Specops Breached Password Protection
Specops Password Policy est compatible avec Specops Breached Password Protection, qui utilise une liste de mots de passe compromis et divulgués pour aider à empêcher les utilisateurs de choisir des mots de passe non sécurisés. En tant qu'administrateur, vous pouvez activer des vérifications continues contre la liste, afin que les utilisateurs soient alertés si des mots de passe compromis sont ajoutés à la liste (Scan Continu). Facultativement, les administrateurs peuvent configurer une période de grâce avant que les utilisateurs ne soient tenus de changer un mot de passe compromis.
La liste de plus de cinq milliards de mots de passe compromis est organisée par Specops Software et combine des milliers de sources, y compris des mots de passe utilisés dans des attaques réelles aujourd'hui et des mots de passe trouvés sur des listes de mots de passe compromis connues telles que HaveIBeenPwned. Cela peut aider les organisations à soutenir la conformité avec les directives de l'industrie telles que NIST et NCSC.
Le service est mis à jour quotidiennement par les systèmes de surveillance des attaques et de collecte de données de notre équipe de recherche pour aider à protéger les réseaux contre les attaques de mots de passe actuelles dans le monde réel.
Protection Complète des Mots de Passe Compromis :
-
Contient la liste principale des mots de passe divulgués, stockée dans le cloud, de sorte qu'elle soit toujours à jour.
Remarque
Ce n'est pas une protection zero-day car la liste des mots de passe divulgués devra être ajoutée à la base de données dans notre format reconnu.
-
Si un utilisateur change son mot de passe pour un qui se trouve sur la liste des mots de passe divulgués, Breached Password Protection Complete notifie l'utilisateur par email ou SMS. Selon la politique configurée, le compte est soit immédiatement marqué pour exiger un changement de mot de passe lors de la prochaine connexion, soit entre dans une période de grâce configurable. Une fois la période de grâce écoulée, le compte est marqué lors du prochain Scan Continu.
- Si le Scan Continu est activé, les utilisateurs seront alertés des mots de passe compromis dès qu'ils sont ajoutés à la liste (si les notifications sont configurées), ou seront forcés de changer leur mot de passe lors de la prochaine connexion.
- Nécessite plus d'infrastructure dans Active Directory, inclut l'installation de Specops Password Arbiter et le téléchargement d'une clé API. Cela nécessite un serveur supplémentaire, sur lequel vous installez Specops Password Arbiter, qui communiquera avec l'API Cloud de Breached Password Protection.
Protection Express des Mots de Passe Compromis :
- Utilise un sous-ensemble de la liste des mots de passe divulgués qui est normalement mis à jour tous les 3-4 mois.
- La liste est téléchargée dans Active Directory (affectera la réplication entre les contrôleurs de domaine).
- Les administrateurs doivent vérifier manuellement s'il y a des mises à jour de la liste des mots de passe divulgués, puis télécharger la liste mise à jour.
- Empêche immédiatement un utilisateur de changer pour un mot de passe divulgué.
- Vérifie en continu les mots de passe compromis.
Explication des vérifications de la Protection des Mots de Passe Compromis
Il existe trois principales différences entre Breached Password Protection Express et Breached Password Protection Complete :
- La taille de la base de données : Breached Password Protection Complete dispose d'un ensemble beaucoup plus large de mots de passe compromis.
- Le contenu de la base de données : Breached Password Protection Complete est mis à jour en continu, tandis que Breached Password Protection Express est mis à jour tous les 3 ou 4 mois.
- Le moment où la vérification est effectuée :
- Breached Password Protection Express effectue des vérifications lors du changement de mot de passe, ainsi que des vérifications continues (par exemple, nocturnes).
- Breached Password Protection Complete effectue sa vérification immédiatement après le changement de mot de passe.
Exemple de flux de Protection Complète des Mots de Passe Compromis (Changement de Mot de Passe)
L'exemple suivant montre comment la vérification Breached Password Protection Complete est effectuée.
