Slaptažodžių politika turi apimti visą paskyros gyvavimo ciklą: sukūrimą, prisijungimą, slapto duomens saugojimą, atkūrimą ir panaikinimą. Ilgio reikalavimas nepadės, jei pagalbos tarnyba atkurs paskyrą kiekvienam telefonu prisistačiusiam asmeniui arba visi administratoriai dalysis tuo pačiu prisijungimu.
Prieš rengdami tekstą susiekite paskyras su informacinių sistemų žemėlapiu. Toliau pateiktą modelį įtraukite į informacijos saugumo politiką, palikdami atskiras taisykles darbuotojams, administratoriams ir programinėms paskyroms.
Inventorizuokite autentifikavimo būdus
Kiekvienai sistemai užrašykite, ar ji naudoja bendrą tapatybės teikėją, vietines paskyras, federuotą prisijungimą ar kitą mechanizmą. Pažymėkite, kur taikomas kelių veiksnių autentifikavimas, kaip valdomi atkūrimo kodai ir kas gali keisti nustatymus. Dalis senų paslaugų gali likti už bendros kontrolės ribų.
Administratoriaus teisėmis naudojama paskyra turi būti atskiriama nuo kasdienio el. pašto ir naršymo. Programinės paskyros neturėtų priklausyti nuo vieno darbuotojo asmeninio slaptažodžio. Jų paslapčių valdymui reikia savininko, paskirties, prieigos ribų ir keitimo procedūros.
Darbo lapas vienai programai
| Laukas | Ką įrašyti |
|---|---|
| Sistema ir savininkas | Tikslus paslaugos pavadinimas, atsakingas padalinys |
| Paskyrų kategorijos | Darbuotojas, administratorius, tiekėjas, paslauga |
| Leidžiami veiksniai | Faktiniai palaikomi būdai ir jų taikymo apimtis |
| Slaptažodžio taisyklė | Patvirtintas reikalavimas ir techninis jo vykdymas |
| Atkūrimas | Tapatybės patikra, vykdytojas, įspėjimas paskyros savininkui |
| Išimtys | Priežastis, alternatyvi apsauga, galiojimo pabaiga |
| Panaikinimas | Įvykis, vykdytojas, aktyvių sesijų nutraukimas |
| Patikra | Nustatymų įrodymas ir bandymo data |
Nekopijuokite vieno skaičiaus iš skirtingų standartų ir nevadinkite jo BDAR reikalavimu. BDAR 32 straipsnis reikalauja riziką atitinkančių priemonių. ANSSI autentifikavimo rekomendacijos pateikia techninę metodiką; pasirinkto profilio tinkamumą reikia įvertinti pagal sistemą ir naudojimo aplinkybes.
Pavyzdinis politikos tekstas
„Organizacijos paskyros yra vardinės, išskyrus dokumentuotas technines paskyras. Kiekviena paskyra turi savininką ir suteikimo pagrindą. Naudotojas nesidalija slaptažodžiu ar atkūrimo kodu. Slaptus prisijungimo duomenis saugo tik organizacijos patvirtintoje priemonėje. Praradęs veiksnį ar įtaręs atskleidimą, nedelsdamas kreipiasi į nurodytą pagalbos kanalą.“
„Privilegijuota prieiga suteikiama atskiru patvirtinimu ir naudojama tik administravimo užduotims. Autentifikavimo išimtį tvirtina paskirtas rizikos savininkas. Sprendime nurodoma kompensuojanti priemonė, atsakingas vykdytojas ir išimties pabaiga. Pasikeitus darbo funkcijoms arba pasibaigus santykiams peržiūrimos paskyros, sesijos ir atkūrimo priemonės.“
Šį tekstą papildykite konkrečiais jūsų naudojamais įrankiais ir kontaktais. Jei darbuotojui neaišku, kur saugoti paslaptį ar kam pranešti apie praradimą, bendroji taisyklė liks neįgyvendinama. Instrukcijos turi būti pasiekiamos ir tada, kai darbuotojas negali prisijungti prie pagrindinės paskyros.
Atskirai suprojektuokite atkūrimą
Atkūrimo procesas neturi būti lengvesnis kelias apeiti stiprią autentifikaciją. Pagalbos darbuotojui pateikite patikros veiksmus ir draudimą pasikliauti vien skambinančiojo pateiktu vardu ar vieša informacija. Sudėtingesniems atvejams numatykite antrą patvirtintoją ir alternatyvų jau patikimą kontaktą.
Praradus telefoną svarbu ne tik pridėti naują veiksnį. Reikia atšaukti seną registraciją, peržiūrėti aktyvias sesijas ir patikrinti, ar atkūrimo duomenys nebuvo pakeisti. Šį veiksmą susiekite su mobiliųjų įrenginių valdymu ir incidento registravimu, jei yra neteisėtos prieigos požymių.
Saugojimas ir bendrinimas
Slaptažodžių tvarkyklė gali padėti generuoti skirtingas paslaptis ir kontroliuoti organizacijos bendrinimą. Pasirinkimą vertinkite pagal prieigos atskyrimą, atkūrimo modelį, administravimo galimybes ir eksportą pasibaigus sutarčiai. Produkto pavadinimas ar sertifikato logotipas pats savaime nepatvirtina, kad jūsų naudojama konfigūracija saugi.
