1 - cool j’ai un update a faire et je dois ressaisir le mot de passe ? ah ben je réinstalle tout histoire de perdre du temps sur XX serveurs. Et encore une fois Un responsable = avoir une personne qui peut ne pas etre là = un point unique d’echec = mauvais.



2 - CF point précédent. Une personne qui connait = mettre en danger son entreprise. Ne jamais faire sauf si on aime se tirer dans le pied.



3 et les suivants en fait : point unique d’echec = danger. Toutes les bonnes pointes d’informatiques le savent.



Pour les certificats il faut parfois l’installer en mode complet (ie avec clé privée) sur plusieurs serveurs, si jamais la manipulation automatisée se passe mal il faudra intervenir à la main si personne n’est capable d’obtenir la clé tu fiches en l’air ta production.

 

Les clés / comptes de soft : si le soft demande une authentification /ULTIMEFACEDESK. Aller juste un exemple : ferme de rendu. Ton compte permet de connaitre la facturation finale.

 

Et encore une fois j’ai l’impression qu’on me parlme de poste UTILISATEUR et non de serveur.

 

La mauvaise pratique c’est les tiennes. Je le redis, Personne et vraiment PERSONNE ne doit être irremplacable dans un service, il faut pouvoir donner accès à des personnes “autorisée” à certains services sans avoir à tout refaire à 0 et reparamétrer pendant des heures des comptes pour une personne. Ca marche pour les PMEs au dela c’est de la mauvaise gestion de DSI.

 

bon,  apparement tu aimes la gestion (débile arrièré et ayant 15 ans de retard MINI) à la Française, sans RUn, sans devops intercheangable, et sans gestion des risques.



Et pour revenir au débat : Avoir un serveur qui gère des requêtes REST plutôt qu’un fichier est

• Plus sécurisé (plus simple de limiter le nombre de tentative)
  


• Moderne
  
   - Permet de refaire ses propres sucouches sans se prendre la tête.

Aller la réponse en deux mots : Maintenance, imprévus.



Encore une fois dans une PME tu peux n’avoir qu’une personne qui le fait ca passera “avec de la chance et en serrant les fesses), un incident te demandera d’intervenir sur la machine et peut être avoir besoin de ces clés.



Update server ? Oui ce n’est pas à faire par n’importe qui par contre n’avoir qu’une personne avec le mot de passe alors que si tu ne mets pas à jour tu as possiblement une énorme faille de sécurité ? C’est de la négligence caractérisée niveau sécurité (aller un exemple : hearthbleed ?)



Installation des certificats je vais te donner un cas concret, Y a quelques semaines un fournisseur de certificat à fait de la grosse merde niveau certificats intermédiaire certains softs linux avait complétement invalidé leurs certificats et demandait de réinstaller (avec clé privé) leurs certificats. Si t’as pas la clé tu fais comment ? tu laisses tes clients une semaine en rade le temps que l’admin revienne ? Tu réinstalles tout et provoque des coupures de deux heures ?



Oui ça ne se fait pas n’importe comment néanmoins dire que c’est MAL que ça ne devrait pas exister, c’est ne pas avoir conscience de ce qu’est un Point Individuel De Défaillance et à quel point cela peut mettre à mal ton business et c’est aussi faire la très française politique de l’autruche.



 Pour revenir sur le sujet avoir une solution de gestion de ces informations critiques et de leur transmission et mise à jour est vitale pour les boites qui ont des services informatiques importants et gèrent de très très nombreuses machines. Et on se dirige vers une démultiplication des serveurs / Vms très rapidement avec le cloud. Keepass qui proposerait une version “serveur” (payant au besoin) que tu peux héberger sur tes propres serveurs (inaccessibles à extérieurs) avec chiffrement des mots de passe de la db via clé machine + API serait une bonne évolution.

Personnellement le premium je l’avais surtout pour le support yubikey :)



 

Justement j’utilise des mots de passe forts (générés) et last pass est une très bonne solution pour ça. ET surtout c’est sécurisé car cela utilise de la vrai double authentification.



J’utilise keepass tous les jours au boulot et on hurle assez souvent sur les limites, hébergés sur une solution de cloud et demander au cloud de gérer la double authentification est une erreur. pareil tu ne peux pas gérer un “partage” de quelques mots de passe (exemple un mot de passe administrateur fort sur un serveur) et si tu v eux faire des modifications en meme temps qu’un autre c’est juste la joie pour perdre les mots de passe.



Bref je le redis. Une solution propre avec possibilité de requêtes rest sans passer par un hébergement typé fichier est une vrai solution. la keepass c’est bien pour le stockage perso et local .



Et pour information même si ton fichier est chiffré ton mot de passe reste statique dessus (et il y a 0 protections du nombre d’esai). donc s’il n’est pas TRES fort, vu que c’est un fichier en local cela se craquera un jour. Tu peux même le distribuer sur XXX machines pour diminuer le temps de recherche, après tout le parc de zombie disponible devrait pouvoir rendre ça trivial. Par contre si une des clé”s change toutes les 30s cela devient impossible.

 

Je le redis keepass sort une solution qui permet d’héberger chez soit un serveur avec vrai double auth, cela deviendra la solution du marché

Aller quelques exemples sur des serveurs :

• Comptes de services (parce que non tes comptes de service tu ne laisses pas les services en “root” si tu fais de la sécurité)
  


• Comptes de communication avec services externes
  


• Comptes Administrateurs (non personne ne devrait les utiliser mais parfois il y a besoin)
  


• Clés de chiffrements
  


• Clés de certificats
  


• Clés / compte de de soft
  
  
  
  etc
  
   

Et si l’admin est malade, en vacances, remercié ?



Et ne parle pas de compte UTILISATEUR merci…