Pregunta ¿Cómo un equipo de administradores de sistemas comparte las contraseñas de forma segura?


¿Cuáles son las mejores prácticas para compartir cientos de contraseñas entre algunas personas? Estas contraseñas protegen los datos de misión crítica y nunca pueden ser visibles más allá de un pequeño equipo.


81
2018-06-02 23:50


origen


Ver los relacionados serverfault.com/questions/3696/…  serverfault.com/questions/2186/…  serverfault.com/questions/10285/…  serverfault.com/questions/21374/… - Zoredache
BTW cientos es un número muy preocupante. ¿Qué pasa cuando uno de los miembros del equipo es despedido? Actualizar cientos de contraseñas será doloroso. - Zoredache
Secundado en los "cientos es una cosa muy preocupante". Creo que tal vez necesite hacer una copia de seguridad y reconsiderar la forma en que está administrando todo el tema de seguridad en lugar de intentar poner pegamento en lo que tiene actualmente. - Maximus Minimus
Algo relacionado: serverfault.com/questions/119892  Particularmente esta respuesta: serverfault.com/questions/119892/company-password-management/… - Nathan Hartley


Respuestas:


Probablemente escribiría una solución personalizada basada en web alojada en una intranet corporativa. (echa un vistazo a http://lastpass.com Para la inspiración, o para usarlo. Compartir contraseñas es una de sus características, aunque puede que no funcione para su volumen.)

EDITAR: Claro, mejor solución, no las compartas. Almacenar contraseñas de texto claro en cualquier medio es peligroso, especialmente cuando el propósito de almacenarlas es compartirlas. Hay un número casi infinito de soluciones, cada una de las cuales conlleva un peligro asociado. ¿Por qué no colocarlos en una imagen de disco encriptada, grabar esa imagen en un solo CD, colocar el CD en una caja fuerte que solo puede abrir un guardia armado y autorizar a las personas a presentar una identificación con foto para desbloquearla?

El punto es que realmente no conocemos tu escenario. ¿Por qué estás compartiendo cientos de contraseñas de misión crítica? ¿Son para su intranet de backoffice, VPN, o son contraseñas de clientes que usted mantiene en texto sin formato por alguna razón? ¿Todas las personas con las que necesita compartirlo en la misma instalación? ¿Funcionaría realmente una transferencia física como un CD encriptado o una tabla impresa almacenada en un lugar seguro? ¿O están sus administradores de sistemas diseminados por todo el mundo, lo que hace que los medios electrónicos para compartirlos solamente ¿solución?


14
2018-06-02 23:58



IMO Crear su propio sistema de seguridad / encriptación casi nunca es el enfoque correcto para un problema. - Zoredache
@Zoredache, eso es un montón de basura. Sin embargo, sí creo que la solución basada en la web para el alojamiento de contraseñas es estúpida, pero sí lo hizo msanford dijo intranet. Aun así arriesgado. Lo mismo para todas las otras soluciones en red. - d-_-b
@Zoredache, el OP no está creando un sistema de cifrado personalizado, parece que todo lo que necesita es una base de datos segura. @sims No veo nada malo con una solución web bien diseñada. La respuesta más votada sugiere precisamente eso (basado en web! = Http; basado en web = almacenado en línea). Es cierto que, una vez que leo esta pregunta por segunda vez, estoy de acuerdo en que el modelo básico de compartir toneladas de contraseñas parece ser innecesario, y que se podría alcanzar una mejor solución. Pero el OP no me ha dado suficiente información para hacer ese juicio ... - msanford
> @ Zoredache, eso es un montón de basura. <Um, Sims, estás casi volando en la cara de la mayoría de la gente de encriptación desde el principio. Diseñar el cifrado es difícil, por lo que vale la pena cifrarlo aún más. schneier.com/essay-037.html  A veces, el mal menor, el que conoces, es la mejor opción cuando te enfrentas al mal que no conoces (es decir, un diseño que no se haya probado, que no haya sido revisado por pares, tenga errores, tenga agujeros de seguridad, etc.) ) - Avery Payne
@Avery: diseñar un sistema criptográfico es difícil y debe dejarse en manos de los expertos, sí. El uso de herramientas probadas y comprobadas, como GPG en un archivo de texto compartido, o Keepass (que utiliza las implementaciones .NET de AES y SHA-256) no está diseñando su propio sistema. - mfinni


La mejor práctica es no compartir las contraseñas. Use herramientas como sudo para permitir que los usuarios obtengan el acceso que necesitan desde su propia cuenta. Si tiene algunos usuarios, cada uno debe tener sus propias cuentas donde sea necesario. LDAP (Unix / Linux) y Active Directory son una buena solución para otorgar acceso a múltiples servidores desde una base de datos común.

