Defendendo-se com senhas fortes

Tópicos nesta página

Utilizando senhas fortes Senhas na linha de frente   Utilizando políticas de senhas para aumentar a segurança

Por Kathy Ivens

Este artigo foi publicado na edição de Setembro de 2002 da Windows & .NET Magazine.

Toda conta de usuário na rede precisa de uma senha, apesar do Windows 2000 permitir logon de usuários que possuem senhas em branco. Depois de decidir forçar o uso de senhas, você precisa determinar que políticas você deve impor aos usuários. Você pode definir políticas de senhas para um domínio ou para um computador específico; configurar uma senha para um computador específico é útil quando você possuir máquinas que estão em locais vulneráveis ou armazenam dados críticos. Infelizmente, o Windows 2000 não permite que políticas  sejam definidas com base em grupos, apenas para o domínio ou um computador.

Para visualizar ou manipular políticas de senhas para um domínio, abra o snap-in Usuários e Computadores do Active Directory e clique com o botão direito do mouse no domínio. Selecione Propriedades para abrir a caixa de diálogo Propriedades do objeto. Selecione então a guia Diretiva de Grupo. Selecione o GPO Diretiva padrão do domínio (Default Domain Policy) e clique em Editar. Então, expanda o objeto de política do domínio para \Configuração do computador\Configurações do Windows\Configurações de Segurança\Diretivas de senha. Como mostra a Figura 1, o painel da diretiva exibirá as diretivas disponíveis para o domínio (as mesmas diretivas existem para computadores locais). Para alterar o status atual de uma diretiva (por padrão, as diretivas de senhas não são definidas), clique duas vezes na diretiva para abrir a caixa de diálogo Configuração da Diretiva de Segurança e marque a opção Definir esta configuração de diretiva.

Figura 1   Painel de diretivas do Windows lista as diretivas disponíveis para o domínio

Diferente das diretivas de senhas do domínio, as diretivas de senha dos computadores são sempre definidas por padrão. Entretanto, as configurações por padrão não impõem nenhuma segurança quando comparadas a diretiva do domínio. Além disso, toda diretiva que for definida para o domínio sobrescreverá a diretiva definida no PC. Se você definir uma diretiva para um computador e a diretiva do domínio permanecer indefinida, a diretiva efetiva será a do computador. Se você definir diretivas tanto no domínio como no computador, a diretiva efetiva será a do domínio. Ao definir uma nova diretiva para o PC, você precisará reiniciar o computador para que a diretiva tenha efeito. Depois de reiniciar o sistema, você poderá observar as alterações feitas na janela Diretiva de segurança local. Como mostra a Figura 2, a diretiva local que força um histórico de senhas é a diretiva efetiva, o que significa que nenhuma diretiva do domínio está sobrescrevendo a diretiva local.

Figura 2   A janela Diretiva de segurança local mostra as configurações da diretiva de senha

As seguintes diretivas de senhas estão disponíveis:

  • Aplicar histórico de senhas: nega aos usuários a capacidade de reutilizar a mesma senha utilizada anteriormente. O número especificado para a diretiva é o número de senhas únicas que um usuário precisará utilizar antes de reutilizar uma senha já utilizada anteriormente. Você pode utilizar um valor entre 1 e 24 (0 significa que a diretiva está desativada).
  • Tempo de vida máximo da senha: determina com que frequência os usuários devem alterar suas senhas. As opções disponíveis vão de 1 dia a 999 dias.
  • Tempo de vida mínimo da senha: determina o mínimo número de dias (de 1 a 999 dias) que uma senha precisa ser utilizada antes que o usuário possa alterá-la.
  • Comprimento mínimo da senha: determina o número mínimo de caracteres para uma senha. As opções disponíveis vão de 1 a 14 caracteres; um valor igual a 0 significa que a diretiva está desativada.
  • A senha deve satisfazer a requisitos de complexidade: também chamada de "senha forte", é uma poderosa ferramenta de segurança de senhas. Para maiores detalhes, leia a seção "Utilizando senhas fortes".
  • Armazena senhas usando criptografia reversível para todos os usuários no domínio: esta diretiva enfraquece, não fortalece, as senhas. Se você ativar esta diretiva, as senhas serão armazenadas em texto puro no Active Directory (AD) e qualquer pessoa poderá lê-las. Esta diretiva existe para suportar aplicações que necessitem de conhecimento de senhas dos usuários; o exemplo mais comum é o protocolo AppleTalk. A menos que o seu domínio consista inteiramente de computadores Macintosh, esta diretiva é perigosa e não deve ser ativada no domínio. Em vez disso, aplique esta diretiva baseado em usuários, editando as propriedades do objeto usuário na ferramenta Usuários e Computadores do Active Directory. Ativando esta diretiva em cada usuário, a configuração irá afetar apenas usuários específicos em vez de afetar todo o domínio.

