Meilleure pratique et solutions pour le partage de mots de passe
Nous avons divers mots de passe qui doivent être connus pour plus d'une personne dans notre société. Par exemple, le mot de passe administrateur sur nos routeurs Internet, le mot de passe de notre hôte Web, ainsi que quelques mots de passe "non-it" tels que des codes sûrs.
Actuellement, nous utilisons un ad hoc Système de "mots de passe standard" pour les systèmes à faible valeur et le partage verbal de mots de passe pour des systèmes plus importants/potentiellement dommageables. Je pense que la plupart des gens conviendront que ce n'est pas un bon système.
Ce que nous aimerions, c'est une solution logicielle pour stocker des mots de passe "partagés", avec accès à chaque limitée aux personnes qui en ont en réalité besoin. Idéalement, cela inviterait ou appliquerait des changements de mot de passe périodiques. Il devrait également être en mesure d'indiquer qui a accès à un mot de passe particulier ( E.g., qui connaît le mot de passe root pour le serveur XYZ?)
Pouvez-vous suggérer des solutions logicielles pour stocker et partager mots de passe? Y a-t-il quelque chose de particulier à se méfier?
Quelle est la pratique courante dans les petites entreprises de taille moyenne pour cela?
Je fais face à ce problème chaque fois que je vais à une nouvelle startup. La première chose que je fais est de faire quelques "coffres-forts de mot de passe" avec un programme comme celui-ci (ou l'un de ses dérivés):
http://passwordsafe.sourceforge.net/
Définissez des combinaisons fortes et jetez-les sur une part de réseau. Segment par zone de responsabilité ... Infrastructure centrale, Serveurs de production, Dev/QA, etc.
Une fois qu'il y a suffisamment d'élan et en supposant que j'ai les dépendances appropriées de l'environnement Windows, j'aime déplacer tout le monde à ceci:
http://www.clickstudios.com.au/passwordstate.html
Il présente des caractéristiques pour les diplômes partagés et personnels.
Ne pas oublier est la nécessité de pouvoir être capable de révoquer mots de passe si un employé part/est viré. Plusieurs cas ont été notés dans les médias populaires des employés étant licenciés et "récupérer" à leur entreprise à l'aide de mots de passe toujours actifs après leur départ.
Ceci est typiquement 2 parties:
- Connaître tous les mots de passe à modifier (sinon, vous avez défaut à tout ce qui est fastidieux)
- Les modifier manuellement ou automatiser le processus avec un outil ou un script.
Un autre facteur important consiste à garantir que la politique de mot de passe soit suivie lorsque les modifications sont apportées - par ex. Comment savez-vous que le même mot de passe n'a pas été utilisé sur plusieurs comptes ou qu'un mot de passe faible n'a pas été utilisé?
Je travaille dans un petit magasin informatique et nous utilisons Secret Server pour l'année écoulée pour gérer nos mots de passe pour nos périphériques réseau et nos besoins des clients.
Ils offrent une "édition d'installation" ou une édition en ligne/hébergée. Nous utilisons l'édition hébergée pour moins de 100 $/an (5 utilisateurs) et peut accéder à ces informations de mot de passe en toute sécurité via un navigateur web ne importe où nous allons. Si vous êtes vraiment inquiet pour la sécurité, installez-le sur votre propre serveur et ne l'accédez que via LAN ou VPN.
De plus, mon gestionnaire de mots de passe Web "personnel" préféré propose désormais une "édition d'entreprise" - PASSPACK .
Je ne sais pas comment il fonctionne dans ce scénario versus Secret Server, mais la solution doit être beaucoup plus polyvalente et sécurisée que les restes de papier, applications de bureau ou ( Gasp ) Se souvenir de choses dans votre tête. Pour le souci de "point unique d'échec", l'un ou l'autre de ces produits permettent une exportation facile à la CSV.
J'utilise lastpass pendant un moment et j'adore. J'ai passé un peu de temps à rechercher cette question à l'année dernière et j'ai aimé la façon dont l'autre l'avait fait.
- Toutes les informations sont stockées sur leur site (et une copie locale) dans un ensemble crypté que vous seul avez le mot de passe pour déchiffrer
- Tous les mots de passe sont partageables et révocables, vous pouvez même les partager sans donner accès au mot de passe lui-même (pour les connexions Web).
- Plugins pour les grands navigateurs
- Beaucoup d'autres caractéristiques
Je seconde la recommandation de passwordsafe d'Adam, avec les données sur un dossier de réseau. J'ai deux considérations dans ce domaine. On a une version unique, de sorte que tous ceux qui ont besoin que les données reçoivent les données actuelles.
