我如何以编程方式获取 Enforce Password History组策略设置？

研究成果

您可以在以下位置找到组策略选项:

**Computer Configuration\Windows Settings\Security Settings\Account Policies\Password Policy**

Enforce password history

This security setting determines the number of unique new passwords that have to be associated with a user account before an old password can be reused. The value must be between 0 and 24 passwords.

This policy enables administrators to enhance security by ensuring that old passwords are not reused continually.

与所有组策略选项一样，它存储在注册表中。不幸的是，它存储在一个未记录的注册表位置:

HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\F

在 undocumented binary blob format 中.

是一个WMI类RSOP_SecuritySettingBoolean ，但没有任何上下文，它只是一个卡在那里的名字——我不知道如何通过 COM/native 读取它。

NetValidatePasswordPolicy

Windows 确实提供了一个 NetValidatePasswordPolicy API这将允许它验证您的密码，例如:

• 太多失败的尝试
• 账户锁定
• 锁定自动重置
• 最低密码使用期限
• 密码最长使用期限
• 密码重复使用

它会按照计算机上有效的组策略执行所有这些操作。一切都很好，除了密码历史记录。

该函数要求您传递密码哈希列表，例如:

• $2a$14$mACnM5lzNigHMaf7O1py1OLCBgGL4tYUF0N/4rS9CwDsI7ytwL4D6
• $2a$14$mACnM5lzNigHMaf7O1py1O3vlf6.BA8k8x3IoJ.Tq3IB/2e7g61Km
• $2a$12$.TtQJ4Jr6isd4Hp.mVfZeuh6Gws4rOQ/vdBczhDx.19NFK0Y84Dle
• $2a$12$Ro0CUfOqk6cXEKf3dyaM7OhSCvnwM9s4wIX9JeLapehKK5YdLxKcm

以及新候选密码的哈希值，例如:

• $2a$10$1JsBs47iuMNsV166PKV.u.56hlT5/tRe9V5t5FIdfA0axpDSQuNN

这将导致 NetValidatePasswordPolicy 检查您当前的哈希值是否与任何现有哈希值匹配。不幸的是，检查先前密码哈希值的整个概念仅在您使用弱密码算法 (such as PBKDF2 that Windows uses) 时才有效。

因为我使用了一种现代的、昂贵的、salted的密码散列算法 (BCrypt/SCrypt)，所以不能单独从密码确定地生成散列 - 我可以'不要简单地检查旧列表。我将不得不根据以前存储的每个 盐重新散列用户的新密码。

• 这不仅是一项昂贵的操作；可能需要 12 秒来检查所有 24 个存储的哈希值
• 我不知道什么时候停止，因为我不知道密码历史组策略值(例如，我将检查所有 24 个存储的哈希，而我只需要检查零)。

我考虑过调用 NetValidatePasswordPolicy 并使用包含 24 个已存储密码哈希值的虚拟列表，例如:

• 一个
• b
• c
• d
• ...
• v
• w
• x

然后 API 会告诉我它的密码与 n 历史记录中的任何密码都不匹配。但 API 还旨在将您必须保留的内容返回给您。它可能然后返回:

• $2a$10$1JsBs47iuMNsV166PKV.u.56hlT5/tRe9V5t5FIdfA0axpDSQuNN
• 一个
• b
• c

从中我可能能够推断出密码历史长度是四。

但我还没有到达那里。

我已经花了三天时间，已经失去耐心了。

• 为什么 Microsoft 混淆了组策略？
• 为什么 Microsoft 不允许人们阅读它？
• 为什么没有记录？
• 我怎样才能得到它们？

最佳答案

事实证明，使用 RSOP_SecuritySettingBoolean(策略的结果集)是个坏主意；因为它只适用于加入域的机器。

查询 Active Directory 同样只适用于加入域的计算机；并且适用于能够查询域 Controller 的用户(这是可以取消授权的)。

真正的解决方案是使用NetUserModalsGet ，它可以返回如下结构:

struct USER_MODALS_INFO_0
{
    DWORD usrmod0_min_passwd_len;
    DWORD usrmod0_max_passwd_age;
    DWORD usrmod0_min_passwd_age
    DWORD usrmod0_force_logoff; 
    DWORD usrmod0_password_hist_len; //Specifies the length of password history maintained. 
          //A new password cannot match any of the previous usrmod0_password_hist_len passwords. 
          //Valid values for this element are zero through DEF_MAX_PWHIST.
}

和

struct USER_MODALS_INFO_3 
{
   DWORD usrmod3_lockout_duration;
   DWORD usrmod3_lockout_observation_window;
   DWORD usrmod3_lockout_threshold;
}

示例代码为:

Int32 GetPasswordHistoryLength()
{
   PUSER_MODALS_INFO_0 info0;

   NET_API_STATUS res = NetUserModalsGet(nil, 0,  out info0);

   if (res <> NERR_Success)
      RaiseWin32Error(res);
   try
   {
      return info0.usrmod0_password_hist_len;
   }
   finally
   {
      NetApiBufferFree(info0);
   }
}

文档说最大值是DEF_MAX_PWHIST，它在Lmaccess.h 中定义为:

//
// user modals related defaults
//

#define MAX_PASSWD_LEN      PWLEN
#define DEF_MIN_PWLEN       6
#define DEF_PWUNIQUENESS    5
#define DEF_MAX_PWHIST      8

#define DEF_MAX_PWAGE       TIMEQ_FOREVER               // forever
#define DEF_MIN_PWAGE       (unsigned long) 0L          // 0 days
#define DEF_FORCE_LOGOFF    (unsigned long) 0xffffffff  // never
#define DEF_MAX_BADPW       0                           // no limit
#define ONE_DAY             (unsigned long) 01*24*3600  // 01 day

但事实并非如此。该策略允许用户最多设置 24 个。

Note: Any code released into public domain. No attribution required.

关于windows - 如何以编程方式获取强制密码历史组策略设置？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/30989935/