Auditoría y cumplimiento de longitud mínima de contraseña en determinadas versiones de Windows

Resumen

Windows 10 actualizaciones publicadas el 18 de agosto de 2020 admiten lo siguiente:

• Eventos de auditoría para identificar si las aplicaciones y servicios admiten contraseñas de 15 caracteres o más.

• Cumplimiento de longitudes mínimas de contraseña de 15 caracteres o más en Windows Server, versión 2004 controladores de dominio (DCs).

Versiones compatibles de Windows

La auditoría de longitudes de contraseñas es compatible con las siguientes versiones de Windows. La aplicación de longitudes mínimas de contraseña de 15 caracteres o más se admite en Windows Server, versión 2004 y en versiones posteriores de Windows.

Implementación sugerida

Directrices de implementación

Para agregar compatibilidad con la auditoría y la aplicación de longitud mínima de contraseña, siga estos pasos:

1. Implemente la actualización en todas las versiones Windows compatibles en todos los controladores de dominio.

   1. Controlador de dominio: las actualizaciones y las actualizaciones posteriores habilitan el soporte técnico en todos los controladores de dominio para autenticar cuentas de usuario o servicio configuradas para usar contraseñas de más de 14 caracteres.

   2. Estación de trabajo administrativa: Implemente las actualizaciones en estaciones de trabajo administrativas para permitir la aplicación de la nueva configuración de directiva de grupo a los controladores de dominio.

2. Habilite la configuración De directiva de grupo MinimumPasswordLengthAudit en un dominio o bosque en el que se desean contraseñas más necesarias. Esta configuración de directiva debe habilitarse en la directiva predeterminada del controlador de dominio vinculada a la unidad organizativa (OU) de controladores de dominio.

3. Se recomienda dejar la directiva de auditoría habilitada durante tres o seis meses para detectar todo el software que no admite contraseñas de más de 14 caracteres.

4. Supervisar dominios de eventos de Directory-Services-SAM 16978 registrados en software que administraba contraseñas durante tres a seis meses. No es necesario supervisar los eventos de Directory-Services-SAM 16978 registrados en cuentas de usuario.

   1. Si es posible, configure el software para que use una longitud de contraseña más larga.

   2. Trabaje con el proveedor de software para actualizar el software para usar contraseñas más largas.

   3. Implemente una directiva de contraseñas de grano fino para esta cuenta mediante un valor que coincida con la longitud de contraseña usada por el software.

   4. Para el software que administra contraseñas de cuenta pero no usa automáticamente contraseñas largas y no se puede configurar para usar contraseñas largas, se puede usar una directiva de contraseñas muy adecuada para estas cuentas.

5. Después de que se solucione todos los eventos de Directory-Services-SAM 16978, habilite una contraseña mínima. Para ello, siga estos pasos:

   1. Implemente una versión de Windows server que admita la aplicación en todos los EQUIPOS (incluidos Read-Only los DCs).

   2. Habilite la directiva de grupo RelaxMinimumPasswordLengthLimits en todos los DCs.

   3. Configure la directiva de grupo MinimumPasswordLength en todos los EQUIPOS.

Directiva de grupo

Windows de registro de eventos

Como parte de esta compatibilidad agregada, se incluyen tres nuevos mensajes de registro de id. de evento.

Instrucciones para el cambio de contraseña de software

Use la longitud máxima de contraseña al configurar una contraseña en el software.

Historial

Aunque la estrategia de seguridad general de Microsoft está firmemente centrada en un futuro sin contraseñas, muchos clientes no pueden migrar de las contraseñas a corto y medio plazo. Algunos clientes conscientes de la seguridad quieren poder configurar una configuración predeterminada de longitud mínima de contraseña de dominio superior a 14 caracteres (por ejemplo, es posible que los clientes lo hagan después de educar a sus usuarios para que usen contraseñas más largas en lugar de las contraseñas de token únicas y cortas tradicionales). Para admitir esta solicitud, Windows Actualizaciones de abril de 2018 para Windows Server 2016 habilitó un cambio de directiva de grupo que aumentaba la longitud mínima de contraseña de 14 a 20 caracteres. Aunque este cambio parecía admitir contraseñas más largas, finalmente no fue suficiente y rechazó el nuevo valor cuando se aplicó la directiva de grupo. Estos rechazos eran silenciosos y requerían pruebas detalladas para determinar que el sistema no era compatible con contraseñas más largas. Se ha incluido una actualización de seguimiento de la capa administrador de cuentas de seguridad (SAM) tanto para Windows Server 2016 como para Windows Server 2019 con el fin de permitir que el sistema funcione correctamente de un extremo a otro con una longitud mínima de contraseña superior a 14 caracteres. Se ha incluido una actualización de seguimiento de la capa administrador de cuentas de seguridad (SAM) tanto para Windows Server 2016 como para Windows Server 2019 con el fin de permitir que el sistema funcione correctamente de un extremo a otro con una longitud mínima de contraseña superior a 14 caracteres.

