Praktik Terbaik dan Solusi untuk Berbagi Kata Sandi [ditutup]

Kami memiliki berbagai kata sandi yang perlu diketahui oleh lebih dari satu orang di perusahaan kami. Misalnya, kata sandi admin untuk router internet kami, kata sandi untuk host web kami, dan juga beberapa kata sandi "non-IT" seperti kode aman.

Saat ini, kami menggunakan sistem ad hoc "kata sandi standar" untuk sistem bernilai rendah, dan berbagi kata sandi secara verbal untuk sistem yang lebih penting / berpotensi merusak. Saya pikir kebanyakan orang akan setuju bahwa ini bukan sistem yang baik.

Apa yang kami inginkan adalah solusi perangkat lunak untuk menyimpan kata sandi "bersama", dengan akses untuk masing-masing terbatas pada orang yang benar-benar membutuhkannya. Idealnya, ini akan mendorong, atau menerapkan, perubahan kata sandi berkala. Itu juga harus dapat menunjukkan siapa yang memiliki akses ke kata sandi tertentu ( misalnya , siapa yang tahu kata sandi root untuk server XYZ?)

Bisakah Anda menyarankan solusi perangkat lunak apa pun untuk menyimpan dan berbagi kata sandi? Adakah hal khusus yang harus diwaspadai?

Apa praktik umum di perusahaan kecil-menengah untuk ini?

Saya menghadapi masalah ini setiap kali saya pergi ke startup baru. Hal pertama yang saya lakukan adalah membuat pasangan "Kata sandi brankas" dengan program seperti ini (atau salah satu turunannya):

http://passwordsafe.sourceforge.net/

Tetapkan kombinasi yang kuat dan lemparkan ke jaringan. Segmen berdasarkan area tanggung jawab ... infrastruktur pusat, server produksi, dev / QA, dll.

Setelah ada cukup momentum, dan dengan asumsi saya memiliki dependensi lingkungan Windows yang tepat, saya ingin memindahkan semua orang ke ini:

http://www.clickstudios.com.au/passwordstate.html

Ini memiliki fitur untuk kredensial bersama dan pribadi.

Yang tidak boleh dilupakan adalah kebutuhan untuk dapat mencabut kata sandi jika seorang karyawan meninggalkan / dipecat. Ada beberapa kasus yang dicatat di media populer tentang karyawan yang dipecat dan 'kembali' ke perusahaan mereka menggunakan kata sandi yang masih aktif setelah mereka pergi.

Ini biasanya 2 bagian:

1. Mengetahui semua kata sandi yang perlu diubah (jika tidak, Anda default untuk semua yang membosankan)
2. Secara manual mengubahnya atau mengotomatiskan proses dengan alat atau skrip.

Faktor penting lainnya adalah memastikan bahwa kebijakan kata sandi diikuti ketika perubahan dilakukan - misalnya bagaimana Anda tahu bahwa kata sandi yang sama tidak digunakan pada banyak akun atau bahwa kata sandi yang lemah tidak digunakan?

Saya bekerja di sebuah toko IT kecil dan kami telah menggunakan Server Rahasia selama setahun terakhir untuk mengelola kata sandi kami untuk perangkat jaringan dan kebutuhan klien kami.

Mereka menawarkan "edisi instal" atau edisi online / yang dihosting. Kami menggunakan edisi yang dihosting dengan harga kurang dari $ 100 / tahun (5 pengguna) dan dapat mengakses informasi kata sandi ini dengan aman melalui browser web ke mana pun kami pergi. Jika Anda benar-benar khawatir tentang keamanan, instal di server Anda sendiri dan hanya akses melalui LAN atau VPN.

Selain itu, pengelola kata sandi berbasis web "pribadi" favorit saya sekarang menawarkan "edisi bisnis" - PassPack .

Saya tidak yakin bagaimana kinerjanya dalam skenario ini versus Secret Server tetapi solusi mana pun harus jauh lebih fleksibel dan aman daripada potongan-potongan kertas, aplikasi desktop atau ( terkesiap ) mengingat hal-hal di kepala Anda. Untuk masalah "satu titik kegagalan", salah satu dari produk ini memungkinkan ekspor mudah ke CSV.

Saya telah menggunakan LastPass untuk sementara waktu sekarang dan menyukainya. Saya menghabiskan sedikit waktu meneliti pertanyaan ini di tahun lalu dan saya suka bagaimana LastPass melakukannya.

• Semua info disimpan di situs mereka (dan salinan lokal) dalam bundel terenkripsi yang hanya Anda yang memiliki kata sandi untuk mendekripsi
• Semua kata sandi dapat dibagikan dan dapat dibatalkan, Anda bahkan dapat membagikannya tanpa memberikan akses ke kata sandi itu sendiri (untuk login web)
• Pengaya untuk peramban utama
• Banyak fitur lainnya

Saya merekomendasikan Adam kedua dari PasswordSafe, dengan data pada folder jaringan. Saya memiliki dua pertimbangan di bidang ini. Salah satunya adalah memiliki versi tunggal, sehingga semua yang membutuhkan data mendapatkan data saat ini.

