Hi @ all,

Ich habe ein ganz einfaches Problem: Der IT-Guy einer Niederlassung unseres Unternehmens hat von sich aus das Mailsystem von Exchange nach Notes umgestellt. Gleich danach hat er einen Herzinfarkt erlitten und steht nicht mehr zur Verfügung, an das Passwort für die cert.id kann er sich auch nicht mehr erinnern.

Als dann nach einer Zeit die DV-Systeme aus dem Ruder gelaufen sind, hat der Niederlassungsleiter angefangen um Hilfe zu rufen, es sind dann auch welche aus der Zentrale hin. Da haben die dann erstmal das Ausmass des Problems erkannt. Unter anderem wurde bis dato auch immer die cert.id zum registrieren neuer User benutzt, andere Zertifizierungs-ID´s gibt es nicht...  

Besteht die Möglichkeit, das PW für die cert.id rauszukriegen? Wird das irgendwo im Notes gesichert? Oder könnte man eine entsprechende id re-kreieren? Admin-Zugang haben wir noch, vielleicht hilft das ja...

Vielen Dank schon mal,

Micha

Man könnte mittels Hypnose versuchen, das Passwort aus dem netten Guy rauszukriegen - das geht warscheinlich schneller, als es zu knacken.

Wenn alle User direkt mit der Cert-ID zugelassen wurden, so muss doch das Passwort immer wieder eingegeben werden. Daher glaube ich nicht, dass er es nicht mehr weiß.
Da aber derjenige nicht als sehr vertrauenswürdig eingestuft werden kann, solltet Ihr das ganze Unternehmen komplett neu zertifizieren. Das ist zwar u.U. eine Menge Arbeit, aber sischär is sischär wie de Maddin immer sagt.

Da ihr jetzt wißt, was alles passieren kann, empfehle ich folgendes:
- 4-Augen-Prinzip für die Cert-ID
- Passwort wird im Safe hinterlegt (bei der Revision oder dem Datenschutzbeauftragten)
- grundsätzlich OU-Certifier verwenden
- OU-Certifier für Server und Personen trennen
- ggf. auch 4-Augen-Prinzip für die OU-IDs (mindestens für die Server)

Andreas

Glombi:
Schon klar - bis auf das 4-Augen-Prinzip wird der Rest auch eingehalten.

dann: Hole das Passwort aus dem Safe  

Wann wurde die Migration von Exchange nach Notes gemacht?
Wieviele User und Server gibt es?
Verwenden die User Verschlüsselung bei Mails?
Werden Codierungsschlüssel verwendet?

Sag mal an, dann kann man entscheiden, was der richtige Weg wäre.

Das Passwort kann man mittels Brute Force evtl. knacken, das kann aber Jahre dauern.

Andreas

Na, dann ist ja wohl nicht wirklich eine Situation entstanden, die Probleme verursachen könnte.  Trotzdem sollte man da mit einer sorgfältigen Planung in Anlehnung an die Vorschläge von Andreas eine geordnete Infrastruktur herstellen. Alles andere schreit später nach echten Problemen. Eigentlich ein Glück für Euch, dass dies so passiert ist.

Micha, vergiss diesen Weg - es lohnt den Aufwand nicht. Die Jungs und Mädels von Iris haben auf diesem Gebiet wirklich ganze Arbeit geleistet ...

Bernhard

PS: Eventuell (!) könnte man einem kommerziellen Brute Force-Programm - genügend Rechenleistung bei Euch vorausgesetzt - eine Chance geben. Wie gesagt - eventuell, ich habe da auch noch nichts von brauchbaren Sachen gehört - sowas wäre ja fix rum in der Szene ;-)

Ich sehe schon, ich werde wohl um eine neue Domäne nicht herumkommen...

Was ich noch nicht verstanden habe - wie war der Vorschlag von Semeaphoros gemeint:
"...Da gehört so rasch wie möglich ein Spezialist auf Platz, der möglichst rasch entweder eine Rezertifizierung mit neuer Cert-ID versucht oder aber die IDs allesamt neu ausstellt und verteilt...."?

Gruß Micha

Andreas, ich werde das dumpfe Gefühl nicht los, dass es nur eine einzige Certifier ID gibt - nix mit OUs ...

Bernhard

Micha

Das sind Sachen, die in die Hand eines Spezialisten gehören.

Warum?
Da hängt die ganze Sicherheit dran
Da hängt dran, ob die Infrastruktur problemlos erweiterbar und pflegbar ist.

Das braucht ein sauberes Konzept, das mal für die nächsten Jahre ausreicht und auch nicht zu wackeln beginnt, wenn eine Person im Krankenhaus liegt. Definitiv nichts für eine Bastelei.

Uebrigens, eine neue Domäne braucht das nicht, das hat damit nix zu tun.

51 Sekunden vorher sagte Micha schon: "Bescheid !"

 
Bernhard