हमारे सर्वर के लिए एक सुरक्षा लेखा परीक्षक ने दो सप्ताह के भीतर निम्नलिखित की मांग की है:
- सभी सर्वर पर सभी उपयोगकर्ता खातों के लिए वर्तमान उपयोगकर्ता नाम और सादा पाठ पासवर्ड की एक सूची
- पिछले छह महीनों के सभी पासवर्डों की एक सूची, फिर से सादे-पाठ में
- पिछले छह महीनों में "दूरस्थ उपकरणों से सर्वर में जोड़ी गई हर फ़ाइल" की एक सूची
- किसी भी SSH कुंजी की सार्वजनिक और निजी कुंजी
- हर बार जब कोई उपयोगकर्ता अपना पासवर्ड भेजता है, तो उसे एक ईमेल भेजा जाता है, जिसमें सादा पाठ पासवर्ड होता है
हम Red Hat Linux 5/6 और CentOS 5 बक्से LDAP प्रमाणीकरण के साथ चला रहे हैं।
जहां तक मुझे जानकारी है, उस सूची में सब कुछ या तो असंभव है या अविश्वसनीय रूप से प्राप्त करना मुश्किल है, लेकिन अगर मैं यह जानकारी प्रदान नहीं करता हूं तो हम अपने भुगतान प्लेटफॉर्म तक पहुंच खो देते हैं और संक्रमण काल के दौरान आय खो देते हैं क्योंकि हम एक में चले जाते हैं। नई सेवा। मैं इस जानकारी को कैसे हल या नकली कर सकता हूं, इसके लिए कोई सुझाव?
जिस तरह से मैं सभी सादे पाठ पासवर्ड प्राप्त करने के बारे में सोच सकता हूं, वह यह है कि सभी को अपना पासवर्ड रीसेट करने के लिए प्राप्त करना है और जो वे इसे सेट करते हैं उसका एक नोट बनाना है। यह पिछले छह महीनों के पासवर्ड परिवर्तन की समस्या को हल नहीं करता है, क्योंकि मैं इस प्रकार के सामान को रेट्रो रूप से लॉग इन नहीं कर सकता, वही सभी दूरस्थ फ़ाइलों को लॉग करने के लिए जाता है।
सभी सार्वजनिक और निजी SSH कुंजी प्राप्त करना (हालांकि कष्टप्रद) संभव है, क्योंकि हमारे पास केवल कुछ उपयोगकर्ता और कंप्यूटर हैं। जब तक मैं यह करने के लिए एक आसान तरीका याद किया है?
मैंने उसे कई बार समझाया है कि वह जिन चीजों के लिए कह रहा है वे असंभव हैं। मेरी चिंताओं के जवाब में, उन्होंने निम्नलिखित ईमेल के साथ जवाब दिया:
मुझे सुरक्षा ऑडिटिंग में 10 वर्षों का अनुभव है और रेडहैट सुरक्षा विधियों की पूरी समझ है, इसलिए मेरा सुझाव है कि आप अपने तथ्यों की जांच करें कि क्या है और क्या संभव नहीं है। आप कहते हैं कि कोई भी कंपनी संभवतः यह जानकारी नहीं दे सकती थी लेकिन मैंने सैकड़ों ऑडिट किए हैं जहां यह जानकारी आसानी से उपलब्ध है। सभी [जेनेरिक क्रेडिट कार्ड प्रसंस्करण प्रदाता] ग्राहकों को हमारी नई सुरक्षा नीतियों के अनुरूप होना आवश्यक है और इस ऑडिट का उद्देश्य यह सुनिश्चित करना है कि उन नीतियों को * सही ढंग से लागू किया गया है।
* "नई सुरक्षा नीतियों" को हमारे ऑडिट से दो सप्ताह पहले पेश किया गया था, और पॉलिसी बदलने से पहले छह महीने के ऐतिहासिक लॉगिंग की आवश्यकता नहीं थी।
संक्षेप में, मुझे चाहिए;
- छह महीने का "नकली" पासवर्ड बदलने का एक तरीका है और इसे वैध बनाता है
- इनबाउंड फ़ाइल स्थानांतरण के छह महीने "नकली" करने का एक तरीका
- सभी SSH सार्वजनिक और निजी कुंजी का उपयोग करने का एक आसान तरीका
यदि हम सुरक्षा ऑडिट में विफल हो जाते हैं तो हम अपने कार्ड प्रोसेसिंग प्लेटफॉर्म (हमारी प्रणाली का एक महत्वपूर्ण हिस्सा) तक पहुंच खो देते हैं और इसे कहीं और स्थानांतरित करने के लिए एक अच्छा दो सप्ताह लगेगा। मैं कितना बदसूरत हूं?