1- PasswordSafe menggunakan format standar untuk file tersebut, jadi ada solusi lain yang dapat membacanya, termasuk KeePass.

2- Letakkan file kata sandi pada bagian yang aman, dan buat skrip malam yang menyalinnya ke beberapa lokasi di jaringan. Mungkin menyalinnya ke share di server lain (di luar situs jika memungkinkan) dan ke drive USB yang tersisa di server. Anda ingin file setidaknya satu tempat di mana file tersebut tidak dilindungi oleh kata sandi yang disimpannya!

3 - Simpan penginstal (atau versi yang dapat dijalankan dari program) di tempat yang sama dengan file kunci, sehingga Anda dapat melakukannya dengan cepat jika diperlukan.

4 - Minta orang membuka file BACA-HANYA, kecuali mereka harus melakukan perubahan.

5- Jika perlu, Anda dapat membuat beberapa file kata sandi, satu untuk kredensial yang dibutuhkan semua orang di tim, dan satu untuk kredensial untuk hal-hal yang sangat sensitif.

Saya tidak akan merekomendasikan pindah ke solusi berbasis web. Solusi yang dihosting secara internal bisa OK, tetapi sepertinya banyak masalah. Saya juga prihatin karena itu menjadi satu titik kegagalan.

Saya berbagi tanggung jawab untuk beberapa sistem dengan karyawan dari salah satu klien saya. Kami telah sepakat untuk menggunakan skema kata sandi untuk akun yang paling sering digunakan. Kata sandi lain disimpan dalam daftar pasangan (nomor, kata sandi) berbasis kertas yang dikelola oleh Kepala TI klien. Nama pengguna dan host disimpan dalam basis data yang mudah diakses. Kata sandi dibagikan berdasarkan kebutuhan-untuk-tahu.

Praktik umum di perusahaan kecil-menengah:

Tiga tempat saya bekerja telah menggunakan dokumen terpisah untuk merinci kata sandi untuk sistem yang berbeda. Satu dokumen untuk router dan firewall, satu lagi untuk akses ke server, dan satu untuk pengembang (mis. Detail login untuk koneksi basis data). Akses ke aplikasi cenderung tidak didokumentasikan (saya berasumsi karena sebagian besar Anda masuk sebagai diri Anda sendiri dengan hak admin).

Admin jaringan hanya melihat dokumen kata sandi router, dan individu-individu yang memiliki akses ke dokumen ini tercantum dalam file ini. Ketentuan ketenagakerjaan mereka menyatakan bahwa login dan kata sandi yang mereka akses adalah pribadi dan tidak untuk dibagikan dengan orang lain. Mirip dengan admin sistem dan pengembang.

Realitas kadang-kadang kata sandi dibagikan, tetapi Anda dapat mengidentifikasi siapa yang perlu tahu (dan mengapa) dan mengubah apa yang perlu diubah. Ini bekerja dengan baik di sebuah perusahaan (perangkat lunak) dari 50 karyawan.

Untuk kata sandi yang jarang digunakan seperti akun admin lokal di server, router dan kata sandi firewall dan sejenisnya di pekerjaan terakhir saya, toko sekitar 50 atau lebih, hanya sysadmin yang benar-benar mengetahui kata sandi. Mereka ditulis di selembar kertas di dalam amplop. Ada saya percaya tiga amplop yang disegel dan ditandatangani oleh Bos, SysAdmin dan Kepala Programmer. Setiap individu memiliki salinan dokumen. Jika password digunakan, kami mengubahnya dan membuat amplop baru.

Dalam pekerjaan saya saat ini, di organisasi yang jauh lebih besar kami memiliki 15 sysadmin saja, dan beberapa ribu pengguna kami memiliki metode untuk menghitung kata sandi berdasarkan nama server. Ini termasuk awalan yang dikenal dan metode hash yang cukup sederhana untuk dilakukan di atas kertas. Ketika kata sandi perlu diubah karena seseorang meninggalkan atau yang lainnya, kami mengubah awalan atau hash atau keduanya. Dengan begitu, sementara saya tidak tahu kata sandi untuk setiap mesin atau perangkat di sekitar saya, saya dapat menghitungnya jika saya membutuhkannya karena suatu alasan.

Ada posting Lifehacker dari hari ini tentang Passpack , mungkin patut dilihat.

Saya pernah mengalami masalah yang sama sebelumnya. Saya akhirnya membangun sistem untuk menangani ini sendiri. Itu menyimpan nama pengguna dan kata sandi dalam bentuk yang sangat terenkripsi dalam database dengan antarmuka web yang memungkinkan Anda untuk memasukkan info akun, dan mengatur keamanan sehingga hanya orang atau kelompok yang benar yang dapat mengakses data.