Cuando sea necesario tener una copia escrita de una contraseña, ciérrela en un sobre firmado y fechado en todo el sello. Cambiar la contraseña cuando se utiliza. Cuando se cambie la contraseña, selle un nuevo sobre.

Para las contraseñas que realmente necesitan ser compartidas, use una de las herramientas de contraseña como Keepass que puede tener su base de datos en una red. Las herramientas con clientes para múltiples plataformas son mejores. Considere si necesita más de una base de datos. Recuerde que realmente necesita confiar en todos los que tienen acceso a estos datos.


38
2018-06-03 00:04



+1 para cuentas de usuarios sin privilegios para administradores con posible escalada de privilegios, en los servidores * nix combinaría eso con el uso de la certificación dsa / rsa solo para sshd. Si está haciendo cosas con herramientas gráficas en Linux, también podría usar una configuración de kit de políticas personalizada. - Aaron Tate
Esta. Revocar el acceso de los usuarios cuando usan credenciales compartidas es una pesadilla absoluta. Siempre que sea posible, delegue el acceso a través de una cuenta única de los usuarios. Siempre hay algunas situaciones en las que una contraseña común es inevitable, pero 'cientos' de contraseñas compartidas gritan fallas de diseño críticas. - Chris Thorpe
Estoy de acuerdo en que no suelen compartir las contraseñas, pero hay muchas situaciones en las que es necesario, como dispositivos de red con un solo inicio de sesión, sitios de proveedores donde todos los administradores de sistemas usan el mismo inicio de sesión para realizar pedidos, y usuarios de SQL sa o contraseñas de administradores locales donde necesario. Por eso creo que KeePass es lo mejor para esto: funciona en múltiples plataformas, permite una gran cantidad de seguridad y organiza fácilmente cientos de contraseñas. - Paul Kroon
Tenemos una variación en esto, donde tenemos las contraseñas de root escritas pero bloqueadas en una caja fuerte que solo el equipo de sistemas tiene claves para abrir. Nuestras propias contraseñas de root tienen 16 caracteres de largo y se generan de tal manera que sean casi imposibles de recordar. Sí, hay algo de inseguridad allí, pero si alguien entra en la caja fuerte, sospecho que tenemos problemas más grandes. - Frenchie
Este es un caso de uso real para nuestro equipo: compartir contraseñas para aplicaciones basadas en la web donde no son compatibles con múltiples inicios de sesión para una sola cuenta. Entonces, si más de una persona en el equipo necesita poder acceder a esa cuenta, debe haber una manera de compartir las contraseñas de esa cuenta. - Jordan Reiter


Hemos ido con KeePass para este propósito exacto Es un pequeño gran programa que almacena todas sus contraseñas en un archivo de base de datos cifrado. Existen características de seguridad adicionales, como la necesidad de un archivo de clave junto con la contraseña principal para acceder a las contraseñas. Esto permite múltiples capas de seguridad (separe el archivo de clave y la base de datos), al mismo tiempo que es conveniente para todos trabajar con todas las contraseñas diferentes. Por ejemplo, puede ejecutar la aplicación y el archivo de clave desde una unidad USB, pero almacenar la base de datos en su red en algún lugar. Eso requeriría credenciales para el recurso compartido de red, la contraseña principal y la unidad USB física con el archivo de clave.


