質問: 私たちのセキュリティ監査人はばかです。彼が欲しい情報を彼にどのように与えるのですか? サーバーのセキュリティ監査人は、2週間以内に次のことを要求しました。 すべてのサーバー上のすべてのユーザーアカウントの現在のユーザー名とプレーンテキストのパスワードのリスト 過去6か月間のすべてのパスワード変更のリスト(これも平文) 過去6か月間に「リモートデバイスからサーバーに追加されたすべてのファイル」のリスト sshキーの公開キーと秘密キー ユーザーがパスワードを変更するたびに送信される、プレーンテキストのパスワードを含むメール ldap認証を使用してred hat linux 5/6およびcentos 5ボックスを実行しています。私の知る限り、このリストのすべてを取得することは不可能または非常に困難ですが、この情報を提供しないと、移行期間中に支払いプラットフォームへのアクセスを失い、移行期間中に収入を失うことに直面します。新しいサービス。この情報を解決または偽造する方法に関する提案はありますか?すべてのプレーンテキストのパスワードを取得するために私が考えることができる唯一の方法は、全員にパスワードをリセットしてもらい、パスワードの設定をメモすることです。これは過去6か月のパスワード変更の問題を解決しません。そのようなものを遡及的にログに記録することはできないため、すべてのリモートファイルのログにも同じことが言えます。ユーザーとコンピュータは数人しかいないので、(厄介ではありますが)すべての公開sshキーと秘密sshキーを取得できます。これを行う簡単な方法を見逃していない限り?彼が求めていることは不可能だと何度も説明しました。私の懸念に応えて、彼は次のメールで返信しました: 私はセキュリティ監査で10年以上の経験があり、redhatのセキュリティメソッドを完全に理解しているので、何が可能で何が不可能であるかについての事実を確認することをお勧めします。この情報を入手できる企業はないと言っていますが、私はこの情報がすぐに利用できる状態で何百もの監査を実施しました。すべての[一般的なクレジットカード処理プロバイダー]クライアントは、新しいセキュリティポリシーに準拠する必要があります。この監査は、これらのポリシーが正しく実装されていることを確認することを目的としています*。 *「新しいセキュリティポリシー」は監査の2週間前に導入され、ポリシー変更前の6か月の履歴ログは不要でした。要するに、私は必要です。 6か月分のパスワード変更を "偽装"して有効に見せるための方法 6か月の受信ファイル転送を "偽装"する方法 使用されているすべてのssh公開鍵と秘密鍵を収集する簡単な方法 セキュリティ監査に失敗すると、カード処理プラットフォーム(システムの重要な部分)にアクセスできなくなり、別の場所に移動するには2週間ほどかかります。私はどのくらいねじ込まれていますか?アップデート1(土23日)すべての回答に感謝します。これが標準的な方法ではないことを知って、私は非常に安心しています。私は現在、状況を説明する彼への私の電子メール応答を計画しています。多くの方が指摘したように、プレーンテキストのパスワードにアクセスする方法はないと明示的に規定しているpciに準拠する必要があります。書き終えたらメールでお知らせします。残念ながら彼は私たちをテストしているだけではないと思います。これらは現在、同社の正式なセキュリティポリシーに含まれています。しかし、私はホイールを動かして、当面の間、それらから離れてpaypalに移動するようにしました。アップデート2(土23日)これは私が作成したメールですが、追加/削除/変更するための提案はありますか? [名前]様 残念ながら、主にプレーンテキストのパスワード、パスワードの履歴、sshキー、リモートファイルログなど、要求された情報の一部を提供する方法はありません。これらのことは技術的に不可能であるだけでなく、この情報を提供できることは、pci標準に対する違反であり、データ保護法の違反となります。 pci要件を引用すると、 8.4強力な暗号化を使用して、すべてのシステムコンポーネントでの転送および保存中に、すべてのパスワードを判読不能にします。 私たちのシステムで使用されているユーザー名とハッシュ化されたパスワードのリスト、ssh公開鍵と承認済みホストファイルのコピーを提供できます(これにより、サーバーに接続できるユニークユーザーの数と暗号化を決定するための十分な情報が得られます使用された方法)、パスワードのセキュリティ要件およびldapサーバーに関する情報ですが、この情報はサイト外に持ち出されることはありません。 pciとデータ保護法に準拠しながら、現在この監査に合格する方法はないため、監査要件を確認することを強くお勧めします。 よろしく、 [私] 私は会社のctoおよびアカウントマネージャーでccを担当します。ctoがこの情報が利用できないことを確認できることを望んでいます。また、pci security standards councilに連絡して、彼が私たちに何を求めているかを説明します。アップデート3(26日)交換したメールは次のとおりです。re:私の最初のメール。 説明したように、この情報は、適切に管理されたシステムで、有能な管理者が簡単に利用できるようにする必要があります。この情報を提供できなかったため、システムのセキュリティ上の欠陥を認識しており、それらを明らかにする準備ができていないと思います。私たちの要求はpciガイドラインに沿っており、どちらも満たすことができます。強力な暗号化とは、ユーザーがパスワードを入力するときにパスワードを暗号化する必要があるだけで、後で使用できるように回復可能な形式に移動する必要があることを意味します。 これらのリクエストにはデータ保護の問題はありません。