- L'utilisateur change son mot de passe.
- Si le nouveau mot de passe est conforme à toutes les autres règles de la politique de mot de passe, le nouveau mot de passe est soumis (l'utilisateur peut utiliser son nouveau mot de passe).
- Le mot de passe est vérifié par rapport à la base de données de Breached Password Protection Complete.
-
Si le mot de passe est trouvé compromis :
- Si aucune période de grâce n'est configurée, le compte de l'utilisateur est immédiatement marqué, et le mot de passe doit être changé lors de la prochaine connexion.
- Si une période de grâce est configurée, la période de grâce commence. Après l'expiration de la période de grâce, le prochain Scan Continu marque le compte pour exiger un changement de mot de passe lors de la prochaine connexion.
-
Le mot de passe n'est pas vérifié par rapport à la base de données de Breached Password Protection Complete jusqu'au prochain changement de mot de passe.
Exemple de flux de Protection Express des Mots de Passe Compromis
L'exemple suivant montre comment la vérification Breached Password Protection Express est effectuée.
- L'utilisateur change son mot de passe.
- Le nouveau mot de passe est vérifié par rapport à la base de données de Breached Password Protection Express lors du changement de mot de passe.
- Si le mot de passe est trouvé compromis, l'utilisateur ne sera pas autorisé à soumettre le changement. Sinon, le nouveau mot de passe est soumis.
- Breached Password Protection Express vérifie le mot de passe par rapport à la base de données en continu (par exemple, nocturnement).
- Si le mot de passe est trouvé compromis lors de vérifications ultérieures (à condition que la base de données de Breached Password Protection Express ait été mise à jour entre-temps), le compte de l'utilisateur sera marqué et il devra changer son mot de passe lors de la prochaine connexion.
Exemple de flux de Protection des Mots de Passe Compromis (Scan Continu)
L'exemple suivant montre comment la vérification Breached Password Protection est effectuée pour le Scan Continu.
- Un Scan Continu de la liste est effectué (soit Breached Password Protection Express, soit Breached Password Protection Complete).
- Le mot de passe de l'utilisateur est trouvé compromis.
- L'utilisateur est alerté par SMS ou email (si configuré).
- Si aucune période de grâce n'est configurée, le compte de l'utilisateur est immédiatement marqué, et le mot de passe doit être changé lors de la prochaine connexion.
- Si une période de grâce est configurée, la période de grâce commence. Le premier Scan Continu qui s'exécute après l'expiration de la période de grâce marque le compte pour exiger un changement de mot de passe lors de la prochaine connexion.
Utilisation de Breached Password Protection Express avec Breached Password Protection Complete
Vous pouvez configurer et activer Breached Password Protection Complete et Breached Password Protection Express en même temps, en sélectionnant les cases à cocher Empêcher les mots de passe de la liste Express locale et Activer la vérification des mots de passe via l'API Complete dans le menu Changement de Mot de Passe. L'avantage d'utiliser les deux est que les mots de passe sont vérifiés par rapport à la plus grande base de données Complete, tout en fournissant un retour direct lors du changement de mot de passe si le nouveau mot de passe est trouvé dans la liste Express. Lorsque les utilisateurs changent leur mot de passe, Breached Password Protection Express vérifiera si le mot de passe se trouve dans la liste des mots de passe divulgués qui a été téléchargée. Si le mot de passe est trouvé dans la liste Express stockée dans votre environnement local, la règle Breached Password Protection Express empêchera l'utilisateur de changer pour ce mot de passe. S'il n'est pas trouvé dans la liste stockée localement, le mot de passe sera vérifié par rapport à la liste trouvée dans Breached Password Protection Complete lors de la soumission du nouveau mot de passe. S'il est trouvé dans la liste Complete, le compte de l'utilisateur sera marqué avec une notification "doit changer de mot de passe" et il sera tenu de changer son mot de passe lors de la prochaine connexion.
