Maximální platnost hesla

Zde najdete několik zásad. Jejich počet se může lišit v závislosti na verzi operačního systému. Seznámím vás se 6 zásadami hesel Windows, které jsou k dispozici v operačním systému Windows 7.

Zásady hesel systému Windows

1. Udržujte si protokol hesel. Úplně první zásada umožňuje konfigurovat počet hesel, která budou uložena v paměti počítače. To je nutné, aby uživatel nepoužil stejné heslo několikrát. Protokol hesel může uložit 0 až 24 hesel. A čistě teoreticky si může uživatel nastavit stejné heslo až po několika letech. K tomu mu může pomoci následující politika.
2. Maximální platnost hesla. Myslím, že není potřeba podrobně vysvětlovat podstatu této politiky. Mohu pouze říci, že ve výchozím nastavení by se hesla v tomto nastavení měla měnit jednou za 42 dní. A nikoho žádám, aby se nebál – systém uživatele automaticky upozorní, že si musí změnit heslo. Výstrahy jsou vydávány na 7 dní.
3. Minimální délka hesla. Název této zásady také velmi jasně vystihuje účel samotné zásady: zde je potřeba nastavit minimální počet znaků, které má heslo obsahovat. Abyste pochopili důležitost této zásady, musíte si přečíst článek Čas na hesla hrubou silou.
4. Minimální platnost hesla. Použití této zásady je oprávněné pouze ve spojení s první zásadou. Tato zásada zabrání obzvláště chytrým „hackerům“ procházet protokolem hesel během několika minut a znovu zadávat své staré heslo.
5. Heslo musí splňovat požadavky na složitost Zásady hesla .5th umožňují nastavit několik omezení pro vybraná hesla najednou v jedné akci:
   • Heslo nebude obsahovat název účtu ani části celého uživatelského jména delší než dva sousední znaky.
   • Hesla budou muset mít minimální délku 6 znaků.
   • Obsahují 3 ze 4 kategorií symbolů uvedených níže.
     • latinská velká písmena (A až Z)
     • latinská malá písmena (a až z)
     • Čísla (0 až 9)
     • Jiné znaky než písmena a číslice (například !, $, #, %)
6. Ukládejte hesla pomocí reverzibilního šifrování. Tato zásada by měla být povolena pouze z důvodu kompatibility se staršími aplikacemi. Pokud to nepotřebujete, pak vás žádám, abyste tuto zásadu nepovolovali, protože to negativně ovlivní zabezpečení vašeho počítače.

Konfigurace zásad hesel pro jednotlivé uživatele

Všechny výše uvedené zásady hesel systému Windows ovlivní životy všech uživatelů daného počítače. Ale kromě výše uvedených metod konfigurace existuje ještě jeden nástroj, který umožňuje konfigurovat omezení hesel pro jednotlivé uživatele nebo skupiny uživatelů Windows – modul snap-in Počítačový management. Pokud otevřete tento nástroj a přejděte do uzlu Místní uživatelé a skupiny a poté otevřete Vlastnosti libovolnou skupinu nebo uživatele, pak budeme moci vybrat následující parametry:

• Zabránit uživateli ve změně hesla. Tato možnost je užitečná zejména pro veřejné přihlašovací údaje. Jinými slovy, pokud stejný účet používá několik lidí najednou, pak lze celé toto téma probrat ihned poté, co si jeden chytrák změní heslo. Abyste se takové radosti vyhnuli, musíte tuto položku aktivovat.
• Heslo nevyprší. Myslím, že každý chápe, co tato položka dělá. Ctí ho zejména správci, kterým je korporátní politika úplně fuk.

Toto jsou způsoby, jak můžete nakonfigurovat zásady hesel v operačním systému Windows.

Při vytváření Windows 10 věnovali vývojáři Microsoftu velkou pozornost zabezpečení systému. Stačí se podívat na biometrické ověřování Windows Hello nebo vylepšený Windows Defender. Ale dnes chci mluvit o méně známé funkci, která v podstatě nutí uživatele Windows 10 pravidelně měnit svá hesla. V zásadě to lze udělat kdykoli, ale další disciplína, pokud jde o bezpečnost, nikdy nikomu neublížila.

Existují tři způsoby, jak to provést, v závislosti na tom, jakou verzi Windows 10 máte nainstalovanou a zda používáte účet Microsoft. Pokud máte například Windows 10 Pro, Enterprise nebo Education, můžete použít Editor místních zásad skupiny.

