{"id":225795,"date":"2019-12-09T06:51:04","date_gmt":"2019-12-09T05:51:04","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=225795"},"modified":"2019-12-09T08:39:44","modified_gmt":"2019-12-09T07:39:44","slug":"falle-active-directory-kennwortrichtlinie-mit-15-zeichen","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2019\/12\/09\/falle-active-directory-kennwortrichtlinie-mit-15-zeichen\/","title":{"rendered":"Falle: Active Directory-Kennwortrichtlinie mit 15 Zeichen"},"content":{"rendered":"

[English<\/a>]In den Gruppenrichtlinien f\u00fcr Active Directory gibt es eine \u00e4rgerliche Sache. Diese verhindert, dass ein Administrator eine Kennwortrichtlinie setzt, die Kennw\u00f6rter mit mindestens 15 Zeichen verlangt. Noch schlimmer: Versucht jemand die Kennwortl\u00e4nge auf 15 Zeichen festzulegen, wird intern eine vorher vorgegebene L\u00e4nge (von z.B. nur noch 7 Zeichen) verwendet. Es gibt aber Workarounds.<\/p>\n

<\/p>\n

\"\"Ich bin \u00fcber einen Facebook-Post von (Ex-)MVP-Kollege Mark Heitbrink auf das Thema gesto\u00dfen und dachte, es k\u00f6nnte vielleicht f\u00fcr den einen oder anderen Administrator von Interesse sein.<\/p>\n

\"Active
\n(Facebook-Eintrag von Mark Heitbrink)<\/p>\n

Mark hat das Ganze auf seiner Webseite gruppenrichtlinien.die<\/em> in diesem Beitrag<\/a> aufbereitet. Die Kurzfassung: Er wollte 15 Zeichen als Standard-Mindestl\u00e4nge f\u00fcr Active Directory-Kennw\u00f6rter per Gruppenrichtlinie vorgeben (der Editor erlaubt 20 Zeichen). Aber die Security Baseline von Microsoft gibt schlicht 14 Zeichen vor, mehr geht (auf Grund eines Bugs) wohl nicht.<\/p>\n

Denn dies ist die l\u00e4ngste zul\u00e4ssige L\u00e4nge von Kennw\u00f6rtern, die sich ohne Probleme vorgeben l\u00e4sst. Im Beitrag beschreibt er, was passiert, wenn ein Administrator \u00fcber eine Default Domain Passwort Policy<\/em> versucht, die Standard-Kennwortl\u00e4nge auf 15 Zeichen zu setzen. Die dort vorgegebene minimale Kennwortl\u00e4nge (im Test von Marc waren es 7 Zeichen) bleibt nach einem gpupdate<\/em> erhalten, und wird als Standardrichtlinie im AD weiter gereicht. Erkennen l\u00e4sst sich dies, weil in der Ereignisanzeige Warnungen der Art SceCli 1202, Die Sicherheitsrichtlinien wurden mit Warnungen propagiert. 0x57 : Falscher Parameter <\/em>einlaufen.<\/p>\n

Mark schreibt: Der Administrator geht davon aus, dass die vorgegebenen 15 Zeichen gelten, es sind durch die Standardrichtlinie, die pl\u00f6tzlich wirksam wird, auch Kennw\u00f6rter mit mit z.B. 7 Zeichen L\u00e4nge zul\u00e4ssig.<\/p>\n

Im Beitrag beschreibt Mark, welches L\u00f6sungen es f\u00fcr dieses Dilemma gibt. Man kann die minimale Kennwortl\u00e4nge per PowerShell f\u00fcr das AD-Attribut minPwdLength <\/em>festlegen. Hat aber den Nachteil, dass die Warnungen in der Ereignisanzeige weiter eintreffen. Mark macht den Vorschlag, die Default Domain Policy <\/em>auf 14 Zeichen Kennwortl\u00e4nge einzustellen. Details sind in diesem Beitrag<\/a> nachzulesen.<\/p>\n","protected":false},"excerpt":{"rendered":"

[English]In den Gruppenrichtlinien f\u00fcr Active Directory gibt es eine \u00e4rgerliche Sache. Diese verhindert, dass ein Administrator eine Kennwortrichtlinie setzt, die Kennw\u00f6rter mit mindestens 15 Zeichen verlangt. Noch schlimmer: Versucht jemand die Kennwortl\u00e4nge auf 15 Zeichen festzulegen, wird intern eine vorher … Weiterlesen →<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426,7459,301],"tags":[4328,3288],"class_list":["post-225795","post","type-post","status-publish","format-standard","hentry","category-sicherheit","category-software","category-windows","tag-sicherheit","tag-windows-en"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/225795","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=225795"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/225795\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=225795"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=225795"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=225795"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}