30
我们的安全审核员是白痴。我如何给他他想要的信息？
我们服务器的安全审核员在两周内要求以下内容： 所有服务器上所有用户帐户的当前用户名和纯文本密码的列表 过去六个月中所有密码更改的列表，再次为纯文本 过去六个月中“从远程设备添加到服务器的每个文件”列表 任何SSH密钥的公钥和私钥 每当用户更改密码时，都会向他发送一封电子邮件，其中包含纯文本密码 我们正在运行具有LDAP身份验证的Red Hat Linux 5/6和CentOS 5盒。 据我所知，该清单上的所有信息都是不可能获得或难以置信的，但是，如果我不提供此信息，我们将面临过渡到支付平台的过程，并在过渡期间失去收入。新服务。关于如何解决或伪造此信息的任何建议？ 我想获得所有纯文本密码的唯一方法是，让所有人重置密码并记下密码。这不能解决过去六个月的密码更改问题，因为我无法追溯性地记录此类内容，记录所有远程文件也是如此。 由于我们只有几个用户和计算机，因此可以获取所有公共和私有SSH密钥（尽管很烦人）。除非我错过了一种更简单的方法？ 我已经多次向他解释过他所要求的事情是不可能的。针对我的担忧，他回复了以下电子邮件： 我在安全审核方面拥有10多年的经验，并且对redhat安全方法有充分的了解，因此建议您检查一下什么是可能的以及不可能的事实。您说没有公司可能拥有此信息，但是我已经进行了数百次审核，这些信息很容易获得。所有[通用信用卡处理提供商]客户都必须遵守我们的新安全策略，该审核旨在确保正确实施了这些策略*。 *“新安全策略”是在审核前两周引入的，在策略更改之前不需要六个月的历史记录。 简而言之，我需要； 一种“伪造”六个月的密码更改并使其看起来有效的方法 一种“伪造”六个月的入站文件传输的方法 一种收集所有正在使用的SSH公钥和私钥的简便方法 如果我们未能通过安全审核，我们将无法访问我们的卡处理平台（系统的关键部分），并且可能需要两个星期才能转移到其他地方。我怎么搞砸了？ 更新1（23日星期六） 感谢您的所有答复，让我感到很欣慰的是，这不是标准做法。 我目前正在计划发给他的电子邮件回信，说明情况。正如你们中许多人所指出的，我们必须遵守PCI，PCI明确指出我们不应有任何方式来访问纯文本密码。写完电子邮件后，我将发布该电子邮件。不幸的是，我不认为他只是在测试我们。这些东西现在已经在公司的官方安全政策中了。但是，我暂时将轮子移开，使其离开它们并进入PayPal。 更新2（星期六23） 这是我起草的电子邮件，对添加/删除/更改的内容有何建议？ 嗨，[名字] 不幸的是，我们无法为您提供所需的一些信息，主要是纯文本密码，密码历史记录，SSH密钥和远程文件日志。这些事情不仅在技术上是不可能的，而且能够提供此信息不仅违反PCI标准，而且违反了数据保护法。 要引用PCI要求， 8.4使用强密码技术在所有系统组件上传输和存储期间使所有密码不可读。 我可以为您提供在我们的系统上使用的用户名和哈希密码的列表，SSH公钥和授权主机文件的副本（这将为您提供足够的信息，以确定可以连接到我们服务器的唯一用户数以及加密所使用的方法），有关我们的密码安全要求和LDAP服务器的信息，但此信息可能不会在现场获取。我强烈建议您检查您的审核要求，因为在保持PCI和《数据保护法案》合规性的同时，我们目前无法通过该审核。 问候， [我] 我将在该公司的CTO和我们的客户经理中担任CC'ing，希望CTO可以确认此信息不可用。我还将与PCI安全标准委员会联系，以解释他对我们的要求。 更新3（26日） 这是我们交换的一些电子邮件； RE：我的第一封电子邮件； 如所解释的，任何合格的管理员都应可以在任何维护良好的系统上轻松获得此信息。您无法提供此信息使我相信您已经意识到系统中的安全漏洞，并且不准备透露它们。我们的要求符合PCI准则，并且都可以满足。强大的加密技术仅意味着在用户输入密码时必须对密码进行加密，但随后应将其移动为可恢复的格式以备后用。 我认为这些请求没有数据保护问题，数据保护仅适用于消费者而不是企业，因此此信息应该没有问题。 只是，我什至不能... “强大的加密技术仅意味着在用户输入密码时必须对密码进行加密，但随后应将其移动为可恢复的格式以备后用。” 我将其框起来并放在墙上。 我厌倦了外交，并指示他进入这个话题，向他展示我的回应： 直接提供此信息与PCI准则的若干要求相矛盾。我引用的部分甚至说了storage （暗示我们在磁盘上存储数据的位置）。我在ServerFault.com（系统管理员专业人员的在线社区）上开始了讨论，该讨论引起了巨大反响，所有讨论都表明无法提供此信息。随意通读 https://serverfault.com/questions/293217/ 我们已经完成了将系统转移到新平台的工作，并将在第二天左右取消您的帐户，但是我希望您意识到这些请求是多么荒谬，而且没有一家公司正确或正确地实施PCI准则，能够提供此信息。我强烈建议您重新考虑您的安全性要求，因为您的所有客户都不应该符合此要求。 （我实际上已经忘记了我称呼他为标题中的白痴，但是如上所述，我们已经离开了他们的平台，所以没有真正的损失。） 在他的回应中，他指出，显然没有人知道您在说什么： …