Nejprve musíte otevřít gpedit.msc (stiskněte Win + R a zadejte gpedit.msc) a přejděte na následující cestu: Konfigurace Windows → Možnosti zabezpečení → Zásady účtu → Zásady hesel

V okně, které se otevře, musíte vybrat možnost „Maximální doba platnosti hesla“ a uvést, po jaké době vás systém vyzve ke změně hesla. 72 dní je považováno za určitý standard, ale počet dní si můžete zvolit dle svého uvážení.

Také v položce „Password Policy“ můžete zvolit minimální délku hesla, minimální dobu jeho platnosti a také aktivovat archiv hesel (aby uživatelé nemohli zadat to, které již bylo dříve použito jako nové heslo).

Ale ve Windows 10 Home není žádný editor místních zásad skupiny, takže vlastník této verze operačního systému bude muset použít příkazový řádek.

První věc, kterou musíte udělat, je otevřít příkazový řádek s právy správce(toto je požadavek) a poté jednoduše zadejte příkaz „wmic UserAccount set PasswordExpires=True“. Po aktualizaci vlastností napište další příkaz: „net accounts /maxpwage:72“. Místo 72 můžete nahradit počet dní, které potřebujete.

Pokud chcete nakonfigurovat vypršení platnosti hesla pouze pro konkrétní účet v počítači, můžete použít příkaz „wmic UserAccount where Name=’Username’ set PasswordExpires=True“.

Pokud však používáte účet Microsoft, tyto dvě metody pro vás nebudou fungovat. Je pravda, že tuto možnost můžete stále povolit. Chcete-li to provést, musíte se přihlásit ke svému účtu na webu společnosti Microsoft, najít tam položku „Změnit heslo“ a zaškrtnout políčko „Změnit heslo každých 72 dní“.

V tomto případě se změny dotknou nejen hesla k vašemu Windows 10 účtu, ale také OneDrive, Outlook.com, Skype a dalších služeb.

Mimochodem, tato příručka je vhodná i pro Windows 7, Windows 8 a Windows 8.1. Pokud byl pro vás tento materiál užitečný, dejte mu like. A pokud už je tak horko, můžete se dokonce přihlásit k odběru našeho

V předchozí části článku o místních zásadách zabezpečení jste se dozvěděli o metodách používání místních zásad zabezpečení, pomocí kterých můžete ovládat nastavení související se zabezpečením svého domácího počítače i počítačů umístěných v doménovém prostředí organizace. Počínaje tímto článkem budou podrobně probrány všechny kategorie zásad, které se týkají zabezpečení vašich počítačů. V tomto článku se dozvíte o správě ověřování uživatelského účtu, konkrétně uzlu "Zásady účtu". Použití těchto zásad je běžné v podnicích s doménovým prostředím. Pro zajištění bezpečnosti vašich počítačů vám aplikace zásad této skupiny na počítačích, které nejsou součástí prostředí domény (například pomocí zásad na vašem domácím počítači), pomůže výrazně zvýšit zabezpečení vašeho počítače.

Firemní účty jsou bezpochyby velkým zájmem hackerů, kteří mohou mít zájem o krádež firemních informací a také o získání přístupu k počítačům vaší společnosti. Proto je jedním z řešení, jak významně zabezpečit podnikovou infrastrukturu, použití bezpečných, složitých hesel, aby se snížila možnost narušení ze strany narušitelů. Nezapomeňte také, že útočníci mohou být mnohem blíž, než si představujete. vřele doporučuji platnost uživatelé používají složitá hesla, včetně písmen různých velikostí, číslic a speciálních znaků pro hesla ke svým účtům a za žádných okolností nenechávají svá hesla na očích. Myslím tím, že si je nezapisujte na papír a neumisťujte je na své pracoviště, vedle počítače, a co víc, nepřipojujte je k monitorům (což se stává poměrně často). Uživatelé jsou také povinni změnit svá hesla po uplynutí vámi nastavené doby. Pokud například zadáte datum vypršení platnosti hesla 30 dní, po vypršení platnosti před přihlášením uživatele ke svému účtu se zobrazí dialogové okno s výzvou ke změně aktuálního hesla.

