שאלה כיצד צוות של מנהלי מערכות משתפים סיסמאות באופן מאובטח?


מהן השיטות המומלצות לשיתוף מאות סיסמאות בקרב כמה אנשים? סיסמאות אלה מגנות על נתונים קריטיים, ואינן יכולות להיראות לעולם מעבר לצוות קטן.


81
2018-06-02 23:50




עיין בנושא serverfault.com/questions/3696/...  serverfault.com/questions/2186/...  serverfault.com/questions/10285/...  serverfault.com/questions/21374/... - Zoredache
BTW מאות הוא מאוד מטריד. מה קורה כשאחד מחברי הצוות יורה? עדכון מאות סיסמאות יהיה כואב. - Zoredache
שנית, על "מאות הוא מספר מטריד מאוד" דבר. אני חושב שאולי אתה צריך לגבות ולשקול מחדש איך אתה מנהל את כל דבר אבטחה מלכתחילה במקום לנסות לשים טיח דבק על מה שיש לך כרגע. - Maximus Minimus
קשור במידת מה: serverfault.com/questions/119892  במיוחד תשובה זו: serverfault.com/questions/119892/company-password-management/... - Nathan Hartley


תשובות:


הייתי כנראה לכתוב פתרון מבוסס אינטרנט מותאם אישית מתארח ברשת אינטראנט. (הבט ב http://lastpass.com להשראה, או להשתמש בו. שיתוף סיסמאות הוא אחת התכונות שלו, אם כי ייתכן שהוא אינו פועל עבור אמצעי האחסון שלך).

עריכה: בטח, הפתרון הטוב ביותר, לא לשתף אותם. אחסון סיסמאות cleartext בכל מדיום הוא מסוכן, במיוחד כאשר מטרת אחסון אותם היא לחלוק אותם. יש מספר כמעט אינסופי של פתרונות, כל אחד מביא סכנה הקשורים. למה לא לשים אותם על תמונת דיסק מוצפן, לשרוף את התמונה לתקליטור אחד, לשים את הדיסק לתוך בטוח כי רק שומר חמוש אחד יכול לפתוח, יש אנשים מורשים להציג תמונה מזהה יש את זה נעולה?

הנקודה היא שאנחנו לא באמת יודעים את התרחיש שלך. מדוע אתה משתף מאות סיסמאות קריטיות למשימה? האם הם עבור אינטראנט backoffice שלך, VPN, או שהם סיסמאות לקוחות שאתה שומר סביב בטקסטים מסיבה כלשהי? האם כל האנשים שאתה צריך לחלוק אותו עם אותו ההתקנה? האם העברה פיזית כמו תקליטור מוצפן או טבלה מודפסת המאוחסנת בכספת אכן פועלת? או הם sysadmins שלך להתפשט על פני הגלובוס, מה שהופך את האמצעים האלקטרוניים של שיתוף אותם רק הפתרון?


14
2018-06-02 23:58



IMO בניין אבטחה / מערכת ההצפנה שלך הוא כמעט אף פעם לא הגישה הנכונה לבעיה. - Zoredache
@Zoredache, זה עומס של שטויות. אמנם, אני חושב פתרון מבוסס אינטרנט עבור אירוח סיסמאות הוא טיפש - אבל הוא עשה MSanford אמר אינטראנט. עדיין מסוכן למרות. אותו הדבר עבור כל פתרונות רשת אחרים. - d-_-b
@Zoredache, OP לא בונים מערכת הצפנה מותאמת אישית, זה נשמע כאילו כל מה שהוא צריך הוא מסד נתונים מאובטח. @sims אני רואה שום דבר לא בסדר עם אינטרנט מעוצב היטב פתרון מבוסס. התשובה הצביעה למעלה מציעה בדיוק את זה (מבוסס אינטרנט! = Http; אינטרנט מבוסס = מאוחסן באינטרנט). אמנם, ברגע שאני קורא על השאלה הזאת בפעם השנייה, אני מסכים כי המודל הבסיסי של שיתוף טונות של סיסמאות נראה סביר יהיה מיותר, וכי פתרון טוב יותר ניתן להגיע. אבל OP לא נתן מספיק מידע בשבילי כדי להפוך את זה פסק דין ... - msanford
> @ Zoredache, זה עומס של שטויות. <אום, סימס, אתה די עף על פני רוב ההצפנה אנשים מיד את המחבט. תכנון הצפנה הוא קשה, מה שהופך אותו הצפנה כדאי עדיין. schneier.com/essay-037.html  לפעמים הרע פחות - אחד אתה יודע - היא בחירה טובה יותר, כאשר מתמודד עם הרע שאתה לא יודע (כלומר, עיצוב שאינו נבדק, שאינם עמיתים, עשוי להיות באגים, אולי חורים אבטחה, וכו ' ) - Avery Payne
@Avery - עיצוב מערכת הצפנה קשה ויש להשאיר את המומחים, כן. באמצעות כלים שנבדקו, כמו GPG על קובץ טקסט משותף, או Keepase (המשתמש ביישומי .NET של AES ו- SHA-256) אינו מעצב את המערכת שלך. - mfinni


