Utilisez-vous le même mot de passe root pour chaque périphérique?

Ceci est un peu lié aux meilleures pratiques de mot de passe mais plus spécifique.

Utilisez-vous le même mot de passe root pour tous les servers de votre organisation? Pour une class de périphériques?

13 Solutions collect form web for “Utilisez-vous le même mot de passe root pour chaque périphérique?”

Je voudrais dire "oui, partout", mais c'est toujours "non" dans certains cas. Ma société utilise Password Safe pour gérer les passwords pour nos clients, créant des «coffres-forts» sur la base d'un client à l'autre. Beaucoup de clients possèdent des passwords uniques atsortingbués au hasard pour l'administrateur racine, local, les périphériques, etc. Malheureusement, certains (soit en raison du travail effectué par des fournisseurs antérieurs, soit par la paresse de notre part) peuvent avoir le même mot de passe utilisé dans plusieurs appareils ou sur plusieurs ordinateurs servers.

Pour mes passwords personnels, j'ai été interressé pour passer à un utilitaire comme Passwordmaker , qui prend une "phrase de passe principale" et un autre fait (nom de site Web, nom d'user, etc.) et crée un mot de passe random à partir d'une fonction de hachage sécurisé. Tant que vous connaissez votre «mot de passe principal» et le «autre fait», vous pouvez utiliser le logiciel pour regerer votre mot de passe chaque fois que vous le souhaitez (c'est-à-dire que le mot de passe n'est jamais enregistré, chiffré, en clair ou autrement).

Je n'ai pas encore trouvé un mot de passe de mot de passe "outil de voûte" qui fait tout ce que je veux:

  • L'access basé sur SSL à partir des browsers comme interface user
  • Authentification LDAP, permissions pour accéder aux passwords dans la database en fonction de l'appartenance au groupe LDAP.
  • Maintient une piste de vérification des passwords accessibles par chaque user (alors je sais ce qu'il faut changer quand quelqu'un quitte l'entreprise).
  • Notifications configurables pour l'expiration du mot de passe en fonction de l'user (c.-à-d. "Expirez chaque mot de passe que 'bob' a utilisé depuis que nous le déclenchons"), basé sur le dernier mot de passe de la date ou sur le nombre d'users uniques qui ont accédé au mot de passe (" Tout le service d'assistance, le service informatique et le personnel de conciergerie ont accédé à ce mot de passe – expirez. ")
  • Métadonnées sur chaque mot de passe incluant la partie à notifier par courrier électronique en cas d'expiration, date de création, dernière modification de la date, notes.
  • Système optionnel enfichable pour permettre au système de mot de passe lui-même de se connecter aux systèmes et de mettre à jour les passwords expirés automatiquement.
  • Idéalement, fonctionne sur un server Web basé sur Windows ou Linux, probablement en utilisant sqlite comme back-end.

Je serais disposé à jeter de l'argent ou du time de développement dans un tel projet, mais je n'ai jamais trouvé quelque chose qui se rapproche ou que vous vouliez passer le time de le sortir du terrain.

J'utilise les keys SSH, j'utilise le même pour tous les servers et je garde un bon mot de passe sur mon file key. Économise beaucoup d'aggravation.

Pour les périphériques où cela ne fonctionnerait pas, j'utiliserais un mot de passe qui avait un kernel dur à deviner, puis utiliser le nom des périphériques dns, l'adresse IP ou toute autre caractéristique commune (comme le operating system ou la marque), pour créer le mot de passe unique pour l'appareil. Cela a particulièrement bien fonctionné pour des groupes de dispositifs similaires. Gardez simplement le motif / secret mnémonique, avec le kernel, et vous avez un mot de passe unique et difficile, facile à retenir.

mot de passe différent pour chaque machine, mais nous les gardons tous dans un pwsafe. PITA à regarder vers le haut, mais empêche une violation de nous avoir pwnd.

