Come posso scambiare in sicurezza gli accessi al server con gli sviluppatori remoti?

Naviga le tue risposte
6

Lavoro per un'organizzazione virtuale (siamo tutti remoti) che utilizza molti freelance / subappaltatori.

Molto spesso ho bisogno di scambiare informazioni di accesso SSH con sviluppatori che lavorano su progetti per noi. Come faccio a farlo in modo sicuro?

La maggior parte di loro non sa nulla sulla crittografia GPG / chiave pubblica, né su come integrare GPG nei propri client di posta elettronica. (Ho abbastanza difficoltà nel far sì che alcuni di loro usino il controllo della versione correttamente, tanto meno un pacchetto di crittografia alieno.)

Potrei auto-generare certificati S / MIME e distribuirli, ma se non sbaglio non creerebbe un errore nella maggior parte dei client di posta elettronica?

EDIT: per chiarire come da commenti - > Ho bisogno di trasferire gli accessi ad altri sviluppatori (combinazioni di username / password per consentire loro di accedere a SSH in un server.) Le nostre password tendono ad essere forti, come %:(9h3LUPa&Zk che può essere un po 'scomodo da leggere al telefono.

    
posta Darren Newton 19.07.2011 - 14:50
fonte

3 risposte

26

Chiedi le loro chiavi pubbliche SSH e aggiungili alle liste authorized_keys per gli host ai quali effettueranno l'accesso. È sicuro divulgare le chiavi pubbliche in modo che possano essere distribuite su supporti non riservati come la posta elettronica.

    
risposta data 19.07.2011 - 15:21
fonte
10

Buona risposta di @Graham Lee sulle chiavi pubbliche SSH in particolare. Più in generale, alcune osservazioni che ho fatto in situazioni simili sono:

  1. Inizia con l'impostazione delle aspettative prima inizia il lavoro. Dai alle persone il messaggio che apprezzi seguendo le migliori pratiche di sicurezza ragionevoli e un contesto per capire perché.

  2. Il contratto del libero professionista dovrebbe occuparsi delle esigenze di sicurezza. Questo non deve essere prolisso e complesso; solo un paragrafo o due su come gestire le informazioni sensibili alla sicurezza, incluso come archiviare / eliminare tali informazioni dopo che il rapporto di lavoro è terminato.

Per distribuire i file in modo semplice ma semi-sicuro, quello che faccio normalmente è:

  • Crea un file contenitore Truecrypt o un file Password Safe (come più adatto) con una password molto valida.
  • Inserisci i file / le password che desidero condividere nel file sopra.
  • Invia per email al contraente il file Truecrypt / Password Safe, insieme a un po 'di tutorial su come scaricare & installa il programma e apri il file.
  • Invia la password per aprire il file tramite un altro canale . Come faccio questo dipende, spesso è il telefono, a volte una chat su Skype il giorno seguente, ecc.

La soluzione di cui sopra non è eccezionale e richiede un po 'di lavoro da parte del destinatario, ma il software in questione è gratuito (open source) e funziona su tutti i principali sistemi operativi. Mi piacerebbe sapere un modo migliore di gestirlo. :)

    
risposta data 20.07.2011 - 00:17
fonte
1

I could self-generate S/MIME certs and distribute to them, but if I'm not mistaken wouldn't this throw an error in most email clients?

Non necessariamente, startssl.com fornisce gratuitamente certificati S / MIME validi per 1 anno.

La radice StartSSL è considerata affidabile sia da Thunderbird che da Outlook / Windows.

(Full disclosure: non sono affiliato a StartSSL, uso solo i loro servizi)

    
risposta data 20.07.2011 - 07:14
fonte

Leggi altre domande sui tag

Esiste una spiegazione (diversa dalla memorizzazione di testo in chiaro) per le password insensibili alle maiuscole e minuscole? Ho un cliente che è preoccupato per gli attacchi DDOS sul loro sito e vogliono test di penetrazione. Questo aiuterà?