Memorizza le password in Confluence vs un gestore di password

3

Il mio team SysOP utilizza una pagina in Confluence per condividere le password di account comuni. Ho suggerito loro di utilizzare un gestore di password, ma ora penso ... c'è qualche vantaggio?

La pagina Confluence è limitata in modo che solo il team di sysop possa accedervi, quindi qual è la differenza con un gestore di password? Devono utilizzare una password per accedere al proprio account Confluence e, quindi, per accedere alle password. Se stavano usando un gestore di password, avrebbero bisogno di una password per sbloccarlo.

    
posta yzT 02.04.2016 - 10:48
fonte

3 risposte

5

Esistono differenze significative, sia concrete che generali, tra la sicurezza fornita da Confluence e un buon gestore di password.

Un problema specifico è che Confluence non crittografa i dati a riposo. Ciò significa che una persona con accesso fisico al disco può accedere alle password. Anche se si cripta il disco, qualcuno che ottiene l'accesso al disco dopo l'avvio del computer (ad es. Tramite accesso al disco remoto configurato in modo errato o eseguendo un processo sul server) può leggere le password del testo in chiaro.

Confluence ha anche molte impostazioni di configurazione che si combinano per garantire o negare l'accesso alle risorse. L'impostazione errata di questi dati può comportare che gli utenti accedano involontariamente ai dati.

Confluence inoltre non supporta funzionalità comuni di gestione password come timeout di autenticazione brevi e password di mascheramento. Il primo è importante perché le password sono considerate troppo importanti per essere considerate affidabili per l'autenticazione di un computer o di un portale Web come Confluence. Le password di mascheramento sono importanti per impedire la navigazione a spallamento che, nel caso di un elenco di password in una tabella su un pagina wiki, sembra una seria preoccupazione.

Più in generale, Confluence è un'app ampia e complessa scritta con l'obiettivo di condividere dati. I gestori di password sono app molto mirate scritte con l'obiettivo di proteggere i dati . Di conseguenza, è probabile che abbiano avuto più test di sicurezza e revisioni del codice, siano stati scritti da più ingegneri esperti di sicurezza e siano stati sottoposti a un maggior numero di violazioni della sicurezza da parte degli utenti. Tutto ciò porta a una minore probabilità che i gestori di password abbiano vulnerabilità.

    
risposta data 02.04.2016 - 18:59
fonte
1

Molti gestori di password utilizzano la crittografia per proteggere i dati a riposo, molto probabilmente la confluenza non lo farà. Che ciò sia importante o meno dipenderà da chi ha accesso al database di Confluence.

    
risposta data 02.04.2016 - 11:01
fonte
1

Siamo consapevoli delle necessità di condividere password e informazioni riservate in Confluence. Dal momento che è un centro della collaborazione del nostro team, sarebbe sensato condividere le informazioni attraverso Confluence. Consiglierei di valutare il Sicurezza e amp; Add-on di crittografia che fornisce una macro per crittografare (con PGP) e memorizzare le tue password.

    
risposta data 13.05.2016 - 02:28
fonte

Leggi altre domande sui tag