我们服务器的安全审核员在两周内提出了以下要求：
我们正在运行带有 LDAP 身份验证的 Red Hat Linux 5/6 和 CentOS 5 机器。
据我所知，该列表中的所有内容要么不可能获得，要么难以获得，但如果我不提供这些信息，我们将面临无法访问我们的支付平台并在过渡期间失去收入的情况，因为我们转向新服务。关于如何解决或伪造这些信息的任何建议？
我能想到的获得所有纯文本密码的唯一方法是让每个人重置他们的密码并记下他们设置的内容。这并不能解决过去六个月更改密码的问题，因为我无法追溯记录此类内容，记录所有远程文件也是如此。
获取所有公共和私人 SSH 密钥是可能的（尽管很烦人），因为我们只有少数用户和计算机。除非我错过了一个更简单的方法来做到这一点？
我已经多次向他解释过，他所要求的东西是不可能的。针对我的担忧，他回复了以下电子邮件：
我在安全审计方面有超过 10 年的经验，并且对 redhat 安全方法有充分的了解，所以我建议你检查你的事实，了解什么是可能的，什么是不可能的。你说没有公司可能拥有这些信息，但我已经进行了数百次审计，这些信息很容易获得。所有 [通用信用卡处理提供商] 客户都必须遵守我们的新安全政策，此审核旨在确保这些政策已正确实施*。
*“新安全策略”是在我们审核前两周引入的，并且在策略更改之前不需要六个月的历史记录。
简而言之，我需要；
如果我们未能通过安全审核，我们将无法访问我们的卡处理平台（我们系统的关键部分），并且需要两周时间才能转移到其他地方。我有多烂？
感谢您的所有回复，知道这不是标准做法让我感到非常欣慰。
我目前正在计划我给他的电子邮件回复，解释情况。正如你们中的许多人指出的那样，我们必须遵守 PCI，其中明确规定我们不应该以任何方式访问纯文本密码。我写完后会发邮件。不幸的是，我不认为他只是在考验我们；这些东西现在在公司的官方安全政策中。然而，我已经让轮子运动起来，暂时离开它们并转移到贝宝上。
这是我起草的电子邮件，对添加/删除/更改内容有什么建议吗？
嗨[姓名]，
不幸的是，我们无法向您提供某些要求的信息，主要是纯文本密码、密码历史、SSH 密钥和远程文件日志。这些事情不仅在技术上是不可能的，而且能够提供这些信息既违反 PCI 标准，也违反了数据保护法。
引用 PCI 要求，8.4 使用强密码术在所有系统组件上传输和存储期间使所有密码不可读。
我可以为您提供我们系统上使用的用户名和散列密码的列表、SSH 公钥和授权主机文件的副本（这将为您提供足够的信息来确定可以连接到我们服务器的唯一用户数量以及加密使用的方法）、有关我们的密码安全要求和我们的 LDAP 服务器的信息，但这些信息不得带离现场。我强烈建议您查看您的审核要求，因为我们目前无法在遵守 PCI 和数据保护法案的同时通过此审核。
问候，
[我]
我将抄送公司的 CTO 和我们的客户经理，我希望 CTO 可以确认此信息不可用。我还将联系 PCI 安全标准委员会，解释他对我们的要求。