Najlepsze praktyki dotyczące przechowywania haseł produkcyjnych w małych grupach

Question

To nie jest pytanie techniczne. W jaki sposób małe organizacje przechowują poufne informacje, które muszą być udostępniane między kilkoma osobami, takie jak hasła root-owe serwerom produkcyjnym? Nie wszystkie osoby, które potrzebują dostępu, działają w tej samej lokalizacji. Nowe hasła mogą być rozpowszechniane przez telefon, ale jakie zasady powinny być egzekwowane dla członków zespołu w przechowywaniu haseł?

AKTUALIZACJA: to pytanie nie dotyczy prawidłowego użycia haseł roota - było to tylko przykład. Być może lepszym przykładem będzie hasło SSL lub inne hasło, które musi być udostępniane osobom wykonującym zadania administracyjne. Faktem jest, że hasła root i tym podobne muszą być generowane i przechowywane, a zazwyczaj więcej niż jedna osoba musi mieć dostęp, czasami te osoby pracują w różnych lokalizacjach. Pytanie dotyczy protokołów przechowywania. Dzięki.

Answer 1

Osobiście polecam osobom borykającym się z podobnymi problemami używanie do przechowywania haseł czegoś w rodzaju keepass lub roboform. Te programy szyfrują twoje hasła na pendrivie używając głównego hasła, które zapamiętuje dana osoba, tak że muszą pamiętać tylko główne hasło. W przypadku, gdy ktoś straci swój pendrive, będą mieli okno czasu, w którym będą mogli zgłosić zaatakowany pendrive i zezwolić ci na zmianę haseł. Zajmie to trochę czasu, w zależności od siły hasła głównego, zanim osoba, która ukradnie pendrive, będzie mogła brutalnie wymusić hasło główne, aby uzyskać dostęp do wszystkich pozostałych przechowywanych haseł.

Dodatkowo, unikaj posiadania konta współużytkowanego przez więcej niż 3 osoby, jeśli w ogóle! Zamiast tego rozważ utworzenie osobnego konta z równorzędnym dostępem. Jeśli złośliwy pracownik ma dostęp do konta, które, jak wiedzą, jest udostępniane, może być bardziej kuszące, aby robili złośliwe rzeczy, ponieważ wiedzą, że nie możesz ich pociągnąć do odpowiedzialności, ponieważ może to być jedna z kilku osób, które współdzielą to konto.

Oznacza to również, że nie musisz zmieniać hasła za każdym razem, gdy ktoś wyjdzie. Zamiast tego wystarczy wyłączyć/usunąć swoje konto. Więc chociaż masz więcej kont do zarządzania, masz mniej narzutów, gdy ktoś odchodzi, ponieważ nie musisz powiadamiać wszystkich o zmianie hasła.

Edytuj: Oh Roboform ma również usługę synchronizacji haseł online przez SSL. Dzięki temu użytkownicy mogą pobierać hasła przez synchronizację. To fajne, kiedy już się przyzwyczaisz.

Answer 2

Nie należy przekazywać (lub używać) haseł root do jakichkolwiek serwerów, produkcji lub w inny sposób. Nie powinieneś udostępniać haseł.

Użytkownicy powinni logować się jako siebie (uwierzytelnianie) z własnymi hasłami ids użytkowników; to połowa obrazu.

Po prawidłowym zalogowaniu należy im nadać odpowiednie uprawnienia (strona autoryzacji obrazu). Możesz używać takich rzeczy jak sudo do ogólnych celów systemu operacyjnego, a mechanizmy uprawnień w bazach danych itp.

To są dwa osobne wydania. Nie przekraczaj strumieni!

Answer 3

Wraz z pojawieniem się sudo, rzadko musimy używać hasła root. W moim starym sklepie hasło roota było zapisane na karcie, zapieczętowane w kopercie i zamknięte w szufladzie w obszarze administratora. Ci, którzy chcieli wiedzieć, mieli klucze do szuflady.

Każdy, kto otworzył kopertę, musiał zmienić hasło i umieścić nowe hasło w nowej zaklejonej kopercie. Koperta nie była często otwierana.

System ten jest prawdopodobnie bardzo złą praktyką zawodową, ale w małym sklepie, w którym każdy znał wszystkich, wszystko działało dobrze.

