Directrices de política de contraseñas de Active Directory
Algo con lo que todos pueden identificarse es cómo una política de contraseñas en una aplicación, ya sea para uso personal o comercial, ha impactado su experiencia de inicio de sesión.
Si eres como yo, recordarás algunas contraseñas antiguas que usaste cuando apenas comenzabas. Pensábamos que éramos muy inteligentes en aquel entonces. Usar malas palabras o nombres de la persona que nos gusta al principio, pero luego pasar a usar un uno en lugar de una "I" o una "L": brillante.
Déjame contarte una historia sobre una de mis primeras contraseñas; Cómo lo olvidé, cómo lo recordé y cómo nunca más lo olvidaré.
Tiempos memorables con una política de contraseñas
Tenía un viejo Macintosh G4 que usaba únicamente para reproducir música. Esto fue en los días de Napster, así que “tomé prestada” mucha música en aquel entonces. Todos los días, iniciaba mi Mac junto con mi computadora con Windows. Varios años después, compré mi primera casa y le quité el polvo a mi viejo G4. Conecté algunos parlantes excelentes y este iba a ser mi reproductor multimedia de las cavernas. Mi júbilo se desvaneció rápidamente después del inicio cuando me di cuenta de que no podía iniciar sesión. No puedo decirte cuántas combinaciones de contraseñas diferentes probé, pero lo único que sé con certeza es que siempre recordaré el movimiento de la barra de contraseñas temblando después de un intento fallido.
Después de aproximadamente una hora, pasé a la etapa de aceptación de mi dolor, pero cada pocos días volvía a intentarlo hasta que finalmente lo recordé. Cuando configuré Mac por primera vez, quería iniciar sesión rápidamente. Ese teclado claro del G4 tenía un bonito teclado numérico completo con una tecla Intro en la parte inferior derecha. Sentí como si me hubiera caído un rayo y corrí escaleras abajo, encendí la computadora y escribí cero, luego “Entrar”. “Mi contraseña era el número cero. Fue tan brillante, tan simple y tan estúpido.
La composición de las contraseñas ha cambiado drásticamente en los últimos 10 a 15 años. Hablando estrictamente de la política de contraseñas de Microsoft Active Directory, el motivo de estos cambios drásticos se debe a la introducción de Políticas de contraseñas detalladas (FGPP) y a las industrias que pasan del entorno local a la nube. Estos dos eventos específicamente han tenido un impacto muy grande en las recomendaciones de contraseñas y son las razones exactas por las que una política de contraseñas no sirve para todos. Es por eso que este artículo comienza literalmente en cero.
Enfoques de la vieja escuela
Cuando se lanzó Active Directory en 2000, Microsoft implementó una política para gobernarlos a todos. Es decir, solo se puede implementar una política de contraseña para cualquier dominio. Al implementar esta política única, la tarea del Administrador es identificar el mínimo común denominador. A menudo, esto da como resultado una política de contraseñas débil que debe adaptarse a sistemas antiguos que no admiten contraseñas de más de ocho caracteres o algo peor.
La configuración de la política de contraseñas de Active Directory se encuentra abriendo la Consola de administración de políticas de grupo (GPMC) y editando la Política de dominio predeterminada u otra política vinculada a la raíz del dominio. Para llegar allí, navegue hasta Configuración de la computadora > Políticas > Configuración de Windows > Configuración de seguridad > Políticas de cuenta > Política de contraseña.
De forma predeterminada, la configuración se ve así desde hace unos 15 años.
Configuración de la política de contraseñas
Cada una de las seis configuraciones de política de contraseñas proporciona su propia medida de seguridad única.
Hacer cumplir el historial de contraseñas
Esta configuración determina cuántas contraseñas anteriores se recuerdan para una cuenta de usuario. La intención de esta configuración es proteger contra la reutilización de contraseñas. Los críticos suelen citar que esta configuración es muy deficiente porque aún permite a los usuarios reutilizar contraseñas simplemente incrementando el último carácter (Ejemplo: Otoño de 2022 a Otoño de 2023). A pesar de estas críticas, Microsoft sigue recomendando recordar 24 contraseñas.
