Fragensteller
Passwörter überprüfen VOR dem Ändern

Frage
-
Hallöchen zusammen,
ich möchte immer dann, wenn ein Nutzer sein Passwort ändert ein Skript durchlaufen lassen, in dem das Passwort auf bestimmte Kriterien geprüft wird. Wenn alles passt soll das passwort ganz normal gesetzt / geändert werden.
Hintergrund:
Wir verwenden eine Windows Domäne. Dort haben wir eine Passwort Richtlinie implementiert (Standard durch Windows) und verwenden auch komplexe Passwörter mit Mindestlänge. Leider haben wir einige findige Nutzer, die trotzdem z8iemlich idiotische Passwörter setzen (z.B. Ab123456789) Und eben diese Passwörter entsprechen den Passwortrichtlinien von Windows, sind aber dennoch Blödsinn.Die Idee:
Wenn ein Nutzer sein Passwort ändert (über die Windows Funktion), dann möchten wir zusätzlich zur Windows Prüfung ein Skript aufrufen, wo dann das Passwort zusätzlich geprüft wird. Diese Prüfungen würden wir da dann entsprechend implementieren und können das ganze dann dynamisch erweitern. Dieses Skript soll halt einen Status True/false oder so zurückgeben. Wenn True dann wird das Passwort ganz normal weiter verarbeitet, wenn false dann wird das Passwort abgelehnt.Nun die Frage:
Geht sowas überhaupt? Kann ich unter Windows so etwas dazwischen schalten? Und falls ja, wie muss ich dies machen?Bin an der Stelle total überfragt und habe bisher dazu eben auch noch nichts im Netz gefunden. Bin über jede Hilfe dankbar.
Alle Antworten
-
Ja, das geht mit einer Password Filter DLL: https://docs.microsoft.com/en-us/windows/win32/secmgmt/strong-password-enforcement-and-passfilt-dll
Dafür gibt es auch fertige Produkte: https://specopssoft.com/de/produkte/specops-password-policy/
Evgenij Smirnov
-
Ja, das geht mit einer Password Filter DLL: https://docs.microsoft.com/en-us/windows/win32/secmgmt/strong-password-enforcement-and-passfilt-dll
Wenn ich das richtig verstanden habe erstelle ich also eine eigene .dll Datei mittels Visual Studio und binde die dann ein?
Das muss ich mir mal genauer anschauen, danke für den Tipp
LG
Nadja- Bearbeitet Sasha Nadja Dienstag, 17. Mai 2022 13:56
-
Nein, musst Du nicht. Entweder Du bist ein extrem erfahrener System-Programmierer mit jahrelangem Security-Fokus, oder Du baust Dir da ein Einfallstor, verglichen mit dem die doofen Passwörter noch ein unüberwindbares Hindernis sind. Denk an Log4J - was könnte man denn an einer Logging-Funktion missbrauchen, aber nun...
Setzt die Mindestlänge auf 20 Zeichen und erklärt den Usern vorher, dass sie Pass*phrasen* nutzen können. Kannst ihnen auch den Ausschnitt aus der Closing Keynote von Mark Heitbring auf der CIM Lingen 2018 vorspielen. Aber eigenen Code in die Prozesse auf den DCs reinhooken?
Evgenij Smirnov