Qual è il modo migliore per distribuire le password a una base di dipendenti diversificata?

Question

Qual è il modo migliore per distribuire le password a una base di dipendenti diversificata?

#1 da (5 voti)
#2 da (2 voti)
#3 da (1 voti)
#4 da (1 voti)
#5 da (1 voti)

14

Ho un problema che devo risolvere, in particolare come distribuire le password alle persone in una varietà di luoghi e con un'ampia varietà di accesso.

Ho pensato ad alcune opzioni, ma ci sono degli svantaggi per tutti:

Email : non sicuro e viaggia in chiaro, a meno che non venga tenuto all'interno dell'azienda. Tuttavia, alcuni messaggi vengono inoltrati al di fuori dell'azienda e alcuni utenti che accedono da Internet sono senz'altro fatti con un accesso non criptato. In ogni caso, non tutti hanno accesso e-mail (ad es. Appaltatori).
"Briefcase" : potrei aggiungere la password alla valigetta Zimbra dell'utente, ma questo soffre della maggior parte degli stessi problemi della posta elettronica.
Telefono : il problema con l'utilizzo del telefono è che il VoIP può essere intercettato ed è, credo, generalmente non criptato (anche se non lo so). È anche possibile che il destinatario stia utilizzando il VoIP e se sia crittografato o meno è sconosciuto - in effetti, la natura stessa del telefono ricevente è sconosciuta. In ogni caso, alcuni utenti si trovano in un fuso orario a 12 ore di distanza dal nostro - quindi questo è fuori per la maggior parte.
Email crittografata : esito con questo in quanto include la formazione degli utenti, ma potrebbe essere il modo migliore. Inoltre, significa distribuire le chiavi in qualche modo. C'è anche il problema del supporto del client di posta elettronica: gli utenti usano principalmente Outlook, ma ci sono utenti che usano Gmail, Hotmail, Evolution, iPhone Mail, Apple Mail e l'interfaccia web di Zimbra, tra gli altri.
Portale web : con questo, gli utenti possono accedere a una pagina Web all'interno dell'azienda o su un collegamento crittografato e ottenere una password (o forse, richiederne una). Dovrei configurarlo (non è un problema: sono programmatore e amministratore in uno ...) ma richiede comunque la consegna di una password per la VPN o il primo accesso.

Ecco i problemi che devono essere superati, in poche parole:

Formazione degli utenti
Traffico non crittografato
Accesso utente
Differenze fuso orario dell'utente
Differenze di posizione dell'utente

La mia inclinazione è che probabilmente finirò con qualche forma di email crittografata e / o portale web; per ora sto usando un telefono cellulare.

EDIT : qui il grosso problema (come in tutti i metodi di crittografia) consiste nell'ottenere la password o la chiave iniziale all'origine. In particolare, deve esserci un modo per identificare l'originatore e impedire la divulgazione della chiave. I problemi che affrontiamo nel prevenire la divulgazione sono i seguenti:

Le workstation degli utenti non sono tutte sulla rete centrale
Alcuni utenti sono isolati (lavoro a casa, ecc.)
Alcuni utenti sono internazionali: differenza di fuso orario di 12 ore
Molti utenti non sono nemmeno impiegati, ma appaltatori con società affiliate o con fornitori esterni

Mi chiedo se dovrò accettare qualche rischio.

passwords password-management password-policy

posta Mei 26.01.2012 - 20:55

fonte

5 risposte

Leggi altre domande sui tag passwords password-management password-policy

I wrapper del browser nel software sono dannosi per gli utenti? Perché dovrei avere password sicure per i siti su cui pago le fatture?

score 5 · Answer 1

Penserei che il tuo unico vero modo per aggirare questo blocco stradale sia con un token a due fattori pre-emesso e un'e-mail con una password unica che deve essere ripristinata alla nuova password dell'utente al primo accesso.

La password unica non avrebbe alcun valore senza il token a due fattori.

score 2 · Answer 2

Avere un sub-amministratore in ogni postazione dell'ufficio e configurare le procedure amministrative e un'apposita toolchain con questi amministratori locali.

È l'unico modo veramente scalabile e flessibile. Gli amministratori in loco possono verificare personalmente l'identità degli utenti e istruire gli utenti su questioni pratiche come le politiche relative alle password. E l'amministratore locale acquisirà familiarità con gli strumenti che stai utilizzando, quindi con un po 'di formazione possono spesso utilizzare direttamente gli strumenti della piattaforma (ad esempio Active Directory, LDAP).

Un amministratore locale come questo non ha bisogno di essere un tecnico. Una segretaria centralizzata, un direttore d'ufficio o un altro profilo amministrativo con buone capacità di persone e un approccio metodico alle cose sono spesso un'ottima soluzione.

score 1 · Answer 3

Forse un'altra soluzione sarebbe quella di fornire le credenziali tramite un canale sicuro stabilito, ad es. inviare una mail sicura al capo del dipendente. Questo ovviamente significa che la password deve essere cambiata immediatamente alla ricezione. Per gli appaltatori, dovrebbero effettuare il check-in a un socio locale.

score 1 · Answer 4

Il sistema deve consentire loro di configurare da soli le informazioni di base del proprio profilo.

L'unico altro metodo sicuro è un'autenticazione a due fattori preconfigurata (2fa) o stampata su supporto cartaceo (la mia banca invierà solo il mio numero pin per posta e li separerà con altri dati collegati). C'è una ragione per questo.

Sono preoccupato per il commento di @ DavidStratton su un sistema di recupero password. Sembra preoccupante come se avessi memorizzato le password in chiaro e costruito un sistema automatico di consegna delle password.

score 1 · Answer 5

L'uso della posta elettronica per recapitare le password è solo una soluzione efficace se non invii la password utilizzata per accedere all'account email.

Qualcosa di diverso dall'aver annotato l'e-mail (ad esempio il telefono nei tuoi esempi) e ti sei divertito a spiegare quali lettere sono maiuscole, che cos'è un segno di punteggiatura ecc.

SMS o un po 'di carta o le uniche soluzioni pratiche se vuoi davvero sicurezza. Ma se hai creato l'account e conosci l'indirizzo email degli utenti, è possibile che tu sia in grado di acquisire un token di autenticazione secondario (che può essere utilizzato per l'attivazione dell'account anziché doverlo presentare ogni volta per l'accesso).

Certamente qualsiasi password che emetti con tali mezzi dovrebbe essere temporanea, cioè limitata nel tempo e consentire solo l'accesso per l'utente a scegliere la propria password.