Ελάχιστος έλεγχος και επιβολή μήκους κωδικού πρόσβασης σε ορισμένες εκδόσεις Windows

Σύνοψη

Windows 10 ενημερώσεις που κυκλοφόρησαν στις 18 Αυγούστου 2020 προσθέτει υποστήριξη για τα εξής:

• Συμβάντα ελέγχου για να προσδιορίσετε εάν οι εφαρμογές και οι υπηρεσίες υποστηρίζουν κωδικούς πρόσβασης 15 χαρακτήρων ή μεγαλύτεροι.

• Επιβολή ελάχιστου μήκους κωδικού πρόσβασης 15 χαρακτήρων ή περισσότερων σε Windows Server, έκδοση 2004, ελεγκτές τομέα (DCs).

Υποστηριζόμενες εκδόσεις Windows

Ο έλεγχος του μήκους των κωδικών πρόσβασης υποστηρίζεται στις ακόλουθες εκδόσεις Windows. Η επιβολή ελάχιστου μήκους κωδικού πρόσβασης 15 χαρακτήρων ή περισσότερων υποστηρίζονται στον Windows Server, έκδοση 2004 και σε νεότερες εκδόσεις του Windows.

Προτεινόμενη ανάπτυξη

Οδηγίες ανάπτυξης

Για να προσθέσετε υποστήριξη για τον έλεγχο και την επιβολή του ελάχιστου μήκους κωδικού πρόσβασης, ακολουθήστε τα παρακάτω βήματα:

1. Αναπτύξτε την ενημέρωση σε όλες τις υποστηριζόμενες Windows σε όλους τους ελεγκτές τομέα.

   1. Ελεγκτής τομέα: Οι ενημερώσεις και οι νεότερες ενημερώσεις επιτρέπουν την υποστήριξη σε όλους τους ελεγκτές τομέα για τον έλεγχο ταυτότητας λογαριασμών χρηστών ή υπηρεσιών που έχουν ρυθμιστεί ώστε να χρησιμοποιούν περισσότερους από 14 κωδικούς πρόσβασης χαρακτήρων.

   2. Σταθμός εργασίας διαχείρισης: Αναπτύξτε τις ενημερώσεις σε σταθμούς εργασίας διαχείρισης για να επιτρέψετε την εφαρμογή των νέων ρυθμίσεων πολιτικής ομάδας σε DCs.

2. Ενεργοποιήστε τη ρύθμιση πολιτικής ομάδας MinimumPasswordLengthAudit σε έναν τομέα ή δάσος όπου απαιτούνται πλέον κωδικοί πρόσβασης. Αυτή η ρύθμιση πολιτικής πρέπει να είναι ενεργοποιημένη στην πολιτική του προεπιλεγμένου ελεγκτή τομέα που είναι συνδεδεμένη με την εταιρική μονάδα (OU) των ελεγκτών τομέα.

3. Συνιστάται να αφήσετε ενεργοποιημένη την πολιτική ελέγχου για τρεις έως έξι μήνες για να εντοπίσετε όλο το λογισμικό που δεν υποστηρίζει κωδικούς πρόσβασης μεγαλύτερους από 14 χαρακτήρες.

4. Παρακολουθήστε τους τομείς για συμβάντα Directory-Services-SAM 16978 που καταγράφονται σε σχέση με λογισμικό που διαχειρίζεται κωδικούς πρόσβασης για τρεις έως έξι μήνες. Δεν χρειάζεται να παρακολουθείτε τα συμβάντα Directory-Services-SAM 16978 που καταγράφονται σε λογαριασμούς χρηστών.

   1. Εάν είναι δυνατό, ρυθμίστε τις παραμέτρους του λογισμικού ώστε να χρησιμοποιεί μεγαλύτερο μήκος κωδικού πρόσβασης.