Answer 4

można używać programu takiego jak anypasswordpro ​​do udostępniania haseł. Jest zaszyfrowany i ma poziomy dostępu :)

Answer 5

Bądź realistą. Niezależnie od tego, czy ci się to podoba, czy też nie, ludzie w małych zespołach będą pisali hasła na karteczkach, komunikatorach internetowych lub będą kuszeni, aby wysyłać je pocztą e-mail, zwłaszcza gdy nie dostrzegają żadnego zagrożenia.

Jedną z miar, które okazały się przydatne w małych grupach, jest ustanowienie protokołu zaciemniania.

Na przykład, wszystkie hasła przekazywane lub przechowywane za pośrednictwem poczty głosowej, poczty elektronicznej, komunikatorów, czy papier będzie miał 1) kolejność ich znaki odwrócone 2) losowy charakter lub słowo umieszczone pomiędzy każdym znaku hasłem 3) fonetycznie wymawiane znaki hasła.

Na przykład:

Hasło: VMaccp @ SS1

ukrywane: One 2 es df es 23 na sd pee fd zobaczyć DFS zobaczyć fxz AY df em SD Vee

Kluczem jest ustalenie pewnego rodzaju kodowania, które jest praktycznie niemożliwe dla kogoś, aby dowiedzieć się bez znajomości protokołu, który jest łatwy do zapamiętania.

Należy pamiętać, że dotyczy to małych grup bez zabezpieczenia na wypadek śmierci lub śmierci. Oczywiście dla większych grup lub tych, którzy chronią niezwykle wrażliwe dane finansowe, bardziej odpowiednie są bardziej uciążliwe środki.

Answer 6

W prototypie & R & D laboratorium, gdzie wcześniej pracował, były „norma” haseł laboratorium do rzeczy, takich jak korzeń, dostęp administracyjny do konsol, przełączników itp Są to proste, łatwe do zapamiętania, a wspólne ustnie z każdy, kto ich potrzebował. Ogólnie rzecz biorąc, jeśli możesz fizycznie dostać się do laboratorium, masz upoważnienie do posiadania tych haseł.

W zakładzie produkcyjnym zbudowano i skonfigurowano nowe systemy dla klientów. Klient musiał wybrać wszystkie hasła i zostały one wydrukowane na zestawie formularzy, które zostały przymocowane do stojaka z systemami. Dostęp zdalny był wymagany, a hasła były wysyłane pocztą e-mail lub przez telefon. W pełni oczekiwano, że klient zmieni te hasła, gdy tylko system zostanie im dostarczony.

Dla laboratoriów produkcyjnych, prawie nikt nie miał dostępu do roota. Prawie wszyscy mieli dostęp do sudo gdzieś pomiędzy nieograniczonymi możliwościami i tylko możliwością montowania wirtualnych systemów plików ... w zależności od osoby i systemu. Bardzo rzadko zdarza się uzyskać dostęp do sudo, aby uruchomić powłokę jako root. Pozostawił bardzo wyraźny ślad dziennika wszystkich poleceń uruchamianych jako root. Ten dziennik był używany do tarowania piór przez więcej niż jedną osobę przez te lata.

Na stanowisku pomocy/wsparcia, które miałem wiele lat temu, każdy ekspert od narzędzi wybrał swoje własne hasła administracyjne. Zostały one zapisane w kopercie, która została zamknięta w sejfie w maszynowni. Jeśli ktoś potrzebował dostępu administratora, mógł otworzyć kopertę, odczytać hasło i odnotować w dzienniku, że znał hasło, a następnie ponownie zamknąć hasło w kopercie. Od właściciela narzędzia zależy, czy hasło należy zmienić. System ten był używany przez ponad 5 lat ... iw jednym przypadku faktycznie pomógł projektowi przetrwać "test autobusowy" (atak serca) dla jednego członka zespołu.

Różne standardy dla różnych rodzajów systemów i laboratoriów. To rozsądne. Uważam, że gdy hasła muszą być odłamane, najlepiej jest, gdy hasło jest proste, krótkie i komunikowane słownie (osobiście lub przez telefon). Uważam, że jedynym hasłem, które nie powinno być nigdy udostępniane, jest hasło do mojego osobistego konta. Każde hasło root/admin/tool powinno być zarchiwizowane w co najmniej jednej innej głowicy ... jeśli nie jest zapisane w jakiś sposób.