Interesują mnie najlepsze praktyki i potencjalne projekty open source, które pozwoliłyby mojej organizacji bezpiecznie przechowywać wiele haseł i umożliwić wielu administratorom dostęp do nich. Interesuje mnie coś, co pozwoliłoby każdemu administratorowi mieć własny login / klucz w porównaniu do typowego arkusza kalkulacyjnego Excel chronionego hasłem. ;)
Preferowana byłaby aplikacja internetowa, którą mogę uruchomić przez SSL.
Potrzebuję go do działania w środowisku Mac / Linux - proszę, nie ma aplikacji Windows.
Dzięki!
Odpowiedzi:
Używamy tego: http://sourceforge.net/projects/phppassmanager/ (nieco zmodyfikowany / dostrojony)
Jest zainstalowany na serwerze internetowym HTTPS z uwierzytelnianiem Active Directory, aby ograniczyć pobieranie hasła do naszego zespołu. Każdy członek zespołu zna hasło główne używane do szyfrowania wszystkich haseł przechowywanych w phppassmanager. Używają go, gdy chcą dodać / zmodyfikować / odczytać hasło. Hasła są przechowywane w postaci zaszyfrowanej w bazie danych mysql.
Potencjalnie mają dostęp do wszystkich haseł, ale każde deszyfrowanie hasła jest rejestrowane, a dzienniki są pokazywane całemu zespołowi na stronie głównej. System ten jest samonadzorowany i zarządzany samodzielnie.
źródło
Używam KeePass i jestem z tego bardzo zadowolony. Jest to łatwy w użyciu menedżer haseł typu open source.
źródło
Co dokładnie chronisz za pomocą tego systemu? Systemy, które kontrolujesz, czy systemy obsługiwane przez strony trzecie?
W przypadku wewnętrznego uwierzytelnienia systemy takie jak Kerberos, LDAP, a nawet tylko sudo i PKI mogą to obsłużyć.
Jeśli chodzi o zewnętrzne uwierzytelnianie, powiedzmy stronie pomocy technicznej oprogramowania, jesteś w dużym stopniu zahamowany przez dowolny system, który wdrażają. Narzędzia takie jak KeePass (2.0 trochę współpracuje z mono) lub PasswordGorilla mogą przechowywać twoje hasła. Nie sądzę, aby którekolwiek z nich wspierało pojęcie wielu oddzielnych haseł deszyfrujących; Nie jestem pewien, jak to mogłoby działać matematycznie.
źródło
Z tego co czytałem do tej pory, każdy system wiki z zapleczem bazy danych (nawet z zapleczem magazynu plików, ale wolałbym db) powinien rozwiązać twój problem. Ustawiając odpowiednie ograniczenia na kontach użytkowników, tylko osoby którym ufasz (administratorzy) będą mogły czytać / modyfikować listy haseł (w zwykłym dokumencie html :)).
Umieść go za serwerem obsługującym protokół SSL i ogranicz dostęp do bazy danych.
źródło
PowerBroker to produkt zaprojektowany specjalnie do kontrolowania / kontrolowania dostępu do współdzielonych kont; istnieje jednak znaczny koszt licencji na hosta.
źródło
Pracowałem w firmie dbającej o bezpieczeństwo i w moim 5- osobowym zespole korzystaliśmy z KeePass , ponieważ szyfrowanie jest silne, jest wieloplatformowe i obsługuje import wielu baz danych do twojego. Przechowaliśmy go w systemie, który był dostępny tylko przez sieć wewnętrzną poprzez loginy SSH, które wymagały uwierzytelnienia klucza (bez hasła, dzięki!).
źródło
Używamy klucza To całkiem fajne oprogramowanie, możesz uporządkować hasła według kategorii. Nie jestem jednak pewien, czy możesz mieć różne poziomy użytkowników do logowania.
źródło
Nie jestem do końca pewien, czy tego potrzebujesz, ale to działa dla nas: przechowujemy w naszej SVN plik tekstowy zaszyfrowany gpg ze wszystkimi danymi uwierzytelniającymi, zaszyfrowany wspólnym kluczem, który wszyscy udostępniamy. Głównymi zaletami tego podejścia zamiast keepassx lub podobnych narzędzi są: 1) można tam umieścić dowolne informacje i 2) gpg - dekrypt może być wysłany do potoku i użyty w terminalu.
Jasne, działa to tylko dla grupy ~ 10 osób, ale przy odrobinie delegacji można ją nieco zwiększyć. Ponadto mamy dwa klucze i dwa zaszyfrowane pliki dla różnych poziomów dostępu, ale to niewiele się zmienia.
Aha, i staramy się unikać używania haseł tak często, jak to możliwe (głównie przy użyciu osobistych kluczy SSH).
źródło
Szukam dokładnie tego samego i znalazłem 2, które mogą pasować do twoich potrzeb.
Web-KeePass - Wygląda na to, że zrobiłby to, co jest potrzebne, ale wciąż próbuję wymyślić wszystkie opcje.
corporatevault - Jest to bardzo podstawowy i na wczesnym etapie. Interfejs nie jest skończony, ale bardzo łatwo go rozgryźć.
źródło
Myślę, że sysPass to dobry wybór. Oferuje:
źródło
Thycotic Secret Server.
Używamy tego od wielu lat w mojej firmie. Ma wiele przydatnych funkcji, takich jak automatyczne zmienianie haseł, wiadomości e-mail wysyłane po uzyskaniu dostępu do niektórych haseł itp.
Zapewniają również regularne aktualizacje i dodają funkcje.
https://thycotic.com/products/secret-server/
źródło