   2. Συνεργαστείτε με τον προμηθευτή του λογισμικού για να ενημερώσετε το λογισμικό ώστε να χρησιμοποιεί πλέον κωδικούς πρόσβασης.

   3. Αναπτύξτε μια πολιτική κωδικών πρόσβασης λεπτών κόκκων για αυτόν το λογαριασμό, χρησιμοποιώντας μια τιμή που ταιριάζει με το μήκος του κωδικού πρόσβασης που χρησιμοποιείται από το λογισμικό.

   4. Για λογισμικό που διαχειρίζεται κωδικούς πρόσβασης λογαριασμού, αλλά δεν χρησιμοποιεί αυτόματα μακρούς κωδικούς πρόσβασης και δεν μπορεί να ρυθμιστεί ώστε να χρησιμοποιεί μακρούς κωδικούς πρόσβασης, μπορεί να χρησιμοποιηθεί μια πολιτική κωδικών πρόσβασης με λεπτούς κόκκους για αυτούς τους λογαριασμούς.

5. Αφού αντιμετωπιστούν όλα τα συμβάντα Directory-Services-SAM 16978, ενεργοποιήστε έναν ελάχιστο κωδικό πρόσβασης. Για να το κάνετε αυτό, ακολουθήστε αυτά τα βήματα:

   1. Αναπτύξτε μια έκδοση του Windows Server που υποστηρίζει την επιβολή σε όλους τους DCs (συμπεριλαμβανομένων των Read-Only DCs).

   2. Ενεργοποιήστε την πολιτική ομάδας RelaxMinimumPasswordLengthLimits σε όλα τα DCs.

   3. Ρυθμίστε τις παραμέτρους της πολιτικής ομάδας MinimumPasswordLength σε όλους τους DCs.

Πολιτική ομάδας

Windows μηνύματα καταγραφής συμβάντων

Τρία νέα μηνύματα καταγραφής αναγνωριστικού συμβάντος περιλαμβάνονται ως μέρος αυτής της πρόσθετης υποστήριξης.

Οδηγίες για την αλλαγή κωδικού πρόσβασης λογισμικού

Χρησιμοποιήστε το μέγιστο μήκος κωδικού πρόσβασης κατά τη ρύθμιση ενός κωδικού πρόσβασης στο λογισμικό.

Ιστορικό

Παρόλο που η συνολική στρατηγική ασφαλείας της Microsoft είναι σταθερά εστιασμένη σε ένα μέλλον χωρίς κωδικό πρόσβασης, πολλοί πελάτες δεν μπορούν να μετεγκατασταθεί μακριά από τους κωδικούς πρόσβασης για βραχυπρόθεσμη έως ενδιάμεση βάση. Ορισμένοι πελάτες με επίγνωση της ασφάλειας θέλουν να έχουν τη δυνατότητα να ρυθμίσουν τις παραμέτρους μιας προεπιλεγμένης ρύθμισης ελάχιστου μήκους κωδικού πρόσβασης τομέα που είναι μεγαλύτερη από 14 χαρακτήρες (για παράδειγμα, οι πελάτες μπορεί να το κάνουν αυτό αφού εκπαιδεύουν τους χρήστες τους να χρησιμοποιούν μεγαλύτερες φράες πρόσβασης αντί για τους παραδοσιακούς σύντομους κωδικούς πρόσβασης ενός διακριτικού). Προς υποστήριξη αυτής της αίτησης, το Windows Updates τον Απρίλιο του 2018 για τον Windows Server 2016 ενεργοποιήθηκε μια αλλαγή πολιτικής ομάδας που αύξησε το ελάχιστο μήκος κωδικού πρόσβασης από 14 σε 20 χαρακτήρες. Ενώ αυτή η αλλαγή φάνηκε να υποστηρίζει μεγαλύτερο κωδικό πρόσβασης, τελικά δεν ήταν επαρκής και απέρριψε τη νέα τιμή κατά την εφαρμογή της πολιτικής ομάδας. Αυτές οι απορρίψεις ήταν σιωπηρές και απαιτήθηκαν λεπτομερείς δοκιμές για να καθοριστεί ότι το σύστημα δεν υποστηρίζει πλέον κωδικούς πρόσβασης. Μια ενημέρωση παρακολούθησης στο επίπεδο "Διαχείριση λογαριασμών ασφαλείας" (SAM) περιλαμβάνεται τόσο για τον Windows Server 2016 όσο και για τον Windows Server 2019, ώστε το σύστημα να λειτουργεί σωστά από άκρο σε άκρο με ελάχιστο μήκος κωδικού πρόσβασης μεγαλύτερο από 14 χαρακτήρες. Μια ενημέρωση παρακολούθησης στο επίπεδο "Διαχείριση λογαριασμών ασφαλείας" (SAM) περιλαμβάνεται τόσο για τον Windows Server 2016 όσο και για τον Windows Server 2019, ώστε το σύστημα να λειτουργεί σωστά από άκρο σε άκρο με ελάχιστο μήκος κωδικού πρόσβασης μεγαλύτερο από 14 χαρακτήρες.