Chcete-li najít zásady správy účtů, otevřete uzel v Editoru správy zásad skupiny Konfigurace počítače\Nastavení zabezpečení\Zásady účtu. Pojďme se blíže podívat na jednotlivé zásady zabezpečení, které se používají ke správě hesel a uzamčení uživatelských účtů.

Zásady hesel

Pomocí tohoto uzlu můžete změnit nastavení hesla pro uživatelské účty, které jsou členy domén i pracovních skupin. V organizacích můžete vynutit stejné zásady hesel pro všechny uživatele v doméně nebo pouze pro konkrétní skupiny pomocí modulu snap-in "Konzola pro správu zásad skupiny". V uzlu "Zásady hesel" Můžete použít až šest zásad zabezpečení, které lze použít k určení nejdůležitějších nastavení zabezpečení používaných ke správě hesel účtů. Důrazně doporučuji, abyste tyto zásady neignorovali. I když své uživatele přesvědčíte, aby používali silná hesla, není samozřejmé, že to skutečně udělají. Pokud správně nakonfigurujete všech šest zásad zabezpečení umístěných v tomto uzlu, výrazně zlepšíte zabezpečení uživatelských hesel vaší organizace. Při použití všech zásad si uživatelé budou muset vytvořit bezpečná hesla, na rozdíl od těch, která považují za „složitá“. K dispozici jsou následující zásady zabezpečení:

Rýže. 1 uzel „Zásady hesel“.

Udržujte si protokol hesel. Bez ohledu na to, jak bezpečné je vaše heslo, útočník ho dříve nebo později uhodne. Proto je nutné pravidelně měnit hesla účtů. Pomocí této zásady můžete zadat počet nových hesel, která jsou přiřazena k účtům, než bude znovu použito staré heslo. Jakmile je tato zásada nakonfigurována, řadič domény zkontroluje mezipaměť předchozích hodnot hash uživatelů, aby zajistil, že uživatelé nemohou použít staré heslo jako nové heslo. Počet hesel se může lišit od 0 do 24. To znamená, že pokud jste jako parametr zadali číslo 24, uživatel bude moci používat staré heslo od 25.

Maximální stáří hesla. Tato zásada určuje dobu, po kterou může uživatel používat své heslo, než bude změněno. Po uplynutí stanovené doby si uživatel musí změnit heslo, protože bez změny hesla se nebude moci přihlásit do systému. Dostupné hodnoty lze nastavit od 0 do 999 dnů. Pokud je nastaveno na 0, platnost hesla nikdy nevyprší. Z důvodu bezpečnostních opatření je vhodné tuto volbu odmítnout. Pokud se maximální stáří hesla pohybuje od 1 do 999 dnů, minimální hodnota musí být menší než maximální. Nejlepší je použít hodnoty mezi 30 a 45 dny.

Minimální délka hesla. Pomocí této zásady můžete zadat minimální počet znaků, které musí heslo obsahovat. Pokud toto nastavení povolíte, při zadání nového hesla bude počet znaků porovnán s počtem znaků nastaveným v této zásadě. Pokud je počet znaků menší, než je uvedeno, budete muset změnit heslo v souladu s bezpečnostní politikou. Můžete zadat hodnotu zásady od 1 do 14 znaků. Optimální hodnota pro počet znaků pro uživatelské heslo je 8 a pro servery od 10 do 12.

Minimální doba platnosti hesla. Mnoho uživatelů se nebude chtít obtěžovat zapamatováním nového složitého hesla a může se pokusit změnit tolik nových hesel, kolik zadají, aby mohli použít své známé původní heslo. Současná bezpečnostní politika byla vyvinuta tak, aby takovým aktivitám zabránila. Můžete zadat minimální počet dní, po které musí uživatel používat své nové heslo. Dostupné hodnoty pro tuto zásadu se pohybují od 0 do 998 dnů. Nastavením hodnoty na 0 dní bude mít uživatel možnost změnit heslo ihned po vytvoření nového. Upozorňujeme, že minimální doba platnosti nového hesla by neměla překročit maximální dobu platnosti.

Heslo musí splňovat požadavky na složitost. Toto je jedna z nejdůležitějších zásad hesel a řídí, zda heslo musí splňovat požadavky na složitost při vytváření nebo změně hesla. Kvůli těmto požadavkům musí hesla:

• obsahovat velká i malá písmena současně;
• obsahovat čísla od 0 do 9;
• obsahovat jiné znaky než písmena a čísla (například !, @, #, $, *);
• Neobsahujte název uživatelského účtu ani části celého uživatelského jména delší než dva sousední znaky.