1- PasswordSafe utilise un format standardisé pour le fichier. Il existe donc d'autres solutions qui peuvent la lire, y compris KeepsSass.
2- Placez le fichier de mot de passe sur une action sécurisée et disposez d'un script nocturne qui la copie à quelques emplacements sur le réseau. Copiez-le peut-être une action sur un autre serveur (hors site si possible) et à un lecteur USB laissé sur le serveur. Vous voulez que le fichier au moins un endroit où il n'est pas protégé par un mot de passe qu'il stocke!
3- Stockez l'installateur (ou la version exécutable du programme) dans les mêmes endroits que le fichier de clé, de sorte que vous puissiez l'obtenir rapidement si nécessaire.
4- Demandez aux gens d'ouvrir le fichier en lecture seule, à moins qu'ils ne doivent pas modifier.
5- Si nécessaire, vous pouvez créer plusieurs fichiers de mot de passe, un pour les informations d'identification que tout le monde sur l'équipe a besoin et une pour les informations d'identification pour les choses très sensibles.
Je voudrais non Recommander de passer à une solution Web. Une solution hébergée en interne pourrait être correcte, mais cela semble avoir beaucoup de problèmes. Je suis également préoccupé par cela étant un point d'échec unique.
Je partage la responsabilité de nombreux systèmes avec des employés de l'un de mes clients. Nous avons convenu d'utiliser un système de mot de passe pour les comptes les plus souvent utilisés. D'autres mots de passe sont stockés dans une liste de paires de mot de passe (Number, mot de passe) basés sur papier conservées par le chef du client. Les noms d'utilisateur et les hôtes sont stockés dans une base de données facilement accessible. Les mots de passe sont distribués sur une base de besoin à savoir.
Pratique commune dans les petites entreprises de moyenne:
Trois endroits où j'ai travaillé ont utilisé des documents séparés sur des mots de passe détaillés pour différents systèmes. Un document pour les routeurs et les pare-feu, un autre pour l'accès aux serveurs et un pour les développeurs (par exemple les détails de connexion des connexions de base de données). L'accès aux applications a tendance à ne pas être documenté (je suppose car pour la plupart de vous connectez-vous comme vous-même avec les droits de l'administrateur).
Le réseau Admin ne voit que le document de mot de passe des routeurs et les personnes ayant accès à ce document sont répertoriées dans ce fichier. Leurs conditions d'emploi indiquent que les connexions et les mots de passe qu'ils ont accès sont privés et à ne pas être partagés avec d'autres. Similaire pour les systèmes admin et les développeurs.
La réalité est parfois le mot de passe est partagé, mais vous pouvez identifier qui doit savoir (et pourquoi) et changer ce qui doit être changé. Cela a bien fonctionné dans une société (logicielle) de 50 employés.
Il y a un Lifehacker Post d'aujourd'hui sur PASSPACK , cela pourrait valoir un coup d'œil.
Pour rarement utilisé les mots de passe utilisés tels que les comptes d'administration locaux sur les serveurs, les mots de passe du routeur et du pare-feu et similaires à mon dernier emploi, un magasin d'environ 50 environ, seuls le Sysadmin connaissait effectivement les mots de passe. Ils ont été écrits sur un morceau de papier dans une enveloppe. Je crois que trois enveloppes ont été scellées et signées par le patron, la Sysadmin et le programmeur de la tête. Chaque individu avait une copie des documents. Dans le cas où les mots de passe ont été utilisés, nous les avons modifiés et créé de nouvelles enveloppes.
Dans mon emploi actuel, à une organisation beaucoup plus grande, nous avons 15 sysadmins seuls et quelques milliers d'utilisateurs, nous avons une méthode de calcul des mots de passe basés sur un nom de serveurs. Cela inclut un préfixe connu et une méthode de hash suffisamment simple à faire sur papier. Lorsque les mots de passe doivent changer parce que quelqu'un quitte ou que nous modifions le préfixe ou le hachage ou les deux. De cette façon, alors que je ne connais pas le mot de passe sur chaque machine ou appareil autour de moi, je pourrais le calculer si j'en avais besoin pour une raison quelconque.
Utilisez GPG avec l'option symétrique pour chiffrer un fichier texte avec tous les mots de passe de celui-ci. Ensuite, tout ce que vous avez à faire est de fournir une phrase passée à d'autres administrateurs. Lorsqu'un administrateur quitte la société, puis re-chiffrer le fichier texte avec une nouvelle phrase de passe.
