Best practice per la memorizzazione di password di produzione per piccoli gruppi

Question

Questa non è una domanda tecnica. In che modo le piccole organizzazioni mantengono le informazioni sensibili che devono essere condivise tra più persone, come le password di root ai server di produzione? Non tutte le persone che hanno bisogno di avere accesso lavorano nella stessa posizione .. le nuove password possono essere distribuite per telefono, ma quali regole dovrebbero essere applicate ai membri del team nella memorizzazione delle password?

UPDATE: questa domanda non riguarda l'uso corretto delle password di root, che era solo un esempio. Forse un esempio migliore sarebbe la passphrase SSL o qualsiasi altra password che deve essere condivisa tra le persone che eseguono attività amministrative. Il fatto è che le password di root e simili devono essere generate e archiviate e di solito più di una persona deve avere accesso, a volte queste persone lavorano in luoghi diversi. La domanda riguarda i protocolli di archiviazione. Grazie.

Answer 1

Personalmente raccomando alle persone che affrontano problemi simili di utilizzare qualcosa come keepass o roboform per memorizzare le password. Questi programmi crittografano le tue password su una pen drive utilizzando una password master memorizzata dall'individuo, in modo che ricordino solo la password principale. Nel caso in cui qualcuno perde la propria pen drive, avranno una finestra di tempo in cui è possibile segnalare la pen drive compromessa e consentire di modificare le password. Ci vorrà un po 'di tempo, a seconda della forza della password principale, prima che la persona che ha rubato la pen drive sia in grado di forzare la master password per ottenere tutte le altre password memorizzate.

Inoltre, evitare di avere un account condiviso da più di 3 persone, se non del tutto! Invece, considera la possibilità di creare un account con accesso equivalente. Se un dipendente malintenzionato ha accesso a un account che sa essere condiviso, potrebbe essere più allettante per loro fare cose malevole poiché sa che non è possibile renderli responsabili, dal momento che potrebbe essere stata una delle diverse persone che hanno condiviso l'account.

Ciò significa anche che non è necessario modificare la password ogni volta che si chiude qualcuno. Invece, basta disabilitare/eliminare il proprio account. Quindi, sebbene tu abbia più account da gestire, hai meno spese generali quando qualcuno se ne va perché non devi avvisare tutti di una password modificata.

Modifica: Oh Roboform ha anche un servizio di sincronizzazione password online su SSL. Quindi potresti semplicemente chiedere alle persone di recuperare le password tramite la sincronizzazione. È bello quando ti ci abitui.

Answer 2

Non si dovrebbero distribuire (o utilizzare) le password di root a nessun server, produzione o altro. Non dovresti condividere le password.

Le persone devono accedere come se stessi (autenticazione) con le proprie password ID utente; questa è metà dell'immagine.

Se registrati correttamente, è necessario assegnare loro i diritti (il lato autorizzazione dell'immagine) come appropriato. È possibile utilizzare elementi come sudo per scopi di sistema operativo generale e i meccanismi dei diritti all'interno di database, ecc.

Questi sono due problemi distinti. Non attraversare i flussi!

Answer 3

Con l'avvento di sudo raramente è necessario utilizzare una password di root. Nel mio vecchio negozio, la password di root era scritta su una scheda, sigillata in una busta, e chiusa a chiave in un cassetto nell'area dei sysadmins. Coloro che avevano bisogno di sapere avevano le chiavi del cassetto.

Per aprire la busta era necessario modificare la password e inserire la nuova password in una nuova busta sigillata. La busta non è stata aperta spesso.

Questo sistema è probabilmente una cattiva pratica professionale, ma in un piccolo negozio dove tutti conoscevano tutti, ha funzionato bene.

Answer 4

è possibile utilizzare un programma come anypasswordpro ​​per condividere le password. È crittografato e ha livelli di accesso :)

Answer 5

Sii realistico. Che ti piaccia o no, le persone in piccoli gruppi scriveranno le password su bigliettini, IM o tenteranno di inviarle via email, soprattutto quando non percepiscono alcuna minaccia.

Una misura che ho trovato utile con piccoli gruppi è stabilire un protocollo di offuscamento.

Per esempio, tutte le password comunicati o memorizzati tramite segreteria telefonica, e-mail, IM, o di carta avranno 1) l'ordine dei loro personaggi invertito 2) un carattere casuale o parola collocato tra ogni carattere della password 3) foneticamente caratteri di password pronunciati.

Ad esempio:

Password: VMaccp @ ss1

offuscato: uno 2 es df es 23 All'SD pipì fd vedere DFS vedere FXZ ay df EM sd VEE

La chiave è di stabilire una sorta di codifica che è virtualmente impossibile per qualcuno capire senza conoscere il protocollo, che è facile da ricordare.

Tenere presente che questo è per piccoli gruppi senza sicurezza di vita o di morte. Ovviamente per i gruppi più grandi o quelli che proteggono i dati finanziari estremamente sensibili sono appropriate misure più ingombranti.

Answer 6

In un prototipo & R & D laboratorio dove in precedenza ho lavorato, c'erano le password di laboratorio 'standard' per cose come radice, l'accesso amministrativo alle console, interruttori, ecc Questi sono semplici, facili da ricordare, e condiviso verbalmente con chiunque ne avesse bisogno. In generale, se potessi entrare fisicamente in laboratorio, sei autorizzato ad avere queste password.

Nello stabilimento di produzione sono stati costruiti e configurati nuovi sistemi per i clienti. Il cliente doveva scegliere tutte le password e venivano stampate su una serie di moduli collegati al rack con i sistemi. L'accesso remoto è stato fornito come richiesto e le password sono state inviate tramite e-mail o fornite per telefono. Era previsto che il cliente avrebbe cambiato queste password non appena il sistema fosse stato consegnato a loro.

Per i laboratori di produzione IT &, quasi nessuno ha avuto accesso root. Quasi tutti hanno accesso sudo da qualche parte tra i limiti e solo la possibilità di montare i filesystem virtuali ... a seconda della persona e del sistema. Era molto raro avere accesso sudo per avviare una shell come root. Ciò ha lasciato una traccia di log molto chiara di tutti i comandi eseguiti come root. Quel registro è stato usato per tarare & piume più di una persona nel corso degli anni.

Al ruolo di help desk/supporto che ho avuto molti anni fa, ogni esperto di strumenti ha scelto le proprie password amministrative. Questi sono stati registrati in una busta chiusa in una cassaforte nella sala macchine. Se qualcuno aveva bisogno di un accesso amministrativo, potrebbe aprire la busta, leggere la password e annotare nel registro che conosceva la password e quindi risigillare la password nella busta. Spetta al proprietario dello strumento decidere se è necessario modificare la password. Questo sistema è stato utilizzato per più di 5 anni ... e in un caso ha effettivamente aiutato il progetto a sopravvivere al "test del bus" (attacco cardiaco) per un membro del team.

Standard diversi per diversi tipi di sistemi e laboratori. Questo è ragionevole. Trovo che quando le password devono essere tagliate, è meglio se la password è semplice, breve e comunicata verbalmente (di persona o al telefono). Trovo che l'unica password che non dovrebbe mai essere condivisa è quella per il mio account personale. Qualsiasi password root/admin/tool specifica dovrebbe essere salvata in almeno un'altra head ... se non registrata in qualche modo.