La configuración de directiva MinimumPasswordLength ha tenido un rango permitido de 0 a 14 durante mucho tiempo (muchas décadas) en todas las plataformas de Microsoft. Esta configuración se aplica tanto a la configuración de seguridad Windows local como a Active Directory (y a los dominios NT4 anteriores). Un valor de cero (0) implica que no se requiere ninguna contraseña para ninguna cuenta.

En versiones anteriores de Windows, la interfaz de usuario de directiva de grupo no habilitaba la configuración de longitudes mínimas de contraseña necesarias de más de 14 caracteres. Sin embargo, en abril de 2018, se publicaron las actualizaciones de Windows 10 que agregaron compatibilidad con más de 14 caracteres en la interfaz de usuario de directiva de grupo como parte de actualizaciones como:

• KB 4093120:17 de abril de 2018: KB4093120 (compilación 14393.2214 del sistema operativo)

Esta actualización incluía el siguiente texto de nota de versión:

"Aumenta la longitud mínima de contraseña en directiva de grupo a 20 caracteres".

Algunos clientes que instalaron las versiones de abril de 2018 y las actualizaciones superseding, encontraron que todavía no podían usar contraseñas superiores a 14 caracteres. La investigación identificó que era necesario instalar actualizaciones adicionales en equipos de rol de DC que atendiendo las contraseñas de más de 14 caracteres que se definieron en la directiva de contraseñas. Las siguientes actualizaciones habilitaron Windows Server 2016, Windows 10, versión 1607 y la versión inicial de controladores de dominio de Windows 10 para dar servicio a las solicitudes de autenticación y inicios de sesión con contraseñas de más de 14 caracteres:

• KB 4467684:27 de noviembre de 2018: KB4467684 (compilación del sistema operativo 14393.2639)

Esta actualización incluía el siguiente texto de nota de versión:

"Soluciona un problema que impide que los controladores de dominio apliquen la directiva de contraseña de directiva de grupo cuando la longitud mínima de la contraseña está configurada para tener más de 14 caracteres".

• KB 4471327:11 de diciembre de 2018: KB4471321 (compilación 14393.2665 del sistema operativo)

Algunos clientes definieron contraseñas de más de 14 caracteres en la directiva después de instalar las actualizaciones de abril de 2018 a octubre de 2018, que básicamente permanecieron inactivas hasta las actualizaciones de noviembre de 2018 y diciembre de 2018, o bien los controladores de dominio nativos habilitados para usar contraseñas de más de 14 caracteres en la directiva, quitando así el vínculo de tiempo y relación entre habilitación de características y aplicación de directiva. Independientemente de si instaló actualizaciones de directiva de grupo y controlador de dominio al mismo tiempo o no, es posible que vea los siguientes efectos secundarios:

• Problemas expuestos con aplicaciones incompatibles actualmente con contraseñas de más de 14 caracteres.

• Problemas expuestos cuando los dominios que constan de una combinación de la versión de lanzamiento de Windows Server 2019 o los DCs actualizados de 2016 que admiten contraseñas de más de 14 caracteres y DCs anteriores Windows Server 2016 que no admiten contraseñas de más de 14 caracteres (hasta que existen backports y se instalan para Windows Server 2016).

• Después de instalar KB4467684,es posible que el servicio de clúster no empiece con el error "2245 (NERR_PasswordTooShort)" si la directiva de grupo "Longitud mínima de contraseña" está configurada con más de 14 caracteres.

  Las instrucciones para este problema conocido era establecer la directiva predeterminada de dominio "Longitud mínima de contraseña" en menor o igual que 14 caracteres. Estamos trabajando en una resolución y proporcionaremos una actualización en una próxima versión.

Debido a los problemas anteriores, la compatibilidad del lado DC para contraseñas de más de 14 caracteres se eliminó en las actualizaciones de enero de 2019 para que no se pueda usar la característica.