Pokud uživatel vytvořil nebo změnil heslo, které splňuje požadavky, je heslo spuštěno matematickým algoritmem, který jej převede na hash kód (nazývaný také jednosměrná funkce), o kterém se hovoří v zásadách. "Uchovávejte protokol hesel."

Ukládejte hesla pomocí reverzibilního šifrování. Aby bylo zajištěno, že aplikace nemohou zachytit hesla, ukládá Active Directory pouze hash kód. Pokud však potřebujete podporovat aplikace, které používají protokoly vyžadující znalost hesla uživatele pro autentizaci, můžete použít aktuální politiku. Reverzibilní šifrování je ve výchozím nastavení zakázáno, protože použití této zásady výrazně snižuje zabezpečení hesel a zejména celé domény. Použití této funkce je podobné jako ukládání hesla jako prostý text.

Zásady uzamčení účtu

I po vytvoření složitého hesla a správném nastavení bezpečnostních zásad mohou být vaše uživatelské účty stále vystaveny útokům ze strany nepřátel. Pokud například nastavíte minimální stáří hesla na 20 dní, hackerovi to poskytne dostatek času uhodnout heslo vašeho účtu. Zjistit název účtu není pro hackery problém, protože názvy uživatelských účtů se často shodují s názvem adresy poštovní schránky. A pokud je jméno známé, pak uhodnutí hesla potrvá asi dva až tři týdny.

Zásady skupiny zabezpečení systému Windows mohou takovým akcím čelit pomocí sady zásad hostitele "Zásady uzamčení účtu". Pomocí této sady zásad máte možnost omezit počet nesprávných pokusů o přihlášení uživatele. Pro vaše uživatele to samozřejmě může být problém, protože ne každý bude schopen zadat heslo v určeném počtu pokusů, ale zabezpečení účtu se posune na „novou úroveň“. Pro tento uzel jsou k dispozici pouze tři zásady, které jsou popsány níže.

Rýže. 2 „Zásady uzamčení účtu“

Čas do vynulování počítadel blokování. Zásady služby Active Directory a skupiny vám umožňují automaticky odemknout účet, který má více pokusů o přihlášení, než je limit, který jste nastavili. Tato zásada nastavuje počet minut, které musí uplynout po neúspěšném pokusu, než dojde k automatickému odemknutí. Můžete nastavit hodnotu od jedné minuty do 99999. Tato hodnota musí být menší než hodnota zásady.

Blokovací práh. Pomocí této zásady můžete zadat počet neplatných pokusů o přihlášení, než bude účet uzamčen. Konec doby uzamčení účtu je stanoven zásadou "Trvání uzamčení účtu" nebo může administrátor odemknout účet ručně. Počet neúspěšných pokusů o přihlášení se může pohybovat od 0 do 999. Doporučuji nastavit povolený počet na tři až sedm pokusů.

Doba trvání zákazu účtu. Pomocí tohoto nastavení můžete určit dobu, po kterou bude váš účet uzamčen, než se automaticky odemkne. Můžete nastavit hodnotu od 0 do 99999 minut. Pokud je hodnota této zásady 0, bude účet uzamčen, dokud jej správce ručně neodemkne.

Zásady Kerberos

Domény služby Active Directory používají protokol Kerberos k ověřování účtů uživatelů a počítačů domény. Ihned po autentizaci uživatele nebo počítače tento protokol ověří pravost zadaných údajů a poté vydá speciální datový paket tzv. „Ticket Granting Ticket (TGT – Ticket Granting Ticket)“. Než se uživatel připojí k serveru a požádá o dokument, je požadavek předán řadiči domény spolu s TGT, který identifikuje uživatele ověřeného protokolem Kerberos. Řadič domény poté vydá uživateli další paket dat, který se nazývá lístek pro přístup ke službě. Uživatel poskytne přístupový lístek ke službě na serveru, který jej akceptuje jako důkaz autentizace.

