Best practice e soluzioni per la condivisione di password [chiuso]

Abbiamo varie password che devono essere conosciute da più di una persona nella nostra azienda. Ad esempio, la password dell'amministratore per i nostri router Internet, la password per il nostro host web e anche alcune password "non IT" come i codici sicuri.

Attualmente, utilizziamo un sistema ad hoc di "password standard" per sistemi di basso valore e condivisione verbale di password per sistemi più importanti / potenzialmente dannosi. Penso che molte persone sarebbero d'accordo sul fatto che questo non è un buon sistema.

Ciò che vorremmo è una soluzione software per l'archiviazione di password "condivise", con accesso per ognuna limitato alle persone che ne hanno effettivamente bisogno. Idealmente, ciò richiederebbe o imporrebbe modifiche periodiche della password. Dovrebbe anche essere in grado di indicare chi ha accesso a una determinata password ( ad esempio , chi conosce la password di root per il server XYZ?)

Puoi suggerire soluzioni software per l'archiviazione e la condivisione di password? C'è qualcosa di particolare di cui diffidare?

Qual è la pratica comune nelle piccole e medie imprese per questo?

Devo affrontare questo problema ogni volta che vado a una nuova startup. La prima cosa che faccio è creare un paio di "Password safe" con un programma come questo (o uno dei suoi derivati):

http://passwordsafe.sourceforge.net/

Imposta combinazioni forti e lanciale su una condivisione di rete. Segmento per area di responsabilità ... infrastruttura centrale, server di produzione, sviluppo / controllo qualità, ecc.

Una volta che c'è abbastanza slancio e supponendo che io abbia le dipendenze dell'ambiente Windows appropriate, mi piace spostare tutti su questo:

http://www.clickstudios.com.au/passwordstate.html

Ha funzionalità per credenziali condivise e personali.

Da non dimenticare è la necessità di poter revocare le password se un dipendente lascia / viene licenziato. Sono stati notati diversi casi nei media popolari di dipendenti che sono stati licenziati e "tornano" presso la loro azienda usando password che erano ancora attive dopo la loro partenza.

Si tratta in genere di 2 parti:

1. Conoscere tutte le password che devono essere modificate (altrimenti per impostazione predefinita è noioso)
2. Modificandoli manualmente o automatizzando il processo con uno strumento o uno script.

Un altro fattore importante è garantire che venga seguita la politica della password quando vengono apportate le modifiche, ad esempio come si fa a sapere che la stessa password non è stata utilizzata su più account o che non è stata utilizzata una password debole?

Lavoro in un piccolo negozio IT e abbiamo utilizzato Secret Server per lo scorso anno per gestire le nostre password per i nostri dispositivi di rete e le esigenze dei clienti.

Offrono una "edizione di installazione" o un'edizione online / ospitata. Usiamo l'edizione ospitata per meno di $ 100 / anno (5 utenti) e possiamo accedere a queste informazioni sulla password in modo sicuro tramite browser Web ovunque andiamo. Se sei davvero preoccupato per la sicurezza, installalo sul tuo server e accedilo solo tramite LAN o VPN.

Inoltre, il mio gestore di password basato su Web "personale" preferito ora offre una "versione business": PassPack .

Non sono sicuro di come si comporti in questo scenario rispetto a Secret Server, ma entrambe le soluzioni dovrebbero essere molto più versatili e sicure di frammenti di carta, app desktop o ( sussulto ) che ricordano le cose nella tua testa. Per quanto riguarda il "punto unico di fallimento", uno di questi prodotti consente una facile esportazione in CSV.

Uso LastPass da un po 'di tempo e lo adoro. Ho trascorso un po 'di tempo a cercare questa domanda lo scorso anno e mi è piaciuto come LastPass l'aveva fatto.

• Tutte le informazioni sono memorizzate sul loro sito (e una copia locale) in un pacchetto crittografato che solo tu hai la password per decrittografare
• Tutte le password sono condivisibili e revocabili, puoi persino condividerle senza dare accesso alla password stessa (per accessi web)
• Plugin per i principali browser
• Molte altre funzionalità

Secondo la raccomandazione di Adam di PasswordSafe, con i dati su una cartella di rete. Ho due considerazioni in questo settore. Uno sta avendo un'unica versione, in modo che tutti coloro che hanno bisogno dei dati ottengano i dati correnti.