Non jamais. Ce que je fais pour aider les mnémoniques est d'avoir un préfixe commun (12 caractères ou plus) qui est modifié par un atsortingbut de longueur moyenne (6 caractères) de chaque server s'ils se trouvent dans le même rack (ou ce que vous considérez comme un groupe de servers , qui devrait être déterminé sur la base du besoin d'access (voir le commentaire d'Ernie et ma réponse)).

Par exemple, si le groupe de servers est composé par mercury (10.0.1.1, smtp), mars (10.0.1.2, firewall), bacchus (10.0.1.3, web), et le préfixe commun est R %% SDO23jfida, alors

- mercury: R%%SDO23jfida11001mersmtp - mars: R%%SDO23jfida21001marfirewall - bacchus: R%%SDO23jfida31001bacweb 

L'un utilisé dans l'organisation où je travaillais:

Le mot de passe de l'administrateur de PC local / local est tout le même (mais étant donné que nous produisons toutes nos machines, c'est la seule façon de le faire, et si quelqu'un a déjà trouvé ce mot de passe, nous pouvons encore modifier notre image fantôme initiale et mettre à jour tous des machines pour recevoir la nouvelle image et nous allons bien.

Chaque server a un mot de passe différent. Ensuite, nous ne traitons pas trop de servers, si je me souviens bien d'environ 6 auxquels j'ai eu access (mais je suis sûr que nous avons eu plus), et au lieu de créer un mot de passe trop complexe, ils ont choisi de se souvenir simple et facile mot de passe, en ajoutant un eet5peak raisonnable, et les rendre vraiment vraiment long (mais encore, facile à retenir) 🙂

Personnellement, je crois que pour les PC de bureau, vous souhaitez conserver le mot de passe racine / administrateur, ce qui vous garantit une gestion simple à l'aide du count d'administration local.

Pour les servers, il est préférable d'être différent, afin de s'assurer qu'il existe une violation, il est contenu uniquement sur ce server et ne va plus. En outre, la complexité du mot de passe va changer dépend de l'importance du server (c'est-à-dire. Le server qui conserve les users / passe sera sur la plus haute complexité, le server qui conserve les journaux sera less complexe, etc.).

My 5c

Nous utilisons le même mot de passe racine partout, même s'il suit les meilleures pratiques (générées au hasard, en fait). Il est seulement nécessaire dans le cas où nous devons physiquement mettre la main sur une machine, par exemple pour effectuer un contrôle du système de files ou de la médecine légale après un compromis. Comme Geoff, ssh est le seul protocole d'access à distance, et il est désactivé pour l'user root.

Nous utilisons un mot de passe long retardé et généré au hasard sur chaque boîte et nous ne l'enregistrons jamais n'importe où. L'authentification user normale est gérée par LDAP, tout comme Sudoers, donc la seule fois où nous avons déjà besoin d'un mot de passe, c'est lorsque l'access au réseau ne fonctionne pas, auquel cas il est totalement acceptable de basculer le server et de passer à l'user unique, réparer la configuration du réseau , et rapportez-le.

mercure: R %% SDO23jfida11001mersmtp
mars: R %% SDO23jfida21001marfirewall
Bacchus: R %% SDO23jfida31001bacw

myc0mm0npa $$ w0rd.105
myc0mm0npa $$ w0rd.web

J'ai vu beaucoup de gens le faire, mais personne ne pourrait expliquer comment c'est plus sécurisé que d'utiliser le même mot de passe. Qu'est-ce qui garde quelqu'un qui voit l'un des passwords, de find les autres? Le seul avantage semble être des hachis différents, mais des sels différents sur différentes machines le résolvent également.

Quelqu'un peut-il m'éclairer à ce sujet?

Étant donné que le mot de passe est la dernière ligne de défense, je dirais que ce n'est pas aussi important qu'il l'était.

Cependant, la dernière chose dont vous avez besoin, c'est un yahoo dans votre bureau, qui est beaucoup plus fréquent.