Tento uzel najdete pouze na řadičích domény. K dispozici je následujících pět zásad zabezpečení:

Rýže. 3. "Zásady Kerberos"

Maximální chyba synchronizace hodin počítače. Aby se zabránilo „útokům s opakovaným přehráváním paketů“, existuje současná bezpečnostní politika, která definuje maximální časový rozdíl, který Kerberos povolí mezi časem klienta a časem na řadiči domény pro poskytnutí ověření. Pokud je tato zásada nastavena, obě hodinky musí být nastaveny na stejné datum a čas. Časové razítko používané na obou počítačích je považováno za platné, pokud je rozdíl mezi hodinami klientského počítače a řadiče domény menší než maximální časový rozdíl definovaný touto zásadou.

Maximální životnost uživatelského tiketu. Pomocí aktuální zásady můžete určit maximální časový interval, během kterého lze použít lístek pro podání lístku (TGT). Když platnost tiketu TGT vyprší, musíte obnovit svůj stávající tiket nebo požádat o nový.

Maximální životnost servisního lístku. Pomocí této bezpečnostní zásady server vydá chybovou zprávu, pokud klient požadující připojení k serveru předloží lístek relace, jehož platnost vypršela. Můžete definovat maximální počet minut, po který může být přijatý lístek relace použit pro přístup k určité službě. Lístky relací se používají pouze pro autentizaci při nových připojeních k serverům. Jakmile je připojení ověřeno, doba platnosti lístku ztrácí smysl.

Maximální životnost pro obnovení uživatelského lístku. Pomocí této zásady můžete nastavit počet dní, během kterých lze obnovit tiket udělení tiketu.

Vynucená omezení přihlášení uživatele. Tato zásada vám umožňuje určit, zda má úřad pro distribuci klíčů Kerberos ověřit každý požadavek na lístek relace podle zásad práv, které jsou platné pro uživatelské účty.

Závěr

V dnešní době se stále častěji musíme starat o bezpečnost účtů, a to jak pro klientské pracovní stanice vaší organizace, tak pro domácí počítače. Nepříznivci, kteří chtějí získat kontrolu nad vaším počítačem, mohou být nejen hackeři sídlící tisíce a stovky tisíc kilometrů od vás, ale také vaši zaměstnanci. Zásady účtů vám pomáhají chránit vaše účty. Tento článek podrobně popisuje všechny zásady, které se týkají hesel vašich účtů, uzamčení účtu kvůli uhodnutí hesla a zásady Kerberos, protokol používaný k ověřování uživatelských účtů domény a počítačů. V dalším článku se dozvíte o zásadách auditu.

Jste správce sítě a chcete nastavit data vypršení platnosti hesla pro všechny uživatelské účty? V novém operačním systému Windows 10 to bude snadné.

Jak víte, operační systém vám umožňuje používat místní účet nebo účet Microsoft. První z nich svou funkčností neumožňuje použití některých funkcí systému. Druhý poskytuje plný přístup k nim.

Navíc a povinné při přihlašování do systému, v druhém případě budete vždy požádáni o zadání hesla. Pokud se vám tento stav nelíbí, můžete také použít a .

Málokdo ví, že systém Windows má již dlouho možnost nastavit aktivní období hesla a donutit uživatele, aby si po vypršení platnosti nastavil nové. To je především starostí správce o bezpečnost.

Pomocí Správce místních uživatelů a skupin je to snadné. Pamatujte, že tato funkce je dostupná pouze ve verzi operačního systému Professional. Není k dispozici v Home Edition.

Pokud projevíte zájem o tuto problematiku, začněte s implementací. A nezapomeňte, že na počítači musíte mít administrátorská práva.

TRVÁNÍ HESLA

Začněme nástrojem „Spustit“, který se spouští pomocí kláves Win + R na klávesnici. Po jeho spuštění zadejte do pole „Otevřít“ následující název souboru:

Lusrmgr.msc

a stiskněte tlačítko „OK“ nebo klávesu Enter.

Na levé straně okna vyberte složku „Users“ a na pravé straně vyberte název, který potřebujete k aktivaci požadované funkce. Poté na něj dvakrát klikněte myší.

V dalším okně vlastností profilu přejděte na kartu „Obecné“, zrušte zaškrtnutí políčka „Platnost hesla nikdy nevyprší“ a postupně klikněte na tlačítka „Použít“ a „OK“.

Tím bude celý postup dokončen. Začne odpočítávání 30 dnů. Po uplynutí této doby se nebudete moci přihlásit ke svému účtu bez nastavení nového hesla. Je to spolehlivý nástroj, který správci sítě používají k tomu, aby přinutili každého v doméně zůstat v bezpečí.

