Windows Server 2016如何配置将本地用户密码存储为scrypt/bcrypt哈希

Windows Server 2016原生没有提供修改本地用户密码存储哈希算法的配置项，默认仅支持NT Hash、LM Hash（已默认禁用）两种哈希格式用于本地账户密码存储，直接通过系统自带的密码策略、组策略都无法完成scrypt或bcrypt的切换。

方案1：使用自定义身份验证代理层替换系统默认身份验证流程 #

• 适用场景：你的本地用户仅用于特定业务系统的身份校验，而非Windows系统本身的本地登录、远程桌面登录等系统级身份验证
• 实现步骤：
  1. 禁用业务系统调用Windows原生身份验证接口的逻辑，改为自行维护用户密码哈希库
  2. 对存量用户，可触发一次密码重置流程，用户输入原密码后，用scrypt/bcrypt重新计算哈希存入你的自定义密码库，同时将原密码对应的NT Hash标记为失效
  3. 后续所有身份校验都直接比对你自定义库中的scrypt/bcrypt哈希，不再调用Windows原生的LogonUser等身份验证API
• 注意：该方案下用户无法再使用对应账户进行Windows系统级的登录操作，仅能用于你的业务系统身份校验。

方案2：部署第三方特权身份管理（PIM）/本地账户管理工具 #

• 适用场景：需要保留用户Windows系统级登录能力，同时希望密码存储符合更高的哈希算法要求
• 实现逻辑：
  1. 部署支持scrypt/bcrypt哈希存储的第三方本地账户管理工具，接管所有本地用户的密码生命周期管理
  2. 工具会在用户设置/修改密码时，同步生成scrypt/bcrypt哈希存入独立的安全存储区，同时生成符合Windows要求的NT Hash给系统原生身份验证使用
  3. 所有密码变更、校验操作都优先走第三方工具的逻辑，避免直接暴露NT Hash的风险
• 注意：该方案下Windows系统底层依然会存储NT Hash，仅在你的业务逻辑层使用scrypt/bcrypt做校验，无法完全删除系统内置的NT Hash存储。

不可行操作提示 #

• 不要尝试手动修改Windows SAM注册表（HKLM\SAM）内的哈希存储字段，系统原生身份验证逻辑无法识别scrypt/bcrypt哈希，修改后会直接导致对应账户完全无法登录，甚至触发系统账户体系崩溃。
• 不要轻信第三方破解补丁可以修改系统原生哈希算法，这类补丁大多存在严重安全漏洞，且会导致系统无法正常安装安全更新，失去微软官方支持。

内容的提问来源于stack exchange，提问作者Sri Hari