Domanda:
Va bene comunicare la password all'amministratore di sistema della tua azienda?
BЈовић
2011-07-22 01:29:49 UTC
view on stackexchange narkive permalink

Lavoro in una piccola azienda (20 dipendenti) come ingegnere software senior.

Dopo aver avuto problemi con la mia posta elettronica, il nostro amministratore IT neoassunto mi ha chiesto di scrivere la mia password utente a qualcuno in la nostra società di hosting per aiutarli a identificare il problema.

Senza alcun pensiero gli ho dato la mia password utente.

Dopo 30 minuti, mi sono reso conto che nei miei 10 anni di lavoro in diverse aziende nessuno mi ha chiesto una password, e ho trovato è piuttosto strano. Subito dopo, ho cambiato la mia password.

Ci sono casi in cui la password è davvero necessaria, quando devo davvero rivelare la mia password a un amministratore IT?

Ne ho sentito parlare storie in cui gli amministratori hanno chiesto la password dell'utente, ma solo su siti come The Daily WTF, che ha portato a questa domanda.

(Correlati: "Un cliente vuole dirmi la password del suo laptop di casa. Devo spingerlo verso un'alternativa più complessa? ")

L '[altra versione] (http://security.stackexchange.com/questions/5534/is-it-ok-to-tell-your-password-to-an-admin/5537#5537) di questa domanda è stata chiusa perché le risposte dove non si concentrano sulla sicurezza. La mia risposta si è concentrata sul punto pratico. Nel mondo reale ci sono servizi esterni scadenti che non forniscono alcun modo per aiutare una persona di supporto locale. Se vuoi aiuto dal tuo ragazzo locale, potresti non avere scelta. Puoi cambiare la password del tuo account prima e / o dopo, oppure puoi affrontare il problema da solo.
@Zoredache, Leggendo la tua risposta aggiornata ora, in particolare l'ultimo paragrafo, questo lo cambia un po ', ma vedi il mio commento qui sotto, su come gli account "condivisi" non sono davvero una buona idea. Inoltre, l'OP ha detto "la mia password", quindi sembra che non sia così - ma sono sicuro che VJo potrebbe chiarirlo.
Purtroppo, questo è successo a me. Ma l'amministratore era il proprietario dell'azienda. Cosa sai fare?
@AviD Giusto. L'account non è condiviso.
@LarsTech L'amministratore è un ragazzo assunto pochi mesi fa
"la mia password" e "la password della nostra società di hosting" sono due cose completamente diverse. Il primo con cui l'amministratore non ha affari, il secondo potrebbe benissimo essere richiesto per lui per fare il suo lavoro!
@MichaelKjörling: Eccellente punto; dovresti copiarlo e incollarlo in una nuova risposta. Caro OP: Se lo fa, dovresti accettarlo.
@unforgettableid Penso che [@David Houde] (http://security.stackexchange.com/a/37867/2138) abbia fatto proprio questo, proprio ora.
@MichaelKjörling: La revisione suggerita 2 ha cambiato incautamente la frase "Dopo aver avuto alcuni problemi di posta elettronica, il nostro amministratore IT neoassunto mi ha chiesto una password per vedere con la società di hosting perché esattamente" a "Dopo alcuni problemi di posta elettronica, il nostro amministratore IT neoassunto mi ha chiesto il password alla nostra società di hosting per vedere perché esattamente ". L'OP non ha individuato il problema, e quindi [approvato] (http://security.stackexchange.com/review/suggested-edits/258) la modifica suggerita. L'OP ha ora risolto l'errore. Quindi si scopre che, dopo tutto, era la password utente dell'OP richiesta dall'amministratore di sistema.
@MichaelKjörling: Sembra che la [risposta] di DavidHoude (http://security.stackexchange.com/a/37867/2138) sia stata eliminata.
Nove risposte:
#1
+88
AviD
2011-07-22 01:52:20 UTC
view on stackexchange narkive permalink

Risposta breve:

ASSOLUTAMENTE NO!
La tua password è solo tra te e il tuo computer.
Nessun altro.