Composants
Specops Password Policy avec Breached Password Protection se compose des composants suivants.
Specops Password Policy Sentinel
Le Specops Password Policy Sentinel est un package d'installation qui doit être installé sur tous les contrôleurs de domaine modifiables d'un domaine. Pour les exigences d'installation, voir Exigences.
Le Specops Sentinel se compose du Filtre de Mot de Passe Sentinel et du Service Sentinel.
Filtre de Mot de Passe Sentinel
Le Filtre de Mot de Passe Sentinel est un Filtre de Mot de Passe Windows qui vérifie si un nouveau mot de passe correspond aux paramètres de Specops Password Policy assignés à l'utilisateur.
Lorsque la validation avec Specops Breached Password Protection est configurée, le Filtre de Mot de Passe Sentinel écrit un fichier de demande de validation de Breached Password Protection pour chaque nouveau mot de passe (changement/réinitialisation de mot de passe), tel que configuré dans les paramètres GPO de Specops Password Policy.
Service Sentinel
Le Service Sentinel (Service Windows) est un composant de Specops Password Policy. Le Service Sentinel est toujours installé dans le cadre de Specops Password Policy Sentinel, mais effectif uniquement si la validation de Breached Password Protection est configurée.
Le Service Sentinel prend les demandes de validation de Breached Password Protection depuis le dossier de la file d'attente, et les transmet à Specops Password Arbiter, qui déterminera si le mot de passe est autorisé ou a été compromis. Selon les paramètres GPO de Specops Password Policy, le Service de Breached Password Protection peut imposer à l'utilisateur de changer de mot de passe lors de la prochaine connexion pour les mots de passe compromis.
Le Service Sentinel s'exécute en tant que système local et, par défaut, est autorisé à définir que l'utilisateur doit changer de mot de passe lors de la prochaine connexion pour les utilisateurs concernés.
Specops Password Arbiter
Le Specops Password Arbiter est un composant de Specops Password Policy, et doit être installé sur un serveur avec une connexion Internet. Pour les exigences d'installation, voir Exigences.
Un seul Arbiter est suffisant pour la plupart des organisations. Si votre organisation nécessite une redondance, des Arbiters supplémentaires sont recommandés.
Le Specops Password Arbiter agit comme une passerelle entre le Service de Breached Password Protection et l'API Cloud de Specops Breached Password Protection, où se trouve la liste des mots de passe divulgués. Le Specops Password Arbiter utilise une clé API pour communiquer avec l'API Cloud de Breached Password Protection.
L'Arbiter s'exécute en tant que service réseau et, par défaut, a un accès en lecture seule à Active Directory. En lisant les paramètres de Specops Password Policy, l'Arbiter peut déterminer les actions requises si un hachage de mot de passe est trouvé dans la liste de Breached Password Protection.
Pour utiliser la validation de Breached Password Protection, au moins un Arbiter doit être installé dans le domaine. Les organisations utilisant Specops Password Policy sans validation de Breached Password Protection n'ont pas besoin d'installer l'Arbiter.
Remarque
Les paramètres de Breached Password Protection Express ne nécessitent pas le composant Specops Password Arbiter.
API Cloud de Breached Password Protection
L'API Cloud de Breached Password Protection, hébergée par Specops dans le cloud, est un composant de Specops Password Policy.
L'API Cloud de Breached Password Protection héberge une liste étendue de mots de passe divulgués.
Remarque
Les paramètres de Breached Password Protection Express ne nécessitent pas le composant Specops Password Arbiter.
Configuration de Breached Password Protection Complete (API Complete)
Pour configurer Breached Password Protection Complete, vous devrez :
-
Installer Specops Password Policy Sentinel sur tous les contrôleurs de domaine. La même version doit être installée sur tous les contrôleurs de domaine. Instructions.
Remarque
Les clients de Specops Password Policy utilisant la version 6.8.18106.1 ou antérieure nécessiteront une nouvelle clé de licence.