Programoje vartotojų slaptažodžių negalima laikyti kaip paprasto teksto. Slaptažodžių tikrinimui naudojamas tam tinkamas vienkryptis apdorojimas, o programų paslaptys saugomos atskirose valdymo priemonėse pagal techninį sprendimą. Slaptažodžio tikrinimas, duomenų šifravimas ir paslapties perdavimas yra skirtingos užduotys.
Patikrinkite įdiegtas taisykles
Pasirinkite po vieną įprastą, privilegijuotą ir tiekėjo paskyrą. Patikrinkite, ar taisyklės galioja ne tik administratoriaus lange, bet ir tikrame prisijungimo kelyje. Kai kurios paslaugos leidžia seną autentifikavimo protokolą ar alternatyvų prisijungimą, kuris apeina bendrą tapatybės teikėją.
Peržiūrėkite, ar paskyros atkūrimas ir veiksnio pakeitimas sukuria saugumo žurnalo įrašą. Kontroliniame bandyme įsitikinkite, kad buvusio darbuotojo sesija ir programinis raktas nebeveikia. Panaikintas vartotojo vardas kataloge dar neįrodo, kad atšauktos visos prieigos.
Baigtas rezultatas yra ne vien patvirtintas tekstas: turite programų lentelę, faktinių nustatymų įrodymus, aiškų atkūrimą ir terminuotų išimčių sąrašą. Peržiūrą inicijuokite pasikeitus tapatybės sistemai, svarbiam prisijungimo būdui ar po paskyros kompromitavimo.
Kaip parinkti reikalavimus skirtingoms paskyroms
Sudarykite atskirus profilius pagal galimą žalą ir autentifikavimo kontekstą. Darbuotojo paskyra su papildomu veiksniu, privilegijuota paskyra ir viešos paslaugos kliento paskyra nebūtinai turi tas pačias technines galimybes. Įvertinkite, ar ataka vyksta internetu su bandymų ribojimu, ar nutekėjusią slaptažodžių duomenų bazę būtų galima tikrinti neprisijungus. Šie scenarijai lemia skirtingą apsaugos poreikį.
Ilga, konkrečiai paskyrai unikali paslaptis turi būti suderinama su įprastu naudotojo darbu. Jei taisyklė verčia žmones kurti lengvai nuspėjamus variantus ar užsirašyti slaptažodį ant bendro monitoriaus, peržiūrėkite naudojimo problemą. Leiskite patvirtintas tvarkykles ir aiškiai paaiškinkite, kaip elgtis su bendrais organizacijos ištekliais, kuriuose vardinės paskyros techniškai negalimos.
Periodinio keitimo taisyklę pagrįskite pasirinkta aktualia rekomendacija ir rizika. Vien visų paslapčių keitimas tuo pačiu intervalu nepašalina piktnaudžiavimo atkūrimu ar pakartotinio naudojimo kitose paslaugose. Įtarus atskleidimą reikalingas atskiras skubus veiksmas: paveiktų paslapčių keitimas, sesijų atšaukimas ir galimų tolesnių prieigų patikra.
Kelių veiksnių autentifikavimo diegimas
Pirmiausia nustatykite, kokie veiksniai palaikomi jūsų sistemoje ir kokį atsparumą jie suteikia. Skirtingi būdai nevienodai apsaugo nuo apgaulingos prisijungimo svetainės ar netikėto patvirtinimo prašymo. Privilegijuotai prieigai pasirinkimo argumentus dokumentuokite atskirai; patogumas nėra vienintelis kriterijus.
Diegimo plane numatykite registravimą, pakeitimą, praradimą ir darbuotojo išėjimą. Darbuotojas gali neturėti asmeninio išmaniojo telefono arba negalėti juo naudotis konkrečioje darbo vietoje. Pasiūlykite tinkamą alternatyvą, kuri nenukreiptų jo į nuolatinę nesaugią išimtį. Taip pat pateikite instrukciją, kaip pranešti apie netikėtą autentifikavimo užklausą.
Patikrinkite naujo veiksnio įtraukimo kelią. Jei užpuolikas su pavogtu slaptažodžiu gali pridėti savo veiksnį be papildomos kontrolės, pradinė registracija tampa silpna vieta. Panašiai svarbu, ar pagalbos tarnybos darbuotojas gali pašalinti visus veiksnius vienas ir kokį įspėjimą tokiu atveju gauna paskyros savininkas.
Hipotetinis paskyros atkūrimo atvejis
Darbuotojas praneša, kad pametė telefoną ir negali prisijungti. Pagalbos komanda užregistruoja prašymą ir patikrina tapatybę patvirtintu būdu. Ji nesiremia vien nauju el. pašto adresu, kurį pranešė pats skambinantysis. Jei patikrinti tapatybės nepavyksta, prašymas perduodamas numatytam atsakingam asmeniui, užuot laikinai išjungus visą apsaugą.