Edad máxima de la contraseña
Esta configuración determina cuánto tiempo es válida una contraseña antes de requerir un cambio. Esta configuración a menudo se denomina caducidad de contraseña y ha sido tema de controversia durante varios años. El NIST publicó la famosa publicación especial 800-63B en 2017, que sugiere que las contraseñas nunca deberían caducar. Microsoft también eliminó su recomendación de antigüedad de la contraseña (anteriormente 60 días) cuando publicaron la línea base de seguridad para Windows Server v1903. Con respecto a esta decisión, Microsoft explica: “Eliminar una configuración de valor bajo de nuestra línea base y no compensarla con algo más en la línea base no significa que estemos reduciendo los estándares de seguridad. Simplemente refuerza que la seguridad no se puede lograr exclusivamente con líneas de base. También señalan en sus mejores prácticas: “Las empresas que no implementaron la protección con contraseña de Azure AD, la autenticación multifactor u otras mitigaciones modernas de los ataques de adivinación de contraseñas deben dejar esta política vigente. El artículo sigue recomendando una antigüedad de la contraseña de entre 30 y 90 días.
Edad mínima de la contraseña
Esta configuración determina la cantidad de tiempo que una contraseña debe permanecer válida antes de poder cambiarla nuevamente. La recomendación para esta configuración es un día. Protege contra un usuario que no presenta quejas y que cambia inmediatamente una contraseña 24 veces antes de volver a la contraseña original.
Longitud mínima de la contraseña
Esta configuración determina la cantidad de caracteres que debe tener una contraseña para ser válida. La longitud de la contraseña es otra configuración controvertida. Las contraseñas más cortas se pueden adivinar o descifrar más fácilmente, pero imponer contraseñas largas puede alentar a los usuarios finales a escribirlas o reutilizarlas en otras aplicaciones. Actualmente, Microsoft recomienda contraseñas de 14 caracteres en su base de seguridad, pero también sostiene que ocho caracteres pueden ser suficientes para la mayoría de los entornos.
La clave debe cumplir los requerimientos de complejidad
Esta configuración determina si las contraseñas deben cumplir con los requisitos de complejidad. Microsoft recomienda habilitar esta configuración. Cuando esta configuración está habilitada, evita una contraseña que incluya el nombre de usuario o el nombre completo de la cuenta. También obliga a que una contraseña contenga tres de cinco categorías (mayúsculas, minúsculas, numéricas, caracteres especiales o Unicode).
Almacene contraseñas mediante cifrado reversible
Esta configuración permite que las contraseñas se almacenen de una manera que permita descifrarlas. Las cuentas que utilizan cifrado reversible tienen atributos de contraseña que se pueden descifrar fácilmente a su equivalente en texto sin cifrar. Microsoft recomienda mantener esta configuración deshabilitada.
Microsoft proporciona una explicación detallada que incluye las mejores prácticas para todas estas configuraciones aquí. Desafortunadamente, algunas de estas configuraciones están limitadas en sus valores posibles. Actualmente no se admite una longitud mínima de contraseña superior a 14 caracteres al utilizar esta política de contraseñas sin controladores de dominio que ejecuten Windows Server 2004. Ahí es donde entran las políticas de contraseña detalladas (FGPP).
Política de contraseñas detallada (FGPP)
Introducido en Windows Server 2008, FGPP brindó a los administradores la libertad de imponer pautas de contraseña más estrictas a un subconjunto de usuarios. Las recomendaciones para FGPP suelen ser aplicar una política específica a cuentas con privilegios elevados o aplicar una política diferente en cuentas de servicio de Microsoft. Aunque los FGPP ampliaron los rangos de configuraciones como la longitud mínima de la contraseña, todavía están restringidos a los mismos atributos que la política de contraseña original. Estas limitaciones dejan a los usuarios del dominio vulnerables a ataques a contraseñas, como la pulverización de contraseñas y el relleno de credenciales. Tampoco contiene la flexibilidad necesaria para cumplir con las pautas de cumplimiento recientes, como NIST o incluso las mejores prácticas de Microsoft.