1- PasswordSafe utilizza un formato standardizzato per il file, quindi esistono altre soluzioni in grado di leggerlo, incluso KeePass.

2- Metti il ​​file della password su una condivisione sicura e disponi di uno script notturno che lo copia in un paio di posizioni sulla rete. Forse copiarlo su una condivisione su un altro server (se possibile fuori sede) e su un'unità USB rimasta nel server. Volete il file almeno in un posto dove non è protetto da una password che sta memorizzando!

3- Conservare il programma di installazione (o la versione eseguibile del programma) negli stessi punti del file chiave, in modo da poterlo ottenere rapidamente se necessario.

4- Chiedi alle persone di aprire il file SOLO LETTURA, a meno che non debbano apportare modifiche.

5- Se necessario, è possibile creare più file di password, uno per le credenziali di cui tutti i membri del team hanno bisogno e uno per le credenziali per le cose veramente sensibili.

Vorrei non raccomanda lo spostamento di una soluzione web-based. Una soluzione ospitata internamente potrebbe essere OK, ma sembra un sacco di problemi. Sono anche preoccupato che si tratti di un singolo punto di errore.

Condivido la responsabilità di alcuni sistemi con i dipendenti di uno dei miei clienti. Abbiamo accettato di utilizzare uno schema di password per gli account utilizzati più di frequente. Altre password sono archiviate in un elenco cartaceo di coppie (numero, password) gestite dal capo dell'IT del cliente. I nomi utente e gli host sono memorizzati in un database facilmente accessibile. Le password vengono trasmesse in base alle necessità.

Pratica comune nelle piccole e medie imprese:

Tre luoghi in cui ho lavorato hanno utilizzato documenti separati per dettagliare le password per diversi sistemi. Un documento per router e firewall, un altro per l'accesso ai server e uno per gli sviluppatori (ad esempio i dettagli di accesso per le connessioni al database). L'accesso alle applicazioni tende a non essere documentato (presumo perché per la maggior parte si accede come se stessi con diritti di amministratore).

L'amministratore di rete vede solo il documento della password del router e le persone che hanno accesso a questo documento sono elencate in questo file. Le loro condizioni di lavoro dichiarano che gli accessi e le password a cui hanno accesso sono privati ​​e non devono essere condivisi con altri. Simile per l'amministratore di sistema e gli sviluppatori.

La realtà è a volte la password viene condivisa, ma puoi identificare chi deve sapere (e perché) e cambiare ciò che deve essere cambiato. Ha funzionato bene in un'azienda (software) di 50 dipendenti.

Per le password usate di rado come gli account amministratore locali sui server, le password del router e del firewall e simili nel mio ultimo lavoro, un negozio di circa 50 o giù di lì, solo l'amministratore di sistema conosceva effettivamente le password. Sono stati scritti su un pezzo di carta in una busta. Credo che ci siano tre buste sigillate e firmate dal Boss, dal SysAdmin e dal capo programmatore. Ogni individuo aveva una copia dei documenti. Nel caso in cui le password fossero utilizzate, le abbiamo cambiate e abbiamo creato nuove buste.

Nel mio lavoro attuale, in un'organizzazione molto più grande abbiamo solo 15 amministratori di sistema e un paio di migliaia di utenti abbiamo un metodo per calcolare le password in base al nome di un server. Ciò include un prefisso noto e un metodo hash che è abbastanza semplice da fare su carta. Quando le password devono essere cambiate perché qualcuno lascia o no, cambiamo il prefisso o l'hash o entrambi. In questo modo, mentre non conosco la password per ogni macchina o dispositivo intorno a me, potrei calcolarla se ne avessi bisogno per qualche motivo.

C'è un post di Lifehacker di oggi su Passpack , potrebbe valere la pena dare un'occhiata.

Ho avuto lo stesso problema prima. Ho finito per costruire un sistema per gestirlo da solo. Memorizzava il nome utente e la password in un formato altamente crittografato all'interno di un database con un'interfaccia Web che ti consentiva di inserire le informazioni dell'account e impostare la sicurezza su di esso in modo che solo le persone o i gruppi corretti potessero accedere ai dati.

