Uzasadnienie KeePass [zamknięte]

13

Mam osobiście około 20 kont (mój osobisty identyfikator użytkownika na wielu komputerach). W przypadku wspólnych kont „systemowych” istnieje około 45 na środowisko; rozwój, testowanie i produkcja. Mam dostęp do 2 z nich, więc moja osobista suma to około 115 kont. Hasła muszą mieć co najmniej 15 znaków z pewnymi rozbudowanymi, ale standardowymi ograniczeniami złożoności, i muszą być zmieniane co około 60 dni (konta systemowe co roku). Nie powinny być również takie same dla różnych kont, ale nie jest to egzekwowane. Pomyśl o standardach typu DoD. Nie da się tego zapamiętać i nadążyć. Z mojego punktu widzenia jest to po prostu niemożliwe.

Może to być dobre uzasadnienie scentralizowanego systemu zarządzania kontami, la LDAP lub ActiveDirectory, ale to zupełnie inna bitwa.

Obecnie rozwiązaniem jest arkusz kalkulacyjny Excel. Używają programu Excel do umieszczenia na nim hasła, a następnie większość osób wykonuje kopię i usuwa hasło. To wywołuje u mnie mdłości.

Używam KeePass do tego problemu i bardzo dobrze zarządza wszystkimi moimi kontami. Lubię takie funkcje, jak automatyczne pisanie, grupowanie, wtyczki, generowanie haseł itp. Korzysta z szyfrowania AES-256 za pośrednictwem frameworku .Net i choć nie jest zgodny ze standardem FIPS, ma bardzo dobrą reputację.

Jedynym problemem jest to, że nie pozwalają nam na korzystanie z losowo pobranego oprogramowania. Musimy więc uzasadnić każde oprogramowanie na naszych stacjach roboczych. Powiedziano mi, że tak naprawdę nie chcą, żebym tego używał, z powodu „wrażliwej natury” przechowywania haseł. westchnienie Moje uzasadnienie musi być „BARDZO BARDZO silne”.

Zadanie polegało mi na napisaniu uzasadnienia dla KeePass, chciałbym uzyskać wszelkie informacje, które mogę uzyskać od społeczności. Co polecasz? Czy istnieje coś lepszego lub bardziej szanowanego niż KeePass? Czy są eksperci ds. Bezpieczeństwa, którzy mówią ciekawe rzeczy na ten temat? W tym momencie wszystko pomoże. Dzięki.

Jeff Walker
źródło
choć bardzo podoba mi się to pytanie (choć jest to nieco subiektywne i bardziej dyskusyjne - niż zamierzamy), myślę, że jest ono bardziej odpowiednie dla naszej siostrzanej witryny dla specjalistów IT, Server Fault . nie krzyżuj; w razie potrzeby zostanie migrowany.
quack quixote
Zamknięte już? Prawdopodobnie zgadzam się z szarlatanem, nie byłem do końca pewien różnicy między superużytkownikiem a awarią serwera. Nie zgadzam się jednak trochę z zamknięciem. Chociaż uzasadnienie zarządzania hasłami jest nieco wąskie, dyskusja na temat uzasadnienia zarządzania hasłami jest potrzebna społeczności. Niewystarczająca ilość tego jest wykorzystywana i / lub dyskutowana. W każdym razie dzięki.
Jeff Walker

Odpowiedzi:

12

Od dawna jestem użytkownikiem KeePass, a gdybym otrzymał zadanie uzasadnienia, prawdopodobnie wykonałbym następujące czynności:

  • Przejrzyj często zadawane pytania dotyczące witryn, aby uzyskać wszystkie informacje na temat bezpieczeństwa. Wszystko, co tam widziałem, praktycznie się sprzedaje.
  • Pokaż długowieczność i wsparcie dla projektu, wskazując, że w najbliższym czasie nie zostanie porzucony.
  • Pochwal się kilkoma funkcjami, takimi jak fakt, że hasła są domyślnie wyświetlane w postaci zaszyfrowanej (nie jestem pewien, czy umieszczasz maskę w arkuszu kalkulacyjnym Excel, czy nie). Samo to zapobiega wścibskim oczom.
  • Możesz dwukrotnie kliknąć hasło, aby skopiować je do schowka i automatycznie spłukać w ciągu 10 sekund. Dzięki temu hasło jest jak najbardziej widoczne.
  • Zademonstruj, w jaki sposób samą bazę danych haseł można zablokować za pomocą hasła, pliku klucza, a nawet konta Windows, co pozwala przechowywać bazę haseł w centralnej lokalizacji i zarządzać nią w ten sposób.
  • Generator haseł pomaga zapewnić, że otrzymujesz hasła „przyjazne dla użytkownika”, które można wygenerować w prawie dowolnym formacie.

Najważniejsze jest to, że masz solidną bazę danych do przechowywania haseł, którymi można zarządzać i przesyłać je bez obawy, że zostaną włamane. Ponadto istnieje wiele funkcji, które upraszczają zarządzanie hasłami, co pomaga uzyskać ogólny obraz.

Mam nadzieję, że daje to kilka pomysłów do rozważenia. W ogóle nie jestem zaangażowany w program, po prostu to uwielbiam. Używam go codziennie w domu i w pracy.

Dillie-O
źródło
4
Od dawna też jestem użytkownikiem. Dodam również, że programista reaguje na zgłoszenia błędów w aplikacji i stara się szybko je rozwiązać.
Mike Chess
Chciałbym również wspomnieć, że Komisja Europejska sponsoruje nagrody za znalezienie luk w zabezpieczeniach w KeePass 2.x od 2019 r. (Kontrola UE Keepass w 2016 r.); Również keepass.info/ratings.html może pomóc przekonać, jak dobrze.
xaa