سؤال كيف يشارك فريق من مسؤولي الأنظمة كلمات المرور بأمان؟


ما أفضل الممارسات لمشاركة مئات كلمات المرور بين عدد قليل من الأشخاص؟ تحمي كلمات المرور هذه البيانات المهمة للمهمة ، ولا يمكن رؤيتها بعد فريق صغير.


81
2018-06-02 23:50


الأصل


انظر ذات الصلة serverfault.com/questions/3696/...  serverfault.com/questions/2186/...  serverfault.com/questions/10285/...  serverfault.com/questions/21374/... - Zoredache
BTW المئات هو رقم مزعج للغاية. ماذا يحدث عند طرد أحد أعضاء الفريق؟ تحديث مئات كلمات المرور سيكون مؤلماً. - Zoredache
معارين على "المئات هو أمر مزعج للغاية". أعتقد أنك قد تحتاج إلى إجراء نسخ احتياطي وإعادة النظر في كيفية إدارة كل شيء أمني في المقام الأول بدلاً من محاولة وضع الجص اللاصق على ما لديك حاليًا. - Maximus Minimus
ذات الصلة إلى حد ما: serverfault.com/questions/119892  بشكل خاص هذه الإجابة: serverfault.com/questions/119892/company-password-management/... - Nathan Hartley


الأجوبة:


ربما سأقوم بكتابة حل مخصص يستند إلى الويب مستضافًا على إنترانت شركة. (نلقي نظرة على http://lastpass.com للإلهام ، أو لاستخدامها. تعد مشاركة كلمات المرور إحدى ميزاته ، على الرغم من أنه قد لا يعمل مع حجم الصوت الخاص بك.)

تصحيح: بالتأكيد ، أفضل حل ، لا تشاركها. يعد تخزين كلمات مرور النص الواضح في أي وسيط أمرًا خطيرًا ، لا سيما عندما يكون الغرض من تخزينها هو مشاركتها. هناك عدد لا نهائي من الحلول ، كل منها يحمل مخاطر مرتبطة. فلماذا لا نضعها على صورة قرص مشفر ، ونحرق تلك الصورة على قرص مضغوط منفرد ، ونضع القرص المدمج في مكان آمن يمكن لحارس مسلح واحد أن يفتحه ، وهل قام الأشخاص المصرح لهم بتقديم صورة شخصية لإلغاء قفلها؟

الهدف هو أننا لا نعرف حقيقة السيناريو الخاص بك. لماذا تشارك مئات من كلمات المرور المهمة للمهمة؟ هل هم من أجل إنترانت backoffice ، VPN ، أو هم كلمات مرور العملاء التي تحتفظ بها في نص عادي لسبب ما؟ هل جميع الأشخاص الذين تحتاجهم لمشاركته مع نفس التثبيت؟ هل من الممكن أن يعمل النقل المادي مثل القرص المضغوط المشفر أو الجدول المطبوع المخزن في خزنة؟ أو انتشرت sysadmins الخاص بك في جميع أنحاء العالم ، مما يجعل الوسائل الإلكترونية لتقاسمها فقط حل؟


