存储小组生产密码的最佳实践

Question

这不是技术问题。小型组织如何保持必须在多个人之间共享的敏感信息，例如生产服务器的root密码？并非所有需要访问的人都在同一个位置工作..新密码可以通过电话分发，但是在存储密码时应该对团队成员强制执行哪些规则？

更新：这个问题与root密码的正确使用无关 - 这只是一个例子。也许更好的例子是SSL密码或任何其他必须在执行管理任务的人之间共享的密码。事实上，需要生成和存储根密码等，并且通常不止一个人需要访问，有时这些人在不同的位置工作。问题是关于存储协议。感谢。

Answer 1

我个人建议面临类似问题的人使用keepass或roboform等密码来存储密码。这些程序使用个人记住的主密码在thumbdrive上加密您的密码，这样他们只需要记住主密码。如果某人丢失了他们的拇指驱动器，他们将有一个时间窗口，他们可以报告受损的拇指驱动器，并允许您更改密码。在盗取拇指驱动器的人能够强制使用主密码来获取所有其他存储的密码之前，需要一点时间，具体取决于主密码的强度。

此外，请避免超过3人分享任何帐户，如果有的话！相反，请考虑为每个人创建具有同等访问权限的帐户。如果恶意员工可以访问他们知道共享的帐户，那么他们可能更容易做恶意事情，因为他们知道你不能让他们负责，因为它可能是几个人共享帐户中的任何一个。 / p>

这也意味着每次有人退出时都不必更改密码。相反，您只需禁用/删除其帐户即可。因此，虽然您需要管理更多帐户，但是当有人离开时您的开销较少，因为您不必通知所有人更改密码。

编辑：哦，Roboform还有一个基于SSL的在线密码同步服务。所以你可以让人们通过同步来检索密码。一旦你习惯它，它会很酷。

Answer 2

您不应该将root密码分发给任何服务器，生产或其他服务器。你不应该分享密码。

人们应该使用自己的用户ID密码自己登录（身份验证） ;这是图片的一半。

如果正确登录，则应视情况给予权限（图片的授权方）。您可以将sudo等用于一般操作系统目的，以及数据库内的权限机制等等。

这是两个不同的问题。不要越过溪流！

Answer 3

随着sudo的出现，我们不再需要使用root密码了。在我的旧店里，根密码写在一张卡片上，密封在一个信封里，并锁在系统管理员区域的抽屉里。那些需要知道的人有抽屉的钥匙。

任何打开信封的人都需要更改密码并将新密码放入新的密封信封中。信封没有经常打开。

这个系统可能是非常糟糕的专业实践，但在一个每个人都认识的小店里，它运作良好。

Answer 4

原型＆amp;我以前工作过的R＆amp; D实验室，有一些“标准”实验室密码，例如root，管理员访问控制台，交换机等。这些都很简单，易于记忆，并且与需要它们的任何人口头共享。通常，如果您可以实际进入实验室，则您被授权拥有这些密码。

在制造工厂中，为客户构建和配置了新系统。客户必须选择所有密码，并将它们打印在一组与系统连接到机架上的表格上。根据需要提供远程访问，密码通过电子邮件发送，或通过电话发送。完全可以预期，一旦系统交付给客户，客户就会更改这些密码。

对于IT＆amp;生产实验室，几乎没有人有root权限。几乎每个人都有sudo访问权限，介于无限制之间，只能安装虚拟文件系统......具体取决于人员和系统。获得以root身份启动shell的sudo访问权非常罕见。这为您以root身份运行的所有命令留下了非常清晰的日志记录。该日志用于tar＆amp;这些年来羽毛不止一个人。

在多年前的帮助台/支持角色中，每个工具专家都选择了自己的管理密码。这些被记录在一个被锁在机房保险柜中的信封中。如果有人需要管理员访问权限，他们可以打开信封，读取密码，并在日志中记下他们知道密码，然后在信封中重新密封密码。由工具所有者决定是否需要更改密码。这个系统使用了5年以上......在一个案例中实际上帮助该项目在一个团队成员的“公共汽车测试”（心脏病发作）中存活下来。

不同类型的系统和实验室的不同标准。这是合理的。我发现当密码需要分片时，最好是密码简单，简短，并且口头传达（亲自或通过电话）。我发现唯一不应该共享的密码是我个人帐户的密码。任何root / admin / tool特定密码都应至少在另一个头部备份...如果没有以某种方式记录。

Answer 5

您可以使用anypasswordpro之类的程序来共享密码。它是加密的，具有访问级别：）

Answer 6

要现实。无论你喜欢与否，小团队中的人都会在便利贴上写密码，给他们写IM，或者想给他们发电子邮件，特别是当他们认为没有威胁时。

我发现对小组有用的一个措施是建立一个混淆协议。

例如，通过语音邮件，电子邮件，即时消息或纸张传送或存储的所有密码都将具有 1）他们的角色的顺序颠倒了 2）在每个密码字符之间放置一个随机字符或单词 3）发音密码字符。

例如：

密码：VMaccp @ ss1

混淆：在sd pee fd中看到一个2 es es 23，看dfs看fxz ay df EM sd VEE

关键是要建立某种编码，这种编码几乎不可能让某人在不知道协议的情况下弄清楚，这很容易记住。

请记住，这适用于没有生死安全的小团体。显然，对于较大的群体或那些保护极其敏感的财务数据的群体而言，更为繁琐的措施更为合适。