Newsgroup: it.comp.os.linux.sys
Titolo: Gestione password

Ciao a tutti.
Voi come gestite le password dei vari utenti? (non a livello di
sistema)
Le salvate su db, ldap, quelchevuoi cifrate in md5 e quindi ne perdete
completamente il controllo (se si dimenticano la password si può solo
resettare) oppure le salvate in maniera tale da poterla recuperare?
Il problema si presenta durante le assistenze, quando bisogna
effettuare determinate operazioni (magari con il cliente al telefono) e
bisogna entrare con il loro username....Chiedere la password tutte le
volte al cliente non è bello....ma nemmeno salvare le password in
chiaro o in maniera decifrabile non lo è......
Io le salvo criptate in md5 con salt, però il alcuni casi è molto
molto molto scomodo....tutte le volte bisogna chiamare il cliente.....

 sistema)
A parte che delle password dei vari utenti non me ne faccio nulla, e non 
so fino a che punto è lecito tenerne traccia...
Per le password che devo salvare da qualche parte uso 
http://keepass.info/
 , molto comodo perchè me le posso visualizzare 
anche sul palmare, quando sono in giro.

 similare, ed allora sei l'utente che esegue il processo.
Non mi riferivo alle password di sistema o di ordinaria amministrazione
sul server.
Faccio un esempio banale:
applicativo in php multiutente.
un utente segnala un errore che ad altri utenti non risulta, oppure noi
dobbiamo inserire a nome di quel utente determinate cose su di un sito.
Al momento la procedura è questa: login con le credenziali del cliente
ed inserimento dei dati sul sito.
in caso di problemi, login con le credenziali del cliente ed eseguiamo
la procedura passo passo come la fa solitamente il cliente per vedere
cosa effettivametne non funziona.
Il problema però è che le credenziali del cliente io le salvo sempre
in md5 con salt su db mysql.....di conseguenza al primo cambio password
da parte del cliente io non avrò più modo di entrare con le sue
credenziali.
Finchè si tratta di una problematica tecnica, posso eseguire la
procedura telefonicamente e quindi farmi dare le credenziali di volta
in volta....ma quando noi dobbiamo fare degli inserimenti al posto del
cliente stesso (che ovviamente è consapevole di tutto ciò) noi non
abbiamo la password di accesso e chiederla ogni volta non è molto
bello. Si pensava di salvare le password in chiaro (credo come faccia
aruba, dato che sa sempre la password in ogni momento) ma secondo me è
una pessima idea....

 E' per questo che ci sono i Log...
Log in un applicativo php difficilmente ci sono....

 chiaro o in maniera decifrabile non lo è......
Non vedo cosa ci sia di brutto salvarle in maniera cifrata (a parte i motivi 
di sicurezza, ma se uno arriva a quelle vuol dire che avrebbe anche il 
potere di reimpostarle anche se non fossero recuperabili).
Oltretutto sono proprio gli utenti a telefonare per chiederti "Ho perso la 
password...", anzi ti dirò di più: c'è chi ha chiesto che gli conservassimo 
le email per tot giorni, cosè se le perde (cosa non rara, i babbei sono 
tanti) e se ne accorge in tempo può richiamare per farsele rimandare una per 
una.
Nota bene, questo non è contro la privacy, sono proprio i proprietari di 
quei dati che l'hanno chiesto (evidentemente si sentono più tranquilli, una 
sorta di pseudo-backup delle email e delle password).
A conti fatti, meglio se le teniamo noi con qualche meccanismo di sicurezza 
piuttosto che scritte da loro su dei post-it appiccicati sul monitor.

 di posta o di ftp dove può salvarla nel client).
Concordo pienamente.

 Quindi il dilemma è: Password in chiaro o cifrate ad una via?
Non puoi fare una via di mezzo?
Tieni tutto cifrato, al momento di loggarti come l'utente X salvi la sua
password cifrata, modifichi la password da admin, accedi come utente con
la pwd nuova, e poi rimetti a posto la password che ti sei salvato
quando hai finito.
Mi pare fattibile, però potrebbe sfuggirmi qualcosa dato che non ho mai
fatto nulla del genere.
Gufo
-- 
  ,___,          Armageddon means never having to say you're sorry.
  (9v9)
  (_^((\                    .: May the owl be with you :.
-^-"-"-\\-^-                  
http://gufo.dontexist.org
 

 fatto nulla del genere.
E' fattibile man on bello.
La stessa password è usata per FTP, accesso ADSL ed altre cose.
Se io devo accedere con il suo utente, cambierei anche la password FTP
e quella di adsl (ed anche molte altre)... E se lui proprio in quel
momento volesse collegarsi ad internet o fare ftp sui suoi siti?