हमारा सुरक्षा ऑडिटर एक बेवकूफ है

लगभग। अनुवादक : यह एक इलेक्ट्रॉनिक ट्रेडिंग प्लेटफ़ॉर्म के सिस्टम प्रशासक का एक लेख (या बल्कि, सर्वरफ़ॉल्ट.कॉम पर एक प्रश्न) है जो एक निश्चित बैंक कार्ड प्रसंस्करण प्रणाली का उपयोग करने के अधिकार के लिए एक सुरक्षा ऑडिट पारित किया है।



हमारे सर्वर के सुरक्षा लेखा परीक्षक ने दो सप्ताह के लिए निम्नलिखित चीजों की मांग की:

• सभी उपयोगकर्ताओं को अपने पासवर्ड स्पष्ट पाठ में सूचीबद्ध करें
• पिछले 6 महीनों में सभी उपयोगकर्ताओं के लिए पासवर्ड का इतिहास बदल गया (फिर से, स्पष्ट में)
• हमारे सर्वरों पर सभी फाइलों की एक सूची जो पिछले 6 महीनों में उन्हें बाहर से अपलोड की गई है
• सभी SSH कुंजी के सार्वजनिक और निजी भाग
• एक तंत्र जो उसे हर बार किसी भी उपयोगकर्ता को अपना पासवर्ड बदलने के लिए एक ईमेल भेजता है (एक नया पासवर्ड सादे पाठ में लिखा जाना चाहिए)

हमारे सर्वर Red Hat Linux 5/6 और CentOS 5 के अंतर्गत LDAP प्रमाणीकरण के साथ चलते हैं। जहां तक ​​मुझे पता है, उपरोक्त सभी या तो बिल्कुल असंभव है, या इस प्लेटफॉर्म पर प्राप्त करना बहुत मुश्किल है। लेकिन अगर मैं समय पर जानकारी प्रदान नहीं करता हूं, तो हम दूसरे को माइग्रेशन के दौरान भुगतान मंच और सभी संभावित लाभ तक पहुंच खो देंगे। किसी भी विचार कैसे बाहर निकलने के लिए?

स्पष्ट पाठ में सभी पासवर्ड प्राप्त करने का एकमात्र तरीका उन्हें रीसेट करना और उन्हें कुछ विशिष्ट लोगों के लिए सेट करना है। लेकिन यह पिछले 6 महीनों से पासवर्ड और फ़ाइल जानकारी की समस्या का समाधान नहीं करता है।

SSH कुंजी के जोड़े प्राप्त करना संभव है, लेकिन प्रक्रिया लंबी और थकाऊ है - कई उपयोगकर्ता, कई कंप्यूटर। क्या किसी तरह इसे स्वचालित करना संभव है?

मैंने कई बार ऑडिटर को उनके अनुरोधों को पूरा करने की असंभवता के बारे में समझाया। उन्होंने इस पत्र का उत्तर दिया:

मैं 10 से अधिक वर्षों से कंप्यूटर सुरक्षा ऑडिटिंग के क्षेत्र में काम कर रहा हूं और RedHat OS की सुरक्षा प्रणाली की पूरी समझ है, इसलिए मैं आपको सलाह देता हूं कि इस प्रणाली में क्या संभव है और क्या नहीं है, इसके बारे में अपने ज्ञान को अपडेट करें। आप कहते हैं कि आपकी कंपनी आवश्यक जानकारी प्रदान करने में सक्षम नहीं है। लेकिन मैंने पहले ही ऐसे सैकड़ों ऑडिट किए हैं और उनमें से प्रत्येक में ऐसी जानकारी प्रदान की गई थी। हमारी प्रसंस्करण कंपनी के सभी ग्राहकों को हमारी नई सुरक्षा नीतियों का पालन करना चाहिए और यह ऑडिट इस अनुपालन को सत्यापित करने के लिए बनाया गया है।

इन "नई सुरक्षा नीतियों" को 2 सप्ताह पहले पेश किया गया था, और पासवर्ड और अपलोड की गई फ़ाइलों की जानकारी पिछले 6 महीनों में आवश्यक है - शांत, सही?

