Active Directory

Question

Comment puis-je obtenir le mot de passe pour un utilisateur à partir d'Active Directory

Answer 1

Les administrateurs n'ont pas accès aux mots de passe des utilisateurs, seule la capacité de les changer.

Answer 2

Je doute beaucoup que ce soit possible étant donné que c'est un mot de passe. Mais vous pourriez avoir plus de chance en demandant cela dans ServerFault?

Je ne suis pas sûr si vous serez en mesure d'obtenir l'accès, mais une fois sa version bêta, vous serez en mesure de vous inscrire.

Answer 3

Simple, vous ne pouvez pas. Les mots de passe ne sont pas stockés dans presque tous les systèmes d'authentification. Au lieu de cela, ils sont convertis en un «hachage» qui est stocké à la place. Ensuite, quand vous voulez prouver que vous connaissez le mot de passe, vous convertissez le mot de passe que vous tapez en hash en utilisant le même algorithme et comparez cela aux données stockées.

Certains utilisent des clés publiques/privées pour effectuer le hachage, d'autres utilisent des algorithmes alternatifs. Aucun d'entre eux ne peut "convertir" le hachage en mot de passe d'origine.

Answer 4

Vous aurez besoin d'un accès administratif à un contrôleur de domaine pour obtenir les hachages. Vous devrez alors utiliser un pirate de hachage, tel que Cain, pour voir si vous pouvez récupérer les mots de passe. Si le mot de passe n'est pas simple, cela peut prendre des jours ou des années. Notez que cela est illégal dans la plupart des cas, et il est habituel de réinitialiser les mots de passe plutôt que de les récupérer.

Answer 5

Par programmation via les API prises en charge, vous ne pouvez pas lire les mots de passe à partir d'Active Directory, mais vous pouvez accéder aux mots de passe au moment où ils sont définis en implémentant un Password Filter.

Answer 6

Par défaut, le répertoire actif est configuré pour utiliser un algorithme haché pour stocker les mots de passe utilisateur. Vous pouvez cependant remplacer cette valeur par défaut et utiliser un chiffrement symétrique (réversible) à la place. Cela permet de récupérer le mot de passe via les API standard disponibles. Here's a link sur le cryptage symétrique avec AD. En outre, comme une autre affiche mentionnée, vous pouvez utiliser un filtre de mot de passe pour capturer les changements de mot de passe et les nouveaux mots de passe lorsque les utilisateurs les modifient. Autre que les mots de passe doivent être réinitialisés. Les hachages ne sont pas destinés à être brisés ou récupérés, c'est tout le point.

Answer 7

Vous ne pouvez pas obtenir le mot de passe stocké dans Active Directory car ils sont stockés sous forme de hachages. Le seul moment où vous pouvez apprendre un mot de passe dans Active Directory est quand il est défini, mais pour cela vous avez besoin d'un filtre de mot de passe, et pour mettre le filtre paassword en place, vous devez être administrateur sur un contrôleur de domaine.

Vous pouvez également ne pas modifier le mot de passe d'un utilisateur car la modification d'un mot de passe nécessite que vous connaissiez le mot de passe existant de l'utilisateur. Vous pouvez seulement réinitialiser le mot de passe d'un utilisateur, mais pour cela vous devez avoir des droits de réinitialisation de mot de passe sur le compte d'utilisateur.

La réinitialisation du mot de passe d'un utilisateur est une tâche administrative souvent déléguée aux administrateurs débutants et, dans la plupart des cas, les administrateurs délégués peuvent réinitialiser les mots de passe des comptes utilisateur.

Si vous êtes intéressé, il y a une bonne discussion sur la différence entre la modification d'un mot de passe de compte utilisateur Active Directory et la réinitialisation d'un mot de passe de compte utilisateur Active Directory ici:

http://www.activedirsec.org/t43140076/what-is-the-difference-between-the-change-password-and-reset/