10
2018-06-02 23:59



KeePass parece admitir múltiples plataformas, una gran victoria para mí (trabajo en un entorno de plataforma mixta). La característica de "auto-tipo" también parece útil. - Avery Payne
Estúpida idea de mantener las contraseñas en la red. - d-_-b
@Sims - entonces, ¿cómo los compartes? KeePass utiliza un archivo cifrado para la tienda. Es solo una versión más útil de un archivo de texto encriptado con GPG en un servidor Unix al que todos tienen acceso. - mfinni
@Sims: normalmente estaría de acuerdo con usted, pero se convierte en una situación de seguridad frente a productividad. No me gustaría poner la contraseña de root de un servidor en algo como esto, pero la contraseña de administrador de un conmutador de Capa 2 que solo tiene un inicio de sesión único es un buen candidato para esto. Hay un punto en el que se necesita más trabajo para hacer las cosas de una forma más segura de lo que sería limpiar después de una violación de seguridad. Además, además de todo el cifrado, tendrías seguridad de AD / NTFS en el archivo, y un poco de oscuridad al colocar el archivo (que puede llamarse de cualquier forma) en una ubicación aleatoria. - Paul Kroon
No estaba pensando en una máquina con Windows. Pero sí, si solo puede tener un usuario para ese cambio, entonces creo que tendría sentido. De lo contrario, como dice Bill, diga no para las contraseñas compartidas, que también fue mi punto sobre las claves. - d-_-b


¿Cuáles son las mejores prácticas para compartir cientos de contraseñas entre algunas personas?

Fácil, esto viene en dos sabores:

  1. Usted no, simple y llanamente. Si elige hacer esto, puede diferir la autenticación de contraseña a una autoridad externa de confianza y controlar la autenticación desde allí.

  2. Lo hace, pero al hacerlo, tiene controles de acceso externos que tienen contraseñas o tokens de seguridad que no están grabados dentro del sistema que utiliza (es decir, el registro de contraseñas está protegido por otra contraseña que tiene disponibilidad limitada). Hay numerosos problemas con esto.

Estas contraseñas protegen los datos de misión crítica y nunca pueden ser visibles más allá de un pequeño equipo.

Debe considerar seriamente un servicio de autenticación seguro que se integre con un servicio de directorio para solucionar el problema. La combinación DS / AS crea una "autoridad" de confianza que puede actuar como un árbitro para todos sus usuarios y dispositivos. Las cuentas de usuario pueden tener su acceso abstraído de la contraseña real utilizada en la autenticación, lo que facilita la "desconexión" de las contraseñas de la política de acceso. El control de contraseñas es por desactivación de la cuenta del usuario; por lo tanto, si un administrador se retira, usted simplemente cierra su cuenta y su acceso se pierde (porque la contraseña de esa persona solo otorga acceso en base a la validez del DS / AS que confirma la cuenta válida).

Esto solo funcionará cuando esté en un entorno que le permita a sus dispositivos / programas derivar sus solicitudes de autenticación a fuentes externas, por lo que puede que no sea una solución para usted.. Si tiene un porcentaje significativo de dispositivos / programas que pueden acomodar la autenticación externa, entonces continuaría y haría esto, solo para consolidar varios cientos de contraseñas a una lista manejable de, por ejemplo, una docena. Si decide ir por esta ruta, existen varias soluciones listas para usar, conocidas y probadas.

  • Directorio Activo.  Probablemente el más conocido del grupo, le da a Kerberos como una opción de autenticación, y proporciona LDAP para DS básico.
  • Samba / Winbind.  Piense en esto como "Active Directory Light", no obtiene todas las funciones de AD sino un modelo más antiguo basado en NT4 (piense en el hash de LANMAN). Esto será suplantado con la integración AD de Samba 4 y probablemente "desaparecerá".
  • Servicios de directorio de Novell.  No sé lo suficiente para recomendarlo, pero sé que todavía existe. Muchas entidades gubernamentales todavía ejecutan NDS, por lo que si está trabajando en ese "sector" será de su interés. Novell recientemente portó NDS para funcionar como un servicio de Linux, pero no sé si todavía es un producto activo (alrededor de 2005).
  • LDAP + Kerberos.  Esto es básicamente un Active Directory "propio", menos todas las "características agradables". Sin embargo, también son componentes conocidos con una base de código estable y madura, por lo que la integración de estos servicios suele ser la medida de "personalización" necesaria para que las cosas funcionen.
  • SSH Keys + (inserte el programa de administración del sistema aquí, probablemente títere).Solo es útil cuando tiene SSH en todos los ámbitos y se accede a todos los dispositivos de esta manera. Las claves se pueden entregar y revocar según sea necesario, y las contraseñas se vuelven "irrelevantes" a medida que la clave SSH otorga acceso. El uso de un sistema como Puppet le permite actualizar cientos de máquinas emitiendo comandos en masa para agregar / revocar claves SSH.
  • Alguna combinación de lo anterior.