-
Installer un (ou plusieurs) Arbiters dans le(s) domaine(s) Instructions.
-
Enregistrer le(s) Arbiter(s) dans l'outil d'administration de domaine de Specops Password Policy, et ajouter la clé API que vous avez reçue d'un spécialiste produit Specops :
- Depuis l'outil d'administration de domaine, sélectionnez Breached Password Protection, et cliquez sur Enregistrer un nouvel Arbiter.
-
Sélectionnez ou tapez le nom de votre ordinateur Arbiter, et cliquez sur OK. L'ordinateur Arbiter est maintenant ajouté à la table contenant tous les Specops Password Arbiters.
Remarque
Vous pouvez également rechercher votre ordinateur Arbiter en cliquant sur le bouton Avancé puis sur Rechercher maintenant.
-
Cliquez sur le bouton Importer la clé API et collez la clé API que vous avez reçue de Specops dans le champ de texte qui apparaît. Cliquez sur OK. Une coche verte devrait apparaître dans la colonne clé API du tableau.
Remarque
Collez uniquement la clé API réelle dans le champ de texte, en excluant tout commentaire qui pourrait être présent.
-
Cliquez sur Tester la connexion cloud pour tester la connexion.
Remarque
Vous recevrez une erreur vous invitant à entrer une clé de licence valide une fois l'installation terminée.
Pour activer la validation de Breached Password Protection en utilisant Breached Password Protection Complete pour les nouveaux mots de passe (changement/réinitialisation de mot de passe), vous devez configurer les GPO de Specops Password Policy pour les utilisateurs concernés.
Configuration de Breached Password Protection Complete pour le Changement de Mot de Passe
- Ouvrez l'outil d'administration de domaine de Password Policy.
- Sélectionnez le menu Politiques de mot de passe.
- Accédez à la politique pour le GPO que vous souhaitez modifier (Modifier)
- Cliquez sur l'onglet Breached Password Protection, puis sélectionnez le menu Changement de Mot de Passe.
- Cochez la case Activer la vérification des mots de passe via l'API Complete.
-
[Facultatif] Cochez la case Forcer les utilisateurs à changer les mots de passe compromis.
Remarque
Cela marquera le compte de l'utilisateur pour exiger un changement de mot de passe la prochaine fois qu'il se connectera.
Remarque
Lorsque la politique de l'utilisateur est définie sur "le mot de passe n'expire jamais", et que son mot de passe est trouvé compromis, le drapeau le mot de passe n'expire jamais sera effacé. L'utilisateur sera alors invité à changer son mot de passe lors de la prochaine connexion.
-
[Facultatif] Cochez la case Vérifier les mots de passe lors de la réinitialisation en plus du changement.
Remarque
Si cette option est désactivée, la fonction Breached Password Protection Complete ne sera pas utilisée lorsque les mots de passe sont réinitialisés, uniquement lorsqu'ils sont changés.
Remarque
Si vos utilisateurs ont accès à un système de réinitialisation de mot de passe en libre-service, cette option doit être définie.
-
[Facultatif] Activez les options de notification par email et/ou message texte. Pour plus d'informations sur les notifications, veuillez visiter la page des notifications.
- Cliquez sur Appliquer.
- Cliquez sur OK.
Configuration de Breached Password Protection Complete pour le Scan Continu
Remarque
Afin d'activer le Scan Continu, les clients existants nécessitent un nouveau fichier de licence. Contactez licensing@specopssoft.com pour plus d'informations.
- Ouvrez l'outil d'administration de domaine de Password Policy.
- Sélectionnez le menu Politiques de mot de passe.
- Accédez à la politique pour le GPO que vous souhaitez modifier (Modifier)
- Cliquez sur l'onglet Breached Password Protection, puis sélectionnez le menu Continu.
- Dans le menu déroulant Vérifier les mots de passe compromis en continu, choisissez En utilisant l'API Complete en ligne.