Notre politique de mot de passe consiste à utiliser un préfixe commun difficile à deviner, puis utiliser un mot de passe commun pour chaque class de server. Cela réduit le nombre de passwords que je dois callbacker tout en protégeant les autres servers des "erreurs". Contrairement à Vinko, nous n'utilisons aucun système qui intègre tout ce qui concerne la machine. Je reorderais contre cela, car une fois que quelqu'un au sein de l'organisation a access à un mot de passe (parce qu'ils en ont besoin), ils peuvent find les autres passwords assez facilement.

Je ferme toutes les connections de root et laissez le filter d'erreur (logcheck dans mon cas) passer à mon e-mail, afin que je sache quand quelqu'un essaie de briser le mot de passe root. Ressortingctions sur l'endroit où cela peut être effectué, assurez-vous que mon e-mail n'est pas rempli pour déborder de ces journaux.

J'ai remarqué que personne n'a parlé de changer les passwords fréquemment. Oui, c'est une douleur … quelque part, mais tôt ou tard, un mot de passe fouette (quelqu'un qui quitte?). Je pense que tout type de mot de passe doit être changé après un certain time, peu importe ce que vous utilisez en règle générale pour le build. Notre politique consiste à deviner un mot de passe totalement random chaque année, puis à le modifier progressivement sur nos appareils. Le changement progressif nous permet, ironiquement, un peu plus de security, car à tout moment nous n'avons pas le même mot de passe partout (ce qui n'est pas une bonne chose).

Non. Une politique dans mon dernier travail était de partager un mot de passe commun généré pour les périphériques dans le même réseau et d'append un séparateur et certains caractères liés à l'adresse IP ou au type de périphérique. Par exemple:

 myc0mm0npa$$w0rd.105 myc0mm0npa$$w0rd.web 

Mais il est encore incertain. Ce que je fais maintenant, c'est générer un mot de passe racine différent pour chaque server ou périphérique.

Je suis surpris que personne ne l'a mentionné encore, mais j'utiliserais ldap avec kerberos pour créer une connection unique qui utiliserait les keys SSH sur des périphériques spécifiques. Bien sûr, cela suppose que les périphériques que je tente de connecter pour prendre en charge l'authentification LDAP. Avec LDAP, je peux créer des groupes d'users qui ont access à des périphériques spécifiques. En outre, tous mes users se connectent via un server kerberos centralisé afin que les connections ne puissent se produire que localement et je peux immédiatement révoquer un count au cas où il serait compromis pour quelque raison.

Si vous avez des passwords ou des keys sur plus de 100 machines, amusez-vous à changer tous ces passwords ou les files autorisés. Je n'ai pas à me soucier de ça.

L'utilisation du même mot de passe root pour plus d'un count ou d'un périphérique est une mauvaise idée. Cela ne résistera jamais à une vérification informatique car il n'y a pas de responsabilité. Une fois que quelqu'un a le mot de passe, il peut accéder à plusieurs counts et vous ne pouvez pas prouver qui a fait ou n'a pas fait quelque chose. J'ai parfois vu des gens essayer de rendre count par l'logging des adresses IP, mais cela est encombrant et facile à pirater.

Pour apporter la responsabilité et passer SOX, PCI, HIPAA, etc., vous devez limiter l'access aux counts generics à une seule personne à la fois, suivre ce qui a été consulté puis modifier le mot de passe quand ils sont terminés.

  • Administrateur Mot de passe perdu pour une machine server Win 2003
  • Désactivation des modifications de mot de passe Windows sur le domaine Samba
  • Comment puis-je activer le mot de passe et l'authentification par clé publique avec OpenSSH
  • J'ai changé le mot de passe root mysql et je ne peux pas l'accéder. Le mot de passe contenait quelques caractères
  • Cisco IOS Configuration d'un mot de passe / secret
  • Mots de passe Novell
  • Active Directory: Suivez les anciennes modifications de mot de passe et les dates d'expiration?
  • john the ripper pour évaluer la force relative au mot de passe
  • Windows Server 2003 DC VM Recovery Password
  • Mot de passe de démarrage de Windows 2003
  • Pourquoi les correctifs Microsoft sont-ils protégés par un mot de passe?
  • Les astuces du serveur de linux et windows, tels que ubuntu, centos, apache, nginx, debian et des sujets de réseau.