Non il tuo capo, il suo capo, l'amministratore di sistema, il funzionario della tua banca, il tuo agente assicurativo, il tecnico dell'assistenza ISP o il tuo gatto. Bene, il tuo gatto puoi dirlo, se promette di non condividerlo.

Non c'è MAI un buon motivo per condividere una password.
Ci sono molti motivi per NON farlo. Principalmente, perché una password è la TUA autenticazione e non appena anche UN'altra persona la conosce, non può più provare la tua identità.

Qualsiasi motivo per cui il tuo amministratore si presenti è falso, perché è malizioso, pigro, disinformato o incompetente.
Detto questo, potrebbe non essere colpa sua, ma della sua organizzazione . Ad ogni modo, c'è incompetenza, ignoranza e pigrizia abbondano.

Se un amministratore o QUALSIASI tecnico dell'assistenza chiede la tua password, la risposta corretta è RISATA.
Perché non è possibile che siano seri, giusto?

Se il tuo amministratore insiste, spiegagli che documenterai la condivisione della tua password con lui ... e che, sulla base di ciò, invierai email sgradevoli a tutti - non lui, ma sosterrai che sono venuti da lui (usando il tuo account, a tuo nome, usando la tua password che hai appena condiviso con lui). Ovviamente non sarà in grado di provare che non ha abusato della tua password ... che è il punto.

No, a pensarci bene, non dargli la tua password. È tuo, solo tra te e il computer.

Noterò anche che non dovresti digitare la tua password sul suo computer, a meno che non ti fidi esplicitamente di QUESTA PERSONA. E non dovrebbe chiedere - è una cattiva educazione degli utenti, addestrare gli utenti a digitare le loro password su qualsiasi macchina casuale - che potrebbe avere keylogger, sniffer di traffico, ecc.
A qualcuno piace usare CAPSLOCK per FARE IL LORO PUNTO.
Shift, in realtà. Usato selettivamente, è uno strumento utile per enfatizzare.
Questo è quello che pensavo di ottenere.
La domanda riguarda una password per un servizio esterno, a cui l'amministratore può avere accesso. Se ci si aspetta che l'amministratore sia in grado di aiutare a risolvere un problema complesso che richiede quelle credenziali specifiche, come ti aspetti che accada senza condividere una password? Inviare e-mail o ridere di fronte a un tecnico a cui hai chiesto di aiutarti può portare a non ricevere aiuto o al ragazzo che mira a vendicarti in stile BOFH.
@Zoredache, Se l'amministratore deve avere accesso a questo servizio, dovrebbe avere le proprie credenziali. Se non lo fa, allora non dovrebbe. Nota che le credenziali (possedere) sono praticamente equivalenti a (possedere) un'identità e questo non dovrebbe essere condiviso. Le e-mail sgradevoli non dovevano essere inviate, piuttosto per mostrare il problema con la condivisione di una password; lo stesso con le risate, dal momento che con un amministratore di sistema onesto e competente sarebbe stato detto solo per scherzo. (E a proposito, dalla mia esperienza sono i ragazzi della sicurezza con accesso alla * vera * roba bofh ...;))
A proposito, @Zoredache, una "eccezione" al commento di cui sopra, è se le credenziali non sono per il suo account * personale *, piuttosto un account condiviso "aziendale". (* Penso * che questo potrebbe essere ciò a cui stavi arrivando ...?) In tal caso, ovviamente non dovrebbero essere accumulati e dati a chiunque sia responsabile dell'amministrazione. Pratica pessima, proibita da molti regolamenti, ma non così male come rinunciare alle chiavi della password del proprio regno di identità.
Sì, parlo principalmente di credenziali che un fornitore esterno considera come appartenenti all'organizzazione e non all'individuo. La domanda riguarda una piccola impresa., Sfortunatamente è molto comune nel caso delle piccole imprese il supporto IT non avrà accesso o nessun accesso amministrativo per i servizi che dovrebbe aiutare a supportare. Sono d'accordo sul fatto che non dovresti quasi mai condividere la tua password, ma sto solo dicendo che in alcuni ambienti meno ideali, non c'è molta scelta.
NON dire la tua password al tuo gatto. I gatti [non ci si deve fidare] (http://jpetrie.myweb.uga.edu/journal.html) in nessuna circostanza. Per quanto innocenti possano sembrare, sono noti per essere dannosi.
Il gatto ovviamente conosce già la password, poiché è anche il suo nome.
@KristoferA: La password è * il suo nome * o [* il tuo nome *] (http://www.catquotes.com/thenamingofcats.htm "" The Naming of Cats "di T S Elliot")? Lo chiedo perché non dovrebbe interessargli del secondo, e tu non dovresti conoscere il primo. …………………………………………………… Quindi, quando qualcuno scopre la tua password, cambi il nome del tuo gatto? :-)
Il link "[non ci si deve fidare dei gatti] (http://jpetrie.myweb.uga.edu/journal.html" Voci nel diario di un gatto ")" è interrotto. Versioni leggermente diverse del contenuto originale possono essere trovate [qui] (http://www.pawsperouspets.com/humor/catdiary.shtml "Secret Cat Diary") e [qui] (http://www.goodeatsfanpage.com/ humor / otherhumor / dog_cat_diary.htm "The Cat's Diary"), con versioni più lunghe [qui] (http://www.papermodelers.com/forum/comedy-stand/12698-excerpts-cats-diary.html "Excerpts from the Cat's diary ... ") e [qui] (http://gpsinformation.info/main/cat-diary.txt" The Captive Cat's Diary ").
@AviD il tuo argomento sembra ragionevole.Ma esistono fonti autorevoli per questi principi?Immagino che non sarà convincente mostrare al nostro IT una risposta casuale di scambio di stack come prova che sono sbagliati.
#2
+20
M'vy
2011-07-22 02:00:47 UTC
view on stackexchange narkive permalink