Centry a travaillé pour moi.
Pour accéder aux serveurs:
Fournissez un accès à un serveur et utilisez-le comme une boîte de lecture et gérez les comptes sur la boîte de saut. Toute personne supposée être confondue à la section de saut est confiée à la ressource distante. De cette façon, tout le monde a son propre mot de passe et le mot de passe sur le serveur pour le compte particulier peut être gardé secret.
Pour accéder à d'autres ressources:
Limiter l'accès à un seul personnel essentiel. Assurez-vous de gérer une liste d'utilisateurs de confiance. Changez le mot de passe tous les 90 jours et mettez à jour la liste des utilisateurs de confiance. Donner aux gens l'avis du changement en attente 15, 7 et 1 jour à l'avance. Distribuez uniquement le mot de passe aux gestionnaires et leur permet de déterminer qui a besoin d'un accès. Utilisez les utilitaires pour enregistrer l'accès et informer régulièrement les utilisateurs de connaître leurs systèmes de surveillance étroitement. Toute entreprise amusante sur les serveurs devrait être une infraction connue complexe.
J'ai déjà eu le même problème. J'ai fini par construire un système pour gérer cela moi-même. Il a stocké le nom d'utilisateur et le mot de passe sur une forme hautement cryptée dans une base de données avec une interface Web qui vous permettrait d'entrer les informations du compte et de définir la sécurité à ce sujet afin que seules les personnes ou les groupes corrects puissent accéder aux données.
Il n'a pas demandé quand il était temps de changer les mots de passe en tant que services sur des dizaines de serveurs utilisés, le même identifiant et les modifications des mots de passe devaient être bien configurés à l'avance.
Je l'ai construit avec une fonctionnalité d'audit complète de sorte que chaque fois qu'un employé ait examiné une connexion, elle a été enregistrée afin que nous puissions jeter le journal d'audit pour exceller pour les auditeurs SOX.
Wow, bon fil! Personne n'a mentionné ma solution préférée (sauf en passant), donc je vais donner un cri de retenue. Bien extensible, avec une authentification de mot de passe, de clé ou d'annonce. Le travail gentiment pour nous?.
Nous avons un système comme le président et la bombe - deux personnes chacune connaître la moitié du mot de passe. De cette façon, vous ne recevrez jamais une situation dans laquelle un seul administrateur voyou tombe et fait des changements non approuvés par eux-mêmes.
Je sais que ce n'est pas exactement la réponse que vous voulez, mais dans mon lieu de travail, c'est exactement la même chose, les membres de confiance des membres de confiance reçoivent les mots de passe pertinents, les mots de passe ne sont pas partagés parmi les périphériques et ils ne sont pas écrits. Le système a tendance à fonctionner assez bien car l'administration des appareils est généralement la responsabilité de quelques membres du personnel. Nous avons également une très bonne rétention de personnel afin que la confiance puisse être construite sur une longue période.
Je travaille dans une entreprise informatique, nous avons de nombreux clients, normalement, nous trembeshoot le problème à distance. Nous utilisons SSH pour vous connecter pour dépanner. Nous avons ajouté une machine SSH-clé à toutes les machines de nos clients, de sorte qu'elle sera utile à d'autres personnes à se connecter et à résoudre les problèmes, si je ne suis pas là. Mais la machine que nous utilisons pour vous connecter à des clients MacINE sécurisé. Si vous souhaitez avoir de bons mots de passe mieux utiliser des numéros et un personnage supplémentaire.
Pour ajouter des touches SSH ce qui suit:
1.SSH-Keygen -T DSA (pour obtenir des touches SSH sur .sSH/ID_DSA.PUB
sCP .ssh/id_dsa.pub racine @ Remote: ~/TMP
Sur la machine distante
chat >> /tmp/id_dsa.pub .ssh/autorisé_keys2
Essayez de vous connecter pour supprimer la macine, d'une autre console ... :) Happy sshhhhhhhhhh
Vous voudrez peut-être utiliser une sorte de logiciel de mot de passe de mot de passe - de cette façon, vous pouvez donner aux utilisateurs autorisés leur propre accès à celui-ci et s'assurer que les informations ne fuient pas les personnes qui quittent des notes. Un bon fonctionnement n'a probablement pas même le mot de passe, il suffit de le laisser tomber dans le presse-papiers pour Cut'n Coller.