Правила использования паролей

Хотя это вполне очевидно, многие компании умудряются упустить данный аспект, Я считаю, что ограничения на используемые пароли должны быть следующие.

• Минимальная длина пароля — 8 или 10 символов.

• Смена паролей каждые 45 дней.

• Блокирование учетной записи после трех неудачных попыток регистрации за 5 ча­сов, блокирование отменяется через 3 часа.

• В пароле должны быть буквы, хотя бы одна цифра и специальный символ.

• Нельзя повторно использовать предыдущие 5 паролей.

• Паролями не могут быть даты дней рождения, различные имена, названия спортив­ных команд и так далее.

Несколько советов как выбрать хороший пароль.

• Придумайте фразу и возьмите из нее первые буквы каждого слова.

• Пример — When I stub my toe. I say !@#$% 5 times (когда я ударяю палец, то говорю !@#$% 5 раз).

• Получится пароль WismtIS!@#$%5t

В зависимости от некоторых определенных обстоятельств ограничения на использо- вание паролей могут изменяться. Например, некоторые компании, нуждающиеся в повы­шенной секретности, увеличивают длину пароля или уменьшают интервал его изменения,

Применение системы syskey

Данная система входит в состав пакета обновления Service Pack 3 и обеспечивает шифрование базы данных SAM ключом длиной 128 бит. Установить SYSKEY следует на всех контро­лерах доменов (обязательно на всех, потому что если пропустить какой-то, могут начаться проблемы). В статье Q1434475 базы данных технической документации Microsoft можно найти подобное описание программы SYSKEY. Далее представлен отрывок из этой статьи:

"Приложение System Key для ОС Windows NT Server 4.0 предназначено для обеспече­ния надежной защиты учетных записей, хранящихся в диспетчере безопасности учетных записей (SAM). Операционная система Windows NT хранит учетные записи пользовате­лей, включая их производные значения, в защищенной части системного реестра, с уста­новленным контролем доступа и соответствующим кодированием. Получить доступ к дан­ной информации реестра могут только администраторы сети. Как и другие системы, Win­dows NT позволяет пользователям с наивысшими, административными привилегиями использовать все ресурсы без ограничений. Шифрование паролей учетных записей, а также конфиденциальной информации, предназначено для повышения уровня безопас­ности и ограничения умышленного или случайного доступа администраторов к учетным записям посредством программного интерфейса реестра. Если использовать систем)' SYSKEY, то программа LOphtcrack больше не сможет получать хэш-коды паролей.

Возможности устойчивого шифрования системы System Key являются дополнитель­ным средством защиты локальной сети для ОС Windows NT Server 4.0 и не устанавливаются по умолчанию. Администраторы могут установить устойчивое шифрование с помощью System Key. Устойчивый алгоритм кодирования защищает конфиденциальные данные, шифруя пароли с помощью случайного ключа длиной в 128 бит.

В базе данных кодируются только учетные записи частных лиц, а не вся база данных. Каждая система, использующая этот метод кодирования, получает свой уникальный ключ шифрования, который, в свою очередь, зашифрован алгоритмом System Key. Использо­вать устойчивое шифрование SYSKEY можно на ОС Windows NT и Workstation для защиты содержимого базы учетных записей SAM. Система зашифровывает не только часть реест­ра, но и важные данные, которые хранятся в каталоге %systemroot%\repair, а также резервные копии, созданные с помощью команды RDISK."

Системный ключ определяется или изменяется исполняемым файлом syskey.exe. Вы­полнять эту команду могут только администраторы. Сам же системный ключ (system key) это "основной ключ" системы, который нужен для защиты ключей шифрования данных. Именно поэтому указанный ключ надлежит тщательно охранять от несанкционированного доступа.

Есть только один негативный аспект SYSKEY, но именно из-за него я не рекомендую использовать эту систему. SYSKEY невозможно удалить. Если программа установлена, то удалить ее можно только путем переустановки всей операционной системы. И если вы на все 100% не уверены в необходимости применения данной программы, то лучше ее не ис­пользовать. Я знаю много примеров, когда сразу после выхода этого приложения многие компании бросились его устанавливать на контроллерах доменов, которые использовали сторонние механизмы аутентификации. И когда у пользователей начались проблемы с ре­гистрацией, программу решено было срочно удалить. Конечно же, все оказалось не так просто, и в результате пришлось переустановить операционные системы на всех серве­рах. Тот, кто знает, как выглядит установка программного обеспечения на главных серве­рах, согласится, что лучше с подобным никогда не сталкиваться.