synacktiv/eippEntra ID 암호 보호 금지된 암호 목록
Entra ID Password Protection의 Banned Password Lists(BPL)를 조작하기 위한 도구입니다.
eipp-global-bpl.txt에는 전역 금지 암호 목록(global banned password list)의 항목이 포함되어 있으며, 2024-04-11에 덤프되었습니다.
자세한 내용은 https://www.synacktiv.com/en/publications/entra-id-banned-password-lists-password-spraying-optimizations-and-defenses 에서 확인하세요.
이 유틸리티는 온프레미스 Entra ID Password Protection 배포의 구성 및 암호 정책을 추출하는 데 사용할 수 있습니다. DC 에이전트 DLL에 의존하며 도메인 컨트롤러에서 실행해야 합니다.
PS> cp 'C:\Program Files\Azure AD Password Protection DC Agent\Rules\1.0.0.0\ServiceCommon.dll' .
PS> cp 'C:\Program Files\Azure AD Password Protection DC Agent\Rules\1.0.0.0\ServiceCommonHelper.dll' .
PS> cp 'C:\Program Files\Azure AD Password Protection DC Agent\Rules\1.0.0.0\vcruntime140.dll' .
PS> .\EIPPDecrypt.exe \\localhost\SYSVOL\CORP.LOCAL\AzureADPasswordProtection\Configuration\*.cfge
PS> .\EIPPDecrypt.exe \\localhost\SYSVOL\CORP.LOCAL\AzureADPasswordProtection\PasswordPolicies\*.ppe
.ppe 확장자를 가진 파일에는 전역 및 사용자 지정 BPL과 해당 타임스탬프를 포함한 암호 정책이 들어 있습니다.
$ jq -r .GlobalBPLTimestampUTC policy.json
2020-10-30T00:00:00Z
$ jq -r .GlobalBPL policy.json | tr '\t' '\n' | wc -l
3270
$ jq -r .GlobalBPL policy.json | tr '\t' '\n'
administracion123
administrador123
administrateur123
administrator123
administrator2022
administrator2023
password1
password12
password123
[...]
이 유틸리티는 유출된 암호 목록에서 최적화된 사용자 지정 BPL을 생성하는 데 사용할 수 있습니다. 대규모 데이터 세트(10k 암호)를 위해 설계되었으며, 더 작은 목록에서는 좋지 않은 결과를 생성할 수 있습니다.
PS> .\EIPP.exe
usage:
EIPP.exe normalize passwords.txt
EIPP.exe generate [-t threads] [-m minOccurences] [-n entries] passwords.txt global.txt output.txt
EIPP.exe stats [-t threads] passwords.txt global.txt [tenant.txt]
normalize 명령은 EIPP 알고리즘(소문자 및 치환)에 따라 암호를 정규화하는 데 사용됩니다. 정규화할 암호 목록을 입력받아 정렬 없이 stdout으로 결과를 출력합니다.
PS> cat passwords.txt
Company2024
PS> .\EIPP.exe normalize passwords.txt
companyzoz4
generate 명령은 최적화된 사용자 지정 BPL을 생성하는 데 사용됩니다. 금지할 암호 목록(예: 암호 감사에서 얻은 목록), 전역 BPL 및 출력 파일 이름(여기서는 custom.txt)을 입력받습니다. 속도는 스레드 수(-t, 기본값 4)와 항목으로 간주할 최소 발생 횟수(-m, 기본값 5)로 조정할 수 있습니다. -n 옵션은 생성할 기본 항목 수를 변경하는 데 사용할 수도 있으며, 엔터티가 이미 사용자 지정 BPL에 항목을 보유한 경우 유용할 수 있습니다.
PS> .\EIPP.exe generate passwords.txt global.txt custom.txt
PS> .\EIPP.exe generate -t 8 -m 10 -n 500 passwords.txt global.txt custom.txt
Progress: 1234/23456 (5%)
stats 명령은 사용자 지정 BPL의 차단률을 계산하고 효율성을 평가하는 데 사용됩니다. 금지할 암호 목록, 전역 및 사용자 지정 BPL을 입력받습니다. 또한 사용자 지정 BPL 없이 사용하여 전역 BPL 단독의 효율성(일반적으로 낮음)을 평가할 수도 있습니다.
PS> .\EIPP.exe stats passwords.txt global.txt [tenant.txt]
PS> .\EIPP.exe stats -t 8 passwords.txt global.txt tenant.txt
Results: 37% banned