Der Diebstahl von Iden­titäten ist für Angreifer der Königsweg zu den Daten eines Unter­nehmens. Daher sollte man über Policies starke Pass­wörter erzwingen. Aber auch sie können kompro­mittiert werden. Eine zusätz­liche Absicherung erreicht man durch MFA, das zudem auch Remote-Zugriffe schützen soll.

Im August 2020 wurde die Schwach­stelle CVE-2020-1472 im Netlogon Remote Protocol pub­liziert. Microsofts Patch er­zwingt ab dem 9. Februar die Kommu­nikation über einen Secure RPC. Inkom­patible Geräte können sich ab sofort nur mehr an einem DC authen­tifizieren, wenn man sie über ein GPO zulässt.

Wenn ein Rechner neben dem System-Volume über Daten­lauf­werke verfügt, die mit BitLocker ver­schlüsselt sind, dann ist es angenehm, wenn man sie nicht immer sepa­rat ent­sperren muss. Das gilt erst recht für Wechsel­daten­träger. BitLocker bietet mit Auto-Unlock und SID-Protector dafür zwei Ver­fahren.

Domain Keys Identified Mail (DKIM) ist eine Methode zur E-Mail-Authen­tifizierung. Die für die Signierung und Über­prüfung von Nach­richten erfor­der­lichen Schlüssel lassen sich mit OpenSSL im Sub­system für Linux erzeugen. Der Public Key muss dann mittels eines TXT-Records in das DNS einge­tragen werden.

Microsoft erweitert seine Authen­ticator App um die Fähigkeit, Kenn­wörter für Websites und mobile Apps zu speichern. Dies soll Anwender zu kom­plexeren Pass­wörtern ermutigen, da sie sich diese dank des Passwort-Managers nicht mehr merken müssen. Vorerst setzt diese Funktion ein Microsoft-Konto vor­aus.

Wenn Unter­nehmen bei einer hybriden Konfi­guration bestehend aus einem lokalem AD und Azure AD die Passwort-Hashes nicht in die Cloud über­tragen möchten, dann können sie für die Authenti­fizierung ADFS dazwischen­schalten. Ein Kompromiss wäre, nur die Kenn­wörter be­stimmter User mit AAD Connect abzu­gleichen.

Die Multifaktor-Authentifizierung (MFA) ist grund­sätzlich eine wichtige Sicherheits­funktion des Azure AD. Aller­dings kann es vorkommen, dass Benutzer vom System gedrängt werden, sich für MFA zu regi­strieren, selbst wenn dieses Feature nicht aktiviert ist. Das liegt dann meist an der Ein­stellung für Sicherheits­standards.

Benutzer sind von Online-Diensten gewohnt, dass sie Kenn­wörter bei Ver­gessen einfach zurück­setzen können. ADSelfService Plus sorgt für eine ähnliche Erfahrung in der Firmen-IT, wobei Benutzern auch andere AD-Attribute selbst ändern können. Funktionen für Admins erhöhen zudem die Sicher­heit.

Die meisten Firmen defi­nieren eine Richt­linie, die User dazu zwingt, ihre Pass­wörter nach einer be­stimmten Zeit zu ändern. Um zu ver­hindern, dass sie damit bis zur letzten Minute warten und dann wo­möglich den Helpdesk benötigen, kann man sie recht­zeitig mit Specops Password Notifi­cation daran erinnern.

Windows 10 2004 bringt eine neue Ein­stellung für die Gruppen­richtlinien, die erlaubt, die minimale Länge von Kenn­wörtern auf einen größeren Wert als 14 zu konfi­gurieren. Dies war auch bisher schon über PowerShell möglich. Die ebenfalls neue Audit-Richtlinie meldet aber Konflikte zwischen den beiden Mecha­nismen.