Non è stato richiesto quando era il momento di cambiare le password poiché i servizi su dozzine di server utilizzavano lo stesso accesso e le modifiche alle password dovevano essere configurate con largo anticipo.

L'ho costruito con una funzionalità di controllo completa in modo che ogni volta che un dipendente guardasse un accesso fosse registrato in modo da poter scaricare il registro di controllo in Excel per i revisori SOX.

Usa GPG con l'opzione Simmetrica per crittografare un file di testo con tutte le password al suo interno. Quindi tutto ciò che devi fare è fornire una passphrase agli altri amministratori. Quando un amministratore lascia la società, crittografa nuovamente il file di testo con una nuova passphrase.

Centrify ha lavorato per me.

Wow, buon thread! Nessuno ha menzionato la mia soluzione preferita (tranne che per caso), quindi darò un grido a KeePass. Facilmente estendibile, con autenticazione basata su password, chiave o annuncio. Fa bene il lavoro per noi.

Per accedere ai server:

Fornire l'accesso a un server e utilizzarlo come jumpbox e gestire gli account nella jump box. Chiunque sia ritenuto affidabile per il jumpbox è considerato attendibile per la risorsa remota. In questo modo ognuno ha la propria password e la password sul server per quel particolare account può essere mantenuta segreta.

Per accedere ad altre risorse:

Limitare l'accesso solo al personale essenziale. Assicurati di gestire un elenco di utenti fidati. Cambia la password ogni 90 giorni e aggiorna l'elenco di utenti fidati. Informa le persone del cambiamento in sospeso 15, 7 e 1 giorno in anticipo. Distribuire la password solo ai gestori e consentire loro di determinare chi deve accedere. Utilizzare i programmi di utilità per accedere ai log e far sapere periodicamente agli utenti che sono sistemi attentamente monitorati. Qualsiasi attività commerciale divertente sui server dovrebbe essere un'offesa risolvibile nota.

So che questa non è esattamente la risposta che vuoi, ma nel mio posto di lavoro è esattamente la stessa, i membri dello staff fidati ricevono le password pertinenti, le password non sono condivise tra i dispositivi e non sono scritte. Il sistema tende a funzionare abbastanza bene poiché l'amministrazione dei dispositivi è di solito responsabilità di un paio di membri del personale. Abbiamo anche un'ottima conservazione del personale, quindi la fiducia può essere costruita per un lungo periodo di tempo.

Potresti voler utilizzare una sorta di software di vault password, in questo modo puoi dare agli utenti autorizzati il ​​proprio accesso ad esso e assicurarsi che le informazioni non trapelino da chi lascia le note. Probabilmente una buona password non mostra nemmeno la password, ma la rilascia negli appunti per tagliarla e incollarla.

Abbiamo un sistema come il Presidente e la Bomba: due persone conoscono ciascuna metà della password. In questo modo non si verificherà mai una situazione in cui un singolo amministratore non autorizzato si interrompe e apporta modifiche non approvate da solo.

Lavoro in un'azienda IT, abbiamo molti clienti, normalmente risolviamo il problema da remoto. Usiamo ssh per accedere per la risoluzione dei problemi. Abbiamo aggiunto una macchina ssh-key a tutte le macchine dei nostri clienti, in modo che sia utile agli altri accedere e risolvere i problemi, se non ci sono, ma la macchina che stiamo usando per accedere ai client macine è altamente assicurato. Se vuoi avere delle buone password, usa meglio numeri e caratteri extra.

Per aggiungere chiavi ssh quanto segue:

1.ssh-keygen -t dsa (per ottenere le chiavi ssh su .ssh / id_dsa.pub

2. scp .ssh / id_dsa.pub root @ remote: ~ / tmp

3. Sulla macchina remota

cat >> /tmp/id_dsa.pub .ssh / authorized_keys2

Prova ad accedere per rimuovere macine, da un'altra console ... :) happy sshhhhhh

Rifiuta di utilizzare sistemi che richiedono una password. Qualsiasi server deve autenticarsi con chiavi SSH, qualsiasi sito Web con OpenID. Esegui un provider OpenID all'interno del firewall.

Ovviamente, questo scenario implica che tutti i tuoi sistemi sono accessibili tramite SSH o HTTP, ma funziona per noi.