Udostępnij przez

Hasła i frazy hasłowe systemu Windows LAPS

Dowiedz się, jak hasła i frazy hasła są tworzone do rozwiązania Windows Local Administrator Password Solution (Windows LAPS).

Overview

Podstawowym celem systemu Windows LAPS jest regularne obracanie hasła lokalnego konta systemu Windows. Ważne jest, aby zrozumieć, jak system Windows LAPS generuje losowe hasła (lub losowe hasła).

Zestawy znaków haseł

System Windows LAPS obsługuje pięć różnych ustawień złożoności, których można użyć do generowania losowych haseł. Ustawienie zasad PasswordComplexity służy do wybierania zestawów znaków używanych podczas tworzenia hasła.

Ustawienie PasswordComplexity Description Zestawy znaków Example
1 Duże litery "ABCDEFGHIJKLMNOPQRSTUVWXYZ" "OZKTIQHCKHRWOX"
2 Duże litery + małe litery "ABCDEFGHIJKLMNOPQRSTUVWXYZ"

"abcdefghijklmnopqrstuvwxyz"		 "fOiMbhmcVFHzmI"
3 Duże litery + małe litery + cyfry "ABCDEFGHIJKLMNOPQRSTUVWXYZ"

"abcdefghijklmnopqrstuvwxyz"

"0123456789"		 "logqQVGs53R4vY"
4 Duże litery + małe litery + cyfry + specjalne "ABCDEFGHIJKLMNOPQRSTUVWXYZ"

"abcdefghijklmnopqrstuvwxyz"

"0123456789"

",.-+;! #&@{}[]$/()%"		 "P5QWg43.1lA}ra"
5 Duże litery + małe litery + cyfry + specjalne (ulepszona czytelność) "ABCDEFGHJKLMNPRSTUVWXYZ"

"abcdefghijkmnpqrstuvwxyz"

"23456789"

"!#%+@:=?*"		 "vnJ!!?MTb5=U7Y"

Po wybraniu ustawienia złożoności z wieloma zestawami znaków system Windows LAPS gwarantuje, że wynikowe hasło zawiera co najmniej jeden znak losowo wybrany z każdego zestawu znaków.

Długość haseł jest kontrolowana przy użyciu ustawienia zasad PasswordLength. Hasła utworzone przez system Windows LAPS domyślnie mają długość 14 znaków i można je skonfigurować w dowolnym miejscu od 8 do 64 znaków.

Ustawienie złożoności hasła pięć jest równoważne ustawieniu złożoności hasła cztery z następującymi modyfikacjami w celu zwiększenia czytelności i uniknięcia nieporozumień. Różnice między ustawieniem czterech i ustawieniem pięciu są następujące:

  • Usuwa litery "I", "O", "Q", "l" i "o"
  • Usuwa liczby "0" i "1"
  • Usuwa symbole ",", ".", "&", "{", "}", "[", "]", "(", ")" i ";"
  • Dodaje symbole ":", "=", "?" i "*"

Important

Ustawienie PasswordComplexity "5" jest obsługiwane tylko w systemie Windows 11 24H2, Windows Server 2025 i nowszych wersjach. Nie jest wymagane wdrożenie żadnych kontrolerów domeny systemu Windows Server 2025 w celu użycia tego nowego ustawienia.

Listy fraz haseł

System Windows LAPS obsługuje trzy różne ustawienia złożoności, których można użyć do generowania losowych haseł. Ustawienie zasad PasswordComplexity służy do wybierania list wyrazów używanych podczas tworzenia hasła:

Ustawienie PasswordComplexity Description Liczba wyrazów na liście Example
6 Długie wyrazy 7776 "SedimentWaffleEpilogueArrivalWorseningRecent"
7 Krótkie wyrazy 1276 "CauseGraveBossFilthHashCleft"
8 Krótkie wyrazy z unikatowymi prefiksami 1276 "GongDazzlerNumbingAdmitMowerEvidence"

Długość haseł jest kontrolowana przy użyciu ustawienia zasad PassphraseLength. Hasła utworzone przez system Windows LAPS domyślnie mają długość sześciu wyrazów i mogą być skonfigurowane na długość od trzech do 10 wyrazów. Pierwsza litera każdego wyrazu jest zawsze pisana wielką literą, aby poprawić czytelność. Między wyrazami nie są używane znaki interpunkcyjne ani inne znaki dzielące.

Listy słów do haseł zostały pobrane z artykułu "Dogłębna analiza: Nowe listy wyrazów EFF dla losowych haseł" opublikowanego przez Electronic Frontier Foundation i są używane na podstawie licencji CC-BY-3.0 Attribution. Określoną zawartość wszystkich list haseł frazowych Windows LAPS można pobrać z Windows LAPS Passphrase Word Lists. Firma Microsoft dokonała niewielkich modyfikacji oryginalnych list wyrazów; wszystkie zmiany zostały szczegółowo opisane na listach możliwych do pobrania.

Important

Obsługa hasła systemu Windows LAPS jest obsługiwana tylko w systemach Windows 11 24H2, Windows Server 2025 i nowszych wersjach. Nie jest wymagane wdrożenie kontrolerów domeny systemu Windows Server 2025 w celu użycia tego nowego ustawienia.

Zagadnienia dotyczące entropii

System Windows LAPS tworzy naprawdę losowe hasła oraz zwroty hasłowe (żadne ludzkie uprzedzenia nie są możliwe). W związku z tym można łatwo obliczyć wynikowe bity entropii dla hasła lub frazy o danej długości. W poniższej tabeli wymieniono wynikowe bity entropii dla przykładowego zestawu długości hasła\frazy.

Obsługiwane ustawienia złożoności hasła są wyświetlane na górze tabeli, a długość hasła/wyrażenia kluczowego jest wyświetlana po lewej stronie. Wartości entropii dla domyślnych ustawień długości zasad są pogrubione:

Ustawienie PasswordComplexity —>

Długość hasła lub frazy hasła

V		 1 2 3 4 5 6 7 8
3 39 31 31
4 52 41 41
5 65 52 52
6 78 62 62
7 90 72 72
8 38 46 48 51 48 103 83 83
9 42 51 54 57 54 116 93 93
10 47 57 60 63 60 129 103 103
11 52 63 65 70 66
12 56 68 71 76 72
13 61 74 77 82 78
14 66 80 83 89 84
20 94 114 119 126 120
40 188 228 238 253 240
60 282 342 357 379 360

Na wyższym końcu dopuszczalnych zakresów długości poziom entropii może być uważany za nadmierny dla większości normalnych środowisk IT. Należy wziąć pod uwagę, że zwykle istnieje kompromis bezpieczeństwa w porównaniu z użytecznością. Na przykład trudno jest ludziom odczytywać i wpisywać długie i złożone hasła. Przejście na frazy-kluczowe jest przydatnym sposobem na rozwiązanie tych kwestii, zachowując jednocześnie rozsądną ilość entropii. Jeśli maksymalizacja zabezpieczeń jest najważniejszym problemem, możesz zamiast tego rozważyć alternatywne zabezpieczenia, na przykład utrzymanie konta zarządzanego w stanie wyłączonym domyślnie.

Zobacz także

Dalsze kroki

Teraz, gdy już wiesz, jak są tworzone hasła i frazy kluczowe, zapoznaj się z tymi innymi sekcjami.

  • Last updated on