השיטה הטובה ביותר היא לא לשתף את הסיסמאות. השתמש בכלים כמו sudo כדי לאפשר למשתמשים לקבל את הגישה שהם צריכים מהחשבון שלהם. אם יש לך כמה משתמשים, כל אחד צריך חשבונות משלהם לפי הצורך. LDAP (Unix / Linux) ו- Active Directory הם פתרון טוב להענקת גישה לשרתים מרובים ממסד נתונים משותף.

כאשר יש צורך לקבל עותק כתוב של סיסמה, לאטום אותו במעטפה חתום ומתוארך על פני החותם. שנה את הסיסמה כאשר נעשה בה שימוש. כאשר הסיסמה משתנה החותם אותו מעטפה חדשה.

עבור סיסמאות אשר באמת צריך להיות משותף, להשתמש באחד הכלים הסיסמה כמו Keepass אשר יכול להיות מסד הנתונים שלהם ברשת. כלים עם לקוחות עבור פלטפורמות מרובות טובים יותר. שקול את האתר שאתה צריך יותר ממסד נתונים אחד. זכור שאתה צריך באמת לסמוך על כל מי שיש לו גישה לנתונים אלה.


38
2018-06-03 00:04



+1 עבור חשבונות משתמש לא מנוהלים עבור מנהלי עם הסלמה הרשאה אפשרית, על * שרתי nix הייתי לשלב את זה עם שימוש רק dsa / rsa הסמכה עבור sshd. אם אתה עושה דברים עם כלים גרפיים תחת לינוקס אתה יכול גם להשתמש בתצורה מותאמת אישית מדיניות. - Aaron Tate
זה. ביטול הגישה למשתמשים כאשר הם משתמשים באישורים משותפים הוא סיוט מוחלט. במידת האפשר, הקצאת גישה באמצעות חשבון ייחודי למשתמשים. תמיד יש כמה מצבים שבהם הסיסמה המשותפת היא בלתי נמנעת, אבל "מאות" של סיסמאות משותפות צורחת פגום עיצוב קריטי. - Chris Thorpe
אני מסכים עם לא בדרך כלל לשתף סיסמאות, אבל יש הרבה מצבים שבהם יש צורך כגון התקני רשת עם כניסה אחת, אתרי ספקים שבהם כל sysadmins להשתמש באותו כניסה עבור ההזמנה, ו- SQL משתמשי SA או סיסמאות מנהל מקומי שבו נחוץ. בגלל זה אני חושב KeePass הוא הטוב ביותר עבור זה: זה עובד על פלטפורמות מרובות, מאפשר מידה רבה של אבטחה, ובקלות מארגן מאות סיסמאות. - Paul Kroon
יש לנו וריאציה על זה, שבו יש לנו סיסמאות בסיסיות שנכתב אבל נעול בכספת, כי רק צוות המערכות יש מפתחות כדי לפתוח. סיסמאות השורש שלנו עצמן הן 16 תווים, והן נוצרות באופן כזה כדי להיות בלתי אפשרי לזכור. כן, יש שם חוסר ביטחון, אבל אם מישהו פורץ לתוך הכספת, אני חושד שיש לנו בעיות גדולות יותר. - Frenchie
הנה תרחיש של מקרה שימוש אמיתי עבור הצוות שלנו: שיתוף סיסמאות ליישומים מבוססי אינטרנט שבהם הם אינם תומכים ברישומים מרובים עבור חשבון יחיד. לכן, אם יותר מאדם אחד בצוות צריך להיות מסוגל לגשת לחשבון זה, יש צורך לשתף את הסיסמאות עבור אותו חשבון. - Jordan Reiter


