パスワードを共有するためのベストプラクティスとソリューション[非公開]

社内の複数の人に知られる必要があるさまざまなパスワードがあります。たとえば、インターネットルーターの管理者パスワード、Webホストのパスワード、および安全なコードのようないくつかの「非IT」パスワード。

現在、低価値システムには「標準パスワード」のアドホックシステムを使用し、より重要/潜在的に損害を与えるシステムにはパスワードの口頭での共有を使用しています。ほとんどの人は、これは良いシステムではないことに同意すると思います。

私たちが望んでいるのは、「共有」パスワードを保存するためのソフトウェアソリューションであり、それぞれのアクセスは実際にそれを必要とする人々に制限されています。理想的には、これはパスワードの定期的な変更を促す、または強制します。また、誰が特定のパスワードにアクセスできるかを示すことができるはずです（たとえば、誰がサーバーXYZのルートパスワードを知っているか？）

パスワードを保存および共有するためのソフトウェアソリューションを提案できますか？ 気をつけるべきことはありますか？

これに対する中小企業の一般的な慣行は何ですか？

私は新しいスタートアップに行くたびにこの問題に直面しています。私が最初に行うことは、このようなプログラム（またはその派生物の1つ）を使用して、いくつかの「パスワードセーフ」を作成することです。

http://passwordsafe.sourceforge.net/

強力な組み合わせを設定し、それらをネットワーク共有に投入します。責任範囲ごとのセグメント...中央インフラストラクチャ、本番サーバー、開発/ QAなど

十分な勢いがあり、適切なWindows環境の依存関係があると仮定して、全員をこれに移動させたいと思います。

http://www.clickstudios.com.au/passwordstate.html

共有資格情報と個人資格情報の両方の機能があります。

従業員が退職または解雇された場合にパスワードを取り消すことができる必要があることを忘れないでください。人気のメディアでは、解雇され、退職後もまだアクティブであったパスワードを使用して会社に「戻ってきた」という従業員の事例がいくつか報告されています。

これは通常2つの部分です。

1. 変更する必要があるすべてのパスワードを知っている（そうでなければ、面倒なすべてにデフォルト設定する）
2. それらを手動で変更するか、ツールまたはスクリプトを使用してプロセスを自動化します。

もう1つの重要な要素は、変更が行われたときにパスワードポリシーに従うようにすることです。たとえば、複数のアカウントで同じパスワードが使用されなかったことや、弱いパスワードが使用されなかったことをどのように確認できますか？

私は小さなITショップで働いており、過去1年間、シークレットサーバーを使用して、ネットワークデバイスおよびクライアントのニーズに合わせてパスワードを管理しています。

彼らは「インストール版」またはオンライン/ホスト版を提供します。Hosted Editionは年間100ドル（5ユーザー）未満で使用され、どこにいてもWebブラウザ経由でこのパスワード情報に安全にアクセスできます。セキュリティが本当に心配な場合は、自分のサーバーにインストールして、LANまたはVPN経由でのみアクセスしてください。

さらに、私のお気に入りの「個人用」Webベースのパスワードマネージャーは、「ビジネスエディション」-PassPackを提供するようになりました。

このシナリオでSecret Serverと比較してどのように機能するかはわかりませんが、どちらのソリューションも、紙切れ、デスクトップアプリ、または（あえぎ）頭の中のものを覚えるよりもはるかに用途が広く安全である必要があります。「単一障害点」の問題については、これらの製品のいずれかを使用すると、CSVに簡単にエクスポートできます。

私はLastPassをしばらく使っていますが、大好きです。昨年、この質問の調査に少し時間を費やし、LastPassがどのようにそれを行ったかが気に入りました。

• すべての情報は、自分のサイト（およびローカルコピー）に、暗号化されたバンドルで保存されます。このバンドルには、復号化するパスワードがあります。
• すべてのパスワードは共有可能で取り消し可能です。パスワード自体へのアクセスを許可せずに共有することもできます（Webログインの場合）
• 主要なブラウザのプラグイン
• 他の多くの機能