También hay una pregunta de cuánta seguridad necesita. No especificó si por "misión crítica" quiere decir que las ojivas nucleares pueden llover sobre las ciudades, o si "misión crítica" significa que el último envío de Furbies no llegará a la ciudad. Realmente ayudaría si hubiera algo que describiera una evaluación de riesgo / amenaza.


5
2018-06-03 20:37





Sé que esta es una pregunta antigua, pero recientemente encontré una solución basada en web de código abierto llamada Bóveda corporativa Eso puede ser interesante para algunos. No he tenido la oportunidad de probarlo todavía.


2
2017-12-16 00:31





usamos un programa llamado Contraseña segura. Es agradable y muy seguro, puede configurar la base de datos en una unidad en red y dar a todos los que la necesitan acceso y la contraseña a la propia caja fuerte, que luego almacena de forma segura todos los nombres de usuario y contraseñas cifradas.


1
2018-06-03 02:57





Unas pocas cosas:

  • Como han dicho otros, esta es una mala idea. Usa un LDAP, etc.
  • Si se compromete a hacer esto por cualquier motivo, al menos consolide las contraseñas. 100 contraseñas no administradas significa que no estás actualizando las contraseñas.
  • Mantenlos en papel. Requerir que el personal firme el papel en una tinta de color diferente para que sea más fácil determinar si se copió una hoja.
  • Si está en Unix, use S / KEY para generar contraseñas de un solo uso. Guárdalo en un lugar seguro.

También debe ir más allá de las medidas de seguridad mecánicas de poner las contraseñas de papel en una caja fuerte o cifrarlas. Lea cómo las organizaciones con modelos de seguridad maduros protegen las claves y las combinaciones seguras. No recomiendo hacer lo que quieres hacer, pero si lo haces:

  • Las personas que utilizarán las contraseñas no pueden controlar el acceso a las contraseñas. Un grupo distinto de personas en una cadena de administración diferente necesita controlar el acceso a la caja fuerte, el cajón, etc. Si tiene un grupo financiero, pueden ser candidatos. Tal vez el vicepresidente de marketing, etc.
  • Debe haber un registro escrito cuando se abre la caja fuerte y alguien toma posesión de una contraseña.
  • La contraseña debe ser cambiada dentro de las 24 horas de ser revisada.

Los procedimientos como este son un dolor en el cuello, pero servirán como incentivo para que las personas adopten prácticas más sanas. Si no haces algo como lo que describí, no te molestes en seguir los movimientos de bloqueo de las contraseñas, porque de cualquier forma simplemente serás violado.


1
2018-06-03 15:06





https://pypi.python.org/pypi/django-pstore/ utiliza el cifrado GPG por usuario para las contraseñas compartidas (y cualquier otro dato que desee compartir). El servidor nunca sabe de contraseñas, solo guarda los datos encriptados. Todos utilizan su propia clave privada para descifrar los secretos compartidos.

El sistema incluye la gestión de derechos: no todos tienen acceso completo.


1
2018-03-11 14:39





Usamos https://passwork.me Como solución auto alojada. Pero también puedes almacenar contraseñas en su nube.


1
2018-05-21 13:13



Es tu producto Iliya pero se ve bien. - Foliovision


SPB Wallet es una buena opción que solíamos usar PW safe by ghost, pero la billetera SPB te permite sincronizar un recurso compartido de red y también sincronizar tu iPhone si obtienes la aplicación. También tiene un generador de contraseñas incorporado y puede generarlas desde contraseñas simples a contraseñas extremadamente complejas. También puede copiar la contraseña mientras la contraseña todavía está marcada con un asterisco, por lo que si alguien está mirando, puede copiarla y pegarla sin que nadie vea la contraseña. La aplicación para PC se bloquea automáticamente una vez que no hay actividad durante un período de tiempo definido.


0
2018-06-03 10:57





Otra opcion es Bóveda de clave de Azure que almacena de forma segura tus secretos y te permite acceder a ellos mediante programación, rotar fácilmente tus contraseñas, etc. No es una buena interfaz de usuario, pero si estás bien con el acceso a la línea de comandos, esto es bueno.


0
2017-11-22 15:28