Naše počítačové tipy na vás čekají na. Chcete se k nám přidat na Facebooku nebo Google+? Vpravo nahoře najdete potřebná tlačítka.

Maximální doba platnosti hesla

Zásada Maximální stáří hesla určuje, jak dlouho mohou uživatelé používat svá hesla, než je budou muset změnit. Účelem těchto zásad je donutit uživatele, aby pravidelně měnili svá hesla. Při použití této funkce nastavte hodnotu, která nejlépe vyhovuje vaší síti. Zpravidla platí, že čím vyšší stupeň zabezpečení, tím kratší doba a naopak.

Výchozí doba vypršení platnosti hesla je 42 dní, ale můžete ji nastavit na libovolnou hodnotu od 0 do 999. Hodnota 0 znamená, že platnost hesla nikdy nevyprší. I když možná budete chtít nastavit heslo, které nevyprší, uživatelé by měli své heslo pravidelně měnit, aby byla zachována bezpečnost sítě. Pokud jsou požadavky na zabezpečení vysoké, jsou vhodné hodnoty 30, 60 nebo 90 dnů. Pokud není bezpečnost příliš důležitá, pak jsou vhodné hodnoty 120, 150 nebo 180 dní.

Poznámka
Windows 2000 upozorní uživatele, když jejich hesla brzy vyprší. Pokud do vypršení platnosti hesla zbývá méně než 30 dní, uživatelům se při každém přihlášení do systému zobrazí upozornění na nutnost změnit heslo v určitém časovém období..

Minimální datum vypršení platnosti hesla

Zásada minimálního stáří hesla určuje, jak dlouho musí uživatelé uchovávat své heslo, než ho mohou změnit. Toto pole můžete použít k tomu, abyste zabránili uživatelům podvádět systém hesel zadáním nového hesla a jeho nahrazením starým.

Windows 2000 ve výchozím nastavení umožňuje uživatelům okamžitě změnit hesla. Abyste tomu zabránili, nastavte si určitou minimální dobu. Přijatelné hodnoty tohoto parametru se pohybují od tří do sedmi dnů. Tímto způsobem bude méně pravděpodobné, že vaši uživatelé budou používat použitá hesla, a zároveň budou mít možnost je v rozumném časovém rámci změnit, pokud si to přejí.

Minimální délka hesla

Zásada Minimální délka hesla nastavuje minimální počet znaků pro heslo. Pokud jste nezměnili výchozí nastavení, budete tak muset velmi brzy udělat. Ve výchozím nastavení jsou povolena prázdná hesla (hesla, která nemají žádné znaky), což rozhodně není správný přístup.

Z bezpečnostních důvodů budete obvykle potřebovat hesla o délce alespoň osmi znaků. Důvodem je, že dlouhá hesla je obvykle těžší prolomit než krátká. Pokud potřebujete zajistit vyšší bezpečnost, nastavte minimální délku hesla na 14 znaků.

Heslo musí splňovat požadavky na složitost

Kromě základních zásad pro správu hesel a účtů obsahuje systém Windows 2000 nástroje pro vytváření dalších ovládacích prvků hesel. Tyto možnosti jsou dostupné ve filtrech hesel, které lze nainstalovat na řadič domény. Pokud jste nainstalovali filtr hesel, povolte zásadu „Heslo musí splňovat požadavky na složitost“. V tomto případě budou muset všechna hesla splňovat bezpečnostní požadavky filtru.

Například standardní filtr Windows NT (PASSFILT.DLL) vyžaduje použití bezpečných hesel, která splňují následující pokyny:

• Hesla musí mít alespoň šest znaků.
• Heslo nesmí obsahovat uživatelské jméno, například „stevew“, ani části celého jména uživatele, například Steve.
• Hesla musí používat tři nebo čtyři dostupné typy znaků: malá písmena, velká písmena, čísla a speciální znaky.

Ukládejte hesla pomocí reverzibilního šifrování

Hesla uložená v databázi hesel jsou šifrována. Obecně platí, že šifrování nelze odstranit. Pokud chcete povolit přepsání šifrování, použijte zásadu "Ukládat hesla pro všechny uživatele v doméně pomocí reverzibilního šifrování". Hesla budou uložena pomocí reverzibilního šifrování a lze je v případě nouze obnovit. To neplatí pro případy zapomenutí hesla. Každý administrátor může změnit heslo uživatele.