我有活动目录，有几台客户端计算机加入了活动目录 在客户端计算机中，我安装了wcf客户端 在服务器上，wcf服务托管在IIS中 我使用Windows凭据的消息secyrity。
一切都很好。
但我听说有一些程序可以从windows中提取密码（将现场光盘放入光盘并重新启动电脑）。
他们可以使用用户并传递来从其他地方访问wcf服务并造成损害。
这是真的吗？我可以采取哪些措施来保证更安全？
此致
答案 0 :(得分：3)
Shiraz的建议对本地（非AD）Windows帐户都有效，但我相信您提出的威胁与SAM存储的本地Windows密码无关，因为您谈论的是Active Directory设置Windows系统加入域。
消息安全/ Windows凭据只允许访问您在Active Directory中设置的用户帐户。 [此处的所有讨论都假设我们正在谈论的是那些AD帐户，而不是每个Windows客户端上的本地帐户。]
假设您只允许访问AD帐户的WCF服务，那么WCF服务实际上很容易受到可以检索（或猜测）明文密码的攻击者的攻击。由于你提出了实时CD攻击的幽灵，我进一步假设你只担心攻击Windows客户端而不是AD域控制器（其物理安全性可能比Windows客户端的物理保护强得多）
因此，您所提出的威胁是，攻击者可能会以某种方式在Windows客户端的硬盘驱动器上找到用户的AD密码（或者是一个容易破解的密码）。那就是不这种Live CD普遍有用的攻击 - 正如Shiraz所说的那样，它们很适合从本地SAM中挖出密码哈希并帮助蛮力尝试许多密码组合（或将它们与包含大量预先计算的密码值的本地或在线“彩虹表”进行比较）。其中一些工具还会扫描这些密码的本地缓存，例如保存密码以进行网站身份验证的旧浏览器 - 尽管现代浏览器现在几乎都避免使用那些明文后门。
Windows客户端上用户的AD密码的主缓存是“缓存的域凭据”（即使您未连接到网络，也允许您使用域密码登录）。这不是存储为AD密码的简单哈希 - 而是使用本地SYSKEY对其进行双重加密和加密，使得尝试暴力破坏的时间更加耗时一个数量级。一个相当长或强（或两者）的AD密码使暴力攻击几乎不可行，除非是非常专门的攻击者（如间谍，政府等）所以你最有效的工具来确保这是不可行的是设置一个合理的密码政策 - 复杂的字符和适当的最小长度是好的;非复杂但很长的密码（也就是密码）也是值得的。
密码的其他缓存可能存在，但这完全取决于您的用户是否使用了非常糟糕的应用程序 - 目前市场上的此类应用程序越来越少，但绝不会说永远不会。 / p>
答案 1 :(得分：0)
这取决于Windows的版本以及它的更新方式。以前存在一个问题，您可以使用Linux CD启动PC，然后运行一个对包含登录信息的SAM文件进行暴力攻击的程序。
但这种造成伤害的可能性非常小：
要应对这些威胁：