แคชข้อมูลรับรองการเข้าสู่ระบบโดเมนบน Windows

เมื่อผู้ใช้โดเมนเข้าสู่ระบบ Windows ข้อมูลประจำตัวของพวกเขาจะถูกบันทึกไว้ในเครื่องคอมพิวเตอร์ตามค่าเริ่มต้น (ข้อมูลรับรองแคช: ชื่อผู้ใช้และแฮชรหัสผ่าน) ซึ่งช่วยให้ผู้ใช้สามารถเข้าสู่ระบบคอมพิวเตอร์ได้ แม้ว่าตัวควบคุมโดเมน AD จะไม่พร้อมใช้งาน ปิดอยู่ หรือไม่ได้เสียบปลั๊กสายเคเบิลเครือข่ายจากคอมพิวเตอร์ การแคชข้อมูลประจำตัวของบัญชีโดเมนสะดวกสำหรับผู้ใช้แล็ปท็อปที่สามารถเข้าถึงข้อมูลในเครื่องของตนบนอุปกรณ์เมื่อเครือข่ายองค์กรไม่พร้อมใช้งาน

การแคชข้อมูลรับรองผู้ใช้โดเมนบน Windows

ข้อมูลประจำตัวที่แคชไว้อาจใช้เพื่อเข้าสู่ระบบ Windows หากผู้ใช้ได้รับรองความถูกต้องบนคอมพิวเตอร์เครื่องนี้อย่างน้อยหนึ่งครั้ง และรหัสผ่านโดเมนของพวกเขาไม่ได้รับการเปลี่ยนแปลงตั้งแต่นั้นมา รหัสผ่านผู้ใช้ในข้อมูลรับรองเงินสดไม่มีวันหมดอายุ หากนโยบายรหัสผ่านของโดเมนบังคับให้ผู้ใช้เปลี่ยนรหัสผ่าน รหัสผ่านที่บันทึกไว้ในแคชภายในเครื่องจะไม่เปลี่ยนจนกว่าผู้ใช้จะเข้าสู่ระบบด้วยรหัสผ่านใหม่ หากรหัสผ่านผู้ใช้ใน AD มีการเปลี่ยนแปลงหลังจากเข้าสู่ระบบคอมพิวเตอร์ครั้งล่าสุดและคอมพิวเตอร์ออฟไลน์ (ไม่มีการเข้าถึงเครือข่ายโดเมน) ผู้ใช้จะสามารถเข้าสู่ระบบคอมพิวเตอร์ด้วยรหัสผ่านเก่าได้

หากไม่มีโดเมน Active Directory Windows จะตรวจสอบว่าชื่อผู้ใช้และรหัสผ่านที่ป้อนตรงกับแคชในเครื่องหรือไม่ และอนุญาตให้เข้าสู่ระบบในเครื่องคอมพิวเตอร์

ข้อมูลรับรองแคชจะถูกเก็บไว้ในรีจิสทรีภายใต้คีย์ reg HKEY_LOCAL_MACHINE\Security\Cache (

%systemroot%\System32\config\SECURITY

). แต่ละแฮชที่บันทึกไว้จะถูกเก็บไว้ในพารามิเตอร์ NL$x (โดยที่

x

เป็นดัชนีข้อมูลแคช) ตามค่าเริ่มต้น แม้แต่ผู้ดูแลระบบก็ไม่สามารถดูเนื้อหาของคีย์รีจิสทรีนี้ได้ แต่คุณสามารถเข้าถึงได้หากจำเป็น

หากไม่มีข้อมูลประจำตัวที่แคชไว้ในแคชภายในเครื่อง คุณจะเห็นข้อความต่อไปนี้เมื่อคุณพยายามเข้าสู่ระบบคอมพิวเตอร์แบบออฟไลน์:

There are currently no logon servers available to service the logon request.

การกำหนดค่าข้อมูลรับรองแคชด้วยนโยบายกลุ่ม

คุณสามารถกำหนดจำนวนผู้ใช้ที่ไม่ซ้ำ ซึ่งข้อมูลประจำตัวอาจถูกบันทึกไว้ในแคชภายในเครื่องบนคอมพิวเตอร์โดเมนด้วยตัวเลือก Group Policy สำหรับข้อมูลรับรองผู้ใช้ที่จะเก็บไว้ในโลคัลแคช ผู้ใช้ต้องเข้าสู่ระบบคอมพิวเตอร์อย่างน้อยหนึ่งครั้ง

