Servers, tijdelijke werknemers en beveiliging.

[b.jelle]

Voor mijn stage bij een ICT-Bedrijf is het volgende probleem mij voorgelegd:

Om te voorkomen dat tijdelijke werknemers na hun vertrek de wachtwoorden van servers van klanten meenemen/nog weten en niet na 1 vertrek 60+ server wachtwoorden te moeten veranderen. Moet er een systeem komen waar je bijvoorbeeld door een invul functie wachtwoorden opgeslagen op usb, kan invoeren als je een client aan een domein zou willen toevoegen of remote zou willen inloggen. Hier zijn opzich wel een aantal programma's voor te vinden (denk aan Password Depot 3 Pro). Maar er moet dan natuurlijk ook een programma komen die bij een directe login (op locatie) om een token vraagt, anders moet je alsnog wachtwoorden gaan uitdelen. Daar zijn dan wel weer programma's voor te vinden zoals Dekart Logon (usb token).
Nu ben ik dus op zoek naar een bedrijf die alle 2 deze oplossingen bied. Want tot nu toe ben ik alleen maar bedrijven tegen gekomen die wel de directe “token” logon bieden, maar dan bijvb geen goede password-manager hebben (meestal alleen voor invullen bij websites).

Volgens een werknemer van mijn stage bedrijf is er op Cebit een oplossing geshowd (van 1 bedrijf) die ongeveer aan deze eisen voldoet (daar komt het idee ook weg). Dus als iemand dit ook heeft gezien of een oplossing weet, dan hoor ik het graag.

Alvast iedereen bedankt die een helpende hand kan bieden

[killercow]

welk os draaien die servers?

Anders kun je gewoon public/private key pairs aanmaken en hun key uit ssh file gooien.

(unix that is)

[b.jelle]

@ killercow woensdag 19 september 2007 @ 11:48

Waar ze dit op toegepast willen hebben zijn allemaal Win2003 servers.

[ Voor 20% gewijzigd door b.jelle op 19-09-2007 11:51 ]

[bartgabriels]

Misschien moet je eens kijken naar een RSA One Time Password oplossing.

Is gebasseerd op een kleine sleutelhanger (SecurID), die op basis van tijd een ander wachtwoord genereerd.

http://www.rsa.com/rsalabs/node.asp?id=2816
http://www.rsa.com/rsasec...roduct_program=107&page=9

[b.jelle]

bartgabriels schreef op woensdag 19 september 2007 @ 11:54:
Misschien moet je eens kijken naar een RSA One Time Password oplossing.

Is gebasseerd op een kleine sleutelhanger (SecurID), die op basis van tijd een ander wachtwoord genereerd.

http://www.rsa.com/rsalabs/node.asp?id=2816
http://www.rsa.com/rsasec...roduct_program=107&page=9

Ik ben al meerdere van soortgelijke oplossingen tegen gekomen. Het probleem is dan dan ik bij directe of remote login uit de brand ben, maar dat ik alleen bij het toevoegen van een systeem aan een domein nog steeds een admin wachtwoord moet invoeren. En soortgelijke tokens hebben dan geen optie om uit een menuutje op te roepen waar ik een account kan selecteren die hij in dat venster moet gaan invoeren of wel (denk aan password depot)?

[pinockio]

Maar het probleem is dan toch beperkt tot administrator-accounts? Daarvan geef je het wachtwoord toch niet aan stagiairs?
_{Hmm... het gaat dus juist om beheer van servers van derden.}

[ Voor 22% gewijzigd door pinockio op 19-09-2007 12:11 ]

[djluc]

Ik snap het niet denk ik? Je logt altijd in onder je eigen naam (dus [e-mail] ofzo). Dan kan je die accounts toch gewoon blokkeren?

[b.jelle]

pinockio schreef op woensdag 19 september 2007 @ 12:09:
Maar het probleem is dan toch beperkt tot administrator-accounts? Daarvan geef je het wachtwoord toch niet aan stagiairs?
_{Hmm... het gaat dus juist om beheer van servers van derden.}

Het gaat om de administrator accounts van meerdere Win2003 servers (die bij klanten staan), waar bijvb de mensen van support toegang tot moeten hebben. En zoals bij de meeste bedrijven blijven de mensen niet de rest van hun leven op de helpdesk werken, wanneer ze ergens anders een betere functie kunnen krijgen. Daarom moeten zij via bijvb, een usbstick waar de account ge-encrypt op staan toegang hebben met een pincode (zodat het programma de accounts bij het domein kan zoeken en voor je inlogt, zie:http://www.rohos.com/remote-desk-login.htm), wat natuurlijk makkelijker te veranderen is dan 60 admin-accounts. Maar nu moet er ook een tool (op usb-medium) bij zitten waar de accounts afgehaald kunnen worden, als er een pc aan een domein gekoppeld moet worden.

Het probleem is dus niet dat ik niet weer welke programma's ik zou kunnen gebruiken, maar of jullie een bedrijf weten die beide biedt.

[ Voor 15% gewijzigd door b.jelle op 19-09-2007 13:02 ]