ネットワークフォルダー上のデータを使用して、PasswordSafeのAdamの2番目の推奨事項を説明します。この分野では2つの考慮事項があります。1つは単一バージョンであるため、データを必要とするすべての人が現在のデータを取得します。

1- PasswordSafeはファイルに標準化された形式を使用するため、KeePassなど、ファイルを読み取ることができる他のソリューションがあります。

2-パスワードファイルをセキュリティで保護された共有に置き、ネットワーク上のいくつかの場所にコピーする夜間スクリプトを作成します。おそらく、別のサーバー上の共有（可能な場合はオフサイト）とサーバーに残されたUSBドライブにコピーします。ファイルは、保存されているパスワードで保護されていない場所を少なくとも1つ必要とします。

3-インストーラー（またはプログラムの実行可能バージョン）をキーファイルと同じ場所に保存し、必要に応じてすぐにアクセスできるようにします。

4-変更を加える必要がない限り、ファイルを読み取り専用で開くようにします。

5-必要に応じて、複数のパスワードファイルを作成できます。1つはチームの全員が必要とする資格情報用で、もう1つは本当に機密性の高いもの用の資格情報用です。

Webベースのソリューションに移行することはお勧めしません。内部でホストされたソリューションでも問題ありませんが、多くの問題があるようです。また、それが単一障害点であることも懸念しています。

私はクライアントの従業員とかなりの数のシステムの責任を共有しています。最もよく使用されるアカウントにはパスワードスキームを使用することに同意しました。その他のパスワードは、クライアントのIT責任者が管理する（数字、パスワード）ペアの紙ベースのリストに保存されます。ユーザー名とホストは、簡単にアクセスできるデータベースに保存されます。パスワードは、知る必要があるときに配布されます。

中小企業の一般的な慣行：

私が働いた3つの場所では、異なるシステムのパスワードを詳しく説明するために別々のドキュメントを使用しました。ルーターとファイアウォール用のドキュメント、サーバーへのアクセス用のドキュメント、および開発者用のドキュメント（データベース接続のログイン詳細など）。アプリケーションへのアクセスは文書化されない傾向があります（ほとんどの場合、管理者権限で自分としてログインするためです）。

ネットワーク管理者はルーターのパスワード文書のみを参照し、この文書にアクセスできる個人はこのファイルにリストされます。彼らの雇用条件は、彼らがアクセスするログインとパスワードはプライベートであり、他の人と共有されるべきではないと述べています。システム管理者と開発者でも同様です。

現実にはパスワードが共有されることもありますが、誰が（そしてなぜ）知る必要があるかを特定し、何を変更する必要があるかを変更できます。50人の従業員を持つ（ソフトウェア）会社でうまく機能しました。

サーバー上のローカル管理者アカウント、ルーターやファイアウォールのパスワードなど、私の最後の仕事である50ほどのショップでめったに使用されないパスワードについては、システム管理者だけが実際にパスワードを知っていました。それらは封筒の中の紙に書き留められていました。Boss、SysAdmin、およびHead Programmerによって封印され署名された3つの封筒があると信じていました。各個人が文書のコピーを持っていました。パスワードが使用された場合は、パスワードを変更して新しい封筒を作成しました。

私の現在の仕事では、はるかに大きな組織で15人のシステム管理者だけで、数千人のユーザーがサーバー名に基づいてパスワードを計算する方法を持っています。これには、既知のプレフィックスと、紙上で行うのに十分簡単なハッシュメソッドが含まれます。誰かが去るなどしてパスワードを変更する必要がある場合、プレフィックスまたはハッシュ、あるいはその両方を変更します。そうすることで、周囲のすべてのマシンまたはデバイスのパスワードがわからない場合でも、何らかの理由で必要な場合は計算できます。

今日からPasspackに関するLifehackerの投稿があります。一見の価値があります。

以前にも同じ問題がありました。私はこれを自分で処理するシステムを構築することになりました。ユーザー情報とパスワードをWebインターフェイスを備えたデータベース内の高度に暗号化された形式で保存します。これにより、アカウント情報を入力し、正しいユーザーまたはグループのみがデータにアクセスできるようにセキュリティを設定できます。