अपडेट 1 (शनि 23 वां)
आपकी सभी प्रतिक्रियाओं के लिए धन्यवाद, यह मुझे यह जानने के लिए बहुत राहत देता है कि यह मानक अभ्यास नहीं है।
मैं वर्तमान में स्थिति की व्याख्या करने के लिए अपनी ईमेल प्रतिक्रिया की योजना बना रहा हूं। जैसा कि आप में से कई ने बताया, हमें पीसीआई के साथ अनुपालन करना होगा जो स्पष्ट रूप से बताता है कि हमारे पास सादे पाठ पासवर्ड तक पहुंचने का कोई रास्ता नहीं होना चाहिए। जब मैंने इसे लिखना समाप्त कर लिया है तो मैं ईमेल पोस्ट करूँगा। दुर्भाग्य से मुझे नहीं लगता कि वह सिर्फ हमारा परीक्षण कर रहा है; ये बातें अब कंपनी की आधिकारिक सुरक्षा नीति में हैं। हालाँकि, मैं उनसे दूर जाने के लिए और पेपल पर समय के लिए गति में पहियों को सेट करता हूं।
अपडेट 2 (शनि 23 वां)
यह वह ईमेल है जिसे मैंने तैयार किया है, सामान को जोड़ने / हटाने / बदलने के लिए कोई सुझाव?
हाय [नाम],
दुर्भाग्य से, हमारे पास अनुरोधित जानकारी, मुख्य रूप से सादे-पाठ पासवर्ड, पासवर्ड इतिहास, SSH कुंजी और दूरस्थ फ़ाइल लॉग्स में से कुछ प्रदान करने का कोई तरीका नहीं है। न केवल ये चीजें तकनीकी रूप से असंभव हैं, बल्कि यह जानकारी प्रदान करने में सक्षम हैं कि दोनों पीसीआई मानकों के खिलाफ होंगे, और डेटा सुरक्षा अधिनियम का उल्लंघन होगा।
PCI आवश्यकताओं को उद्धृत करने के लिए,8.4 मजबूत क्रिप्टोग्राफी का उपयोग करते हुए सभी सिस्टम घटकों पर ट्रांसमिशन और स्टोरेज के दौरान सभी पासवर्ड बिना पढ़े रेंडर करें।
मैं आपको हमारे सिस्टम पर उपयोग किए गए उपयोगकर्ता नाम और हैशेड पासवर्ड की सूची, SSH सार्वजनिक कुंजी और अधिकृत होस्ट फ़ाइल की प्रतियां प्रदान कर सकता हूं (इससे आपको यह जानने के लिए पर्याप्त जानकारी मिल जाएगी कि अद्वितीय उपयोगकर्ता की संख्या हमारे सर्वर और एन्क्रिप्शन से कनेक्ट हो सकती है) उपयोग किए गए तरीके), हमारी पासवर्ड सुरक्षा आवश्यकताओं और हमारे LDAP सर्वर के बारे में जानकारी लेकिन यह जानकारी साइट से नहीं ली जा सकती है। मैं दृढ़ता से आपको अपनी ऑडिट आवश्यकताओं की समीक्षा करने का सुझाव देता हूं क्योंकि पीसीआई और डेटा संरक्षण अधिनियम के अनुपालन में रहते हुए इस ऑडिट को पारित करने के लिए वर्तमान में कोई रास्ता नहीं है।
सादर,
[मुझे]
मैं कंपनी के CTO और हमारे खाता प्रबंधक में CC'ing रहूंगा, और मुझे उम्मीद है कि CTO पुष्टि कर सकता है कि यह जानकारी उपलब्ध नहीं है। मैं पीसीआई सुरक्षा मानक परिषद से यह बताने के लिए भी संपर्क करूंगा कि उसे हमसे क्या चाहिए।
अपडेट 3 (26 वां)
यहाँ कुछ ईमेल हैं जिनका हमने आदान-प्रदान किया है;
RE: मेरा पहला ईमेल;
जैसा कि समझाया गया है, यह जानकारी किसी भी सक्षम प्रशासक को अच्छी तरह से बनाए रखी गई प्रणाली पर आसानी से उपलब्ध होनी चाहिए। इस जानकारी को प्रदान करने में आपकी विफलता मुझे विश्वास दिलाती है कि आप अपने सिस्टम में सुरक्षा खामियों से अवगत हैं और उन्हें प्रकट करने के लिए तैयार नहीं हैं। हमारे अनुरोध पीसीआई दिशानिर्देशों के अनुरूप हैं और दोनों को पूरा किया जा सकता है। मजबूत क्रिप्टोग्राफी का मतलब केवल पासवर्ड एन्क्रिप्टेड होना चाहिए जबकि उपयोगकर्ता उन्हें इनपुट कर रहा है, लेकिन फिर उन्हें बाद में उपयोग करने के लिए पुनर्प्राप्त करने योग्य प्रारूप में ले जाना चाहिए।
मैं इन अनुरोधों के लिए कोई डेटा सुरक्षा समस्या नहीं देखता, डेटा सुरक्षा केवल उन व्यवसायों पर लागू होती है जो व्यवसाय नहीं करते हैं इसलिए इस जानकारी के साथ कोई समस्या नहीं होनी चाहिए।
बस, क्या, मैं भी नहीं कर सकता ...
