在Azure AD B2C中保护密码

Question

受财务监管的业务合作伙伴希望了解Azure AD B2C中如何维护用户密码（散列算法等）的一些细节。任何人都可以分享对此的任何见解。

我可以找到有关Azure AD如何在此类文章https://www.dsinternals.com/en/how-azure-active-directory-connect-syncs-passwords/上同步密码的信息，而不是基于云的密码如何受到保护。

谢谢迈克尔

Answer 1

我有一种有趣的感觉，这是微软从未出于安全原因告诉你的事情。

您甚至无法从Azure AD恢复密码

Answer 2

Azure AD B2C只是后端中的活动目录。请参阅此博客文章，了解它如何处理密码：

https://social.technet.microsoft.com/Forums/windowsserver/en-US/034a0e33-a8ab-474e-ba6c-3371724d0be1/forum-faq-how-is-user-password-of-user-objects-stored-in-active-directory-can-i-view-it-can-i?forum=winserverDS

<强>摘录：

用户＆＃39; password哈希存储在unicodePwd属性中的用户对象的Active Directory中。 Windows不是以明文形式存储用户帐户密码，而是使用两种不同的密码表示方式生成并存储用户帐户密码，通常称为“＃34;哈希”。当您将用户帐户的密码设置或更改为包含少于15个字符的密码时，Windows会生成密码的LAN Manager哈希（LM哈希）和Windows NT哈希（NT哈希）。这些哈希值存储在本地安全帐户管理器（SAM）数据库或Active Directory中。

此unicodePwd属性可以在受限条件下写入，但由于安全原因无法读取。该属性只能修改;它不能在对象创建时添加或由搜索查询。要修改此属性，客户端必须具有到服务器的128位安全套接字层（SSL）连接。为了实现此连接，服务器必须拥有128位RSA连接的服务器证书，客户端必须信任生成服务器证书的证书颁发机构（CA），并且客户端和服务器都必须能够支持128位加密。