14
2018-06-02 23:58



IMO بناء نظام الأمان / التشفير الخاص بك لا يكاد يكون النهج الصحيح للمشكلة. - Zoredache
Zoredache ، هذه حمولة من الفضلات. على الرغم من ذلك ، أعتقد أن الحل القائم على الويب لاستضافة كلمات المرور هو غبي - لكنه فعل msanford لم يقول الإنترانت. لا يزال محفوفة بالمخاطر رغم ذلك. الشيء نفسه لجميع الحلول الشبكية الأخرى. - d-_-b
Zoredache ، البروتوكول الاختياري لا يبني نظام تشفير مخصص ، يبدو مثل كل ما يحتاجه هو قاعدة بيانات آمنة. sims لا أرى أي خطأ في حل يستند إلى الويب مصمم جيدًا. تقترح الإجابة المصوتة بدقة أن (على شبكة الإنترنت! = http ؛ على شبكة الإنترنت = مخزن على الإنترنت). من المسلم به أنه بمجرد قراءة هذا السؤال للمرة الثانية ، أوافق على أن النموذج الأساسي لمشاركة أطنان من كلمات المرور يبدو أنه من غير المحتمل أن يكون غير ضروري ، وأنه يمكن التوصل إلى حل أفضل. لكن البروتوكول الاختياري لم يقدم معلومات كافية لي لاتخاذ هذا الحكم ... - msanford
>Zoredache ، هذا حمل من الفضلات. <Um، Sims، you pretty pretty flying in the face of most encryption folks right the the bat. إن تصميم التشفير أمر صعب ، مما يجعل عملية التشفير أمرًا صعبًا. schneier.com/essay-037.html  في بعض الأحيان يكون الشر الأقل - الذي تعرفه - هو الخيار الأفضل ، عندما يواجه الشر الذي لا تعرفه (أي تصميم غير مجرب ، غير خاضع للمراجعة من قبل الأقران ، قد يكون به أخطاء ، قد يكون به ثغرات أمنية ، إلخ. ) - Avery Payne
Avery - تصميم نظام تشفير أمر صعب ويجب تركه للخبراء ، نعم. إن استخدام الأدوات التي تم تجربتها واختبارها ، مثل GPG على ملف نصي مشترك ، أو Keepass (الذي يستخدم تطبيقات .NET لـ AES و SHA-256) لا يقوم بتصميم النظام الخاص بك. - mfinni


أفضل الممارسات ليست مشاركة كلمات المرور. استخدم أدوات مثل sudo للسماح للمستخدمين بالحصول على الوصول الذي يحتاجون إليه من حساباتهم الخاصة. إذا كان لديك عدد قليل من المستخدمين ، فيجب أن يكون لكل منهم حساباته الخاصة عند الحاجة. يعد LDAP (Unix / Linux) و Active Directory حلاً جيدًا لمنح الوصول إلى خوادم متعددة من قاعدة بيانات مشتركة.

عندما يكون من الضروري الحصول على نسخة خطية من كلمة المرور ، قم بإغلاقها في مظروف موقّع ومؤرخ عبر الختم. تغيير كلمة المرور عند استخدامها. عند تغيير كلمة المرور ، قم بإغلاقها على مغلف جديد.

بالنسبة إلى كلمات المرور التي تحتاج إلى المشاركة ، استخدم أحد أدوات كلمة المرور مثل Keepass التي يمكن أن تحتوي على قاعدة بياناتها على شبكة. الأدوات مع العملاء لمنصات متعددة أفضل. ضع في اعتبارك أن هناك حاجة إلى أكثر من قاعدة بيانات واحدة. تذكر أنك تحتاج بالفعل إلى الوثوق بكل شخص لديه حق الوصول إلى هذه البيانات.


38
2018-06-03 00:04



إجراء 1+ لحسابات المستخدمين غير المحظوظة للمشرفين الذين لديهم تصعيد محتمل لامتيازات ، على * * خوادم nix كنت سأدمج ذلك مع استخدام شهادة dsa / rsa فقط لـ sshd. إذا كنت تفعل أشياءً باستخدام أدوات رسومية تحت لينكس ، فيمكنك أيضًا استخدام تهيئة policykit مخصصة. - Aaron Tate
هذه. يعتبر إلغاء الوصول للمستخدمين عندما يستخدمون بيانات الاعتماد المشتركة بمثابة كابوس مطلق. كلما كان ذلك ممكنًا ، يمكنك تفويض الوصول عبر حساب مستخدم فريد. هناك دائمًا بعض الحالات التي لا يمكن تجنب كلمة المرور الشائعة فيها ، ولكن "المئات" من كلمات المرور المشتركة تزيل عيوب التصميم المهمة. - Chris Thorpe
أتفق مع عدم مشاركة كلمات المرور عادةً ، ولكن هناك الكثير من المواقف التي يكون فيها ضروريًا مثل أجهزة الشبكة ذات تسجيل الدخول الواحد ، ومواقع البائعين التي تستخدم فيها جميع sysadmins تسجيل الدخول نفسه للطلب ، ومستخدمي SQL sa أو كلمات مرور المسؤول المحلي حيث ضروري. لهذا السبب أعتقد أن KeePass هو الأفضل لهذا: فهو يعمل على منصات متعددة ، ويتيح قدرًا كبيرًا من الأمان ، وينظم بسهولة مئات كلمات المرور. - Paul Kroon
لدينا تباين حول هذا ، حيث لدينا كلمات مرور جذر مكتوبة ولكن مؤمّنة في خزنة يملك فقط فريق الأنظمة مفاتيح لفتح. كلمات المرور الجذرية الخاصة بنا تتكون من 16 حرفًا ويتم إنشاؤها بطريقة تجعل من المستحيل تذكرها. نعم ، هناك بعض انعدام الأمن هناك ، ولكن إذا اخترق أحدهم الأمان ، فأعتقد أن لدينا مشاكل أكبر. - Frenchie
إليك سيناريو استخدام حقيقي لفريقنا: مشاركة كلمات المرور للتطبيقات المستندة إلى الويب حيث لا تدعم عمليات تسجيل الدخول المتعددة لحساب واحد. لذلك ، إذا احتاج أكثر من شخص واحد في الفريق إلى الوصول إلى هذا الحساب ، يجب أن يكون هناك طريقة لمشاركة كلمات المرور لذلك الحساب. - Jordan Reiter