הלכנו עם קיפס לשם כך בדיוק. זוהי תוכנית קטנה גדולה שמאחסנת את כל הסיסמאות שלך בקובץ מסד נתונים מוצפן. ישנם תכונות אבטחה נוספות כגון צורך קובץ מפתח יחד עם הסיסמה הראשית כדי לגשת אל הסיסמאות. זה מאפשר שכבות מרובות של אבטחה (להפריד את קובץ המפתח ואת מסד הנתונים), תוך שמירה על זה נוח לכולם לעבוד עם כל הסיסמאות השונות. לדוגמה, תוכל להפעיל את האפליקציה ואת קובץ המפתח של כונן USB, אך לאחסן את מסד הנתונים ברשת שלך במקום כלשהו. זה ידרוש אישורים עבור שיתוף הרשת, את הסיסמה העיקרית, ואת כונן ה- USB פיזי עם קובץ המפתח.


10
2018-06-02 23:59



KeePass נראה לתמוך פלטפורמות מרובות, ניצחון גדול בעיניים שלי (אני עובד בסביבה מעורבת פלטפורמה). "אוטומטי סוג" תכונה נראה שימושי מדי. - Avery Payne
רעיון טיפש לשמור סיסמאות ברשת. - d-_-b
@Sims - אז איך אתה משתף אותם? KeePass משתמש בקובץ מוצפן עבור החנות. זה רק גרסה שמיש יותר של קובץ טקסט מוצפן ב- GPG בשרת יוניקס שלכל אחד יש גישה אליו. - mfinni
@Sims - אני בדרך כלל מסכים איתך, אבל זה נהיה מצב של ביטחון לעומת פרודוקטיביות. אני לא רוצה לשים את סיסמת השורש של שרת משהו כזה, אבל את סיסמת מנהל של מתג Layer 2, כי יש רק כניסה אחת הוא מועמד טוב בשביל זה. יש נקודה כאשר זה לוקח יותר עבודה עושה את הדברים בצורה בטוחה יותר מאשר היה לנקות לאחר הפרת אבטחה. בנוסף, על גבי כל ההצפנה, אתה צריך AD / NTFS אבטחה על הקובץ, קצת חשש על ידי לשים את הקובץ (אשר יכול להיות שם כל דבר) במיקום אקראי. - Paul Kroon
לא חשבתי על מכונת חלונות. אבל כן, אם אתה יכול רק משתמש אחד עבור מתג זה, אז אני מניח שזה יהיה הגיוני. אחרת כמו ביל אומר, לומר לא עבור סיסמאות משותפות, וזה היה גם הנקודה שלי על המפתחות. - d-_-b


מהן השיטות המומלצות לשיתוף מאות סיסמאות בקרב כמה אנשים?

קל, זה בא בשני טעמים:

  1. אתה לא, פשוט ופשוט. אם תבחר לעשות זאת, אתה דוחה את אימות הסיסמה לרשות אמינה חיצונית ושלוט באימות משם.

  2. אתה עושה זאת, אבל בכך, יש לך פקדי גישה חיצוניים שיש להם סיסמאות או אסימוני אבטחה שאינם רשומים במערכת שבה אתה משתמש (כלומר, הרשומה של הסיסמאות מוגנת על ידי סיסמה אחרת עם זמינות מוגבלת). ישנן בעיות רבות עם זה.

סיסמאות אלה מגנות על נתונים קריטיים, ואינן יכולות להיראות לעולם מעבר לצוות קטן.