"मजबूत क्रिप्टोग्राफी का मतलब केवल पासवर्ड एन्क्रिप्ट किया जाना चाहिए जबकि उपयोगकर्ता उन्हें इनपुट कर रहा है, लेकिन फिर उन्हें बाद के उपयोग के लिए पुनर्प्राप्त करने योग्य प्रारूप में ले जाना चाहिए।"
मैं इसे फ्रेम करने जा रहा हूं और इसे अपनी दीवार पर रखूंगा।
मैं कूटनीतिक होने से तंग आ गया और उसे इस सूत्र का निर्देश दिया कि मुझे जो प्रतिक्रिया मिल रही है उसे दिखाने के लिए:
इस जानकारी को प्रदान करना PCI दिशानिर्देशों की कई आवश्यकताओं के विपरीत है। मैंने जो खंड उद्धृत किया है, वह यह भी कहता है
storage(डिस्क पर डेटा स्टोर करने के स्थान पर)। मैंने ServerFault.com (sys-admin पेशेवरों के लिए एक ऑन-लाइन समुदाय) पर एक चर्चा शुरू की, जिसने बहुत बड़ी प्रतिक्रिया पैदा की है, यह सुझाव देते हुए कि यह जानकारी प्रदान नहीं की जा सकती। खुद के माध्यम से पढ़ने के लिए स्वतंत्र महसूस करेंhttps://serverfault.com/questions/293217/
हमने अपने सिस्टम को एक नए प्लेटफ़ॉर्म पर ले जाना समाप्त कर दिया है और अगले दिन या उसके भीतर आपके साथ अपना खाता रद्द कर देंगे, लेकिन मैं आपको यह महसूस करना चाहता हूं कि ये अनुरोध कितने हास्यास्पद हैं, और कोई भी कंपनी पीसीआई दिशानिर्देशों को सही ढंग से लागू नहीं करेगी, या करना चाहिए, यह जानकारी प्रदान करने में सक्षम हो। मैं दृढ़ता से सुझाव देता हूं कि आप अपनी सुरक्षा आवश्यकताओं पर फिर से विचार करें क्योंकि आपके किसी भी ग्राहक को इसके अनुरूप नहीं होना चाहिए।
(मैं वास्तव में भूल गया था कि मैंने उसे शीर्षक में एक बेवकूफ कहा था, लेकिन जैसा कि हमने पहले ही कहा था कि उनके मंच से दूर चले गए ताकि कोई वास्तविक नुकसान न हो।)
और अपनी प्रतिक्रिया में, उन्होंने कहा कि स्पष्ट रूप से आप में से कोई भी नहीं जानता कि आप किस बारे में बात कर रहे हैं:
मैं उन प्रतिक्रियाओं और आपके मूल पोस्ट के माध्यम से विस्तार से पढ़ता हूं, उत्तरदाताओं को अपने तथ्यों को सही प्राप्त करने की आवश्यकता है। मैं इस उद्योग में उस साइट पर किसी से भी अधिक समय से हूं, उपयोगकर्ता खाते के पासवर्ड की एक सूची प्राप्त करना अविश्वसनीय रूप से बुनियादी है, यह पहली चीजों में से एक होना चाहिए जो आप सीखते हैं कि आपके सिस्टम को कैसे सुरक्षित किया जाए और किसी भी सुरक्षित के संचालन के लिए आवश्यक है। सर्वर। यदि आप वास्तव में इस सरल कुछ करने के लिए कौशल की कमी है, तो मुझे लगता है कि आप अपने सर्वर पर PCI स्थापित नहीं करते हैं क्योंकि यह जानकारी पुनर्प्राप्त करने में सक्षम है सॉफ्टवेयर की एक बुनियादी आवश्यकता है। सुरक्षा जैसी किसी चीज़ से निपटने के दौरान आपको सार्वजनिक मंच पर ये सवाल नहीं पूछने चाहिए कि अगर आपको कोई बुनियादी जानकारी नहीं है कि यह कैसे काम करता है।
मैं यह भी सुझाव देना चाहूंगा कि मुझे, या [कंपनी का नाम] प्रकट करने के किसी भी प्रयास को मानहानि माना जाएगा और उचित कानूनी कार्रवाई की जाएगी
