2010/6/5 Marco d'Itri <[email protected]>: > Sto cercando una soluzione per uno scenario che credo sia un po' > insolito: ho un numero significativo di server (centinaia) e una dozzina > di persone che devono accedervi con privilegi amministrativi, ma > bisognerebbe evitare che queste persone possano annotarsi tutte le > password che usano per poi riusarle in seguito "autonomamente". > [cut]
Evito suggerimenti banali, che includono la gestione di chiavi ssh, dato che tu le hai gia' genericamente escluse, io andrei comunque in quella direzione, forse usando cfengine + ldap ( pero' ovviamente solo se hai l'infrastruttura gia' in piedi). Volendo automatizzare il tutto in ottica 'enterprise' un po' di codice credo vada buttato giu. Invece propongo un approccio diverso, dato che comunque il livello di accesso e' 'privileged' l'utente, anche non conoscendo le password potrebbe trovare metodi alternativi di ottenere accesso anche senza il controllo del meccanismo di autenticazione da te predisposto. Perche' non gestisci la questione da un punto di vista policy, utilizzando controlli 'detectivi': per esempio usando un bastion host con chiavi e adeguato auditing, e configurando un sistema di alert che ti avverte quando uno di questi utenti effettua il login alla macchina remota. Step 2, avere gli utenti consci della policy di accesso, e avere una procedura di incident response per i login alert ( il sistema potrebbe essere abbastanza intelligente da alertare solo quando un login non autorizzato viene effettuato). Saluti, -- Giacomo Collini email: [email protected] mobile: (+34)687897997 ________________________________________________________ http://www.sikurezza.org - Italian Security Mailing List
