Passwort-Alter abfragen und ablaufen lassen

[cjmatsel 10]

Hi,

ich möchte gern mein Netzwerk (W2k8-R2-DC) besser absichern und dazu am LDAP alle alten Passwörter abfragen. Das Beste wäre dann diese ablaufen zu lassen, sodass die besonders alten Passwörter relativ zügig geändert werden müssten. Wie könnte man so etwas lösen? Ich will nicht gleich mit dem Holzhammer rum laufen, daher dachte ich an eine Batch oder dsquery-Abfrage...

 

Ein paar Ideen hierzu wären sehr hilfreich! :-)

 

cu,

cjmatsel

[NorbertFe 1.799]

Über welche Größenordnung sprechen wir? Wenns viele sind, einfach alle Kennworte einmal zeitmässig auf heute zurücksetzen und die Kennwortrichtlinie definieren (Komplexität, Länge und Dauer). Dann kannst du ganz genau sagen, wann die alle ablaufen. ;)

bearbeitet 20. September 2016 von NorbertFe

[cjmatsel 10]

Hi,

wir reden von ca. 200 Benutzern. Aber wie ich schrieb: "Ich möchte gern die Holzhammer-Methode vermeiden!"

 

Daher wäre im ersten Schritt interessant welches Alter die Passwörter haben um dann herauszufiltern welche Benutzer überhaupt betroffen sind...

[NilsK 2.781]

Moin,

 

vorbereitend kannst du eine Abfrage mit OldCmp machen. Das kann auch User abfragen und gibt u.a. das Datum des letzten Kennwortwechsels aus.

oldcmp -users -report

http://www.joeware.net/freetools/tools/oldcmp/index.htm

 

 

Aber wie ich schrieb: "Ich möchte gern die Holzhammer-Methode vermeiden!"

 

Norberts Vorschlag ist auch nicht der Holzhammer, sondern der Gummihammer. Man setzt alle Kennwörter einmal auf "abgelaufen" und löscht dann das Flag gleich wieder. Die Kennwörter haben in diesem Moment "jetzt" als Änderungsdatum. Danach gilt für alle User die im AD definierte Kennwortrichtlinie, d.h. du kannst exakt sagen, wann die Kennwörter ablaufen. Die User haben dann auch noch bis zu diesem Zeitpunkt Zeit.

 

Gruß, Nils

bearbeitet 20. September 2016 von NilsK

[cjmatsel 10]

OK, dann habe ich das nicht so verstanden. Diese Idee klingt tatsächlich einfach; wie löst ihr das mit den Systemaccounts? Also den Accounts welche Programme benutzen um das LDAP abzufragen oder Dienste zu starten usw...?

 

edit: und wie würde ich den Ansatz von Norbert umsetzen? Wenn ich eine Handvoll Benutzer markiere und mit der rechten Maustaste anklicke kann ich nur sagen dass die Benutzer "bei der nächsten Anmeldung" das Kennwort ändern müssen...

bearbeitet 20. September 2016 von cjmatsel

[NorbertFe 1.799]

Ja dann lies Nils' Aussage doch nochmal.

[blub 115]

Hallo,

kennst du die Microsoft Empfehlungen bzgl. Userpasswörtern?

 

1. Maintain an 8-character minimum length requirement (and longer is not necessarily better).
2. Eliminate character-composition requirements.
3. Eliminate mandatory periodic password resets for user accounts.
4. Ban common passwords, to keep the most vulnerable passwords out of your system.
5. Educate your users not to re-use their password for non-work-related purposes.
6. Enforce registration for multi-factor authentication.
7. Enable risk based multi-factor authentication challenges.

 

https://www.microsoft.com/en-us/research/publication/password-guidance/

 

Systemaccounts, besonders solche mit eigenem SPN, sollten aber mindestens 25 Zeichen lang sein und auch ab und zu mal geändert werden.

 

blub

[NorbertFe 1.799]

Schön, dass ms solche Empfehlungen gibt, aber keine technischen Möglichkeiten davon auch was umzusetzen. ;)

[NilsK 2.781]

Moin,

 

bei den Empfehlungen von Microsoft muss man den Kontext beachten: Es geht um massenweise Accounts für Privatuser. Die Studie basiert auf Microsoft-Accounts. Für Unternehmensumgebungen ist daher nicht alles so anwendbar.

 

Besonders relevant sind die Punkte 4 bis 7 der obigen Liste. So stellt Microsoft das in dem Papier auch dar. Für die Punkte 1 bis 3 gibt es eine spezielle Argumentation, die vor allem mit der erwartbaren Bequemlichkeit von Anwendern zu tun hat. Als wichtigstes Element stellen die Forscher Punkt 4 heraus - wie Norbert schon anmerkt, gibt es dafür aber gar keinen Mechanismus, solange man keine Drittanbietersoftware einsetzt.

 

Bei Punkt 1 neige ich zum Widerspruch. Es lässt sich zeigen, dass längere Kennwörter durchaus "per se" besser sind als kürzere. Die Einschränkung macht die Studie wieder bei der Bequemlichkeit von Usern, die dazu neigen, auch lange Kennwörter vorhersagbar zu setzen.

 

Gruß, Nils

[cjmatsel 10]

Norbert: Wie setze ich ein Kennwort auf abgelaufen? Diese Info fehlt mir hier irgendwie... :-/

[NilsK 2.781]

Moin,

 

hier hat er es erklärt:

http://www.mcseboard.de/topic/207806-kennwortrichtlinie-im-ad-durchsetzen/?do=findComment&comment=1308180

 

Gruß, Nils

[cjmatsel 10]

Aah! :thumb1:

dsquery user -stalepwd 90 -limit 0 | dsmod user -mustchpwd yes
dsquery user -stalepwd 90 -limit 0 | dsmod user -mustchpwd no

... zum Beispiel.

 

richtig?

 

edit: ein "dsquery user -stalepwd 90 -limit 0" liefert mir aber immer noch eine Menge Benutzer aus. Ich denke das Passwort sollte jetzt 0 Tage alt sein?

bearbeitet 20. September 2016 von cjmatsel

[NorbertFe 1.799]

Ja aber ein besser definierten Zustand bekommst du eben, wenn du alle gleich behandelst.

[cjmatsel 10]

Hmm, ich verstehe es leider trotzdem noch nicht: trotz der beiden oben eingestellten Befehle meldete sich eben gerade ein Benutzer bei mir weil sein Kennwort abgelaufen ist und sofort geändert werden müsse... :confused:

edit: Es scheint als wenn die Befehle auf der Kommandozeile nicht greifen: Per Mausklick wird tatsächlich die Ergebnis-Liste immer kleiner... :-/

Seltsam...

bearbeitet 20. September 2016 von cjmatsel

[NilsK 2.781]

Moin,

 

dann schau dir deine Kommandos doch noch mal an: Du setzt das Flag bei allen Usern, deren Kennwort 90 Tage alt ist. Und dann setzt du das Flag mit demselben Filter zurück - der jetzt aber eine andere Menge zurückgibt, weil das erste Kommando ausgeführt wurde ...

 

Oder deutlicher: Die User, die du mit dem ersten Kommando behandelt hast, haben keinen Wert mehr bei pwdLastSet. Sie fallen durch den Filter deines zweiten Kommandos.

 

Skripte und Massenoperationen testet man im Lab, nicht in der Produktion.

 

Gruß, Nils