Independente das diretivas de domínio definidas, você também pode configurar as opções O usuário deve alterar a senha no próximo logon, O usuário não pode alterar a senha, A senha nunca expira e Armazenar senhas usando criptografia reversível para qualquer usuário individualmente, através da guia Conta das propriedades do usuário. Estas configurações individuais têm prioridade sobre as diretivas do domínio.

Algumas diretivas de senhas são interdependentes e outras são mutuamente exclusivas. Por exemplo, se você permitir alterações na senha imediatamente não definindo um tempo de vida mínimo da senha, você não poderá ativar a opção Aplicar histórico de senhas. Se você quer permitir senhas em branco, você não poderá definir um comprimento mínimo da senha. E se você utilizar a diretiva Aplicar histórico da senha para especificar o número de senhas que o usuário deverá utilizar antes de aplicar uma senha já usada, você deverá especificar também o número de dias na diretiva Tempo de vida mínimo da senha.

Mesmo que você não ative as diretivas de senhas disponíveis, você precisa criar um procedimento para determinar as senhas e distribuir as instruções para os usuários. Por exemplo, defina uma regra onde as senhas precisam conter tanto números como letras. Usuários com direito de acesso a dados críticos (por exemplo, registros de pagamentos da empresa) precisam evitar o uso de frases fáceis de serem identificadas em suas senhas, de forma que outros membros da equipe possam descobrir a senha. Como exemplos de frases reconhecíveis, podemos citar a data de aniversário, o nome da esposa ou do animal de estimação e outras referências similares.

Utilizando senhas fortes

Ativar a diretiva A senha deve satisfazer a requisitos de complexidade (também conhecida como senhas fortes) significa que o sistema opercional lhe ajudará a manter a segurança impondo regras aos usuários no momento da alteração das senhas. Ao ativar as senhas fortes, as senhas passarão a ser mais difíceis de serem descobertas e menos susceptíveis a "ataques de dicionários", onde um software pode randomicamente testar senhas de forma a quebrá-la.

Senhas fortes utilizam um dispositivo chamado pacote de notificação, que utiliza uma dll que contém as regras de senhas. Você pode configurar as regras que estão no pacote de notificação padrão do Windows 2000, chamada passfilt.dll. Entretanto, você pode escrever o seu próprio pacote de notificação se você quiser utilizar uma regra diferente. Você encontrará o código fonte de passfilt.dll no artigo "HOWTO: Password Change Filtering & Notification in Windows NT" (http://support.microsoft.com/default.aspx?scid=kb;en-us;151082&sd=tech), e você pode utilizá-lo como modelo para escrever a sua própria dll. O código fonte da dll é a mesma para o Windows 2000 e o Windows NT. O pacote Passfilt.dll contém a seguinte regra, que é imposta aos usuários na alteração/criação das senhas:

  1. As senhas devem conter ao menos 6 caracteres e pelo menos 3 das 4 características seguintes: letras em maiúsculas, letras em minúsculas, números e caracteres alfanuméricos (por exemplo,  *, %, &, !).
  2. As senhas não podem conter o nome de logon do usuário.
  3. As senhas não podem conter nenhuma porção do nome completo do usuário. Se o usuário definir uma senha que não passa por estas regras, o sistema irá retornar uma mensagem de erro e não irá aceitar a senha definida.

