LAN, Passwörter, SQL?

[Erio 10]

Für ein Projekt habe ich folgende offene Fragen:

 

a) in einem Windowsnetzwerk: wo werden die Passwörter der User gespeichert? SQL?

b) wie ist es möglich, diese Passwörter in definierten Intervallen neu zu setzen?

c) ist es möglich, diese Passwörter auszulesen?

 

Ziel:

Ich habe vor, in einem LAN die Systemanmeldung rein über Smartcards zu bewerkstelligen. Das Smartcardsystem kann Accounts zentral verwalten.

Zwecks Automatisierung müsste folgendes umgesetzt werden:

1. Passwort in "Windows" neu festlegen

2. dieses "neue" Passwort dem Smartcardsystem mitzuteilen

 

Absicht:

Die "Passwörter" werden regelmässig erneuert, ob der User es will oder nicht (Steigerung der Sicherheit), damit aber ein Login seitens des Users noch möglich ist, obwohl keine Kenntnis über das aktuelle Passwort vorhanden ist, soll eine Smartcard verwendet werden (inkl. der zusätzlichen brauchbaren Features).

Die Smartcard soll so oder so demnächst installiert werden, darum mein Gedanke: warum nicht beides miteinander verbinden?

 

Ersuche dringend um Hilfe.

 

MfG

Erio

[grizzly999 11]

Hallo und willkommen im Board :)

 

Was ist das für ein Netzwerk? Domäne, AG? Welche OS?

 

Eine PKI-Lösung mit SamrtCard ist dafür da, dass man Kennwörter-mekren und verwalten überflüssig macht, und nicht beides parallel verwendet.

 

 

grizzly999

[Erio 10]

Netzwerk: Windows Netzwerk, 2003er Server, Domains

 

Nähere Info auf Nachfrage (bin nicht der Admin des NW).

 

Über Sinn und Unsinn des Vorhabens mache ich mir wenig Gedanken, es ist nicht mein Wunsch, sondern leider nur die Aufgabenstellung.

 

Es ist auch nicht angedacht, dass der User das Passwort selbst auf der Karte ändern kann (nur ein Minimum der Kartensoftware soll lokal installiert sein). Somit wäre eine Passwortänderung ein zusätzlicher Aufwand ... System schlägt Passwort-Änderung vor ... User ändert Passwort ... muss aber zu "Card-Admin" um die Karte neu zu beschreiben usw. ... denke mal ab nun wird es richtig mühsam.

 

Darum, um nochmal den Gedankengang zu verdeutlichen:

 

Ähnlich wie auf einem "normalen" System, bei welchen nach einem Intervall X das Passwort erneuert werden (muss), soll dies auch per Smartcard passieren. Wobei der "Schreibvorgang" auf der Smartcart automatisch erfolgen soll.

 

Features wie Weblogons, ApplicationLogons etc. werden ja einmalig bei der Kartenerstellung durchgeführt, und sind somit (noch) kein relevantes Thema.

 

MfG

Erio

 

PS: Sorry, natürlich: "Hallo erstmal" am Board :)

[Erio 10]

so ... obiges ist nun hinfällig.

 

Neues Problem:

 

Frage an die Profis:

 

Serverseitig ist es ja möglich, Passwörtern eine Gültigkeitsdauer zu verleihen.

Wäre es nun auch möglich, statt der Festlegung "Am Tag X läuft das Passwort ab" zu sagen : "Am Tag X wird das Passwort überschrieben" (zufälliger Wert).

 

Wie das neue Passwort nun aussieht ist nebensächlich, vorallem braucht der User davon nichts zu wissen.

 

Laufen soll das ganze in einem LAN, in dem zukünftig nur noch Smartcards für den Win-Login verwendet werden (Änderung der Win-Passwörter bekommt die SmartCard-DB mit .. übernimmt diese automatisch).

 

Der User braucht nur noch seinen PIN zu kennen. Als Passwörter können/sollen später möglichst sichere verwendet werden.

 

MfG

Erio

[marka 584]

Das ist sicherlich mit vbScript möglich.

Je nachdem, wie viele User, kann man in erwägung ziehen, ob der Aufwand, das Script zu programmen nicht größer ist, die Kennwörter manuell im AD zurück zu setzen...

[Erio 10]

Tjo, User ... für den Anfang sind es natürlich wenige (max. 10 -> Testumgebung). Später bzw. im Zielsystem sind es ca. 400, verteilt auf mehrere Domains etc.

 

Tipp wie so ein Script auszusehen hat?

[dippas 10]

Hallo Erio,

 

ihr wollt die Netzwerksicherheit erhöhen und dazu SmartCards einsetzen? Der User soll das Kennwort regelmäßig geändert bekommen, aber selbst möglichst wenig Aufwand damit haben?

 

warum nehmt ihr nicht ne RSA-Appliance mit SecurID-Token?

 

Das Kennwort besteht dabei aus zwei Teilen: 1. eine PIN, die der User kennt und 2. einen Zufallszahlencode, der sich alle 60 sec. ändert. Nur die Kombination beider Teile erlaubt den Zugriff.

 

Sicherer geht´s kaum - sofern der User nicht die PIN verrät und das Token auch noch beilegt ;)

 

grüße

 

dippas

[weg5st0 10]

Über Sinn und Unsinn des Vorhabens mache ich mir wenig Gedanken, es ist nicht mein Wunsch, sondern leider nur die Aufgabenstellung.

 

Hallo Erio,

 

wie grizzly sagte ist die PKI mit Smartcard die richtige Lösung.

 

Vergiss das ganze Passwortgerödel. Hier gehts um Smartcards.

 

Ich halte es aber für Ausgeschlossen, daß du das mit dem derzeit offensichtlich nicht vorhandenen Wissen über Authentifizierungsmechanismen und Verschlüsselungsverfahren vernünftig und sicher gelöst bekommst.

 

Die obige Einstellung bringt niemanden weiter. Wenn ich ein Auto kaufe und dem Verkäufer sage er soll mir ne Hängerkupplung anschweissen, erwarte ich, daß er mir Alternativen die sicherer, besser, unkomplizierter und idealer sind als meine Idee vorschlägt.