עליך לשקול ברצינות שירות אימות מאובטח המשתלב עם שירות ספריות כדי לטפל בבעיה. שילוב ה- DS / AS יוצר "סמכות" מהימנה, שיכולה לשמש פוסק לכל המשתמשים והמכשירים שלך. חשבונות משתמשים יכולים לקבל גישה שלהם מופשטים מן הסיסמה בפועל המשמש אימות, מה שהופך אותו קל "לנתק" סיסמאות ממדיניות גישה. שליטה בסיסמאות היא על ידי ביטול של חשבון המשתמש; אז אם מנהל משאיר, אתה פשוט לסגור את החשבון שלהם, הגישה שלהם נעלם (כי הסיסמה של אותו אדם רק מעניק גישה המבוססת על תוקפו של DS / AS המאשר את החשבון תקף).

פעולה זו תפעל רק כאשר אתה נמצא בסביבה שמאפשרת למכשירים / תוכניות שלך להעביר את בקשות האימות שלהם למקורות חיצוניים, לכן ייתכן שהיא לא תהיה פתרון עבורך. אם יש לך אחוז משמעותי של התקנים / תוכניות שיכולים להתאים לאימות חיצוני, אז אני הולך קדימה לעשות את זה, אם רק כדי לאחד כמה מאות סיסמאות עד רשימה לניהול, למשל, תריסר. אם תחליט ללכת בדרך זו, יש כמה off-the- מדף, ידוע היטב נבדק היטב פתרונות זה.

  • Active Directory.  כנראה הידוע ביותר של הקבוצה, נותן לך Kerberos כאפשרות אימות, ומספק LDAP עבור DS בסיסי.
  • סמבה / וינבינד.  תחשוב על זה כמו "Active Directory אור", אתה לא מקבל את כל התכונות של AD, אלא מודל ישן יותר המבוסס על NT4 (חושב LANHMAN hash). זה יהיה להחליף עם שילוב של Samba 4 AD ו כנראה "ללכת".
  • נובל שירותי מדריך.  אני לא יודע מספיק על זה כדי להמליץ ​​על זה, אבל אני יודע שזה עדיין קיים. הרבה גופים ממשלתיים עדיין להפעיל NDS, אז אם אתה עושה עבודה כי "מגזר" זה יהיה לעניין אותך. נובל העבירה לאחרונה את NDS להפעלה כשירות לינוקס, אבל אני לא יודעת אם זה עדיין מוצר פעיל (בערך 2005).
  • LDAP + Kerberos.  זה בעצם "בית גדל" Active Directory, פחות את כל "תכונות נחמד". עם זאת, הם גם רכיבים ידועים עם בסיס קוד יציב, מתבגר, ולכן שילוב של שירות (ים) זה בדרך כלל את היקף "התאמה אישית" צריך לעשות דברים לעבוד.
  • SSH מפתחות + (הכנס תוכנית ניהול המערכת כאן, כנראה בובה).רק שימושי שבו יש לך SSH על פני הלוח ואת כל ההתקנים הם לגשת בצורה זו. ניתן לחלק את המפתחות ולבטל לפי הצורך, וסיסמאות הופכות ל"לא רלוונטיות "כמו המפתח SSH מעניק גישה. באמצעות מערכת כמו בובה מאפשר לך לעדכן מאות מכונות על ידי הנפקת פקודות en-mass כדי להוסיף / לבטל מפתחות SSH.
  • שילוב כלשהו של הנ"ל.

יש גם שאלה של כמה אבטחה אתה צריך. לא ציינת אם על ידי "משימה קריטית" אתה מתכוון כי ראשי נפץ גרעיניים עלולים לרדת על ערים, או אם "משימה קריטית" פירושה כי המשלוח האחרון של Furbies לא להפוך אותו לעיר. זה היה באמת לעזור אם היה משהו תיאר סיכון / איום הערכה.


5
2018-06-03 20:37





אני יודע שזו שאלה ישנה, ​​אבל אני רק לאחרונה נתקלתי פתרון מבוסס אינטרנט openource קרא תאגידים זה עשוי להיות מעניין כמה. עדיין לא היתה לי הזדמנות לנסות את זה.


