Jakie są najlepsze praktyki udostępniania setek haseł kilku osobom?
Łatwo, występuje w dwóch smakach:
Nie, jasne i proste. Jeśli to zrobisz, odroczysz uwierzytelnianie hasła do zewnętrznego zaufanego organu i stamtąd kontrolujesz uwierzytelnianie.
Robisz to, ale robiąc to, masz zewnętrzną kontrolę dostępu, która ma hasła lub tokeny bezpieczeństwa, które nie są rejestrowane w używanym systemie (tj. Zapis haseł jest chroniony innym hasłem o ograniczonej dostępności). Jest z tym wiele problemów.
Te hasła chronią dane o znaczeniu krytycznym i nigdy nie będą widoczne poza małym zespołem.
Należy poważnie rozważyć bezpieczną usługę uwierzytelniania zintegrowaną z usługą katalogową w celu rozwiązania problemu. Kombinacja DS / AS tworzy zaufany „organ”, który może działać jako arbiter dla wszystkich użytkowników i urządzeń. Dostęp do kont użytkowników można oddzielić od faktycznego hasła użytego do uwierzytelnienia, co ułatwia „odłączenie” haseł od zasad dostępu. Kontrola haseł polega na dezaktywacji konta użytkownika; więc jeśli administrator odejdzie, po prostu zamkniesz jego konto, a jego dostęp zniknie (ponieważ hasło tej osoby zapewnia dostęp tylko na podstawie ważności DS / AS potwierdzającego, że konto jest ważne).
Działa to tylko wtedy, gdy jesteś w środowisku, które pozwala twoim urządzeniom / programom przesyłać żądania uwierzytelnienia do zewnętrznych źródeł, więc może to nie być dla ciebie rozwiązaniem . Jeśli masz znaczny odsetek urządzeń / programów, które mogą obsługiwać zewnętrzne uwierzytelnianie, to zrobiłbym to, gdyby tylko skonsolidować kilkaset haseł do możliwej do zarządzania listy, powiedzmy, tuzina. Jeśli zdecydujesz się pójść tą drogą, istnieje kilka gotowych, dobrze znanych i przetestowanych rozwiązań.
- Active Directory. Prawdopodobnie najbardziej znana z tej grupy, udostępnia Kerberos jako opcję uwierzytelniania i zapewnia LDAP dla podstawowych DS.
- Samba / Winbind. Pomyśl o tym jako o „Active Directory Light”, nie masz wszystkich funkcji AD, ale raczej starszy model oparty na NT4 (pomyśl hash LANMAN). Zostanie to zastąpione integracją AD Samby 4 i prawdopodobnie „odejdzie”.
- Usługi katalogowe Novell. Nie wiem wystarczająco dużo, aby go polecić, ale wiem, że nadal istnieje. Wiele podmiotów rządowych nadal prowadzi NDS, więc jeśli wykonujesz pracę w tym „sektorze”, będzie to dla Ciebie interesujące. Novell niedawno przeniósł NDS do działania jako usługa Linux, ale nie wiem, czy nadal jest to aktywny produkt (około 2005 r.).
- LDAP + Kerberos. Jest to w zasadzie „domowa” usługa Active Directory, pomniejszona o wszystkie „miłe funkcje”. Są to jednak również znane komponenty ze stabilną, dojrzałą bazą kodu, więc integracja tych usług jest zwykle „dostosowaniem” potrzebnym do działania.
- SSH Keys + (wstaw tutaj program do administrowania systemem, prawdopodobnie marionetka). Przydatne tylko wtedy, gdy masz SSH na całej tablicy, a wszystkie urządzenia są dostępne w ten sposób. Klucze można wydawać i odwoływać w razie potrzeby, a hasła stają się „nieistotne”, gdy klucz SSH zapewnia dostęp. Korzystanie z systemu takiego jak marionetka umożliwia aktualizację setek maszyn poprzez wydawanie komend masowych w celu dodania / odwołania kluczy SSH.
- Niektóre kombinacje powyższych.
Pojawia się również pytanie, ile bezpieczeństwa potrzebujesz. Nie określiłeś, czy przez „krytyczny dla misji” masz na myśli, że głowice nuklearne mogą padać na miasta, czy też „dla krytycznej misji” oznacza, że najnowsza dostawa Furbies nie dotrze do miasta. Naprawdę by to pomogło, gdyby było coś, co opisywało ocenę ryzyka / zagrożenia.