لقد ذهبنا معها حرة KeePass لهذا الغرض بالضبط. إنه برنامج صغير رائع يخزن كل كلمات المرور الخاصة بك في ملف قاعدة بيانات مشفر. هناك ميزات أمان إضافية مثل الحاجة إلى ملف مفتاح مع كلمة المرور الرئيسية للوصول إلى كلمات المرور. هذا يسمح لطبقات متعددة من الأمن (فصل ملف المفتاح وقاعدة البيانات) ، مع الحفاظ على ملاءمة الجميع للعمل مع كل كلمات المرور المختلفة. على سبيل المثال ، يمكنك تشغيل التطبيق وملف المفتاح من محرك أقراص USB ، ولكن يمكنك تخزين قاعدة البيانات على شبكتك في مكان ما. يتطلب ذلك بيانات اعتماد لمشاركة الشبكة وكلمة المرور الرئيسية ومحرك أقراص USB الفعلي مع ملف المفتاح.


10
2018-06-02 23:59



يبدو KeePass لدعم منصات متعددة ، وهو فوز كبير في عيني (أعمل في بيئة منصة مختلطة). تبدو ميزة "النوع التلقائي" مفيدة أيضًا. - Avery Payne
فكرة غبية للحفاظ على كلمات المرور على الشبكة. - d-_-b
Sims - ثم كيف تشاركها؟ يستخدم KeePass ملفًا مشفرًا للمتجر. إنها مجرد نسخة أكثر استخدامًا من ملف نصي مشفر لـ GPG على خادم Unix يستطيع كل شخص الوصول إليه. - mfinni
Sims - أتفق معك عادةً ، ولكن الأمر يتعلق بحالة أمان مقابل الإنتاجية. لا أرغب في وضع كلمة مرور جذر الخادم في شيء من هذا القبيل ، ولكن كلمة مرور المسؤول لمفتاح الطبقة الثانية الذي يحتوي على تسجيل دخول واحد فقط هو مرشح جيد لذلك. هناك نقطة عندما يتطلب الأمر القيام بمزيد من العمل بطريقة أكثر أمانًا من التنظيف بعد حدوث اختراق أمني. بالإضافة إلى ذلك ، بالإضافة إلى كل التشفير ، سيكون لديك أمان AD / NTFS على الملف ، والغموض قليلاً عن طريق وضع الملف (الذي يمكن تسمية أي شيء) في موقع عشوائي. - Paul Kroon
لم أكن أفكر في جهاز ويندوز. ولكن نعم ، إذا كان بإمكانك استخدام مستخدم واحد فقط لهذا المفتاح ، فحينئذٍ أعتقد أنه سيكون له معنى. خلاف ذلك كما يقول بيل ، قل لا لكلمات المرور المشتركة ، والتي كانت أيضا وجهة نظري حول المفاتيح. - d-_-b


ما أفضل الممارسات لمشاركة مئات كلمات المرور بين عدد قليل من الأشخاص؟

سهل ، وهذا يأتي في اثنين من النكهات:

  1. لا ، سهل وبسيط. إذا اخترت القيام بذلك ، فأنت تقوم بإرجاء مصادقة كلمة المرور إلى مصادقة خارجية وموثوقية تحكم من هناك.