Patvirtinus tapatybę pašalinamas prarasto įrenginio autentifikavimo ryšys, patikrinamos sesijos ir registruojamas naujas veiksnys. Darbuotojui pateikiama aiški informacija apie atliktus veiksmus. Jei prieš praradimo pranešimą matyti neįprastų prisijungimų ar nustatymų pakeitimų, tai atskiras tyrimo pagrindas. Atkūrimas neturi uždaryti galimo incidento vien dėl to, kad žmogus vėl gali dirbti.
Techninės paskyros ir avarinė prieiga
Techninei paskyrai nurodykite konkrečią paslaugą ir leistiną užduotį. Apribokite naudojimą taip, kad vienos integracijos paslaptis nesuteiktų visos aplinkos administravimo galimybių. Paslapties nereikia laikyti bendrame kodo faile, el. pašto laiške ar užduoties komentare. Jei paslauga leidžia saugesnį trumpalaikį tapatybės mechanizmą, įvertinkite jį vietoje ilgai galiojančio rakto.
Avarinė paskyra turi būti pasiekiama tada, kai pagrindinis tapatybės teikėjas neveikia, tačiau jos naudojimas negali likti nepastebimas. Aprašykite saugojimą, naudojimo patvirtinimą, veiksmų registravimą ir peržiūrą po panaudojimo. Periodiškai patikrinkite, ar ji veikia numatytu scenarijumi, ir neleiskite jai tapti kasdienio administravimo trumpiniu.
Prieinamumas ir naudotojo klaidos
Prisijungimo ir atkūrimo instrukcijas patikrinkite su žmonėmis, naudojančiais klaviatūrą ar pagalbines technologijas. Aiškus klaidos pranešimas turi padėti atlikti kitą veiksmą, tačiau neatskleisti svetimos paskyros duomenų. Vartotojo pagalbos kanalas turi būti suprantamas ir tiems, kurie nežino vidinių saugumo terminų.
Stebėkite pasikartojančius atkūrimo prašymus, nebaigtą veiksnių registravimą ir išimtis. Šie duomenys padeda suprasti, kur taisyklė trukdo darbui arba neveikia techniškai. Korekcijos tikslas yra išlaikyti reikiamą apsaugą ir pašalinti konkrečią kliūtį. Bendras apsaugos išjungimas dėl kelių nepatogių atvejų paprastai neatsako į tikrą problemą.
Sprendimo įrodymas pasibaigus diegimui
Kiekvienai programai išsaugokite patvirtinto profilio pavadinimą, nustatymų patikros datą ir atsakingą asmenį. Ekrano kopijoje ar eksporte neturi būti pačių slaptažodžių, atkūrimo kodų ar visų programinių raktų. Įrodymas turi parodyti, kad taisyklė įjungta, o ne sukurti naują paslapties nutekėjimo vietą.
Diegimo priėmimo metu palyginkite inventoriuje nurodytą paskyrų skaičių su faktiškai apsaugotomis paskyromis. Atskirai pateikite neprijungtus naudotojus ir paslaugas, kurios nepalaiko pasirinkto veiksnio. Jei paskyra palikta išimtimi, nurodykite, ar jos prieiga ribojama kitu būdu ir kada sprendimas bus peržiūrėtas.
Galiausiai patikrinkite tiekėjo administravimo paskyras ir senas testines paskyras. Jos gali nebūti įtrauktos į darbuotojų sąrašą, nors suteikia prieigą prie tų pačių duomenų. Užbaigta politika apima visus realius prisijungimo kelius ir parodo, už kurį iš jų atsako organizacija, o už kurį paslaugos tiekėjas.
Užpildytas autentifikavimo profilio pavyzdys
Hipotetinė organizacija darbuotojų paskyroms pasirenka bent 15 ženklų slaptažodį kartu su kelių veiksnių autentifikavimu. Ji leidžia ilgas slaptafrazes, tikrina žinomus kompromituotus pasirinkimus, riboja nesėkmingus bandymus ir neįveda savavališko periodinio keitimo be priežasties. Administratoriams taikoma atskira paskyra ir griežčiau kontroliuojamas atkūrimas. Tai pavyzdinis organizacijos sprendimas, ne visiems Lietuvos darbdaviams nustatyta teisinė reikšmė.
NIST SP 800-63B-4 3.1.1.2 skirsnis yra atskira techninė atrama: vieno veiksnio slaptažodžiui jis nustato bent 15 ženklų, o bent 8 ženklai leidžiami tik naudojant slaptažodį kaip kelių veiksnių autentifikavimo dalį. Jame taip pat numatyta bent 64 ženklų didžiausio leidžiamo ilgio galimybė ir kitos tikrinimo taisyklės. Šių reikšmių nereikia vadinti BDAR ar ANSSI norma.
Profilyje organizacija papildomai įrašo palaikomas sistemas, pagalbos kontaktą, prarasto veiksnio tapatybės patikrą ir kontrolinio bandymo datą. Jei viena programa nepalaiko pasirinkto ilgio ar veiksnio, jos išimtis vertinama atskirai, o bendras reikalavimas tyliai nesumažinamas visiems naudotojams.