2
2017-12-16 00:31





אנו משתמשים בתוכנית הנקראת סיסמה בטוח. זה נחמד ומאובטח מאוד, אתה יכול להגדיר את מסד הנתונים על כונן רשת ולתת לכל מי צריך את זה ואת הסיסמה כדי הכספת עצמה, אשר לאחר מכן מאחסן את כל שמות המשתמש והסיסמאות מוצפנים בצורה מאובטחת.


1
2018-06-03 02:57





כמה דברים:

  • כפי שאחרים אמרו, זה רעיון רע. השתמש ב- LDAP וכו '
  • אם אתה מחויב לעשות את זה מכל סיבה שהיא, לפחות לאחד את הסיסמאות. 100 סיסמאות לא מנוהלות פירושו שאינך מעדכן סיסמאות.
  • שמור אותם על הנייר. דרוש שהצוות יחתום על הנייר בדיו צבע אחר כדי להקל על קביעת הגיליון.
  • אם אתה נמצא ב- Unix, השתמש ב- S / KEY כדי ליצור סיסמאות חד פעמיות. אחסן את זה במקום בטוח.

אתה גם צריך ללכת מעבר אמצעי אבטחה מכני של לשים סיסמאות נייר בטוח או להצפין את הסיסמאות. עבור לקרוא כיצד ארגונים עם מודלים אבטחה בוגרת מאובטח מקשים שילובים בטוח. אני לא ממליץ לעשות מה שאתה רוצה לעשות, אבל אם אתה עושה:

  • אנשים אשר ישתמשו בסיסמאות לא יוכלו לשלוט בגישה אל הסיסמאות. קבוצה נפרדת של אנשים תחת שרשרת ניהול שונים צריך לשלוט בגישה בטוח, מגירה, וכו 'אם יש לך קבוצת כספים, הם עשויים להיות מועמד. אולי סמנכ"ל השיווק וכו '.
  • יש צורך ביומן כתוב כאשר הכספת נפתחת ומישהו לוקח על עצמו סיסמה.
  • יש לשנות את הסיסמא בתוך 24 שעות.

נהלים כאלה הם כאב בצוואר, אבל ישמש תמריץ לאנשים לאמץ שיטות שפוי יותר. אם אתה לא עושה משהו כמו מה שתיארתי, אל תטרח לעבור את התנועות של נעילת את הסיסמאות, כי אתה פשוט לקבל נפרדו יום אחד בכל מקרה.


1
2018-06-03 15:06





https://pypi.python.org/pypi/django-pstore/ משתמש לכל משתמש הצפנה GPG עבור סיסמאות משותפות (וכל הנתונים האחרים שאולי תרצה לשתף). השרת לא יודע על שום סיסמאות, הוא רק מחזיק את הנתונים המוצפנים. כולם משתמשים במפתח הפרטי שלהם כדי לפענח את הסודות המשותפים.

המערכת כוללת ניהול זכויות: לא כולם מקבלים גישה מלאה.


1
2018-03-11 14:39





אנו משתמשים https://passwork.me כמו פתרון עצמי מתארח. אבל אתה יכול לאחסן סיסמאות בענן שלהם גם כן.


1
2018-05-21 13:13



זה המוצר שלך Iliya אבל זה נראה טוב. - Foliovision


SPB ארנק הוא אחד טוב השתמשנו PW בטוח על ידי רוח אבל ארנק SPB מאפשר לך לסנכרן לשתף רשת וגם לסנכרן את iPhone שלך ​​אם אתה מקבל את היישום. כמו כן, יש גנרטור מובנה הסיסמה ואתה יכול ליצור אותם סיסמאות פשוטות סיסמאות מורכבות ביותר. אתה יכול גם להעתיק את הסיסמה בזמן הסיסמה עדיין כוכבית החוצה אז אם מישהו מחפש אתה יכול להעתיק אותו ולהדביק אותו בלי שאף אחד רואה את הסיסמה. המחשב אוטומטי App נועל פעם אחת אין פעילות לתקופה מוגדרת של זמן.


0
2018-06-03 10:57