  2. أنت تفعل ذلك ، ولكن عند القيام بذلك ، لديك عناصر تحكم في الوصول الخارجي تحتوي على كلمات مرور أو رموز أمان غير مسجلة داخل النظام الذي تستخدمه (أي أن محميّة كلمات المرور محمية بكلمة مرور أخرى محدودة التوفر). هناك العديد من المشاكل مع هذا.

تحمي كلمات المرور هذه البيانات المهمة للمهمة ، ولا يمكن رؤيتها بعد فريق صغير.

يجب أن تفكر بجدية في خدمة مصادقة آمنة تتكامل مع خدمة دليل لمعالجة المشكلة. تقوم تركيبة DS / AS بإنشاء "سلطة" موثوقة يمكن أن تعمل بمثابة حكم لجميع المستخدمين والأجهزة الخاصة بك. يمكن حذف حسابات المستخدمين من كلمة المرور الفعلية المستخدمة في المصادقة ، مما يسهِّل "فصل" كلمات المرور من سياسة الوصول. يتم التحكم في كلمات المرور عن طريق إلغاء تنشيط حساب المستخدم. لذلك إذا غادر أحد المشرفين ، فقم ببساطة بإيقاف حسابه ، وذهب وصوله (لأن كلمة مرور هذا الشخص تمنح حق الوصول فقط بناءً على صلاحية DS / AS التي تؤكد صحة الحساب).

لن يعمل هذا إلا عندما تكون في بيئة تسمح للأجهزة / البرامج الخاصة بك بتحويل طلبات المصادقة الخاصة بها إلى مصادر خارجية ، لذلك قد لا يكون الحل مناسبًا لك. إذا كان لديك نسبة كبيرة من الأجهزة / البرامج التي يمكن أن تستوعب المصادقة الخارجية ، فعندئذ يمكنني المضي قدمًا والقيام بذلك ، إذا أردت فقط دمج عدة مئات من كلمات المرور في قائمة يمكن إدارتها ، على سبيل المثال ، اثني عشر كلمة. إذا قررت الذهاب إلى هذا الطريق ، فهناك العديد من الحلول الجاهزة والمعروفة والمُختبرة لهذا الغرض.

  • الدليل النشط.  على الأرجح الأكثر شهرة في المجموعة ، يعطيك Kerberos كخيار مصادقة ، ويوفر LDAP لـ DS الأساسي.
  • سامبا / Winbind.  فكر في هذا "ضوء الدليل النشط" ، فأنت لا تحصل على جميع ميزات AD ، بل نموذجًا قديمًا يعتمد على NT4 (أعتقد تجزئة LANMAN). سيحل هذا محل التكامل مع سامبا 4 ، ومن المحتمل أن "يختفي".
  • خدمات الدليل Novell.  لا أعرف ما يكفي حول هذا الموضوع لأوصي به ، لكنني أعلم أنه لا يزال موجودًا. لا يزال هناك الكثير من الكيانات الحكومية التي تدير NDS ، لذلك إذا كنت تعمل في هذا "القطاع" ، فسوف تهمك. قامت Novell مؤخرًا بنقل NDS لتعمل كخدمة لينكس ، ولكن لا أعرف ما إذا كان هذا المنتج نشطًا (حوالي عام 2005).
  • LDAP + Kerberos.  هذا هو في الأساس "نمت المنزل" الدليل النشط ، مطروحا منه جميع "ميزات جميلة". ومع ذلك ، فهي معروفة أيضًا بالمكونات التي تحتوي على قاعدة شفرة ثابتة ومستقرة ، لذا فإن تكامل هذه الخدمة (الخدمات) هو عادةً مدى "التخصيص" المطلوب لجعل الأمور تعمل.
  • مفاتيح SSH + (أدخل برنامج إدارة النظام هنا ، على الأرجح دمية).يتم الوصول إلى هذا الموقع فقط عندما يكون لديك SSH على اللوحة وجميع الأجهزة. يمكن تسليم المفاتيح وإلغائها حسب الحاجة ، وتصبح كلمات المرور "غير ذات صلة" حيث يمنح مفتاح SSH إمكانية الوصول. يسمح لك استخدام نظام مثل الدمية بتحديث المئات من الأجهزة عن طريق إصدار الأوامر بشكل جماعي لإضافة / إبطال مفاتيح SSH.
  • مزيج من بعض ما ورد أعلاه.

