Paroolid: paroolihaldur kogu meeskonnale

Päeval, mil töötaja ettevõttest lahkub, esitab keegi ebamugava küsimuse: „Millele tal ligipääs oli?“ Ilma paroolihaldurita pannakse vastus kokku mälu järgi, sobrades e-postis, jagatud tabelis ja vestluslõimedes. Meeskonna paroolihalduriga mahub see ühele ekraanile.

See juhend meie rubriigist Taristu ja pilv selgitab, mida paroolihaldur muudab 20 kuni 500 inimesega meeskonna jaoks, kuidas seda valida ilma ühegi pakkuja eelistuseta ja millest alustada.

Lühidalt

• Meeskonna paroolihaldur asendab tabeli, sõnumid ja kleepmärkmed krüpteeritud hoidlaga, mida jagatakse rollide kaupa.
• Töötaja tulek ja lahkumine muutuvad lühikesteks toiminguteks: grupile antakse või võetakse ligipääs.
• See teeb võimalikuks selle, mida ametlikud soovitused nõuavad: pikk ja ainulaadne parool iga konto jaoks, ilma sunnitud vahetuseta kindlal kuupäeval.
• Kaheastmeline autentimine jääb hädavajalikuks, eelkõige hoidlal endal.
• Pakkuja majutatud või Teie juurde paigaldatud: mõlemad on kaitstavad, kriteerium on Teie suutlikkus seda hallata.

Miks meeskonna paroolid igale poole satuvad

Sest jagatud ligipääs peab liikuma ja võidab lühim tee. Majutusteenuse konto liigub sõnumiga, ettevõtte sotsiaalvõrgustiku konto vastuvõtu ekraanile kleebitud märkmega, poe administraatoriligipääs tabelis „Ligipääsud“, mille on lõpuks kõik avanud. Keegi ei valinud seda süsteemi: see tekkis iseenesest.

Tulemus ilmneb päeval, mil tuleb kiiresti tegutseda. Kahtlane konto, lahkumine, teenusepakkuja vahetus: enam ei teata, kes mida teab, ja jagatud parooli muutmine rikub kõigi nende töö, kes seda märkamatult kasutasid.

ANSSI, Prantsuse küberturvalisuse amet, lahendas küsimuse oma soovitustes autentimise ja paroolide kohta:

CNIL, Prantsuse andmekaitseasutus, liigub samas suunas: tema 2022. aasta soovitus paroolide kohta loeb paroolihalduri paroolide loomise ja uuendamise headeks tavadeks.

Mida paroolihaldur muudab esimesest viimase päevani

Kõige nähtavam kasu ei ole tehniline: see on aeg, mis võidetakse hetkedel, mil meeskond muutub.

Tulek: grupp nimekirja asemel

Ligipääse ei anta enam ükshaaval: inimene paigutatakse oma gruppi (müük, raamatupidamine, turundus) ja ta pärib selle, mida tema ametikoht vajab. Kui rollile lisandub tööriist, saab selle kogu grupp.

Lahkumine: ebamugaval küsimusel on vastus

Paroolihaldur ütleb, milliseid paroole inimene sai lugeda. Hoidla ligipääsu eemaldamisest ei piisa, sest mida ta nägi, võib ta veel teada: tundlikud ligipääsud, mida ta vaatas, muudetakse, ja paroolihaldur ütleb, millised. See on sama loogika mis lahkuva teenusepakkuja puhul.

Igapäev: lõpuks pikad ja ainulaadsed paroolid

Keegi ei jäta meelde nelikümmend erinevat kahekümnemärgilist parooli. Paroolihaldur jätab: ta loob need, täidab need ja hoiab neid. See teeb tänapäevased reeglid täidetavaks. NIST, USA standardiinstituut, kelle juhend on võrdluseks palju kaugemal kui USAs, vaatas oma reeglid üle oma autentimisjuhendi 4. versioonis:

• üksi kasutatav parool peab olema vähemalt 15 märki pikk;
• kindlal kuupäeval vahetamist enam ei sunnita, ainult siis, kui konto on ohustatud;
• iga uut parooli võrreldakse levinud või juba lekkinud paroolide nimekirjaga;
• teenused peavad lubama paroolihaldureid ja automaatset täitmist.