-
[Facultatif] Cochez la case Forcer les utilisateurs à changer les mots de passe compromis
Remarque
Cela marquera le compte de l'utilisateur pour exiger un changement de mot de passe lors de la prochaine connexion.
-
[Facultatif] Activez les options de notification par email et/ou message texte. Pour plus d'informations sur les notifications, veuillez visiter la page des notifications.
- Cliquez sur Appliquer.
- Cliquez sur OK.
Configuration de Breached Password Protection Express (Liste Express)
Si vous êtes un administrateur, vous pouvez télécharger une liste de mots de passe divulgués et les stocker dans votre environnement local. Chaque fois qu'un utilisateur de votre organisation réinitialise ou change son mot de passe, son nouveau mot de passe choisi sera vérifié par rapport à cette liste de mots de passe divulgués. Si le mot de passe choisi par l'utilisateur se trouve dans la liste des mots de passe divulgués, il doit en choisir un autre.
Breached Password Protection Express diffère de Breached Password Protection Complete de la manière suivante :
- Validation instantanée du mot de passe : comme la liste des mots de passe divulgués est stockée localement, Breached Password Protection Express peut immédiatement confirmer si le nouveau mot de passe choisi par un utilisateur est acceptable ou non. Les utilisateurs obtiendront une validation instantanée, peu importe où ils changent leur mot de passe, même s'ils ont les deux versions de Breached Password Protection configurées et activées.
- Notifications : vous n'avez pas besoin de configurer les notifications par message texte et email de Breached Password Protection pour Breached Password Protection Express, car les mots de passe sont validés instantanément.
- Scan des mots de passe divulgués : Breached Password Protection Express peut scanner les mots de passe de tous les utilisateurs affectés par la politique. Les mots de passe seront comparés à la liste téléchargée de Breached Password Protection Express. Les utilisateurs avec des mots de passe divulgués seront invités à changer leur mot de passe lors de la prochaine connexion.
- Mises à jour : la liste des mots de passe divulgués doit être mise à jour manuellement. Si une nouvelle version de la liste a été publiée, vous devez la télécharger depuis l'outil d'administration de domaine de Password Policy.
Téléchargement de la liste des mots de passe divulgués
Vous devez télécharger la liste des mots de passe divulgués dans votre environnement local, afin que votre ou vos objets de stratégie de groupe choisis puissent référencer la liste des mots de passe divulgués.
Remarque
Vous n'avez besoin de télécharger la liste qu'une seule fois. Une fois téléchargée, la liste sera stockée dans SYSVOL. La liste est téléchargée et s'applique à l'échelle du domaine.
Pour télécharger la liste de Breached Password Protection, suivez ces étapes :
- Démarrez l'outil d'administration de domaine de Password Policy.
- Accédez à la page Breached Password Protection.
- Cliquez sur l'onglet Breached Password Protection Express (Liste Express).
- Si une nouvelle version de la liste est disponible, cliquez sur le bouton Télécharger la dernière version.
- La fenêtre Télécharger Breached Password Protection s'ouvrira. Pendant le téléchargement, les fichiers sont d'abord téléchargés dans un répertoire temporaire. Par défaut, le répertoire "temp" de l'utilisateur actuel est utilisé pour stocker temporairement les fichiers avant qu'ils ne soient automatiquement transférés vers un emplacement permanent dans SYSVOL. Pour sélectionner un autre répertoire temporaire, cliquez sur le bouton Parcourir.
- Lorsque le téléchargement est terminé, les fichiers sont copiés à l'emplacement suivant dans
SYSVOL: \\<yourdomain.com>\SYSVOL\<yourdomain>\Policies\SpecopsPassword\Dictionaries - Cliquez sur OK, et les fichiers commenceront à se télécharger. Selon la taille du package, cela peut prendre un certain temps.