Proviamo un'altra idea: daresti un dito al tuo responsabile IT in modo che possa riparare il tuo accesso al tuo edificio mentre stai lavorando?

Presumo che la risposta sia no. Lo stesso vale per la tua password. Anche se hai una sola password per tutti i tuoi servizi (cosa che non succede mai, anche per me lo confesso) la password non dovrebbe MAI MAI condivisa con nessuno. È l'unica cosa che può autenticarti. Questo può disturbarti a dover perdere tempo con il tuo supporto IT, ma questo può anche mandarti in prigione per molto tempo.

Quindi, assolutamente: no

Dare un dito è un gesto inutilmente esagerato, non è vero? Dopotutto puoi semplicemente cambiare la password dopo che il tecnico IT ha terminato il lavoro, non è possibile cambiare il dito.
No, non è esagerato. Una volta che un account è di proprietà, è di proprietà - Ad esempio, a seconda di quale servizio è e di quale funzionalità è presente, un utente può essere in grado di creare un account surrogato (ad esempio un indirizzo email di inoltro, un account amministratore secondario, ecc.) . Concedere a qualcun altro l'accesso "temporaneo" alla tua identità di solito non è una cosa del genere.
Potrei dargli * il * dito, però;)
@AviD: Il problema è che effettivamente un amministratore di sistema è Dio. Possono sempre prendere il controllo del tuo account. A livello locale possono semplicemente usare `su` per i sistemi Unix-syle, oppure per Windows creano un token con la chiamata` zwCreateToken`. Sia per le credenziali locali che per quelle di rete possono quasi sempre cambiare la password (sebbene molti sistemi rendano molto difficile per loro cambiare la password).
Strano uso dell'aneddoto che hai avuto lì ... ma anche, usare il dito come password, è praticamente lo stesso di lasciare la tua password sui post-it ovunque tu vada.
@Kevin, ma non è la stessa cosa che "prendere in prestito" la tua password ... Se l'amministratore ripristina o prende il controllo del tuo account, * c'è un controllo *. Inoltre, non dimenticare cose come ad es. EFS, in cui la modifica della password di un utente continua a non consentire l'accesso. Il problema è questa mentalità "che effettivamente un amministratore di sistema è Dio" - questo non è vero, né dovrebbe essere il caso: Dio non deve giustificare le sue azioni, un amministratore di sistema lo fa.
Non parliamo di ripristino, dove avviene l'audit! Ma dare la tua password non implica un controllo. In effetti l'amministratore è dio ma fa cose sotto il suo nome, non il tuo (con qualche eccezione su Linux e su cosa)
@M'vy Il punto era in parte che un "su" simile a Linux è possibile sotto Windows, per scopi locali. Un amministratore locale non può falsificare credenziali di dominio utilizzabili, ma tecnicamente l'amministratore del controller di dominio può farlo, anche se allo stesso modo non è documentato.
@AvID: Auditing aiuta, e in effetti non si verifica con password condivise, non nega la mia affermazione. La giustificazione delle proprie azioni avviene dopo il fatto, e in sicurezza, dopo il fatto potrebbe essere troppo tardi. Come per il tuo esempio di EFS, a meno che tu non abbia disabilitato l'agente di recupero o utilizzi un sistema in stile smartcard, l'amministratore del controllore di dominio può ottenere una copia della chiave privata e decrittografare i file. Poiché in molte aziende l'amministratore di dominio è anche un amministratore locale sulle macchine delle persone, potrebbero (almeno in teoria) bypassare EFS.
