Minimale wachtwoordlengte voor het controleren en afdwingen van bepaalde versies van Windows

Samenvatting

Windows 10 updates die zijn uitgebracht op 18 augustus 2020, worden de volgende ondersteuning toegevoegd:

• Auditgebeurtenissen om te bepalen of toepassingen en services wachtwoorden van 15 tekens of langer ondersteunen.

• Afdwingen van minimale wachtwoordlengten van 15 tekens of meer op Windows Server, versie 2004-domeincontrollers (DC's).

Ondersteunde versies van Windows

Controle van wachtwoordlengten wordt ondersteund in de volgende versies van Windows. Handhaving van minimale wachtwoordlengten van 15 tekens of meer wordt ondersteund in Windows Server, versie 2004 en in latere versies van Windows.

Voorgestelde implementatie

Implementatierichtlijnen

Als u ondersteuning wilt toevoegen voor minimale controle en afdwinging van wachtwoorden, volgt u de volgende stappen:

1. Implementeer de update voor alle ondersteunde Windows versies op alle domeincontrollers.

   1. Domeincontroller: met de updates en latere updates kan ondersteuning worden ingeschakeld voor alle DCs om gebruikers- of serviceaccounts te verifiëren die zijn geconfigureerd voor het gebruik van wachtwoorden met meer dan 14 tekens.

   2. Beheerwerkstation: Implementeer de updates voor beheerwerkstations om het toepassen van de nieuwe instellingen voor groepsbeleid toe te staan op dc's.

2. Schakel de instelling MinimumPasswordLengthAudit Group Policy in op een domein of forest waar langer vereiste wachtwoorden gewenst zijn. Deze beleidsinstelling moet zijn ingeschakeld in het beleid van de standaarddomeincontroller dat is gekoppeld aan de organisatie-eenheid domeincontrollers (OU).

3. Het is raadzaam het controlebeleid drie tot zes maanden ingeschakeld te laten om alle software te detecteren die geen ondersteuning biedt voor wachtwoorden van meer dan 14 tekens.

4. Controleer domeinen voor directory-services-SAM 16978-gebeurtenissen die zijn geregistreerd tegen software waarmee wachtwoorden drie tot zes maanden zijn beheerd. U hoeft de gebeurtenissen in Directory-Services-SAM 16978 die zijn geregistreerd met gebruikersaccounts, niet te controleren.

   1. Als dit mogelijk is, configureert u de software om een langere wachtwoordlengte te gebruiken.

   2. Werk samen met de softwareleverancier om de software bij te werken om langere wachtwoorden te gebruiken.

   3. Implementeer een fijnkorrelig wachtwoordbeleid voor dit account met behulp van een waarde die overeenkomt met de wachtwoordlengte die door de software wordt gebruikt.

   4. Voor software die accountwachtwoorden beheert, maar niet automatisch lange wachtwoorden gebruikt en niet kan worden geconfigureerd voor het gebruik van lange wachtwoorden, kan een fijnkorrelig wachtwoordbeleid voor deze accounts worden gebruikt.

5. Nadat alle adreslijst-Services-SAM 16978-gebeurtenissen zijn geadresseerd, kunt u een minimumwachtwoord inschakelen. Ga hiervoor als volgt te werk:

   1. Implementeer een versie van Windows Server die handhaving ondersteunt op alle dc's (inclusief Read-Only DCs).

   2. Schakel het groepsbeleid RelaxMinimumPasswordLengthLimits in op alle DC's.

   3. Configureer het Groepsbeleid van MinimumPasswordLength op alle DC's.

Groepsbeleid

Windows gebeurtenislogboekberichten

Drie nieuwe logboekberichten voor gebeurtenis-id's worden opgenomen als onderdeel van deze toegevoegde ondersteuning.

Richtlijnen voor het wijzigen van softwarewachtwoord

Gebruik de maximale wachtwoordlengte bij het instellen van een wachtwoord in software.

Geschiedenis

Hoewel de algehele beveiligingsstrategie van Microsoft sterk is gericht op een toekomst zonder wachtwoord, kunnen veel klanten geen wachtwoorden migreren voor de korte tot middellange termijn. Sommige beveiligingsbewuste klanten willen een standaardinstelling voor minimale wachtwoordlengte voor het domein kunnen configureren die groter is dan 14 tekens (klanten kunnen dit bijvoorbeeld doen nadat ze hun gebruikers hebben gevraagd langere wachtwoordzinnen te gebruiken in plaats van de traditionele korte, enkele tokenwachtwoorden). Ter ondersteuning van dit verzoek heeft Windows Updates in april 2018 voor Windows Server 2016 een wijziging van groepsbeleid ingeschakeld waarmee de minimale wachtwoordlengte is verhoogd van 14 naar 20 tekens. Hoewel deze wijziging langer wachtwoord leek te ondersteunen, was deze uiteindelijk onvoldoende en werd de nieuwe waarde geweigerd toen het groepsbeleid werd toegepast. Deze afwijzingen waren stil en vereist gedetailleerde tests om te bepalen dat het systeem geen langere wachtwoorden ondersteunde. Voor zowel Windows Server 2016 als Windows Server 2019 is een follow-upupdate voor de SAM-laag (Security Account Manager) opgenomen, zodat het systeem end-to-end correct kan werken met een minimale wachtwoordlengte groter dan 14 tekens. Voor zowel Windows Server 2016 als Windows Server 2019 is een follow-upupdate voor de SAM-laag (Security Account Manager) opgenomen, zodat het systeem end-to-end correct kan werken met een minimale wachtwoordlengte groter dan 14 tekens.

