W zasadach haseł w systemie Windows Server jest włączona opcja „Hasło musi spełniać wymagania co do złożoności”. Znaki z co najmniej ilu kategorii (wielkie litery, małe litery, cyfry, znaki specjalne) musi zawierać hasło użytkownika?
A. z jednej
B. z trzech
C. z dwóch
D. z czterech
W tej zasadzie systemu Windows Server chodzi o wymóg użycia znaków z co najmniej trzech kategorii. W typowym ujęciu egzaminacyjnym są to: wielkie litery, małe litery, cyfry oraz znaki specjalne, więc hasło nie musi mieć wszystkiego naraz, ale musi spełniać minimum 3 z 4 grup. Przykład poprawnego hasła pod tym kątem to Serwer2024, bo ma wielkie litery, małe litery i cyfry. Jeszcze lepsze byłoby Serwer2024!, bo dochodzą znaki specjalne. Ta opcja jest konfigurowana w zasadach zabezpieczeń, najczęściej przez Group Policy, np. w Default Domain Policy dla kont domenowych. Z mojego doświadczenia to jedna z tych zasad, które naprawdę warto znać, bo często pojawia się przy administracji Active Directory. Trzeba jednak pamiętać, że sama złożoność to nie wszystko. Dobre praktyki, zgodne z podejściem Microsoft i ogólnymi zasadami bezpieczeństwa, zalecają też odpowiednią długość hasła, blokadę konta po wielu błędnych logowaniach, historię haseł oraz, jeśli się da, MFA. Moim zdaniem długość hasła bywa nawet ważniejsza niż wciskanie dziwnych znaków na siłę, ale w Windows Server ta konkretna opcja wymaga właśnie trzech kategorii znaków.
Wymaganie złożoności haseł w Windows Server bywa mylone z prostym założeniem, że wystarczą dwie grupy znaków albo że trzeba użyć absolutnie wszystkich dostępnych kategorii. W praktyce mechanizm tej zasady działa inaczej: hasło ma zawierać znaki z co najmniej trzech kategorii, czyli na przykład małe litery, wielkie litery i cyfry, albo małe litery, cyfry i znak specjalny. Dwie kategorie to za mało, bo takie hasła są zwykle przewidywalne, np. admin123456 ma tylko małe litery i cyfry, więc ataki słownikowe oraz brute force mają łatwiejsze zadanie. Z drugiej strony cztery kategorie nie są obowiązkowe, chociaż często są dobrym pomysłem. Hasło złożone z małych i wielkich liter, cyfr oraz symboli jest mocniejsze, ale Windows Server nie wymaga zawsze pełnego kompletu, tylko minimum trzech grup. Odpowiedź zakładająca jedną kategorię jest już całkiem nietrafiona, bo hasło typu haslodostepu albo 123456789 może być długie, ale nadal jest słabe i nie spełnia zasad złożoności. Typowy błąd myślowy polega na traktowaniu złożoności jako czegoś uznaniowego, a to jest konkretna reguła konfigurowana w polityce bezpieczeństwa. W administracji domeną warto to kojarzyć z GPO, Active Directory i zasadami kont, bo tam takie ustawienie realnie wpływa na użytkowników. No i jeszcze jedno: samo dodanie znaku ! na końcu nie zawsze czyni hasło dobrym, jeśli reszta jest banalna. Dobre hasło powinno być nie tylko zgodne z polityką, ale też trudne do odgadnięcia i odpowiednio długie.