- Lorsque le téléchargement est terminé, vous verrez un message confirmant que la liste a été téléchargée avec succès et est à jour. Ce message affiche le numéro de version du package qui a été téléchargé, la date de publication de la version et la taille du package.
Si le téléchargement réussit, il n'est normalement pas nécessaire de valider les fichiers téléchargés. Cependant, s'il est souhaitable au sein de l'organisation de valider l'intégrité des fichiers téléchargés, la cmdlet Get-PasswordPolicyBppExpressList peut être utilisée. Elle effectuera une validation de la somme de contrôle de tous les fichiers dans sysvol et les comparera au fichier de métadonnées contenant les sommes de contrôle attendues du téléchargement. Voir la page des cmdlets powershell pour plus d'informations.
Activation de Breached Password Protection Express
Une fois que vous avez téléchargé la liste de Breached Password Protection, vous devez activer Breached Password Protection Express, afin qu'elle s'applique aux objets de stratégie de groupe pertinents.
Pour ce faire, suivez ces étapes :
- Ouvrez l'outil d'administration de domaine de Password Policy.
- Sélectionnez le menu Politiques de mot de passe.
- Accédez à la politique pour le GPO que vous souhaitez modifier (Modifier)
- Cliquez sur l'onglet Breached Password Protection, puis sélectionnez le menu Changement de Mot de Passe.
-
Cochez la case Empêcher les mots de passe de la liste Express locale.
Remarque
Les notifications ne sont pas disponibles pour Breached Password Protection Express lors du Changement de Mot de Passe puisque les utilisateurs recevront un retour immédiat lorsque le mot de passe qu'ils essaient de changer a été compromis.
-
Cliquez sur Appliquer.
- Cliquez sur OK.
Configuration de Breached Password Protection Express pour l'analyse continue
- Ouvrez l'outil d'administration du domaine de la Password Policy.
- Sélectionnez le menu Politiques de mot de passe.
- Accédez à la politique pour le GPO que vous souhaitez modifier (Modifier)
- Cliquez sur l'onglet Breached Password Protection, puis sélectionnez le menu Continu.
- Dans le menu déroulant Vérifier les mots de passe compromis en continu, choisissez Utiliser la liste Express locale.
-
[Optionnel] Cochez la case Forcer les utilisateurs à changer les mots de passe compromis.
Remarque
Cela marque le compte de l'utilisateur afin qu'il doive changer son mot de passe lors de la prochaine connexion.
Vous pouvez également configurer une période de grâce, qui retarde l'application après qu'un mot de passe compromis a été détecté. Pendant la période de grâce, les utilisateurs peuvent continuer à se connecter avec leur mot de passe actuel. Après l'expiration de la période de grâce, la prochaine analyse continue marque le compte pour exiger un changement de mot de passe.
Comme les analyses continues s'exécutent périodiquement, l'application se produit lors de la première analyse après l'expiration de la période de grâce. En conséquence, le changement de mot de passe peut ne pas être appliqué avant un intervalle d'analyse après la période de grâce configurée.
-
[Optionnel] Activez les options de notification par email. Pour plus d'informations sur les notifications, veuillez visiter la page des notifications.
Remarque
Les notifications par message texte ne sont pas disponibles pour Breached Password Protection Express.
-
Cliquez sur Appliquer.
- Cliquez sur OK.
Période de grâce
Une période de grâce peut être configurée pour l'analyse continue des mots de passe compromis.
Lorsqu'un mot de passe compromis est détecté pour la première fois, la période de grâce commence et l'utilisateur peut continuer à utiliser le mot de passe jusqu'à l'expiration de la période de grâce. Après cela, la prochaine analyse continue marque le compte pour exiger un changement de mot de passe lors de la prochaine connexion.
La période de grâce s'applique à :
- Les mots de passe détectés lors de l'analyse continue.
- Les mots de passe détectés par Breached Password Protection Complete après un changement de mot de passe ou une réinitialisation de mot de passe.