データ保護はビジネスではなく消費者にのみ適用されるため、この情報に問題はありません。 ただ、何、私、できない、さえ... 「強力な暗号化とは、ユーザーが入力するときにパスワードを暗号化する必要があるだけで、後で使用できるように回復可能な形式に移動する必要があることを意味します。」 それを額に入れて壁に貼ります。私は外交的であることにうんざりして、私が得た応答を彼に示すためにこのスレッドに彼を導きました: この情報を提供することは、pciガイドラインのいくつかの要件に直接矛盾します。私が引用したセクションには、storageとさえ書かれています(ディスク上のデータを格納する場所を示しています)。私はserverfault.com(sys-admin専門家向けのオンラインコミュニティ)で議論を始めましたが、これは大きな反響を呼んでおり、この情報を提供できないことを示唆しています。自由に読んでください https://serverfault.com/questions/293217/ システムの新しいプラットフォームへの移行が完了しました。翌日ほどでアカウントはキャンセルされますが、これらのリクエストがどれほどおかしいかを理解していただき、pciガイドラインを正しく実装している企業はありません。この情報を提供できる。どの顧客もこれに準拠できないはずなので、セキュリティ要件を再考することを強くお勧めします。 (私は実際に彼がタイトルで馬鹿と呼ばれたことを忘れていましたが、言及したように、私たちはすでに彼らのプラットフォームから離れたので、本当の損失はありません。)そして彼の反応で、彼は明らかにあなたが話していることを誰も知らないと言っています: これらの回答と元の投稿を詳しく読んだところ、回答者全員が事実を正しく理解する必要があります。私はそのサイトの誰よりも長い間この業界にいます。ユーザーアカウントのパスワードのリストを取得することは信じられないほど基本的です。これは、システムを保護する方法を学ぶときに最初にすべきことの1つであり、安全なシステムの操作に不可欠です。サーバ。この単純なことを行うスキルが本当に不足している場合は、サーバーにpciがインストールされていないことを想定します。これは、この情報を回復できることがソフトウェアの基本要件であるためです。セキュリティのようなものを扱うとき、それがどのように機能するかについての基本的な知識がない場合は、公開フォーラムでこれらの質問をするべきではありません。 また、私または[会社名]を明らかにしようとする試みは名誉毀損と見なされ、適切な法的措置が講じられることをお勧めします あなたがそれらを逃した場合の重要な馬鹿げたポイント: 彼はここにいる誰よりも長い間セキュリティ監査人でした(彼は推測している、またはストーカーしている) unixシステムでパスワードのリストを取得できることは「基本」です pciは現在ソフトウェアです セキュリティについて確信がない場合は、フォーラムを使用しないでください。 事実情報(メールの証拠があります)をオンラインでポーズすることは名誉毀損です 優秀な。pci sscは対応し、彼と会社を調査しています。ソフトウェアがpaypalに移動したため、安全であることがわかります。 pciが最初に返ってくるのを待つつもりですが、内部でこれらのセキュリティプラクティスを使用しているのではないかと少し心配しています。もしそうなら、私たちのすべてのカード処理がそれらを通過したので、それは私たちにとって大きな懸念であると思います。もし彼らが内部でこれを行っていたなら、私がするべき唯一の責任のあることは私達の顧客に知らせることだと思います。pciが会社やシステム全体を調査するのがどれほど悪いことかがわかるといいのですが、よくわかりません。それで、私たちは彼らのプラットフォームから離れました、そしてそれがpciが私に戻るまで少なくとも数日になると仮定して、彼を少し荒らす方法についての独創的な提案はありますか? =)法務担当者から許可を取得したら(これが実際に名誉毀損であるとは非常に疑っていますが、再確認したいと思います)、会社名、氏名、電子メールを公開します。すべてのldapユーザーのパスワードのリストを取得する方法など、linuxのセキュリティの基本を理解していない理由。少し更新:私の「法務担当者」は、会社がおそらく必要以上の問題を引き起こすことを明らかにすることを提案しました。ただし、これは主要なプロバイダーではなく、このサービスを使用するクライアントは100未満です。私たちは当初、サイトが小さく、小さなvpsで実行されていたときにそれらを使用し始めましたが、pciを取得するためのすべての作業をやりたくありませんでした(以前はpaypal standardなどのフロントエンドにリダイレクトしていました)。しかし、直接処理カード(pciの取得や常識を含む)に移行したとき、開発者たちは同じ会社を別のapiで使い続けることにしました。同社は英国のバーミンガム地域に拠点を置いているため、この地域の誰も影響を受けることはないと思います。
回答: まず、降伏しないでください。彼はバカであるだけでなく、危険なほど間違っている。実際、この情報を公開するとviolate pci標準(これは支払いプロセッサなので監査が目的であると私が想定しているもの)だけでなく、他のすべての標準とまったく同じ常識です。それはまたあなたの会社をあらゆる種類の責任にさらすでしょう。次に行うことは、上司にメールを送信して、このアクションを進めることによって会社が直面する法的リスクを判断するために企業顧問を関与させる必要があるということです。この最後のビットはあなた次第ですが、[〜#〜] i [〜#〜]はこの情報をvisaに連絡し、pci監査ステータスを取得します。