何十ものサーバー上のサービスが同じログインを使用し、パスワードの変更は事前に十分にセットアップする必要があったため、パスワードを変更する時間を要求しませんでした。

完全な監査機能を使用して構築し、従業員がログオンを見るたびにログが記録されるようにしたため、SOX監査員の監査ログをExcelにダンプできました。

GPGに対称オプションを使用して、すべてのパスワードを含むテキストファイルを暗号化します。その後、他の管理者に1つのパスフレーズを提供するだけです。管理者が退職すると、新しいパスフレーズでテキストファイルを再暗号化するだけです。

Centrifyは私のために働いてきました。

うわー、良いスレッド！私の希望する解決策については誰も言及していません（合格する場合を除く）ので、KeePassに一言お願いします。パスワードベース、キーベース、またはADベースの認証を備えた、優れた拡張性。仕事はうまくやってくれます。

サーバーにアクセスする場合：

1つのサーバーへのアクセスを提供し、それをジャンプボックスとして使用し、ジャンプボックスでアカウントを管理します。ジャンプボックスに対して信頼されていると想定されるものは、リモートリソースに対して信頼されています。これにより、全員が独自のパスワードを持ち、特定のアカウントのサーバー上のパスワードを秘密にできます。

他のリソースにアクセスする場合：

重要な担当者のみにアクセスを制限します。信頼できるユーザーのリストを管理してください。90日ごとにパスワードを変更し、信頼できるユーザーのリストを更新します。15、7、1日前に保留中の変更を通知します。パスワードはマネージャーにのみ配布し、アクセスが必要なユーザーを決定できるようにします。ユーティリティを使用してアクセスをログに記録し、ユーザーが密接に監視されているシステムであることを定期的にユーザーに通知します。サーバー上のおかしなビジネスは、既知の終了可能な犯罪でなければなりません。

私はこれがあなたが望む答えではないことを知っていますが、私の職場ではまったく同じです。スタッフの信頼できるメンバーには関連するパスワードが与えられ、パスワードはデバイス間で共有されず、書き留められません。通常、デバイスの管理は数人のスタッフのみの責任であるため、システムは非常にうまく機能する傾向があります。また、長期にわたって信頼を築くことができるように、非常に優れたスタッフを確保しています。

何らかの種類のパスワードボールトソフトウェアを使用することをお勧めします。この方法で、許可されたユーザーに独自のアクセス権を付与し、メモを残した人が情報を漏らさないようにすることができます。良いものはおそらくパスワードさえ表示せず、切り取って貼り付けるためにそれをクリップボードにドロップするだけです。

大統領と爆弾のようなシステムがあります-2人がそれぞれパスワードの半分を知っています。そうすれば、1人の不正な管理者が自分自身で承認されていない変更を行ってしまうような状況に陥ることはありません。

私はIT会社で働いており、多くのクライアントがいます。通常、問題をリモートでトラブルシューティングします。トラブルシューティングのためにsshを使用してログインします。すべてのクライアントマシンに1つのマシンssh-keyを追加したので、他のユーザーがログインして問題が発生した場合にトラブルシューティングを行うのに役立ちます。安全です。適切なパスワードを使用する場合は、数字と余分な文字を使用してください。

sshキーを追加するには、次のようにします。

1. ssh-keygen -t dsa（.ssh / id_dsa.pubでsshキーを取得するには

2. scp .ssh / id_dsa.pub root @ remote：〜/ tmp

3. リモートマシン上

cat >> /tmp/id_dsa.pub .ssh / authorized_keys2

ログインして別のコンソールからmacineを削除してみてください... :) happy sshhhhhh

パスワードが必要なシステムの使用を拒否します。サーバーはSSHキー、OpenIDを使用するWebサイトで認証する必要があります。ファイアウォール内でOpenIDプロバイダーを実行します。

明らかに、このシナリオは、すべてのシステムがSSHまたはHTTPを介してアクセス可能であることを意味しますが、私たちにとってはうまくいきます。