Donc, quand les premiers "chimpanzés"[1] seront tous partis, les suivants utiliseront SSHProxy sans comprendre pourquoi (ou plutôt parce qu'ils n'auront dès lors plus aucun moyen de retrouver les mots de passe en question). Si l'entreprise en question a une incompatibilité entre le "turn-over" de ses employés et sa politique de sécurité, elle aura toujours un gros problème de gestion de ses ressources humaines à résoudre.
En fait quand je dis "si votre entreprise a une politique de sécurité incompatible avec le turn-over...", c'est à prendre au sens large, à savoir, pour être plus précis: "si votre entreprise a des clients en infogérence qui vous impose des contraintes de sécurité forte, notement en terme de turn-over...".
Et ça fonctionne aussi pour l'entreprise cliente qui désire externaliser la gestion de son parc, tout en gardant au maximum la main sur le contrôle des accès. Il lui suffit d'installer sshproxy pour offrir un accès unique et jounalisé à son fournisseur de service.
En bref, ce n'est pas forcément l'entreprise elle-même qui a un problème de ressources humaines, mais les différentes interactions entre entreprises ne sont pas toujours basées sur une confiance aveugle, surtout dans le domaine de la sécurité.
Pour finir, je préfère quand même l'utilisation des clés SSH pour identifier les utiliser voire si possible, de certificats SSL (en patchant OpenSSH, évidemment). Il est en effet plus facile de virer la clé (qu'on peut aussi stocker dans une base LDAP avec un autre patch pour OpenSSH) de l'employé qui nous quitte plutôt que devoir changer tous les mots de passe parce qu'on s'est quitté en mauvais termes.
Le problème des mots de passe, nous serons d'accord sur ce point, est qu'il faut modifier les machines distantes dont les mots de passe sont potentiellement compromis (par le turn-over pour la version paranoïaque).
Le problème des clés est presque pire que celui des mots de passe: non seulement il faut modifier la machine distante pour supprimer l'accès, mais en plus si on gère un gros parc, une clé compromise permet de se connecter sur l'ensemble des sites. À moins d'utiliser une clé différente pour chaque site, multiplié par le nombre d'utilisateurs, ça devient vite le cauchemard à gérer...
Le projet sshproxy essaie de proposer une solution élégante à ce casse-tête, tout en offrant d'autres fonctionnalités (futures) comme une base de données de scripts d'administration à distance, pour limiter encore plus les accès utilisateurs aux sites.
[^] # Re: Ça ne changera pas grand chose, en fait ;-)
Posté par David Guerizec . En réponse à la dépêche SSHproxy version 0.4 est dans les bacs. Évalué à 1.
En fait quand je dis "si votre entreprise a une politique de sécurité incompatible avec le turn-over...", c'est à prendre au sens large, à savoir, pour être plus précis: "si votre entreprise a des clients en infogérence qui vous impose des contraintes de sécurité forte, notement en terme de turn-over...".
Et ça fonctionne aussi pour l'entreprise cliente qui désire externaliser la gestion de son parc, tout en gardant au maximum la main sur le contrôle des accès. Il lui suffit d'installer sshproxy pour offrir un accès unique et jounalisé à son fournisseur de service.
En bref, ce n'est pas forcément l'entreprise elle-même qui a un problème de ressources humaines, mais les différentes interactions entre entreprises ne sont pas toujours basées sur une confiance aveugle, surtout dans le domaine de la sécurité.
Le problème des mots de passe, nous serons d'accord sur ce point, est qu'il faut modifier les machines distantes dont les mots de passe sont potentiellement compromis (par le turn-over pour la version paranoïaque).
Le problème des clés est presque pire que celui des mots de passe: non seulement il faut modifier la machine distante pour supprimer l'accès, mais en plus si on gère un gros parc, une clé compromise permet de se connecter sur l'ensemble des sites. À moins d'utiliser une clé différente pour chaque site, multiplié par le nombre d'utilisateurs, ça devient vite le cauchemard à gérer...
Le projet sshproxy essaie de proposer une solution élégante à ce casse-tête, tout en offrant d'autres fonctionnalités (futures) comme une base de données de scripts d'administration à distance, pour limiter encore plus les accès utilisateurs aux sites.