De beleidsinstelling MinimumPasswordLength heeft een toegestan bereik van 0 tot 14 voor een zeer lange tijd (vele tientallen jaren) op alle Microsoft-platforms. Deze instelling is van toepassing op lokale Windows en Active Directory (en NT4-domeinen daarvoor). Een waarde van nul (0) houdt in dat er geen wachtwoord vereist is voor een account.

In eerdere versies van Windows groepsbeleids ui is het instellen van minimaal vereiste wachtwoordlengten langer dan 14 tekens niet ingeschakeld. In april 2018 hebben we echter de Windows 10-updates uitgebracht die ondersteuning hebben toegevoegd voor meer dan 14 tekens in de gebruikersinterface van groepsbeleid als onderdeel van updates, zoals:

• KB 4093120: 17 april 2018—KB4093120 (os build 14393.2214)

Deze update bevat de volgende tekst van de releasenota:

'Verhoogt de minimale wachtwoordlengte in groepsbeleid tot 20 tekens'.

Sommige klanten die de versies van april 2018 hebben geïnstalleerd en updates hebben overgeslagen, hebben ontdekt dat ze nog steeds geen wachtwoorden met meer dan 14 tekens kunnen gebruiken. Uit onderzoek is vastgesteld dat er extra updates moeten worden geïnstalleerd op dc-rollencomputers die de wachtwoorden met meer dan 14 tekens onderhouden die zijn gedefinieerd in het wachtwoordbeleid. Met de volgende updates zijn Windows Server 2016, Windows 10, versie 1607 en de eerste release van Windows 10-domeincontrollers ingeschakeld voor het servicen van aanmeldings- en verificatieaanvragen met meer dan 14 tekens:

• KB 4467684: 27 november 2018—KB4467684 (os build 14393.2639)

Deze update bevat de volgende tekst van de releasenota:

'Hiermee wordt een probleem opgelost waardoor domeincontrollers het wachtwoordbeleid voor groepsbeleid niet kunnen toepassen wanneer de minimale wachtwoordlengte groter is dan 14 tekens.'

• KB 4471327: 11 december 2018—KB4471321 (os build 14393.2665)

Sommige klanten hebben wachtwoorden met meer dan 14 tekens gedefinieerd in het beleid na de installatie van de updates van april 2018 tot en met oktober 2018, die in feite niet beschikbaar waren tot updates van november 2018 en december 2018 of nadat domeincontrollers met een inheems besturingssysteem in staat waren meer dan 14 tekens in het beleid te gebruiken, waardoor de tijd-/oorzakelijke koppeling tussen functie-enablement en beleidstoepassing werd verwijderd. Of u nu groepsbeleid en domeincontrollerupdates tegelijk hebt geïnstalleerd of niet, mogelijk ziet u de volgende bijwerkingen:

• Blootgestelde problemen met toepassingen die momenteel niet compatibel zijn met wachtwoorden met meer dan 14 tekens.

• Blootgestelde problemen wanneer domeinen die bestaan uit een combinatie van de releaseversie van Windows Server 2019 of bijgewerkte 2016-dc's die meer dan 14-tekens wachtwoorden en pre-Windows Server 2016-dc's ondersteunen die geen ondersteuning bieden voor wachtwoorden met meer dan 14 tekens (totdat backports bestaan en zijn geïnstalleerd voor Windows Server 2016).

• Na de installatie van KB4467684kan de clusterservice mogelijk niet beginnen met de fout '2245 (NERR_PasswordTooShort)' als het groepsbeleid 'Minimale wachtwoordlengte' is geconfigureerd met meer dan 14 tekens.

  De richtlijnen voor dit bekende probleem waren het instellen van het domein standaardbeleid 'Minimale wachtwoordlengte' op minder dan of gelijk aan 14 tekens. We werken aan een oplossing en komen met een update in een toekomstige release.

Vanwege de eerdere problemen is de dc-ondersteuning voor wachtwoorden met meer dan 14 tekens verwijderd in de updates van januari 2019, zodat de functie niet kan worden gebruikt.