标签: password

我们有各种密码，需要让公司中的多个人知道。例如，我们互联网路由器的管理员密码、我们网络主机的密码，以及一些“非 IT”密码，如安全代码。

目前，我们对低价值系统使用“标准密码”的临时系统，对更重要/可能具有破坏性的系统使用口头共享密码。我想大多数人都会同意这不是一个好的系统。

我们想要的是一种用于存储“共享”密码的软件解决方案，每个密码的访问权限仅限于真正需要它的人。理想情况下，这将提示或强制定期更改密码。它还应该能够指示谁有权访问特定密码（例如，谁知道服务器 XYZ 的根密码？）

您能推荐任何用于存储和共享密码的软件解决方案吗？ 有什么特别需要注意的吗？

中小型公司对此的常见做法是什么？

我喜欢通过密钥访问服务器的想法，这样我就不必每次ssh进入一个盒子时都输入我的密码，我什至锁定了我的用户（不是root）密码（passwd -l username），所以没有密钥就不可能登录。

但是如果我需要为sudo命令输入密码，所有这些都会中断。所以我很想设置无密码sudo来使事情符合无密码登录。

然而，我一直有一种直觉，它可能会以某种意想不到的方式对我产生适得其反的效果，它似乎有点不安全。这样的设置有什么注意事项吗？您是否建议/不建议为服务器上的用户帐户执行此操作？

澄清

1. 我在这里谈论的是sudo在交互式用户会话中的使用，而不是用于服务或管理脚本
2. 我说的是使用云服务器（所以我没有对机器的物理本地访问权限，只能远程登录）
3. 我知道sudo有一个超时，在此期间我不必重新输入我的密码。但我的音乐会并不是为了浪费额外的时间来实际输入密码。我的想法是根本不必处理密码，因为我认为：
   • 如果我必须记住它，它很可能太短而无法安全或重复使用
   • 如果我为我的远程帐户生成一个长而唯一的密码，我将不得不将它存储在某个地方（本地密码管理器程序或云服务）并在每次我想使用sudo. 我希望我能避免这种情况。

因此，通过这个问题，我想更好地了解一种可能配置相对于其他配置的风险、警告和权衡。

跟进 1

所有的答案都说无密码sudo是不安全的，因为如果我的个人用户帐户受到威胁，它允许“轻松”提升权限。我明白那个。但另一方面，如果我使用密码，我们会承担密码的所有经典风险（太短或太常见的字符串，在不同的服务中重复等）。但是我想如果我禁用密码验证/etc/ssh/sshd_config以便您仍然必须有一个密钥才能登录，我可以使用更简单的密码只是为了sudo更容易输入？这是一个有效的策略吗？

跟进 2

如果我也有root通过 ssh登录的密钥，如果有人可以访问我的计算机并窃取我的密钥（尽管他们仍然受操作系统的密钥环密码保护！），他们也可以直接访问该root帐户，绕过sudo路径。那么访问该root帐户的策略应该是什么？

显然，鉴于我们这里有多少人是系统管理员类型的人，我们在众多系统和帐户中串列了大量密码。其中一些是低优先级的，其他的如果被发现可能会对公司造成严重损害（你不只是喜欢权力吗？）。

简单、容易记住的密码是不可接受的。唯一的选择是复杂、难以记住（和输入）的密码。那么，您使用什么来跟踪密码？您是否使用程序为您加密它们（依次需要另一个密码），或者您是否做一些不那么复杂的事情，例如随身携带的一张纸，还是介于这些选项之间？

当我在本地工作时，我真的不需要输入密码来访问我的数据库。我在第一次安装 MySQL 时更改了我的 root 密码，但我不知道如何将密码改回来。我该怎么办？

是的，我可以启动虚拟机或远程设备并尝试输入密码……我知道……但是有没有一种工具或脚本可以模拟登录，足以确认或否认密码正确？

设想：

服务器服务帐户的密码被“忘记”...但我们认为我们知道它是什么。我想将凭据传递给某些东西，并让它以“正确的密码”或“不正确的密码”反击。

我什至想过一个驱动器映射脚本，其中传递了该用户帐户和密码，以查看它是否成功映射了驱动器，但在使其正常工作的逻辑中迷失了......类似于：

-Script 通过 msgbox 请求用户名 -script 通过 msgbox 请求密码 -script 尝试将驱动器映射到每个人都可以访问的公共共享 -script 如果成功则取消映射驱动器 -script 返回弹出 msgbox 说明“正确密码”或“不正确”密码”

任何帮助表示赞赏......你会认为这将是一种罕见的情况，不需要工具来支持它但是......好吧......