Sicherheit der User-ID-Files

[muenzpraeger]

Hallo!

Ich 'streite' mich gerade etwas mit unserem betrieblichen Sicherheitsbeauftragten.

Er stellt die Sicherheit einer User-ID-File insofern in Frage, als dass es gewisse externe Programme gibt, die diese 'knacken' können. Soweit ich weiß, gibt es ja das ein oder andere BruteForce/Dictionary-Tool....aber das nenne ich ja nicht 'richtig' knacken. Er meint eher etwas à la "Button anklicken und das Passwort erscheint direkt im Klartext" oder "Button anklicken und das Passwort ist neu gesetzt". So etwas ist allerdings aus meiner Sicht Humbug.

Wie seht Ihr das? Könnt Ihr mir ggf. Links auf entsprechende Artikel/Literatur im Web an die Hand geben, damit ich dies entsprechend entkräften kann.

Weiterhin habe ich in der ServerConfig auch aktiviert, dass das Notes-Passwort überprüft wird. Somit könnte mit einer entwendeten ID auch kein Unfug getrieben werden...

Grüße,
Münzpräger

[blizzard]

ist bei notes soweit ich weiss nicht möglich. Dafür müsste schon eine Sicherheitslücke im code gefunden werden und auch ausgenutzt werden. Klar mit Bruteforce bekomm ich früher oder wohl eher später das passwort raus. Aber das ist ja bei allem so.

[MOD]

Er stellt die Sicherheit einer User-ID-File insofern in Frage, als dass es gewisse externe Programme gibt, die diese 'knacken' können.

Dann soll dein betrieblicher Sicherheitsbeauftragter dieses doch einmal vorführen.
Ich finde es eine enorme Verschwendung von Arbeitsleistungen, aufgrund von Vermutungen irgendwelche Dokumentationen zu suchen, zu erstellen oder zu konzipieren.

 

[tttonic]

Dann soll dein Sicherheitsbeauftragter das Tool doch einfach mal bereitstellen.

Wir lachen dann alle gemeinsam 

ps.

Wieder jemand der Behauptungen raushaut.

[koehlerbv]

AFAIK wird das Passwort überhaupt nicht gespeichert. Insofern wäre die "Anzeige des Passworts im Klartext" eh ad absurdum geführt.

Bernhard

[m3]

Eventunnel ist er über dieses Tool gestolpert: http://www.lostpassword.com/lotus-notes.htm

Das Teil geht halt davon aus, dass man Passwörter wie "Barbara" oder "nitram" hat.

Hat sich der Hr. Sicherheitsbeauftragte eigentlich schon hinsichtlich der verwendeten Passwörter Gedanken gemacht (ein kleiner Dictionary Attack auf das Windows AD/SAM-DB offenbart da oft Grausiges).

[m3]

"Button anklicken und das Passwort ist neu gesetzt".

Eventunnel verwechselt er Notes-ID und Internet-Passwort?

[blizzard]

hmm nen tollen sicherheitsbeauftragten habt ihr da, wenn der nicht mal grundlegende dinge weiss. Wohl eher ein Wichtigtuer mit wenig Peilung, oder?

[Wolfgang]

Tach zusammen,

bevor auf dem armen Sicherheitsbeauftragten zu sehr rumgehackt wird, sollte man nicht vergessen, daß der möglicherweise für sämtliche Bereiche gleichzeitig zuständig ist.

Neben Notes vielleicht noch für Windows, Unix, zOS, Firewall, Proxy, SAP, Leitungsverschlüsselung und nebenher vielleicht noch für rechtliche Aspekte, Bestimmungen bzgl. Notausgängen, Feuerschutz usw.. Ein Mensch alleine kann da niemals auf jedem Gebiet Fachmann sein. Es ist vermutlich seine Aufgabe, jedem Verdacht nachzugehen und für die jeweiligen Fachleute manchmal vielleicht auch blöd klingende Fragen zu stellen. Anhand unsicherer/unplausibler Antworten wird er schon merken, ob er sich damit näher befassen muß.
Alles auf jedem Gebiet wird auch der Sicherheitsbeauftragte nicht finden können. Ein verantwortlicher Fachmann wird jedoch zuvor schon versuchen, auf seinem Spezialgebiet alle Lücken dicht zu machen. Das ist schließlich auch seine Aufgabe. Nur ... ein Sicherheitsbeauftragter kann sich darauf nicht verlassen und vermutlich aus Erfahrung.

Gruß
Wolfgang

[matze79]

Nochmal kurz zu dem Thema ID-Passort: Es gibt genau genommen keines.

Die ID ist mit einem Key verschlüsselt. Wenn man korrekten Key (Passwort) eingibt, werden die Zertifikate innerhalb der ID nutzbar. Die Authentifizierung am Server wird dann anhand der Zertifkate realisiert. Die Komplexität des Keys kannst du per Policy bestimmen.

Anders verhällt es sich beim Internet-Passwort. Hier steht im Personendokument wirklich ein Hash. Ähnlich wie bei AD, SAP etc.