Comment une équipe d'administrateurs de systèmes peut-elle partager les mots de passe en toute sécurité ?

La meilleure pratique consiste à ne pas partager les mots de passe. Utilisez des outils comme sudo pour permettre aux utilisateurs d'obtenir les accès dont ils ont besoin à partir de leur propre compte. Si vous avez quelques utilisateurs, chacun devrait avoir son propre compte si nécessaire. LDAP (Unix/Linux) et Active Directory sont une bonne solution pour accorder l'accès à plusieurs serveurs à partir d'une base de données commune.

Lorsqu'il est nécessaire d'avoir une copie écrite d'un mot de passe, placez-le dans une enveloppe signée et datée en travers du sceau. Changez le mot de passe lorsqu'il est utilisé. Lorsque le mot de passe est modifié, scellez-le dans une nouvelle enveloppe.

Pour les mots de passe qui doivent vraiment être partagés, utilisez l'un des outils de gestion des mots de passe comme Keepass, dont la base de données peut se trouver sur un réseau. Les outils disposant de clients pour plusieurs plateformes sont préférables. Demandez-vous si vous avez besoin de plus d'une base de données. N'oubliez pas que vous devez vraiment faire confiance à toutes les personnes qui ont accès à ces données.

Nous sommes partis avec KeePass dans ce but précis. Il s'agit d'un excellent petit programme qui stocke tous vos mots de passe dans un fichier de base de données crypté. Il existe des fonctions de sécurité supplémentaires, telles que la nécessité d'un fichier clé avec le mot de passe principal pour accéder aux mots de passe. Cela permet d'avoir plusieurs niveaux de sécurité (séparer le fichier clé et la base de données), tout en gardant la possibilité pour tout le monde de travailler avec tous les différents mots de passe. Par exemple, vous pouvez exécuter l'application et le fichier clé sur une clé USB, mais stocker la base de données sur votre réseau. Cela nécessiterait des informations d'identification pour le partage réseau, le mot de passe principal et le lecteur USB physique contenant le fichier clé.

Quelles sont les meilleures pratiques pour partager des centaines de mots de passe entre quelques personnes ?

Doucement, il y en a deux sortes :

1. Vous ne le faites pas, purement et simplement. Si vous choisissez de le faire, vous reportez l'authentification du mot de passe à une autorité de confiance externe et vous contrôlez l'authentification à partir de là.

2. Vous le faites, mais ce faisant, vous avez des contrôles d'accès externes qui comportent des mots de passe ou des jetons de sécurité qui ne sont pas enregistrés dans le système que vous utilisez (c'est-à-dire que l'enregistrement des mots de passe est protégé par un autre mot de passe dont la disponibilité est limitée). Cette situation pose de nombreux problèmes.

Ces mots de passe protègent les données essentielles à la mission et ne peuvent jamais être visibles au-delà d'une petite équipe.

Vous devriez sérieusement envisager un service d'authentification sécurisé qui s'intègre à un service d'annuaire pour résoudre ce problème. La combinaison DS/AS crée une "autorité" de confiance qui peut servir d'arbitre pour tous vos utilisateurs et appareils. L'accès aux comptes d'utilisateurs peut être dissocié du mot de passe utilisé pour l'authentification, ce qui permet de "déconnecter" facilement les mots de passe de la politique d'accès. Le contrôle des mots de passe se fait par la désactivation du compte de l'utilisateur ; ainsi, si un administrateur quitte l'entreprise, il suffit de fermer son compte et son accès disparaît (car le mot de passe de cette personne n'accorde l'accès que sur la base de la validité du DS/AS confirmant la validité du compte).

Cela ne fonctionnera que si vous êtes dans un environnement qui permet à vos appareils/programmes de dériver leurs demandes d'authentification vers des sources externes, donc ce n'est peut-être pas une solution pour vous. . Si vous avez un pourcentage significatif d'appareils/programmes qui peuvent accueillir une authentification externe, alors j'irais de l'avant et le ferais, ne serait-ce que pour consolider plusieurs centaines de mots de passe à une liste gérable de, disons, une douzaine. Si vous décidez de suivre cette voie, il existe plusieurs solutions prêtes à l'emploi, bien connues et bien testées.

