Passwort Datenbank (Safe) mit Softwarezertifizierung

[snore]

Hallo,
bin auf der Suche nach einer Lotus-Notes-Passwort-Safe-Datenbank für ein Unternehmen mit ca. 500 Mitarbeitern.
Das Produkt, sollte eine sicherheitstechnische Zertifizierung beinhalten.

Vielen Dank für Ihre/Eure Vorschläge...

Gruß
snore

[Pfefferminz-T]

Zertifizierung von wem?

IDVault?

Gruß,
Pfefferminz-T

[rambrand]

Hi Snore,

wenn ich sicherheitstechnische Zertifizierung höre, denke ich immer an FIDUCIA.
Seid ihr an dem Verein angeschlossen?

An was denkst Du da genau? Trennung Notes-Passwort/ID um den Zugriff auf die ID und das Passwort durch den Admin zu verhindern?
Wir haben hier ein Tool im Einsatz, das die Benutzeranlage und Startpasswort-Vergabe trennt. Wir als Admins haben nur Zugriff auf die ID-Dateien.
Das Passwort wird automatisch erstellt und liegt der Personalabteilung vor. Dieses wird von denen dann an den Mitarbeiter übergeben. Gleichzeitig hat die Perso keinen Zugriff auf die ID-Dateien.

Bye,
Markus

[snore]

Hallo,
Danke soweit - das mit dem Verein stimmt....

Aber sorry - ich habe mich nicht deutlich genug ausgerückt!
Ich suche kein Tool, um die Notes-ID's zu schützen (hier haben wir die ID-Vault),
sondern eine DB für alle User der Bank, um alle möglichen persönlichen Passwörter dort
ablegen zu können. Also ein "sicherer" Passwort-Safe für alle Mitarbeiter/-innen.
Danke
snore

[WildVirus]

Wir haben zwar Notes im Einsatz, nutzen dafür aber KeePass. Wobei keiner nach einem Zertifikat etc. gekräht hat.

[rambrand]

Hi Snore,

ok, das wird jetzt etwas offtopic.

Ich nutze privat auch KeePass, habe das auch noch gesynct mit meinem Smartphone, damit ich auch von unterwegs an meine Dienste komme.
Hier nutze ich die Funktion der Passwortgenerierung von KeePass. Ich kenne meine Passwörter i.d.R. überhaupt nicht, da es bis zu 32 Zeichen (Zahlen, Groß-/Kleinbuchstaben, Sonderzeichen) sind. Die Datenbank habe ich natürlich in mehreren Versionen jeweils auf meinem PC, Smartphone, der Cloud und meiner NAS.

Nur, im FIDUCIA-Umfeld fliegt Dir das bei der nächsten IT-Prüfung um die Ohren.

Wer seine Passwörter in den ganzen Systemen nicht auf die Reihe bekommt, nimmt sicherlich für den Passwort-Safe kein besonders sicheres Passwort.
Und dann öffnen sich für den Unbefugten sämtliche Passwörter zu Systemen, die von sich aus ein sichereres Passwort erfordern, durch die Eingabe eines simplen Passworts.

Zudem wird der Benutzer faul. Er merkt sich die Passwörter der Systeme nicht mehr. Geht die Passwortdatenbank flöten oder er vergisst das Passwort seines Safes, dann ist er in allen Systemen gesperrt.

Das nächste Problem sind die Datenbanken der Passwort-Safes. Entweder Du kaufst ein teures Tool, das mit einer richtigen Datenbank arbeitet, oder Du nimmst die "Billig-"Variante, die eine dateibasierte Datenbank lokal ablegen. Jetzt musst Du dafür sorgen, dass diese Datenbank immer dort ist, wo der Benutzer ist.

Ich halte von Passwort-Safes im Unternehmensumfeld nicht viel. Im Privatbereich finde ich die gut.

Bye,
Markus

[cebolina]

Nur, im FIDUCIA-Umfeld fliegt Dir das bei der nächsten IT-Prüfung um die Ohren.

Warum?

Ich gehöre auch zu dem "Verein" und nutze seit Jahren "Password Safe" von Bruce Schneier https://www.schneier.com/passsafe.html
Man kann eine "portable" Version downloaden, die ohne Installation mit einfachem Aufruf der exe-Datei funktioniert:
http://sourceforge.net/projects/passwordsafe/files/passwordsafe/

Gruß Stefan

[shiraz]

schau mal hier rein:

http://sw-guide.de/lotus-notes-domino/password-database/

[Pfefferminz-T]

Oder hier:

http://www.openntf.org/main.nsf/project.xsp?r=project/assono%20Password-Safe

[rambrand]

Hallo Stefan,

Nur, im FIDUCIA-Umfeld fliegt Dir das bei der nächsten IT-Prüfung um die Ohren.

Warum?

Weil Du damit die Sicherheit aufweichst. Wir hatten da schon Diskussion mit Prüfern und ISO-Auditoren.

Wobei die Notes-Datenbanken, vor allem die aus OpenNTF, schon was hergeben. Wenn sie denn richtig eingerichtet ist, also Zugriff nur vom Ersteller und nur mit Secret-Key.
Aber da sehe ich immernoch das Risiko, ID-Datei leicht abgreifbar (liegt zumindest bei uns lokal auf der Platte) und schlecht gewähltes Notes-Passwort.

Bevor ich jetzt aber einen Verweis bekommen, weil das zu sehr abdriftet, wir können uns da auch auf anderer Basis austauschen.
Nenn mich von mir aus auch paranoid, aber ich arbeite auch viel im Bereich Informationssicherheit, da wird man so :-)

Bye,
Markus

[snore]

Hallo "Kollegen",
vielen Dank für Eure Antworten....

Die "alte-offene" assono-DB, haben wir ebenfalls bereits im Einsatz. Mir liegt hier ein aktuelles Angebot für die lizenzpflichtige neueste Version + eine Art "Zertifizierung" vor. Alle weiteren genannten Alternativen sind auch nicht 100%ig!
Ich werde mich vermutlich für "assono" entscheiden...
Danke
snore