Wenn Sie Benutzeranmeldungen in großen Mengen mit festgelegten Passwörtern erstellen, da die Wahrscheinlichkeit groß ist, dass viele Benutzer ihre Passwörter nicht ändern, wie verbreiten Sie dann die Informationen?
Schüler unserer Schulabteilung erhalten nach der Registrierung automatisch einen Benutzernamen und ein Passwort. Ich weiß, dass einige Schulen eine lange Liste mit Benutzernamen und Passwörtern ausdrucken und in einem Ordner aufbewahren (und vermutlich verteilen Klassenlehrer die Anmeldeinformationen der Schüler). [Ja, ich weiß, dass Benutzer ihre eigenen Passwörter erstellen können sollten. Bisher war es jedoch nicht möglich, dies umzusetzen, und leider bin ich mir nicht sicher, wie einfach wir die Dinge technologisch oder sozial ändern könnten, ganz zu schweigen davon, dass einige der Studenten Computer nur selten verwenden und keine gute Gelegenheit haben, ein neues Passwort festzulegen, wodurch ihr Konto für jeden angreifbar bleibt, der ihren Benutzernamen herausfinden (was nicht schwer ist) und sich anmelden kann.]
Obwohl ich weiß, dass dies keine hochsicheren Passwörter sind, möchte ich sie trotzdem sicher aufbewahren. Ich habe auch festgestellt, dass Mitarbeiter fragen: „Wann wird dieses Konto erstellt?“ (ein paar Stunden, nachdem der Student ordnungsgemäß registriert wurde, danke) und wie das Passwort lautet (das fällt mir jetzt nicht spontan ein). Wenn es nicht so unsicher wäre, wäre es nett, den Sekretärinnen die neuen Passwörter per E-Mail zu schicken, damit sie sie weitergeben können (und auch ganze Listen zu Beginn des Jahres). Ich würde Verschlüsselung verwenden, aber da die technischen Fähigkeiten des Büropersonals sehr unterschiedlich sind, möchte ich nicht versuchen zu erklären, wie man die Datei entschlüsselt. Ich möchte Informationen nicht wirklich in gedruckter Form verteilen, da dies unsicher ist und Listen an ein Dutzend Websites gesendet werden müssten. Wir haben zwar ein System, in das sich Mitarbeiter einloggen können, um nach Studenten zu suchen, aber es weiß nicht sicher, ob das automatisierte System das Konto erstellt hat.
Gibt es Vorschläge für eine verantwortungsvolle Weitergabe von Anmeldeinformationen?
Antwort1
Sie sollten sich das Problem der Schlüsselverteilung genauer ansehen (Google liefert jede Menge Informationen), da die von Ihnen beschriebenen Probleme für viele theoretische und praktische Kryptographieverfahren von grundlegender Bedeutung sind. Im Allgemeinen gilt der Benutzername nicht als geheim; für viele Websites besteht er aus einer E-Mail-Adresse und für viele akademische Einrichtungen aus den Initialen eines Studenten, denen zur Eindeutigkeit eine Ganzzahl angehängt wird. Dadurch sind Benutzernamen in der Regel leicht herauszufinden. Tatsächlich verwenden einige akademische Einrichtungen sie aktiv und öffentlich, um sich auf Studenten zu beziehen. Das Passwort ist bei dieser Art von Sicherheit natürlich das Wichtigste. Es sollte auf einen Anfangswert festgelegt werden (es sei denn, Sie können sicherstellen, dass das Anfangspasswort vom Studenten unter kontrollierten Bedingungen eingegeben wird, z. B. nach der ersten Registrierung), und dieser sollte vom Studenten bei der ersten Anmeldung geändert werden. Dies sollte erzwungen werden, da es sonst keine Möglichkeit gibt, herauszufinden, ob das Passwort bereits kompromittiert wurde. Wenn sich der Student erfolgreich anmeldet und das Passwort ändert, spielt es keine Rolle, ob das Passwort zuvor gelesen wurde, da es jetzt geändert wurde. Wenn sich der Student nicht anmelden kann, ist das Passwort möglicherweise kompromittiert worden, und dies ist daher erkennbar. Dies ist die gleiche grundlegende Methode, die Banken verwenden, um PINs für Kreditkarten auszugeben – obwohl sich die meisten Leute nicht die Mühe machen, die ihnen zugesandte PIN zu ändern.
Wichtig ist, dass sich die Studierenden zur Änderung des Passwortes mindestens einmal anmelden - etwa durch Zusendung ihres Stundenplans o. Ä. per Mail (sofern die Mail mit dem Systemaccount verknüpft ist) oder durch Kopieren einer Datei in den Benutzerbereich.