Questa è una terribile analogia. Cerca di far reagire il lettore al terrore della sfigurazione e di usarlo al posto di un argomento razionale. Disaccordo? Quindi sostituire "dito" nell'argomento con "un taglio di unghia". All'improvviso non suona così male ... ma l'argomento è immutato.
Non dovresti dare la tua password all'amministratore, dovrebbe avere privilegi sufficienti che non è necessario. Tuttavia, l'amministratore di sistema può solo legittimamente man-in-the-middles il servizio (ha i certificati richiesti + le chiavi e l'accesso alla rete) e ottenere la tua password in chiaro in questo modo.
#3
+15
noktec
2011-07-22 03:51:15 UTC
view on stackexchange narkive permalink

È stato spiegato prima che nessuno dovrebbe mai dare la sua password a un amministratore (sto bene con tutto), ma dovresti controllare con il suo superiore cosa sta succedendo, perché se ha chiesto la tua, è possibile che abbia chiesto la password degli altri 18 (il 19 è probabilmente il suo superiore) e sono abbastanza sicuro che alcuni dei tuoi colleghi di lavoro usino la stessa password ovunque.

+1 buon punto. Verificare con il supervisore o con la politica per vedere se l'amministratore dovrebbe chiedere.
E, se è così, probabilmente vai e fai aggiornare quelle politiche ...
#4
+11
Ormis
2011-07-22 18:31:57 UTC
view on stackexchange narkive permalink

Risposta breve, se è un amministratore non dovrebbe mai aver bisogno della tua password. Lo scenario peggiore è che abbia bisogno di reimpostare la tua password e dartene una nuova (che cambieresti prontamente).

A meno che non ci siano alcune circostanze attenuanti, password / codici / frasi sono solo per te. (sia se l'amministratore non ha un account privilegiato sul tuo PC)

Ho inserito alcuni lavori in cui un dipendente di lunga data avrà una macchina una tantum che non ha un account amministratore che posso usare su di esso, ma anche in questo caso è una soluzione migliore avere l'utente (supponendo che ne abbia i diritti) rendere l'amministratore un account privilegiato che può utilizzare. Quindi anche in questo caso non riesco a pensare a una ragione valida per cui l'amministratore avrebbe bisogno della tua password. È sempre un giorno triste apprendere che l'utente non ha diritti amministrativi, non è connesso al dominio e l'amministratore che lo ha configurato non lavora lì da 10 anni ...

ps come detto in un'altra risposta, è possibile che l'amministratore sia abituato a ricevere il trattamento "fallo" dai suoi superiori, il che potrebbe portarli a chiedere solo le password.

p.s. se la password è la password di livello amministratore o una password per un servizio esterno a cui l'amministratore ha bisogno di accedere, ha bisogno della password (o ha bisogno di un account di livello amministrativo creato per lui su quel servizio). La mia risposta è stata dal punto di vista che era la tua password. Se è per un servizio aziendale, cioè l'host web dell'azienda, non è la "tua" password. Anche in questo caso, è preferibile che ogni individuo abbia accessi separati (per scopi di responsabilità / controllo).
#5
+6
RobertRay
2011-07-22 12:19:49 UTC
view on stackexchange narkive permalink

Potrebbe essere il momento di scoprire i criteri di sicurezza IT. Se ne hai uno nella tua organizzazione. In caso contrario, è tempo di convincere il team a sedersi e scriverne uno.