هناك أيضا سؤال عن مقدار الأمان الذي تحتاجه. لم تحدد إذا كنت تعني "مهمة حرجة" أن الرؤوس الحربية النووية قد تمطر على المدن ، أو إذا كانت "المهمة الحرجة" تعني أن أحدث شحنة من Furbies لن تصل إلى المدينة. سيكون من المفيد حقا إذا كان هناك شيء يصف تقييم المخاطر / التهديد.


5
2018-06-03 20:37





أعلم أن هذا سؤال قديم لكنني توصلت مؤخراً إلى حل يستند إلى مصدر مفتوح يستند إلى الويب شركة المدفن قد تكون مثيرة للاهتمام بالنسبة للبعض. لم تتح لي الفرصة لتجربتها حتى الآن.


2
2017-12-16 00:31





نستخدم برنامج يسمى كلمة المرور آمنة. إنه أمر رائع وآمن للغاية ، يمكنك تعيين قاعدة البيانات على محرك أقراص متصل بالشبكة ومنح كل من يحتاج إليه الوصول وكلمة المرور إلى الأمان نفسه ، والذي يخزن بعد ذلك جميع أسماء المستخدمين وكلمات المرور المشفرة بأمان.


1
2018-06-03 02:57





أشياء قليلة:

  • كما قال آخرون ، هذه فكرة سيئة. استخدم LDAP ، إلخ
  • إذا كنت ملتزمًا بذلك لأي سبب من الأسباب ، على الأقل توحيد كلمات المرور. 100 كلمة مرور غير مُدارة تعني أنك لا تقوم بتحديث كلمات المرور.
  • ابقائهم على الورق. تطلب من الموظفين التوقيع على الورق بلون حبر مختلف لتسهيل تحديد ما إذا تم نسخ ورقة.
  • إذا كنت تستخدم Unix ، فاستخدم S / KEY لإنشاء كلمات مرور لمرة واحدة. تخزين هذا في مكان آمن.

تحتاج أيضًا إلى تجاوز إجراءات الأمان الميكانيكية لوضع كلمات مرور الورق في خزنة أو تشفير كلمات المرور. تابع القراءة حول كيفية قيام المؤسسات ذات نماذج الأمان الناضجة بتأمين المفاتيح والمجموعات الآمنة. لا أوصي بفعل ما تريد تنفيذه ، ولكن إذا فعلت:

  • لا يستطيع الأشخاص الذين يستخدمون كلمات المرور التحكم في الوصول إلى كلمات المرور. تحتاج مجموعة متميزة من الأشخاص تحت سلسلة إدارة مختلفة إلى التحكم في الوصول إلى الخزانة والدرج وما إلى ذلك. إذا كان لديك مجموعة مالية ، فقد يكونوا مرشحًا. ربما نائب رئيس التسويق ، وما إلى ذلك.
  • يجب أن يكون هناك سجل مكتوب عندما يتم فتح الخزنة ويستحوذ شخص ما على كلمة مرور.
  • يجب تغيير كلمة المرور في غضون 24 ساعة من السحب.

مثل هذه الإجراءات هي ألم في الرقبة ، ولكن سيكون بمثابة حافز للناس لتبني ممارسات أكثر عقلانية. إذا كنت لا تفعل شيئًا مثل ما وصفته ، فلا تزعج نفسك في المرور بحركات حبس كلمات المرور ، لأنك ستخترق في يوم من الأيام.


1
2018-06-03 15:06





https://pypi.python.org/pypi/django-pstore/ يستخدم تشفير GPG لكل مستخدم لكلمات المرور المشتركة (وأي بيانات أخرى قد ترغب في مشاركتها). لا يعرف الخادم مطلقًا أي كلمات مرور ، ولكنه يحتفظ بالبيانات المشفرة فقط. يستخدم كل شخص مفتاحه الخاص لفك تشفير الأسرار المشتركة.

يشمل النظام إدارة الحقوق: لا يحصل الجميع على إمكانية الوصول الكامل.


1
2018-03-11 14:39





نحن نستخدم https://passwork.me كحل مستضافة ذاتيا. ولكن يمكنك تخزين كلمات المرور في السحابة أيضًا.


1
2018-05-21 13:13



هو منتجك Iliya لكنه يبدو جيدا. - Foliovision