Kuidas valida: pakkuja majutatud või Teie juurde paigaldatud

Mõlemad pered on olemas, mõlemal pool tõsiseltvõetavate toodetega. Pakkuja majutatud paroolihaldurid (teiste seas 1Password, Bitwarden, Dashlane, Keeper, Proton Pass) saab kasutusele võtta ühe päevaga. Teisi saab paigaldada ka oma serverisse: Bitwarden avaldab juhendi selle majutamiseks Linuxi serveris ning vabad lahendused nagu Passbolt või Vaultwarden käivad sama teed.

Ükskõik millise valiku teete, otsustavad neli kriteeriumi:

• krüpteerimine toimub seadmes, enne serverisse saatmist: pakkuja ega majutaja ei tohi hoidlat lugeda;
• jagamine gruppide ja kaustade kaupa ning logi, mis näitab, kes mida vaatas;
• sisselogimine ettevõtte kataloogi kaudu, kui see Teil on, et deaktiveeritud konto sulgeks ka hoidla;
• hädaolukorra ligipääs: protseduur, mis võimaldab kriitilised ligipääsud taastada, kui ainus neid omanud inimene puudub.

Hoidla enda juures majutamine on mõttekas ainult siis, kui keegi hoiab seda ajakohasena, teeb varukoopiaid ja jälgib seda: see on kriitiline teenus, sest see avab kõik teised. Meie artikkel tööriistadest, mis tasub esimesena SaaS-ist välja tuua, aitab paroolihalduri selles prioriteetide järjekorras paika panna.

Mida õppisime oma ligipääse korrastades

Need kaks juhtumit segavad inimeste paroole ja tehnilisi võtmeid. Vahet tasub teha: meeskonna paroolihaldur teenib inimesi, samas kui programmide ja tehisintellekti agentide kasutatavad API-võtmed kuuluvad saladuste hoidlasse, mida kirjeldame meie artiklis saladuste hoidlast. Nende võtmete eriline risk, käest minev arve, on eraldi artikli teema: varastatud API-võtmed, tehisintellekti projektide unustatud risk.

Millest alustada

1. 01Inventeerige jagatud ligipääsud

   Majutus, domeeninimi, internetipank, sotsiaalvõrgustikud, pood, äritarkvara. Märkige üles, kes neid kasutab.

2. 02Valige paroolihaldur

   Nelja kriteeriumi järgi ja seadistage hoidlale kaheastmeline autentimine.

3. 03Looge rollipõhised grupid

   Ja paigutage iga ligipääs selle grupi kausta, kes seda vajab.

4. 04Muutke samal ajal paroolid, mis on liikunud

   Sõnumite või tabeli kaudu, ja kustutage need koopiad.

5. 05Kirjutage üles lahkumise protseduur

   Grupist eemaldamine, seejärel paroolihalduri näidatud tundlike ligipääsude muutmine.

Paroolihaldur on osa Teie projektide ühisest taristu alusest, koos isikustatud kontode, varukoopiate ja seirega. Ülejäänud rubriik käsitleb naaberotsuseid: viis kuluartiklit, mis pilvearvet paisutavad, pühendatud server, VPS või pilv, Kubernetes ja VKEd, seire, avariijärgne taasteplaan, NIS2 Prantsusmaal, oma serveri varukoopiad, isemajutatud n8n tootmises, SaaS-ist lahkumise kulu kolme aasta peale, pilvemigratsioon ilma kõike lõhkumata, sõltuvus Ameerika pilvest, riistvara tehisintellekti mudeli käitamiseks enda juures, hallatud või oma Postgres ja ettevõtte e-posti teenuse valik.

Et paigaldada paroolihaldur oma serverisse koos teiste tööriistadega, varukoopiad ja seire kaasa arvatud, vaadake meie SaaS-ist lahkumise pakkumist. Esmaseks hinnanguks kirjeldage meile oma meeskonda.

Korduma kippuvad küsimused

Allikad

1. ANSSI, soovitused mitmeastmelise autentimise ja paroolide kohta, oktoober 2021 (uus vahekaart)messervices.cyber.gouv.fr
2. CNIL, paroolid: uus soovitus, oktoober 2022 (uus vahekaart)cnil.fr
3. NIST SP 800-63B-4, Authentication and Authenticator Management (uus vahekaart)pages.nist.gov
4. Bitwarden, Install and Deploy: Linux (uus vahekaart)bitwarden.com