• Active Directory. Probablement le plus connu du groupe, il vous offre Kerberos comme option d'authentification, et fournit LDAP pour le DS de base.
• Samba/Winbind. Pensez-y comme à "Active Directory Light", vous n'obtenez pas toutes les fonctionnalités d'AD mais plutôt un modèle plus ancien basé sur NT4 (pensez à LANMAN hash). Il sera supplanté par l'intégration AD de Samba 4 et disparaîtra probablement.
• Novell Directory Services. Je n'en sais pas assez pour le recommander, mais je sais qu'il existe encore. Beaucoup d'entités gouvernementales utilisent encore NDS, donc si vous travaillez dans ce "secteur", cela vous intéressera. Novell a récemment porté NDS pour qu'il fonctionne comme un service Linux, mais je ne sais pas si c'est encore un produit actif (vers 2005).
• LDAP + Kerberos. Il s'agit en fait d'un Active Directory "maison", sans toutes les "belles fonctionnalités". Cependant, il s'agit également de composants connus dont la base de code est stable et mature, de sorte que l'intégration de ce(s) service(s) constitue généralement l'étendue de la "personnalisation" nécessaire pour que les choses fonctionnent.
• Clés SSH + (insérer le programme d'administration système ici, probablement Puppet). Cette solution n'est utile que si vous disposez de SSH sur toute la ligne et que tous les appareils sont accessibles de cette manière. Les clés peuvent être distribuées et révoquées selon les besoins, et les mots de passe deviennent "sans objet" puisque la clé SSH autorise l'accès. L'utilisation d'un système comme Puppet vous permet de mettre à jour des centaines de machines en émettant des commandes en masse pour ajouter/révoquer des clés SSH.
• Une combinaison de ce qui précède.

Il s'agit également de savoir de quel niveau de sécurité vous avez besoin. Vous n'avez pas précisé si par "mission critique" vous entendez que des ogives nucléaires peuvent pleuvoir sur les villes, ou si "mission critique" signifie que la dernière cargaison de Furbies n'arrivera pas en ville. Cela aiderait vraiment s'il y avait quelque chose qui décrivait une évaluation des risques/menaces.

Quelques trucs :

• Comme d'autres l'ont dit, c'est une mauvaise idée. Utilisez un LDAP, etc.
• Si vous vous engagez à le faire pour une raison quelconque, consolidez au moins les mots de passe. 100 mots de passe non gérés signifie que vous ne mettez pas à jour les mots de passe.
• Gardez-les sur papier. Exigez que le personnel signe le papier avec une encre de couleur différente pour qu'il soit plus facile de déterminer si une feuille a été copiée.
• Si vous êtes sous Unix, utilisez S/KEY pour générer des mots de passe à usage unique. Stockez-les dans un endroit sûr.

Vous devez également aller au-delà des mesures de sécurité mécaniques consistant à mettre les mots de passe papier dans un coffre ou à les crypter. Renseignez-vous sur la manière dont les organisations dotées de modèles de sécurité matures sécurisent les clés et les combinaisons de coffre-fort. Je ne vous recommande pas de faire ce que vous voulez faire, mais si vous le faites :

• Les personnes qui utiliseront les mots de passe ne peuvent pas contrôler l'accès aux mots de passe. Un groupe distinct de personnes sous une chaîne de gestion différente doit contrôler l'accès au coffre, au tiroir, etc. Si vous avez un groupe financier, il peut être un candidat. Peut-être le vice-président du marketing, etc.
• Il doit y avoir un journal écrit lorsque le coffre est ouvert et que quelqu'un prend possession d'un mot de passe.
• Le mot de passe doit être changé dans les 24 heures suivant le passage en caisse.

Les procédures de ce type sont pénibles, mais elles inciteront les gens à adopter des pratiques plus saines. Si vous ne faites pas quelque chose comme ce que j'ai décrit, ne vous embêtez pas à verrouiller les mots de passe, car vous serez de toute façon victime d'une violation un jour ou l'autre.