IT備忘録

Windowsoのパスワードを解析するアプリ”Ophcrack”の対応策です。

対策 1 : グループ ポリシーを使用して NoLMHash ポリシーを実装する
1.グループ ポリシーを起動して（gpedit.msc）、
[コンピュータの構成]-[Windows の設定]-[セキュリティの設定]-
[ローカル ポリシー] を展開して、[セキュリティ オプション] をクリック
2. 使用可能なポリシーの一覧で、
[ネットワーク セキュリティ : 次のパスワードの変更で LAN マネージャの
ハッシュの値を保存しない] をダブルクリック
3. [有効] を選択し、[OK] をクリック

対策 2 : レジストリを編集して NoLMHash ポリシーを実装する
--Windows 2000 SP2 以降
1. レジストリ エディタ (Regedt32.exe) を起動
2. 以下のレジストリ キーを見つけてクリック
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
3. [編集] メニューで [キーの追加] をクリックし、NoLMHash を作成する
4. レジストリ エディタを終了する
5. コンピュータを再起動し、パスワードを変更して設定を有効にします。
注）保存されている以前の LM ハッシュの履歴は消去されないため、
保存されている既存の LM ハッシュは、パスワードを変更すると削除されます。

--Windows XP および Windows Server 2003
1. レジストリ エディタ(regedit)を起動
2. 以下のレジストリ キーを見つけてクリックします。
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
3. [編集] メニューの [新規] を選択し、[DWORD 値] をクリック
4. NoLMHash を作成する
5. [編集] メニューの [修正] をクリック
6. 1 と入力し、[OK] をクリック
7. コンピュータを再起動し、パスワードを変更して設定を有効にします
注）保存されている以前の LM ハッシュの履歴は消去されないため、
保存されている既存の LM ハッシュは、パスワードを変更すると削除されます。

対策 3 : 15 文字以上の長さのパスワードを使用する
15 文字以上の長さのパスワードを使用すると、ユーザーの認証に使用できない
LM ハッシュ値が Windows により保存されます。

--過去記事
USBメモリ起動　Ophcrack
http://nofx2.txt-nifty.com/it/2009/03/usbophcrack-ddd.html

パスワード解析ツール
http://nofx2.txt-nifty.com/it/2006/04/post_5068.html

--参考ページ
http://support.microsoft.com/default.aspx?scid=kb;ja;299656
http://pnpk.net/cms/archives/168
http://itpro.nikkeibp.co.jp/article/COLUMN/20061128/255161/?P=2&ST=csirt