ตามค่าเริ่มต้น Windows 10 และ Windows Server 2016 จะจัดเก็บข้อมูลประจำตัวของผู้ใช้ที่เข้าสู่ระบบล่าสุด 10 คุณสามารถเปลี่ยนค่านี้ได้ด้วยตัวเลือก GPO ต่อไปนี้ - การเข้าสู่ระบบแบบโต้ตอบ: จำนวนการเข้าสู่ระบบก่อนหน้านี้ไปยังแคช (ในกรณีที่ไม่มีตัวควบคุมโดเมน) คุณสามารถค้นหาได้ในการกำหนดค่าคอมพิวเตอร์ -> นโยบาย -> การตั้งค่า Windows -> การตั้งค่าความปลอดภัย -> นโยบายท้องถิ่น -> ตัวเลือกความปลอดภัย คุณสามารถตั้งค่าใด ๆ จาก

0

ถึง

50

There are currently no logon servers available to service the logon request

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon

หากผู้ใช้เข้าสู่ระบบด้วยข้อมูลรับรองที่บันทึกไว้ พวกเขาจะไม่เห็นตัวควบคุมโดเมนไม่พร้อมใช้งาน เมื่อใช้ GPO คุณสามารถแสดงการแจ้งเตือนเกี่ยวกับการใช้ข้อมูลรับรองแคชเพื่อเข้าสู่ระบบ โดยเปิดใช้งานตัวเลือก GPO รายงานเมื่อเซิร์ฟเวอร์การเข้าสู่ระบบไม่พร้อมใช้งานระหว่างการเข้าสู่ระบบของผู้ใช้ นโยบายภายใต้การกำหนดค่าคอมพิวเตอร์ -> นโยบาย -> เทมเพลตการดูแลระบบ -> ส่วนประกอบของ Windows -> ตัวเลือกการเข้าสู่ระบบ Windows

จากนั้นการแจ้งเตือนต่อไปนี้จะปรากฏขึ้นในถาดหลังจากที่ผู้ใช้เข้าสู่ระบบ:

A domain controller for your domain could not be contacted. You have been logged on using cached account information. Changes to your profile since you last logged on might not be available.

HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/Current Version/Winlogon

ความเสี่ยงด้านความปลอดภัยของข้อมูลรับรอง Windows ที่แคชไว้

การแคชข้อมูลรับรองในเครื่องมีความเสี่ยงด้านความปลอดภัย หลังจากได้รับสิทธิ์เข้าถึงคอมพิวเตอร์/แล็ปท็อปด้วยข้อมูลแคชแล้ว ผู้โจมตีสามารถถอดรหัสแฮชรหัสผ่านของคุณโดยใช้การโจมตีแบบเดรัจฉาน ขึ้นอยู่กับความยาวและความซับซ้อนของรหัสผ่าน หากรหัสผ่านมีความซับซ้อน จะต้องใช้เวลานานมากในการตั้งรหัสผ่าน ดังนั้นจึงไม่แนะนำให้ใช้การแคชสำหรับผู้ใช้ที่มีสิทธิ์ของผู้ดูแลระบบภายใน (หรือยิ่งกว่านั้น บัญชีผู้ดูแลโดเมน)

เพื่อลดความเสี่ยงด้านความปลอดภัย คุณสามารถปิดใช้งานการแคชข้อมูลประจำตัวในคอมพิวเตอร์สำนักงานและผู้ดูแลระบบ ขอแนะนำให้ลดจำนวนบัญชีที่แคชไว้ในอุปกรณ์พกพาให้เหลือ 1 บัญชี หมายความว่าแม้ว่าผู้ดูแลระบบจะเข้าสู่ระบบคอมพิวเตอร์และข้อมูลของพวกเขาถูกแคชไว้ แฮชรหัสผ่านของผู้ดูแลระบบจะถูกเขียนทับหลังจากที่เจ้าของอุปกรณ์เข้าสู่ระบบ บน.

สำหรับโดเมน AD ที่มีระดับการทำงาน Windows Server 2012 R2 หรือใหม่กว่า คุณสามารถเพิ่มบัญชีผู้ดูแลระบบโดเมนลงในกลุ่ม Protected Users การแคชข้อมูลรับรองเฉพาะเครื่องเป็นสิ่งต้องห้ามสำหรับกลุ่มความปลอดภัยนี้

คุณสามารถสร้าง GPO แยกต่างหากในโดเมนของคุณเพื่อควบคุมการใช้ข้อมูลประจำตัวที่แคชไว้สำหรับอุปกรณ์และหมวดหมู่ผู้ใช้ที่แตกต่างกัน (เช่น การใช้ตัวกรองความปลอดภัยของ GPO ตัวกรอง WMI หรือการปรับใช้พารามิเตอร์รีจิสทรี CashedLogonsCount โดยใช้การกำหนดเป้าหมายระดับรายการ GPP)

• สำหรับผู้ใช้มือถือ (แล็ปท็อป):

  CashedLogonsCount = 1

• สำหรับเดสก์ท็อปในสำนักงาน:

  CashedLogonsCount = 0

นโยบายดังกล่าวจะลดโอกาสในการรับแฮชของผู้ใช้ที่ได้รับสิทธิพิเศษจากอุปกรณ์ที่เข้าร่วมโดเมน