Può darsi che questo amministratore non l'abbia letto o non sia stato addestrato.

Una cultura del cedere le password aumenteranno sicuramente le possibilità che gli account vengano inclusi se non ci sono controlli in atto per verificare ogni singola richiesta.

Anche le questioni sollevate sulla responsabilità sono un po 'preoccupanti.

Non è certo una buona pratica.

#6
+6
StupidOne
2011-07-22 13:08:27 UTC
view on stackexchange narkive permalink

C'è anche un altro problema con la condivisione della password.

Se succede qualcosa al tuo account o dal tuo account mentre qualcun altro è connesso, sarai incolpato. Anche se all'interno dell'azienda è consentito condividere la password per politica di sicurezza, legalmente (per legge; almeno nel mio paese) sei tu quello che verrà accusato.

Interessante; Non ho familiarità con le leggi locali, ma nella maggior parte dei luoghi, essere in grado di dimostrare che qualcun altro aveva la tua password (rubata o fornita in modo "legittimo") può causare seri problemi di ripudio, ovvero assolverti ) di responsabilità).
So che una ragazza alcuni anni fa ha dato il suo account di posta al suo ragazzo che poi ha inviato alcune mail di ricatto. È stata dichiarata colpevole, nonostante abbia dimostrato che le mail non le erano state inviate. EDIT: Beh, comunque, anche se puoi provare che non sei stato tu e per legge non sarai ritenuto colpevole, è comunque una situazione spiacevole, non sei d'accordo?
Assolutamente, sono completamente d'accordo con questo punto.
Guarda i Termini di servizio di un servizio e confermerai che la password è di tua esclusiva responsabilità.
@Mvy, ovviamente. Ma cosa succede quando puoi provare che qualcun altro * ce l'ha? È colpa tua e sei responsabile? O ripudio?
@AviD ♦: Dipende. La maggior parte dei ToS che ho visto dicono "è colpa tua, chiunque abbia la password * sei * tu per quanto ci interessa" - questo potrebbe essere un altro ostacolo oltre a dimostrare che qualcun altro aveva la password. IANAL, come al solito.
#7
  0
HumanJHawkins
2018-02-10 00:04:13 UTC
view on stackexchange narkive permalink

La domanda principale che viene posta è: "È mai necessario che un amministratore chieda una password?" Chiaramente, non dovrebbe essere necessario. Ma definiamo "necessario" come "richiesto per realizzare qualcosa di critico".

Con questi parametri, nei casi con difetti gravi / di rottura nell'infrastruttura di sicurezza potrebbe essere necessario esporre una password per eseguire operazioni critiche compiti. Ho visto sistemi sporchi sia nelle grandi aziende che nel governo che sono stati gestiti in questo modo per anni prima di incontrarli. E dal punto di vista del mantenimento dell'operazione, sì, era necessario continuare ad avere quel tipo di esposizione della password mentre venivano apportate le correzioni.

La chiave in ogni caso era documentare il problema, documentare e comunicare chiaramente il rischi di operare in questa situazione di sicurezza imperfetta, ottenere una dichiarazione di politica dalla leadership che dirige in quali circostanze dovrebbe verificarsi l'esposizione della password mentre vengono apportate le correzioni, quindi documentare l'eventuale esposizione della password necessaria per continuare a operare mentre il sistema di sicurezza veniva corretto.

In breve, non dovrebbe mai essere necessario. Ma se lo è, proteggiti spostando il rischio di responsabilità da te stesso alla parte responsabile delle decisioni / infrastrutture che lo hanno reso inadeguatamente necessario. E, naturalmente, se non ci sono mosse per risolvere il problema, potresti prendere in considerazione l'idea di andare avanti.