Comme l'application se produit lors de l'analyse continue, le changement de mot de passe peut ne pas être appliqué avant un intervalle d'analyse après la période de grâce configurée.
Mise à jour de Breached Password Protection Express
La liste des mots de passe divulgués sera mise à jour à intervalles réguliers. La mise à jour sera ensuite publiée, afin qu'elle soit disponible pour téléchargement.
Pour vérifier si une nouvelle version est disponible pour téléchargement, suivez ces étapes :
- Démarrez l'outil d'administration du domaine de la Password Policy.
- Accédez à la section Breached Password Protection.
-
Cliquez sur l'onglet Breached Password Protection Express (Liste Express).
Si une nouvelle version de la liste est disponible, vous verrez une notification indiquant : « Une version mise à jour de la liste des mots de passe divulgués est prête pour téléchargement ».
Vous verrez également une comparaison entre la version actuelle que vous avez stockée localement et la version en ligne qui a été publiée.
-
Cliquez sur Télécharger la dernière version et les changements seront appliqués.
Configuration de Breached Password Protection Complete et Breached Password Protection Express
Vous pouvez configurer et activer Breached Password Protection Complete et Breached Password Protection Express en même temps, en sélectionnant les cases Activer Breached Password Protection Complete et Activer Breached Password Protection Express. Si vous avez activé les deux, et que vos utilisateurs changent leur mot de passe, Breached Password Protection Express vérifiera si le mot de passe est dans la liste des mots de passe divulgués qui a été téléchargée. Si le mot de passe est trouvé dans la liste Express stockée dans votre environnement local, la règle Breached Password Protection Express empêchera l'utilisateur de changer pour ce mot de passe. S'il n'est pas trouvé dans la liste stockée localement, le mot de passe sera vérifié par rapport à la liste trouvée dans Breached Password Protection Complete. S'il est trouvé dans la liste en ligne, le compte de l'utilisateur sera marqué avec une notification « doit changer de mot de passe » et il sera obligé de changer pour un autre.
Questions fréquemment posées
Les mots de passe sont-ils envoyés à l'extérieur avec Specops Breached Password Protection ?
Non. Le filtre de mot de passe Sentinel génère un hash bcrypt du nouveau mot de passe de l'utilisateur. Ni le mot de passe ni le hash bcrypt ne sont exposés. Les premiers octets du hash bcrypt sont utilisés pour interroger un ensemble de hashes correspondants. La correspondance de Breached Password Protection a lieu au sein du réseau de l'organisation.
Quels sont les avantages de plusieurs Arbiters ? Comment le DC (gérant le changement de mot de passe) sélectionne-t-il un Arbiter ?
Avoir plus d'un Arbiter ajoute de la redondance, au cas où un Arbiter serait temporairement hors service. Des Arbiters supplémentaires n'affectent pas les performances. Le nombre de changements de mot de passe simultanés, pour une organisation avec de nombreux DC, ne devrait pas causer de problèmes de latence.
S'il y a plusieurs Arbiters, le service Breached Password Protection utilisera le round robin lors de la sélection.
Comment l'API Cloud de Breached Password Protection gère-t-elle les numéros de mobile et les adresses email lors de l'envoi de notifications SMS et email aux utilisateurs ?
L'API Cloud de Breached Password Protection utilise SendGrid pour les notifications par email, et Twilio pour les notifications SMS. Les demandes de notifications par email et SMS de l'Arbiter à l'API Cloud de Breached Password Protection sont cryptées avec TLS. L'ID client et l'horodatage du message sont stockés dans Graylog. Ni le mot de passe ni le hash ne sont révélés dans la notification utilisateur.
Y a-t-il des avantages à utiliser Breached Password Protection Complete conjointement avec Breached Password Protection Express ?
Oui. Étant donné que les vérifications sont effectuées à différents moments, il est bénéfique d'exécuter les deux. Veuillez également consulter la section Explication des vérifications de Breached Password Protection sur cette page.