Se você habilitar as senhas fortes, você precisará considerar as configurações para senhas únicas. Os usuários podem ter dificuldades em inventar senhas fortes e alguns administradores permitem que o usuário repita a senha após 1 ou 2 alterações na senha. Esta política pode ser utilizada pois como as senhas são difíceis de serem quebradas, a segurança não será rebaixada se os usuários reutilizarem uma senha antiga após um curto período de tempo.

Senhas complicadas também aumentam as chances de erros de digitação durante o logon do usuário. Um problema mais comum é o usuário esquecer a senha. Os usuários acabam resolvendo este problema de várias formas que comprometem a segurança, como escrevendo suas senhas em notas coladas aos monitores ou deixando notas em gavetas destrancadas.

Os administradores ativam o recurso de senha forte pois desejam utilizar o máximo de recursos de segurança de senhas disponível. Proibir o uso de senhas repetidas até que váras senhas sejam utilizadas certamente fortalece a segurança. Meu conselho é que você implemente os recursos mais fortes de segurança primeiro. Se você tiver problemas porque os usuários não conseguem se adaptar a uma série de senhas fortes, você poderá reduzir o número de senhas especificadas no histórico.

O Windows 2000 impõe a regra de senhas fortes apenas quando o usuário atualiza sua senha através da rede (ou seja, quando o usuário está trabalhando em um computador conectado a outros computadores). A regra de senhas fortes não é ativada quando o administrador grava uma senha de usuário diretamente ao SAM, o que permite que a ferramenta Usuários e Computadores do Active Directory seja utilizada para senhas não qualificadas como fortes (conhecidas como senhas fracas). Esta ação permite que você imponha regras de senhas fortes baseado em usuários. Se necessário, use este recurso. Aplique-o apenas a usuários que possuam estações seguras ou direitos de acesso baixos.

Se você definir uma senha fraca para um usuário no AD, o usuário deverá seguir a regra de senhas fortes quando ele ou ela alterar a senha após um tempo específico de vida da senha. Selecionando a opção A senha nunca expira nas propriedades do usuário, você pode permitir que o usuário continue a utilizar a senha fraca criada pelo administrador. Se você precisar atribuir ao usuário uma nova senha, crie você mesmo a senha no AD para evitar os filtros que a regra contém.

Senhas na linha de frente

A segurança de senhas é uma defesa na linha de frente da segurança corporativa. Ao utilizar diretivas que aumentam a segurança das senhas, tenha a certeza de notificar os usuários sobre o novo ambiente de senhas e forneça instruções simples para a criação e alteração de senhas.

Adicionalmente, invasores algumas vezes utilizam software que ajudam a quebrar as senhas. Se você obter uma cópia destes programas, teste suas senhas executando o software em vários computadores na empresa. Se o software quebrar alguma senha em até 1 minuto, solicite ao usuário a troca da senha, por uma mais complicada.

© 2002 Windows & .NET Magazine. Todos os direitos reservados.

Obtenha uma edição de amostra da Windows & .NET Magazine em: https://secure.pentontech.com/nt/windows/index.cfm?promocode=fs&Code=WI201XTN (site em inglês).

O Windows & .NET Magazine UPDATE é um boletim informativo gratuito enviado por e-mail que contém notícias, dicas e outros recursos para profissionais da área de informática que usam o Windows. Inscreva-se agora em http://email.winnetmag.com/winnetmag/winnetmag_prefctr.asp (site em inglês).

Nós, da Microsoft Corporation, esperamos que essas informações sejam valiosas. No entanto, você assume inteiro risco quanto ao uso das informações contidas neste documento. Todas as informações contidas neste trabalho são fornecidas "como estão", sem quaisquer garantias, quer explícitas ou implícitas, de sua precisão, abrangência, adequação a uma finalidade específica, titularidade ou não-violação. A Microsoft Corporation não cria, recomenda, dá suporte ou garante nenhum dos produtos ou das informações de terceiros mencionados neste trabalho. A Microsoft Corporation não se responsabilizará por quaisquer danos ocorridos em decorrência do uso dessas informações, quer sejam diretos, indiretos, especiais, incidentais ou conseqüenciais, mesmo que tenha sido informada da possibilidade de tais danos. Todos os preços dos produtos mencionados neste documento estão sujeitos a alterações sem aviso prévio.

Topo