Tres bon article a ce sujet : http://blog.blaisethirard.com/creez-et-memorisez-des-mots-de-passe-complexes...

Le 31 mars 2014 10:06, Stephane Naurou stephane.naurou@gmail.com a écrit :

Bonjour

Nous souhaitons mettre en place une stratégie de mot de passe un peu plus propre que ce que nous avons aujourd'hui. ( :) je ne détaille pas :) )

A savoir des mots de passe admin locaux, root, mots de passe de routeurs, switchs , etc .. : différents avec une fréquence de rotation "raisonnable" suffisamment complexes

La question est : quelles sont les bonnes pratiques pour stocker ou mémoriser ces mots de passe. Si j'en ai trop et trop complexes , je ne peux pas les mémoriser ( je ne suis qu'un humble humain ), je dois les stocker. Mais où ? Comment ? S'ils trop simples ou tous sur le même schéma mnémotechnique , la sécurité sera probablement insuffisante.

Comment à la fois répondre aux besoins ci-dessus sans etre obligé de recourir au fichier excel sécurité zéro pour y accéder. Est-ce possible d'imaginer un système suffisamment mnémotechnique sans être trop simpliste ?

Je pense que vous êtes tous confrontés à ce problème.

J'aimerais bien avoir vos retours, connaitre vos us et coutumes...

Merci d'avance.

---

Liste de diffusion du FRsAG http://www.frsag.org/

Bonjour,

Je pense qu'une solution alternative intéressante serait d'utiliser un gestionnaire de mot de passe comme KeePass par exemple:

http://keepass.info/

La base de données est protégée par un mot de passe "master", voire un fichier clé qu'il est possible de changer régulièrement. Un générateur de mot de passe est intégré au soft.

My 2 cents,

Franck

Le 31 mars 2014 10:06, Stephane Naurou stephane.naurou@gmail.com a écrit :

Bonjour

Nous souhaitons mettre en place une stratégie de mot de passe un peu plus propre que ce que nous avons aujourd'hui. ( :) je ne détaille pas :) )

A savoir des mots de passe admin locaux, root, mots de passe de routeurs, switchs , etc .. : différents avec une fréquence de rotation "raisonnable" suffisamment complexes

La question est : quelles sont les bonnes pratiques pour stocker ou mémoriser ces mots de passe. Si j'en ai trop et trop complexes , je ne peux pas les mémoriser ( je ne suis qu'un humble humain ), je dois les stocker. Mais où ? Comment ? S'ils trop simples ou tous sur le même schéma mnémotechnique , la sécurité sera probablement insuffisante.

Comment à la fois répondre aux besoins ci-dessus sans etre obligé de recourir au fichier excel sécurité zéro pour y accéder. Est-ce possible d'imaginer un système suffisamment mnémotechnique sans être trop simpliste ?

Je pense que vous êtes tous confrontés à ce problème.

J'aimerais bien avoir vos retours, connaitre vos us et coutumes...

Merci d'avance.

---

Liste de diffusion du FRsAG http://www.frsag.org/

Bonjour,

Le 31/03/2014 10:06, Stephane Naurou a écrit :

[…] Nous souhaitons mettre en place une stratégie de mot de passe un peu plus propre que ce que nous avons aujourd'hui. ( :) je ne détaille pas :) ) […]

Comme d'autres le proposent: j'utilise des trousseaux keepassx pour y stocker les mots de passe, un trousseau par service, types d'accès, fonctionnalités ou autres.

Personnellement, j'utilise http://www.slis.fr/mot-de-passe pour générer les mots de passe, comme ça je peux quand même retenir ceux que j'utilise souvent (messagerie, outils utilisés au quotidien…). Attention, il y a un troll de sécurité caché sur cette page web. :) Le code est sur http://git.ac-grenoble.fr/?p=carmii-sysadmin/password-generator.git;a=summary .

Pour le travail en équipe, on utilisait un fichier texte chiffré accessible avec nos clés GPG respectives et une extension vim sur nos postes pour accéder et modifier facilement ce fichier. J'aimais bien le fait que ce soit un fichier plat présent à un seul endroit avec une clé différente pour chaque utilisateur. Il faut savoir utiliser GPG et vim, ce qui n'est pas le cas de tous les utilisateurs.

Attention au sauvegardes: c'est pas du niveau des clés ssh ou GPG, mais personnellement j'aime pas trop voir les trousseaux copiés un peu partout. C'est pas très important parce que c'est chiffré et protégé par clé, mais ajouter un mot de passe sur la mauvaise version du trousseau peut effacer d'autres mots de passe…et inversement un ancien employé qui part avec une copie du trousseau et faut tout refaire (voir la discussion « liste des mots de passe à changer si on vous vole votre laptop »).

Et oublies pas de partager ce que vous aurez choisi (maintenant et/ou après un temps d'utilisation ;) ) !

@+

Bonjour.

Premiere participation sur la liste !

On 31/03/2014 10:06, Stephane Naurou wrote:

Bonjour

Nous souhaitons mettre en place une stratégie de mot de passe un peu plus propre que ce que nous avons aujourd'hui. ( :) je ne détaille pas :) )

A savoir des mots de passe admin locaux, root, mots de passe de routeurs, switchs , etc .. : différents avec une fréquence de rotation "raisonnable" suffisamment complexes

La question est : quelles sont les bonnes pratiques pour stocker ou mémoriser ces mots de passe. Si j'en ai trop et trop complexes , je ne peux pas les mémoriser ( je ne suis qu'un humble humain ), je dois les stocker. Mais où ? Comment ? S'ils trop simples ou tous sur le même schéma mnémotechnique , la sécurité sera probablement insuffisante.

Comme certains ici, nous utilisons des fichiers chiffres accessibles par clef GPG. L'inconvenient majeur que je trouve a cette solution est l'utilisation a plusieurs niveau d'utilisateurs (Admin > Support). Cela implique de creer 2 fichiers. Si une modification est faite sur l'un, il faut la repercuter sur l'autre. Pour la generation de mot de passe, plusieurs outils sont disponibles sous linux (pwgen, apg...).

Comment à la fois répondre aux besoins ci-dessus sans etre obligé de recourir au fichier excel sécurité zéro pour y accéder. Est-ce possible d'imaginer un système suffisamment mnémotechnique sans être trop simpliste ?

Je pense que vous êtes tous confrontés à ce problème.

J'aimerais bien avoir vos retours, connaitre vos us et coutumes...

Merci d'avance.

---

Liste de diffusion du FRsAG http://www.frsag.org/

My 2 cents