Itu tidak meminta kapan saatnya untuk mengubah kata sandi karena layanan pada lusinan server menggunakan login yang sama dan perubahan pada kata sandi harus diatur jauh sebelumnya.

Saya membangunnya dengan fitur audit penuh sehingga setiap kali seorang karyawan melihat logon itu log sehingga kita bisa membuang log audit ke Excel untuk auditor SOX.

Gunakan GPG dengan opsi Symmetric untuk mengenkripsi file teks dengan semua kata sandi di dalamnya. Maka semua yang perlu Anda lakukan adalah memberikan satu frase sandi kepada admin lainnya. Ketika seorang admin meninggalkan perusahaan, maka cukup mengenkripsi ulang file teks dengan frase sandi baru.

Centrify telah bekerja untuk saya.

Wow, utas yang bagus! Tidak ada yang menyebutkan solusi pilihan saya (kecuali secara sepintas), jadi saya akan berteriak kepada KeePass. Dapat diperluas dengan baik, dengan otentikasi berbasis kata sandi, kunci, atau AD. Melakukan pekerjaan dengan baik untuk kita.

Untuk mengakses server:

Berikan akses ke satu server dan gunakan sebagai kotak lompat dan kelola akun di kotak lompat. Siapa pun yang dianggap tepercaya ke kotak lompat dipercaya ke sumber daya jarak jauh. Dengan cara ini setiap orang memiliki kata sandi sendiri dan kata sandi di server untuk akun tertentu dapat dirahasiakan.

Untuk mengakses sumber daya lain:

Batasi akses hanya untuk personel penting. Pastikan Anda mengelola daftar pengguna tepercaya. Ubah kata sandi setiap 90 hari dan perbarui daftar pengguna tepercaya. Beri tahu orang-orang tentang perubahan yang tertunda 15, 7, dan 1 hari sebelumnya. Hanya bagikan kata sandi kepada manajer dan biarkan mereka menentukan siapa yang perlu akses. Gunakan utilitas untuk mencatat akses dan secara teratur memberi tahu pengguna bahwa mereka adalah sistem yang diawasi secara ketat. Setiap bisnis lucu di server harus merupakan pelanggaran yang dapat diakhiri.

Saya tahu ini bukan jawaban yang Anda inginkan tetapi di tempat kerja saya persis sama, anggota staf tepercaya diberikan kata sandi yang relevan, kata sandi tidak dibagikan di antara perangkat dan tidak dituliskan. Sistem cenderung bekerja dengan baik karena administrasi perangkat biasanya hanya menjadi tanggung jawab beberapa anggota staf. Kami juga memiliki retensi staf yang sangat baik sehingga kepercayaan dapat dibangun dalam jangka waktu yang lama.

Anda mungkin ingin menggunakan semacam perangkat lunak lemari kata sandi - dengan cara itu Anda dapat memberi pengguna yang sah aksesnya sendiri dan memastikan informasi tersebut tidak bocor oleh orang yang meninggalkan catatan. Yang bagus bahkan mungkin tidak menampilkan kata sandi, cukup masukkan ke clipboard untuk cut'n paste.

Kami memiliki sistem seperti Presiden dan Bom - masing-masing dua orang tahu kata sandi. Dengan begitu Anda tidak akan pernah mendapatkan situasi di mana satu admin nakal pergi dan membuat perubahan yang tidak disetujui sendiri.

Saya bekerja di perusahaan IT, kami memiliki banyak klien, biasanya kami memecahkan masalah dari jarak jauh. Kami menggunakan ssh untuk masuk untuk memecahkan masalah. Kami telah menambahkan satu mesin ssh-key ke semua mesin klien kami, sehingga akan sangat membantu bagi yang lain untuk masuk & memecahkan masalah, jika saya tidak ada di sana. Tetapi mesin yang kami gunakan untuk masuk ke klien macine sangat diamankan. Jika Anda ingin memiliki kata sandi yang baik, gunakan angka dan karakter tambahan.

Untuk menambahkan kunci ssh berikut ini:

1.ssh-keygen -t dsa (Untuk mendapatkan kunci ssh di .ssh / id_dsa.pub

2. scp .ssh / id_dsa.pub root @ remote: ~ / tmp

3. Pada mesin jarak jauh

cat >> /tmp/id_dsa.pub .ssh / official_keys2

Coba login untuk menghapus macine, dari konsol lain ... :) selamat sshhhhhh

Menolak menggunakan sistem yang membutuhkan kata sandi. Server apa pun harus mengautentikasi dengan kunci SSH, situs web apa pun dengan OpenID. Jalankan penyedia OpenID di dalam firewall.

Jelas, skenario ini menyiratkan bahwa semua sistem Anda dapat diakses melalui SSH atau HTTP, tetapi ia bekerja untuk kami.