Η ρύθμιση πολιτικής MinimumPasswordLength είχε μια επιτρεπόμενη περιοχή από 0 έως 14 για πολύ μεγάλο χρονικό διάστημα (πολλές δεκαετίες) σε όλες τις πλατφόρμες της Microsoft. Αυτή η ρύθμιση ισχύει τόσο για τις τοπικές Windows ασφαλείας όσο και για την υπηρεσία καταλόγου Active Directory (και τους τομείς NT4 πριν από αυτό). Η τιμή μηδέν (0) υποδηλώνει ότι δεν απαιτείται κωδικός πρόσβασης για οποιονδήποτε λογαριασμό.

Σε παλαιότερες εκδόσεις του Windows, το περιβάλλον εργασίας χρήστη πολιτικής ομάδας δεν ενεργοποιούσε τη ρύθμιση ελάχιστου απαιτούμενου μήκους κωδικού πρόσβασης μεγαλύτερο από 14 χαρακτήρες. Ωστόσο, τον Απρίλιο του 2018, κυκλοφοραμε τις ενημερώσεις του Windows 10 που πρόσθεσαν υποστήριξη για περισσότερους από 14 χαρακτήρες στο περιβάλλον εργασίας χρήστη πολιτικής ομάδας ως μέρος ενημερώσεων όπως:

• KB 4093120: 17 Απριλίου 2018— KB4093120 (Έκδοση λειτουργικού συστήματος 14393.2214)

Αυτή η ενημέρωση περιλάμβανε το ακόλουθο κείμενο σημείωσης κυκλοφορίας:

"Αυξάνει το ελάχιστο μήκος κωδικού πρόσβασης στην Πολιτική ομάδας σε 20 χαρακτήρες".

Ορισμένοι πελάτες που εγκατέστησαν τις εκδόσεις του Απριλίου 2018 και αντικαταστάθηκαν ενημερώσεις, βρέθηκαν ότι εξακολουθούν να μην μπορούν να χρησιμοποιήσουν περισσότερους από 14 κωδικούς πρόσβασης χαρακτήρων. Η έρευνα εντόπισε ότι έπρεπε να εγκατασταθούν πρόσθετες ενημερώσεις σε υπολογιστές ρόλων DC που εξυπηρετούν τους μεγαλύτερους από 14 χαρακτήρες κωδικούς πρόσβασης που έχουν οριστεί στην πολιτική κωδικών πρόσβασης. Οι ακόλουθες ενημερώσεις έχουν ενεργοποιήσει τον Windows Server 2016, Windows 10, την έκδοση 1607 και την αρχική κυκλοφορία των ελεγκτών τομέα Windows 10 για τις συνδέσεις υπηρεσίας και τις αιτήσεις ελέγχου ταυτότητας με περισσότερους από 14 χαρακτήρες κωδικούς πρόσβασης:

• KB 4467684: 27 Νοεμβρίου 2018— KB4467684 (Έκδοση λειτουργικού συστήματος 14393.2639)

Αυτή η ενημέρωση περιλάμβανε το ακόλουθο κείμενο σημείωσης κυκλοφορίας:

"Επιλύει ένα πρόβλημα που εμποδίζει τους ελεγκτές τομέα να εφαρμόσουν την πολιτική κωδικού πρόσβασης πολιτικής ομάδας όταν το ελάχιστο μήκος κωδικού πρόσβασης έχει ρυθμιστεί ώστε να είναι μεγαλύτερο από 14 χαρακτήρες".

• KB 4471327: 11 Δεκεμβρίου 2018— KB4471321 (Έκδοση λειτουργικού συστήματος 14393.2665)

Ορισμένοι πελάτες καθόρισαν περισσότερους από 14 κωδικούς πρόσβασης στην πολιτική μετά την εγκατάσταση των ενημερώσεων του Απριλίου 2018 μέσω των ενημερώσεων του Οκτωβρίου 2018, οι οποίες ουσιαστικά παρέμενε αδρανείς μέχρι τις ενημερώσεις Νοεμβρίου 2018 και Δεκεμβρίου 2018 ή ένας εγγενής ελεγκτής τομέα με δυνατότητα λειτουργικού συστήματος να παρέχουν περισσότερους από 14 χαρακτήρες κωδικούς πρόσβασης στην πολιτική, καταργώντας έτσι τη σύνδεση χρόνου/αιτιότητας μεταξύ της ενεργοποίησης δυνατοτήτων και της εφαρμογής πολιτικής. Εάν έχετε εγκαταστήσει ενημερώσεις πολιτικής ομάδας και ελεγκτή τομέα ταυτόχρονα ή όχι, ενδέχεται να δείτε τις ακόλουθες ανεπιθύμητες ενέργειες:

• Εκτεθειμένα προβλήματα με εφαρμογές που δεν είναι συμβατές με περισσότερους από 14 κωδικούς πρόσβασης.

• Ζητήματα που εκτίθενται όταν τομείς που αποτελούνται από ένα συνδυασμό της έκδοσης έκδοσης του Windows Server 2019 ή των ενημερωμένων DCs του 2016 που υποστηρίζουν περισσότερους από 14 χαρακτήρες κωδικών πρόσβασης και DCs πριν από τον Windows Server 2016 που δεν υποστηρίζουν κωδικούς πρόσβασης μεγαλύτερους από 14 χαρακτήρες (μέχρι να υπάρχουν και να εγκατασταθούν για τον Windows Server 2016).

• Μετά την εγκατάσταση του KB4467684,η υπηρεσία συμπλέγματος ενδέχεται να αποτύχει να ξεκινήσει με το σφάλμα "2245 (NERR_PasswordTooShort)" εάν η πολιτική ομάδας "Ελάχιστο μήκος κωδικού πρόσβασης" έχει ρυθμιστεί με περισσότερους από 14 χαρακτήρες.

  Οι οδηγίες για αυτό το γνωστό πρόβλημα ήταν να ορίσετε την προεπιλεγμένη πολιτική τομέα "Ελάχιστο μήκος κωδικού πρόσβασης" σε μικρότερο ή ίσο με 14 χαρακτήρες. Καταβάλλουμε προσπάθειες για την εξεύρεση μιας λύσης και θα παράσχουμε μια ενημέρωση σε μια προσεχή έκδοση.

Λόγω των προηγούμενων ζητημάτων, η υποστήριξη της πλευράς DC για περισσότερους από 14 κωδικούς πρόσβασης καταργήθηκε στις ενημερώσεις του Ιανουαρίου 2019, ώστε να μην είναι δυνατή η χρήση της δυνατότητας.