Microsoft reconoce que su “pequeño conjunto de políticas de contraseñas antiguas que se pueden hacer cumplir a través de las plantillas de seguridad de Windows” ya no son suficientes. En cambio, recomiendan fortalecer aún más la seguridad de las contraseñas implementando una lista de contraseñas prohibidas, eliminando la reutilización de contraseñas y aplicando la autenticación multifactor (MFA).
Política de contraseñas de Azure Active Directory
Microsoft ha utilizado su plataforma en la nube para ampliar las políticas de contraseñas que antes eran supresivas. Al aprovechar las integraciones con Active Directory (AD) local e implementar nuevas tecnologías, Microsoft ha proporcionado un conjunto de herramientas que avanza aún más en la seguridad de las contraseñas. Algunos ejemplos incluyen protección de contraseña de Azure AD, sincronización de hash de contraseña (PHS), supervisión y MFA.
La protección con contraseña implementa un filtro de contraseña para AD y Azure AD. Este filtro evita que las cuentas utilicen contraseñas en una lista de contraseñas prohibidas. Los filtros de contraseñas suelen bloquear el uso de contraseñas débiles, contraseñas comprometidas o contraseñas que incluyen palabras comunes a la empresa.
La sincronización de hash de contraseña (PHS) es una opción cuando se trabaja en un modelo de identidad híbrido, ya que sincroniza el hash de contraseña desde el entorno local con Azure AD. La característica clave que proporciona PHS es la detección de credenciales filtradas. Esta es una forma de auditoría de contraseñas que compara las contraseñas con las credenciales violadas conocidas. La auditoría de contraseñas ocurre continuamente en lugar de solo en el momento del cambio de contraseña. Esta forma de monitoreo no sólo protege a los usuarios con credenciales filtradas sino que también ayuda a combatir la reutilización de contraseñas.
De manera similar, Azure AD Identity Protection puede identificar comportamientos potencialmente sospechosos y tomar medidas. Para ello, evalúa el riesgo asociado con las actividades de inicio de sesión y el usuario en general. Los comportamientos de inicio de sesión riesgosos pueden ser intentos de inicio de sesión desde una ubicación atípica o un posible ataque de difusión de contraseña. Un ejemplo de comportamiento de usuario riesgoso sería la detección de actividades que pueden ser inusuales para la cuenta de usuario específica. Identity Protection monitorea estos eventos riesgosos y emitirá una alarma o tomará medidas automáticamente.
MFA no es específicamente una protección con contraseña, pero posiblemente sea el mejor método para proteger las cuentas de ataques y es una herramienta importante proporcionada por Microsoft para Azure AD. La mayoría de las recomendaciones hoy en día incluyen MFA. Azure AD ofrece valores predeterminados de seguridad y políticas de acceso condicional como métodos flexibles para implementar MFA en un inquilino.
Conclusión
Las políticas de contraseñas son (y siempre han sido) un acto de equilibrio. Una política de contraseñas es una colisión entre la seguridad y el impacto en el usuario. Hay muy pocas empresas que puedan seguir las directrices del NIST . Por eso es tan importante considerar las opciones disponibles para cualquier entorno determinado. Por ejemplo, un entorno que aplica MFA puede relajar los requisitos de longitud de las contraseñas. Por otro lado, un entorno sin MFA puede considerar una antigüedad de contraseña más estricta o la implementación de una auditoría de contraseñas. No existe una respuesta correcta a la pregunta sobre la política de contraseñas. Bueno, tal vez no permitas una contraseña de cero. Pero, por otro lado, puede que no sea tan fácil de adivinar como podría pensarse.