#8
-2
Ancient One
2015-01-30 07:37:30 UTC
view on stackexchange narkive permalink

Forse .. quanto ti fidi di loro? Usi questa password altrove? Se è la stessa password (o una sua semplice derivazione) che usi per accedere a luoghi che consentono la manipolazione diretta delle tue finanze, allora è meglio che ti fidi dell'amministratore di sistema per non usare la tua password per ottenere l'accesso a quelle aree. Servizio clienti Amazon: "Bene, i nostri file di log e audit trail mostrano che tu hai acquistato quelle 1200 copie di" Sharknado 2 "."

La tua comodità è più importante della tua sicurezza ? "Amico ... Se non fornisco all'amministratore di sistema la mia password attuale, la cambierà e dovrò cambiarla di nuovo nella configurazione della posta elettronica del mio telefono. BOGUS !!!"

La password è quella che ti metterebbe in imbarazzo per le persone? (star preferita dei reality, parolacce, posizione sessuale ...)

Gli esempi precedenti suggeriscono che la risposta sarebbe "no". Ma ...

L'amministratore di sistema: "Dato che hai deciso di crittografare il tuo disco rigido con Truecrypt, che la società non supporta, non posso recuperare alcun dato dal tuo laptop a meno che non abbia la tua password di decrittazione."

Quindi la risposta non sarà "sì" o "no" in ogni circostanza. La risposta dipende dalle circostanze che circondano il motivo per cui ti viene chiesto.

E .. considera sempre chi oltre a te potrebbe essere danneggiato in qualche modo se qualcuno oltre a te avesse la tua password. Servizio Segreto: "Signor Presidente! Hai dato i codici di lancio nucleare a quello guy ??? "

La risposta non è "forse", né è un "non di solito" qualificato, la risposta è rigorosamente "no". Vedi le altre risposte se non capisci perché. Sono onestamente scioccato dal fatto che questa risposta sia stata qui per oltre un anno senza che nessuno abbia votato o commentato. A chiunque altro legga questo, non credere a questa risposta, leggi le risposte con il voto più alto
#9
-3
ddyer
2013-07-10 09:55:13 UTC
view on stackexchange narkive permalink

Se l'amministratore sta cercando di diagnosticare un problema che solo tu stai riscontrando, potrebbero esserci buoni motivi per accedere al tuo account "come te" per identificare il problema in modo efficiente. Hai molte più probabilità di risolvere il tuo problema se gli rendi tutto più semplice.

Considera che i tuoi dati non sono realmente segreti per gli amministratori di sistema, quindi l'unica cosa che stai effettivamente proteggendo è la password si. Se stai già seguendo una buona igiene delle password, non ha alcun valore fintanto che la cambi di nuovo non appena hanno finito.

L'alternativa - che hanno una porta sul retro per aggirare la necessità di password, è neanche molto attraente.

Ma i dati possono essere resi segreti tramite crittografia, no? Non sono sicuro di cosa intendi con "porta sul retro". Ufficialmente, non ci sono backdoor in Linux;)
Si tratta di un account di servizio e della posta in arrivo. Non esiste una crittografia separata (o, se ci fosse, la password utente sarebbe irrilevante.) Come root in unix, posso cambiare la tua password e accedere come te. Che ne dici di una porta sul retro?
@ddyer: Che cos'è un account di servizio?
-1. AviD ha [sottolineato] (http://security.stackexchange.com/questions/5539/is-it-ok-to-tell-your-password-to-your-companys-sysadmin#comment9163_5543) che se l'amministratore di sistema si ripristina la tua password, crea una traccia di controllo, mentre se la modifichi per l'amministratore di sistema, non c'è traccia di controllo. Non condividere la tua password: chiedi invece al tuo amministratore di sistema di resettarla per poi diagnosticare il problema.


Questa domanda e risposta è stata tradotta automaticamente dalla lingua inglese. Il contenuto originale è disponibile su stackexchange, che ringraziamo per la licenza cc by-sa 3.0 con cui è distribuito.
Loading...