokolované proti uživatelským účtům.

   1. Pokud je to možné, nakonfigurujte software tak, aby pou íl delší délku hesla.

   2. Spolupracujte s dodavatelem softwaru a aktualizujte software tak, aby se používejte delší hesla.

   3. Nasaďte pro tento účet zásady jemného hesla pomocí hodnoty, která odpovídá délce hesla používaného softwarem.

   4. U softwaru, který spravuje hesla účtu, ale automaticky nevyužít dlouhá hesla a nelze ho nakonfigurovat tak, aby používal dlouhá hesla, je možné pro tyto účty použít zásady jemného hesla.

5. Po vyřešení všech událostí Directory-Services-SAM 16978 povolte minimální heslo. Postupujte takto:

   1. Nasaďte verzi Windows Serveru, která podporuje vynucení na všech počítačích (včetně Read-Only DCs).

   2. Povolte funkci RelaxMinimumPasswordLengthLimits Zásady skupiny všech počítačích.

   3. Nakonfigurujte nastavení MinimumPasswordLength Zásady skupiny všech počítačích.

Zásady skupiny

Windows zprávy protokolu událostí

Součástí této přidané podpory jsou tři nové zprávy protokolu ID události.

Pokyny ke změně hesla softwaru

Při nastavování hesla v softwaru použijte maximální délku hesla.

Historie

I když je celková strategie zabezpečení Microsoftu pevně zaměřená na budoucnost bez hesla, mnoho zákazníků nemůže v krátkém až středním období migrovat od hesel. Někteří zákazníci, kteří jsou si vědomi zabezpečení, chtějí mít možnost nakonfigurovat výchozí nastavení minimální délky hesla domény, které je větší než 14 znaků (například zákazníci to můžou udělat, když vyučují uživatele, aby místo tradičních krátkých hesel s jedním tokenem mohli používat delší přístupová hesla). Na podporu této žádosti aktualizace Windows v dubnu 2018 pro Windows Server 2016 povolily změnu Zásady skupiny, která zvýšila minimální délku hesla ze 14 na 20 znaků. I když se zdá, že tato změna podporuje delší heslo, byla nakonec nedostatečná a odmítla novou hodnotu při použití Zásady skupiny hesla. Tato odmítnutí byla tichá a vyžadovala podrobné testování, aby bylo možné zjistit, že systém delší hesla podporuje. Pro Windows Server 2016 i Windows Server 2019 byla zahrnuta aktualizace vrstvy SAM (Security Account Manager), aby systém správně fungoval s minimální délkou hesla větší než 14 znaků. Pro Windows Server 2016 i Windows Server 2019 byla zahrnuta aktualizace vrstvy SAM (Security Account Manager), aby systém správně fungoval s minimální délkou hesla větší než 14 znaků.

Nastavení zásad MinimumPasswordLength má na všech platformách Microsoftu po dlouhou dobu (mnoho desítek let) přípustný rozsah od 0 do 14. Toto nastavení platí jak pro místní Windows zabezpečení, tak pro active directory (a domény NT4 před tím). Hodnota nula (0) znamená, že pro žádný účet není potřeba žádné heslo.

V dřívějších verzích Windows uživatelské rozhraní Zásady skupiny nastavení minimálních požadovaných délek hesel delších než 14 znaků. V dubnu 2018 jsme ale vydali aktualizace Windows 10, které přidaly podporu pro více než 14 znaků v uživatelském rozhraní Zásady skupiny jako součást aktualizací, jako jsou:

• KB 4093120: 17. dubna 2018 – KB4093120 (build operačního systému 14393.2214)

Tato aktualizace obsahovala následující text poznámky k verzi:

"Zvětší minimální délku hesla v Zásady skupiny na 20 znaků."

Někteří zákazníci, kteří si nainstalovali verze z dubna 2018 a naháněli aktualizace, zjistili, že hesla s více než 14 znaky se stále neschová. Při vyšetřování bylo zjištěno, že je potřeba nainstalovat další aktualizace na počítačích s rolí stejnosměrného řadiče domény, které obsluhuje hesla s více než 14 znaky definovaná v zásadách hesel. Následující aktualizace povolily Windows Server 2016, Windows 10, verzi 1607 Windows 10 počáteční verzi řadičů domény pro přihlášení ke službě Windows 10 žádosti o ověření s více než 14 znakovou hesly:

• KB 4467684: 27. listopadu 2018 – KB4467684 (build operačního systému 14393.2639)

Tato aktualizace obsahovala následující text poznámky k verzi:

"Řeší problém, který znemožňoval řadičům domény používat zásady Zásady skupiny hesla, pokud je minimální délka hesla nakonfigurovaná na více než 14 znaků."

• KB 4471327: 11. prosince 2018 – KB4471321 (build operačního systému 14393.2665)

Někteří zákazníci definovali v zásadách více než 14 znaková hesla po instalaci aktualizací z dubna 2018 do října 2018, které v zásadě zůstaly v zásadách neaktivní až do listopadu 2018 a prosince 2018, nebo nativním řadičům domény s povoleným operačním systémem, aby bylo možné v zásadách použít hesla s více než 14 znaky, čímž se odebere propojení času a příčin mezi povolením funkcí a aplikací zásad. Ať už jste Zásady skupiny a aktualizace řadičů domény současně nebo ne, můžou se zobrazit následující vedlejší účinky:

• Vystavené problémy s aplikacemi, které jsou aktuálně nekompatibilní s více než 14znaky hesel.

• Vystavené problémy při doménách, které se skládají z kombinace verze Windows Server 2019 nebo aktualizovaných 2016 DCs, které podporují hesla větší než 14 znaků a před Windows Server 2016, které nepodporují hesla větší než 14 znaků (dokud nebudou existovat backporty a nenainstaluje se pro Windows Server 2016).

• Po instalaci aktualizace KB4467684může clusterová služba selhat s chybou "2245 (NERR_PasswordTooShort)", pokud je Zásady skupiny "Minimální délka hesla" nakonfigurovaná s více než 14 znaky.

  Pokyny k tomuto známému problému byly nastavení výchozí zásady "Minimální délka hesla" na hodnotu menší nebo rovnou 14 znakům. Pracujeme na řešení a v některém z nadcházejících vydání poskytneme aktualizaci.

Kvůli dřívějším problémům byla v aktualizacích z ledna 2019 odebrána podpora hesel větších než 14 znaků na straně řadiče domény, aby tuto funkci nebylo možné použít.