Das Personal sollte das Passwort niemals erfahren und dies sollte auf der gesamten Site durchgesetzt werden. Tatsächlich sollte niemand außer dem Studenten das Passwort kennen.
Was die Verteilung des ersten Passworts betrifft, könnten Sie für jeden Studenten einen Brief ausdrucken und sie bitten, ihn abzuholen (obwohl dies viel Zeit in Anspruch nehmen würde), ihn an Tutoren oder Mentoren zu verteilen (versiegelt – obwohl dies keine Sicherheit bietet, stellt die Durchsetzung der Passwortänderung sicher, dass ein Passwort nicht geklont wurde) oder ihn an ihre Adresse zu schicken. Ich würde zu keinem Zeitpunkt wirklich eine Liste mit Passwörtern ausdrucken.
Antwort2
Ich weiß nicht, in welchem Bundesstaat Sie sich befinden, aber wenn Sie von einer öffentlichen Schule sprechen, hatten wir bei uns die Anweisung der staatlichen Rechnungsprüfer, dass wir Passwörter ändern müssen. Das war jedenfalls die Anforderung, die mir gegeben wurde.
In unserem Fall wurden uns Mindestanforderungen an Komplexität und Alterung auferlegt.
Alles wurde mit Active Directory eingerichtet, wo Sie festlegen können, dass bei der ersten Anmeldung eine Kennwortänderung erzwungen wird und wie lange zwischen Kennwortänderungen vergehen (bei uns drei Monate). Die Komplexität bei uns bestand in etwa darin, dass das Kennwort nicht mit den letzten drei identisch sein darf, Ihr Name oder Benutzername nicht Teil des Kennworts sein darf und eine Mischung aus Zahlen, Satzzeichen, Groß- und Kleinbuchstaben (eine Mischung aus diesen dreien) enthalten muss.
Wenn Benutzer also ihr Kennwort ändern müssen, ändern wir es einfach in einen allgemeinen Wert (z. B. Resetme54321). Beim ersten Anmelden werden sie dann aufgefordert, das Kennwort zu ändern.
Wir haben auch Richtlinien, die befolgt werden müssen; Lehrer sind nichtangeblichdie Passwörter zu haben (einige müssen sie aus bestimmten Gründen haben, auf die ich hier nicht näher eingehen werde), aber es wird klargestellt ... oder wir versuchen klarzustellen ... dass Johnny zum Direktor gerufen wird, wenn Johnnys Konto verwendet wird, um sich Zugang zu einer Freigabe zu verschaffen oder an Orten herumzustochern, an denen es nicht sein sollte. Wenn ein Lehrer auch das Passwort hat, kann er möglicherweise ebenfalls in Schwierigkeiten geraten, da er Zugriff auf dieses Konto hatte. Wenn also johnnydoe dabei erwischt wurde, wie er online Pornoseiten durchsucht oder Material zum Bombenbauen durchsucht ... ist jeder mit diesen Kontoinformationen verdächtig.
Auch hier … ich kenne Ihre besonderen Umstände nicht, aber wenn Sie in einem öffentlichen Schulsystem sind und Ihr Bildungsministerium Auditoren hat, die Ihre Systeme prüfen, möchten Sie vielleicht vor einer Prüfung bei ihnen nachfragen, welche Anforderungen sie stellen, oder sich bei der IU (Intermediate Unit) in Ihrem Bundesstaat erkundigen (in PA bieten sie beispielsweise technische und staatliche Dienste für eine Region von Schulen an, z. B. Schulungen. Eine hier in der Nähe verkauft Softwarelizenzen, Beratung, Serverwartung, Hosting … Sie können bei Google nach „Pennsylvania Intermediate Unit“ suchen, um Beispiele für die Angebote der verschiedenen Einheiten zu erhalten). In verschiedenen Bundesstaaten wird wahrscheinlich auf unterschiedliche Weise vorgegangen.
Antwort3
Mein Kollege hat mir empfohlen, die Anmeldelisten in einer verschlüsselten PDF-Datei auszugeben. Ich finde, das ist sehr sinnvoll, denn dann muss ich nur dem Schulleiter jeder Schule ein Passwort geben, er kann es an die Mitarbeiter weitergeben und wenn jemand das Dokument öffnet, wird er zur automatischen Entschlüsselung nach dem Passwort gefragt.
Ich könnte es sogar so einrichten, dass die Mitarbeiter das Dokument nicht ausdrucken können, aber ich vermute, das würde viele Leute unzufrieden mit mir machen und keinen wirklichen Nutzen bringen.