यदि आपने उन्हें याद किया है तो मुख्य मुहावरेदार बिंदु:
- वह यहाँ पर किसी और की तुलना में एक सुरक्षा ऑडिटर रहा है (वह या तो अनुमान लगा रहा है, या आपको घूर रहा है)
- UNIX प्रणाली पर पासवर्डों की सूची प्राप्त करने में सक्षम होना 'बुनियादी' है
- पीसीआई अब सॉफ्टवेयर है
- जब वे सुरक्षा के प्रति आश्वस्त नहीं होते हैं तो लोगों को मंचों का उपयोग नहीं करना चाहिए
- तथ्यात्मक जानकारी (जिसमें मेरे पास ईमेल प्रूफ है) को ऑनलाइन प्रस्तुत करना परिवाद है
अति उत्कृष्ट।
पीसीआई एसएससी ने जवाब दिया है और उसकी और कंपनी की जांच कर रहे हैं। हमारा सॉफ्टवेयर अब पेपाल पर चला गया है, इसलिए हमें पता है कि यह सुरक्षित है। मैं पहले पीसीआई के वापस आने का इंतजार कर रहा हूं, लेकिन मैं थोड़ा चिंतित हूं कि वे आंतरिक रूप से इन सुरक्षा प्रथाओं का उपयोग कर रहे हैं। यदि हां, तो मुझे लगता है कि यह हमारे लिए एक बड़ी चिंता का विषय है क्योंकि हमारे सभी कार्ड प्रसंस्करण उनके माध्यम से चले। यदि वे आंतरिक रूप से ऐसा कर रहे थे, तो मुझे लगता है कि हमारे ग्राहकों को सूचित करने के लिए एकमात्र जिम्मेदार बात यह होगी।
मुझे उम्मीद है कि जब पीसीआई को पता चलेगा कि यह कितना खराब है तो वह पूरी कंपनी और सिस्टम की जांच करेगा लेकिन मुझे यकीन नहीं है।
इसलिए अब हम उनके प्लेटफ़ॉर्म से दूर चले गए हैं, और यह मानकर कि पीसीआई के वापस आने से कम से कम कुछ दिन पहले मेरे पास आएंगे, कैसे उन्हें थोड़ा सा ट्रोल किया जाए, इसके लिए कोई आविष्कारशील सुझाव? =)
एक बार जब मुझे अपने कानूनी आदमी से मंजूरी मिल गई (मुझे अत्यधिक संदेह है कि वास्तव में कोई भी परिवाद है लेकिन मैं जांच को दोगुना करना चाहता हूं) मैं कंपनी का नाम, उसका नाम और ईमेल प्रकाशित करूंगा, और यदि आप चाहें तो आप उससे संपर्क कर सकते हैं और समझा सकते हैं आप लिनक्स सुरक्षा की मूल बातें क्यों नहीं समझते हैं कि सभी LDAP उपयोगकर्ताओं के पासवर्ड की सूची कैसे प्राप्त करें।
थोड़ा अद्यतन:
मेरा "कानूनी आदमी" ने कंपनी को खुलासा करने का सुझाव दिया है कि शायद जरूरत से ज्यादा समस्याएं पैदा होंगी। मैं कह सकता हूं कि, यह एक प्रमुख प्रदाता नहीं है, उनके पास इस सेवा का उपयोग करने वाले 100 ग्राहक कम हैं। जब साइट छोटी थी और थोड़े VPS पर चल रही थी, तो हमने मूल रूप से उनका उपयोग करना शुरू कर दिया था, और हम PCI पाने के सभी प्रयासों से नहीं गुजरना चाहते थे (हम अपने फ्रंटेंड को अनुप्रेषित करते थे, जैसे PayPal Standard)। लेकिन जब हम सीधे प्रसंस्करण कार्ड (पीसीआई और सामान्य ज्ञान सहित) में चले गए, तो देवों ने एक ही कंपनी का उपयोग केवल एक अलग एपीआई का उपयोग करने का निर्णय लिया। कंपनी बर्मिंघम, यूके क्षेत्र में स्थित है, इसलिए मुझे अत्यधिक संदेह है कि यहां कोई भी प्रभावित होगा।