संक्षेप में, मुझे चाहिए:

• पिछले 6 महीनों में पासवर्ड इतिहास को गलत साबित करने का एक तरीका ताकि यह विश्वसनीय लगे
• फ़ाइल डाउनलोड इतिहास को गलत साबित करने का एक तरीका
• बड़ी संख्या में कंप्यूटर से SSH कुंजियाँ एकत्र करने का एक आसान तरीका

यदि हम इस ऑडिट में विफल होते हैं, तो हम प्रसंस्करण प्लेटफ़ॉर्म खो देंगे और कहीं और स्थानांतरित करने के लिए एक अच्छा दो सप्ताह लेंगे। क्या करें?

अपडेट १

सभी के उत्तर के लिए धन्यवाद, मैंने यह विश्वास प्राप्त किया कि मैं एक पूर्ण बेवकूफ नहीं था और आवश्यक जानकारी ऐसे ऑडिट में मानक नहीं थी।

मैंने ऑडिटर को स्थिति की व्याख्या करते हुए एक और पत्र लिखने की योजना बनाई है: आप में से कई ने संकेत दिया है कि पीसीआई के नियमों ( नोट अनुवादक: भुगतान कार्ड सुरक्षा समिति, जिसमें वीज़ा, मास्टरकार्ड और अन्य शामिल हैं) के अनुसार, पासवर्ड को कभी भी खुले तौर पर संग्रहीत या प्रसारित नहीं किया जाना चाहिए। एक। हालांकि, वास्तव में, सामान्य ज्ञान की उम्मीद नहीं है, हम पेपल पर स्विच करने के लिए स्कीइंग को प्रोत्साहित करना शुरू करते हैं।

अपडेट २

ड्राफ्ट पत्र:

नमस्ते, [नाम],
दुर्भाग्य से, आपको कुछ अनुरोधित जानकारी प्रदान करने का कोई तरीका नहीं है। हम पासवर्ड के बारे में स्पष्ट, पासवर्ड परिवर्तन, SSH कुंजी और फ़ाइल अपलोड लॉग के इतिहास के बारे में बात कर रहे हैं। यह न केवल तकनीकी रूप से असंभव है, बल्कि पीसीआई मानकों के भी विपरीत है, जो स्पष्ट रूप में ऐसे डेटा के भंडारण और संचरण को प्रतिबंधित करता है (धारा 8.4 - "सभी पासवर्ड को केवल मजबूत क्रिप्टोग्राफी का उपयोग करके एन्क्रिप्टेड रूप में संग्रहीत और संग्रहीत किया जाना चाहिए")।

मैं आपको हमारे उपयोगकर्ताओं के उपयोगकर्ता नाम और हैशेड पासवर्ड, सार्वजनिक SSH कुंजी और अधिकृत होस्ट की सूची प्रदान कर सकता हूं। (यह आपको अद्वितीय उपयोगकर्ताओं की संख्या और उपयोग किए गए एन्क्रिप्शन एल्गोरिदम की जानकारी देगा), हमारी पासवर्ड सुरक्षा आवश्यकताओं और LDAP सर्वर कॉन्फ़िगरेशन पर जानकारी। मैं आपको अपनी सुरक्षा नीति की समीक्षा करने की दृढ़ता से सलाह देता हूं, क्योंकि पीसीआई आवश्यकताओं के साथ-साथ व्यक्तिगत डेटा के संरक्षण पर यह और कानून दोनों का पालन करने के लिए सुरक्षा ऑडिट से गुजरने का कोई रास्ता नहीं है।

निष्ठा से,
हां

मैं केवल ऑडिटर तक ही नहीं, बल्कि उसके प्रबंधन तक भी पहुंचने की कोशिश करूंगा, साथ ही पीसीआई के सुरक्षा अधिकारियों को सुरक्षा स्थिति के लिए जिम्मेदार बताऊंगा।

अपडेट ३

यहाँ मेरे पत्र के लिए उसकी प्रतिक्रिया है:

जैसा कि मैंने पहले ही लिखा है, किसी भी सक्षम प्रशासक को सामान्य रूप से कॉन्फ़िगर किए गए सिस्टम पर आवश्यक जानकारी आसानी से उपलब्ध होनी चाहिए। इस तरह की जानकारी प्राप्त करने की असंभवता के बारे में आपकी मान्यता मुझे आपके सर्वर पर सुरक्षा मानकों की उपेक्षा करने और वास्तविक खतरों के लिए तैयार नहीं होने के बारे में सोचती है। हमारी आवश्यकताएं पीसीआई मानकों के पूर्ण अनुपालन में हैं और इन्हें पूरी तरह से एक साथ लागू किया जा सकता है। "मजबूत क्रिप्टोग्राफी" का अर्थ केवल यह है कि पासवर्ड को एन्क्रिप्ट किया जाना चाहिए क्योंकि यह उपयोगकर्ता द्वारा दर्ज किया गया है, लेकिन फिर इसे एक खुले प्रारूप में स्थानांतरित और सहेजा जाना चाहिए, क्योंकि भविष्य में इसकी आवश्यकता हो सकती है।
मुझे आवश्यक व्यवहार में कोई सुरक्षा खतरे नहीं दिखाई देते हैं - क्रिप्टोग्राफी पासवर्ड सुरक्षा केवल सिस्टम के उपयोगकर्ताओं पर लागू होती है, प्रशासन पर नहीं, जिसका अर्थ है कि ऑडिट के लिए यह जानकारी प्रदान करना संभव होना चाहिए।

मैं इसे फिर से दोहराऊंगा:

"मजबूत क्रिप्टोग्राफी" का अर्थ केवल यह है कि पासवर्ड को एन्क्रिप्ट किया जाना चाहिए क्योंकि यह उपयोगकर्ता द्वारा दर्ज किया गया है, लेकिन फिर इसे एक खुले प्रारूप में स्थानांतरित और सहेजा जाना चाहिए, क्योंकि भविष्य में इसकी आवश्यकता हो सकती है।

मैंने इस अभिव्यक्ति को प्रिंट करने और इसे दीवार पर एक फ्रेम में लटकाने की योजना बनाई है।

मैंने खुद को अधिक कूटनीति से परेशान नहीं करने का फैसला किया और उसे इस विषय का लिंक दिया:

पीसीआई के कानूनों और आवश्यकताओं के लिए आपको आवश्यक जानकारी प्रदान करना आवश्यक है - मैंने नियम अनुभाग उद्धृत किया। इसके अलावा, मैंने ServerFault.com (पेशेवर सिस्टम प्रशासकों का एक ऑनलाइन समुदाय) पर एक चर्चा शुरू की, जिसे एक बड़ी प्रतिक्रिया मिली, जो सामान्य रूप से इस तथ्य को उबालता है कि यह जानकारी प्रदान नहीं की जा सकती है। आप अपने अवकाश में कुछ पढ़ सकते हैं:

हमारा सुरक्षा ऑडिटर एक बेवकूफ है, मैं उसे आवश्यक जानकारी कैसे प्रदान कर सकता हूं?

हमने अपनी बिलिंग प्रणाली के परिवर्तन को एक नए प्लेटफ़ॉर्म पर पूरा किया है और कल से आपकी कंपनी के साथ अनुबंध तोड़ रहे हैं। लेकिन सिर्फ सामान्य ज्ञान की विजय के लिए, मैं आपको बताना चाहता हूं कि आपकी आवश्यकताएं कितनी हास्यास्पद और बेतुकी हैं। पीसीआई आवश्यकताओं का उल्लंघन किए बिना कोई भी कंपनी आपको यह जानकारी प्रदान नहीं कर सकती है। मैं आपको अपनी सुरक्षा नीति पर एक बार और सोचने की सलाह देता हूं, क्योंकि वर्तमान में आप सभी ग्राहकों को खो देते हैं।

(ईमानदारी से, मैंने किसी तरह इस तथ्य को याद किया कि मैंने उसे लेख के शीर्षक में एक बेवकूफ कहा था, लेकिन यह पहले से ही गहराई से था - हम पहले ही बाहर चले गए थे)

लेकिन उसने फिर भी मुझे जवाब दिया। मुझे लगता है कि पाठकों को यह जानने में दिलचस्पी होगी कि वे मूर्ख हैं जो यह नहीं समझते कि वे किस बारे में बात कर रहे हैं:

मैंने आपकी पोस्ट और इसके उत्तर पढ़े। अच्छी तरह से - सभी उत्तरदाताओं गलत हैं। मैं इस साइट पर किसी से भी अधिक समय से इस उद्योग में काम कर रहा हूं - उपयोगकर्ताओं और उनके पासवर्डों की एक सूची प्राप्त करना एक बुनियादी कौशल है, यह उन चीजों में से एक है जिसे सिस्टम प्रशासक को सीखना चाहिए और किसी भी विश्वसनीय सर्वर की सुरक्षा का एक अभिन्न अंग है। यदि आप वास्तव में इस तरह की प्राथमिक चीज़ के लिए पर्याप्त दिमाग नहीं रखते हैं, तो मुझे लगता है कि आपके पास पीसीआई आपके सिस्टम पर स्थापित नहीं है, क्योंकि ऐसा अवसर इस सॉफ़्टवेयर की आवश्यक आवश्यकता है)। और आम तौर पर बोलते हुए, सर्वर सुरक्षा जैसी चीजों के साथ काम करते समय, आपको सार्वजनिक मंचों पर इसके कामकाज के बुनियादी सिद्धांतों को समझने के बिना सवाल नहीं पूछना चाहिए।

मैं आपको यह भी बताना चाहूंगा कि मेरे असली नाम या कंपनी के नाम का खुलासा करने का कोई भी प्रयास आपके लिए सभी आवश्यक कानूनी उपायों को अपनाएगा।

अगर आपने उन्हें याद किया तो मैं मुख्य मूर्खता पर जोर दूंगा:

• वह यहां सबसे लंबे समय तक एक ऑडिटर के रूप में काम कर रहे हैं (वह या तो विचारों को पढ़ते हैं या यहां सभी पर जासूसी करते हैं)
• UNIX पर सादे पाठ में पासवर्ड सूचीबद्ध करना एक "मूल विशेषता" है
• पीसीआई अब सॉफ्टवेयर है
• लोगों को मंच पर सवाल नहीं पूछना चाहिए जब तक कि वे कुछ नहीं पूछते कि वे क्या पूछ रहे हैं।
• पत्रों द्वारा पुष्टि किए गए तथ्यों को पोस्ट करना बदनामी है

महान।

PCI संगठन ने पर्याप्त रूप से जवाब दिया और अब इस लेखा परीक्षक, उसकी कंपनी और उनके नियमों की बारीकी से जांच कर रहा है। हमारा सिस्टम सफलतापूर्वक पेपाल में चला गया है। मैं इस ऑडिटर के ऑडिट परिणामों के बारे में पीसीआई से जानकारी की प्रतीक्षा करूंगा - लेकिन यहां मुझे परेशान करता है। यदि उस कंपनी की ऐसी बाहरी आवश्यकताएं थीं, तो उनके आंतरिक समान आत्मा में थे। इसका मतलब है कि हमारे सभी ग्राहकों के सभी भुगतान बिना किसी एन्क्रिप्शन और सुरक्षा के स्पष्ट रूप से कहीं भी संग्रहीत किए जा सकते हैं। मुझे उम्मीद है कि पीसीआई की जांच आई को डॉट करेगी और उचित कार्रवाई की जाएगी।

मैं हमारे वकील के साथ ऑडिटर के नाम और कंपनी के नाम को प्रकाशित करने की संभावना को स्पष्ट करता हूं, और आप सभी व्यक्तिगत रूप से उनके साथ संवाद करने में सक्षम होंगे और समझाएंगे कि आप स्पष्ट पाठ में पासवर्ड की सूची प्राप्त करने के रूप में इस तरह के बुनियादी लिनक्स सुविधाओं को क्यों नहीं समझते हैं।

थोड़ा अद्यतन

हमारे वकील ने सलाह दी कि वे भागदौड़ न करें। खैर, विशिष्ट नाम दिए बिना, मैं सिर्फ इतना कहूंगा कि यह एक बड़ा प्रसंस्करण केंद्र नहीं है, इसके लगभग 100 ग्राहक हैं और यह बर्मिंघम, यूके में स्थित है।