D’accord pour imposer les mots de passe complexes et tester régulièrement avec des craqueurs. Il me semble que l’obligation de changer tous les 6 mois
a des aspects contre-productifs pour la sécurité - tendance à choisir des mots de passe simples pour s’en rappeler, ou à tourner sur les mêmes, ou à les noter en clair. Pour ma part, je mettrais ça en dernier dans la liste
D’accord aussi pour nettoyer les comptes des gens qui ont fini leur activité au labo, mais il faut un peu détailler : on a pas mal de comptes extérieurs qui font partie de la politique de collaboration (comptes d’invités, associés. Autres cas ?).
Ceci étant, il me semble que nos plus gros trous de sécurité viennent du php et des CMS non sécurisés dans les pages perso (dans Etamine c’est en bonne voie ?) et qu’il faut d’abord régler ça.

François

Le 22 févr. 2018 à 19:35, Jaime Arias <arias@lipn.univ-paris13.fr> a écrit :

Bonsoir :),

Mon avis personnelle est :

  1. On devrait "imposer" le changement de mot de passe chaque 6 mois de chaque membre (ou le délai que vous préférez)
  2. On devrait "imposer" ce qui dit Frédérique : test et utilisation de mot de passe complexe (i.e., alphanumérique plus caractères spéciales)
  3. On devrait "imposer" une politique de nettoyage de comptes. Si qqun n'est plus dans le labo, on donne un délai de, par exemple, 3 mois pour l'utiliser, après on les efface.

Le trois points dernières sont implémentés par exemple à l'inria : au debut est chiant pour les ancien.ne.s  mais d'abord la sécurité de la communauté :) On peut pas laisser que tout la sécurité soit gérée par le système informatique ...

Bonne soirée.

Cheers,

Jaime


On 22/02/2018 19:02, Jorge Garcia Flores wrote:
Je pense que Marisol a un truc qui empêche l'usage de la force brute pour deviner des mots de passe, mais je ne sais pas si ça couvre étamine+svn+ssh

Jorge Garcia Flores
Ingénieur de recherche CNRS
LIPN - Université Paris 13
http://lipn.univ-paris13.fr/~garciaflores/

Le 22/02/2018 à 18:03, Camille Coti a écrit :
Bonjour,

Je peux passer un coup de John the Ripper pour le premier point.

Camille


Le 22/02/2018 à 17:15, Frédérique Bassino a écrit :
Bonjour,

Nous avons eu un échange sur les questions de sécurité informatique
en réunion des responsables d'équipe et lors de mon entrevue avec le
directeur du LAGA.

3 questions/ suggestions sont venues

  - ne faudrait-il pas tester la fiabilité des mots de passe utilisés ?

  - ne faudrait-il pas procéder à un renouvellement de tous les mots de
passe personnels en contraignant le niveau de sécurités (lobgueur,
caractères speciaux, chiffres, lettres minuscules et majuscules) ?

- ne faudrait-il pas à l'issue de ces renouvellements procéder à la
fermeture des comptes où cela n'aurait pas été fait (utilisateurs plus
très actifs) sauf dans le cas d'utilisateurs négligeants ?

Qu'en pensez vous ?

cordialement

frederique


_______________________________________________
Systeme mailing list
Systeme@lipn.univ-paris13.fr
https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme




_______________________________________________
Systeme mailing list
Systeme@lipn.univ-paris13.fr
https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme 




-- 
--------------------------------------------------------------
Jaime Arias                          https://himito.github.io
CNRS Research Engineer
LIPN, CNRS UMR 7030
Institut Galilée - Université Paris 13
99 Avenue Jean-Baptiste Clément, F-93430 Villetaneuse, FRANCE
tel:[+33] 01 49 40 35 78
--------------------------------------------------------------
!DSPAM:48,5a8f0cc8302852975189220!
_______________________________________________
Systeme mailing list
Systeme@lipn.univ-paris13.fr
https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme


!DSPAM:48,5a8f0cc8302852975189220!