Bonjour, Nous avons eu un échange sur les questions de sécurité informatique en réunion des responsables d'équipe et lors de mon entrevue avec le directeur du LAGA. 3 questions/ suggestions sont venues - ne faudrait-il pas tester la fiabilité des mots de passe utilisés ? - ne faudrait-il pas procéder à un renouvellement de tous les mots de passe personnels en contraignant le niveau de sécurités (lobgueur, caractères speciaux, chiffres, lettres minuscules et majuscules) ? - ne faudrait-il pas à l'issue de ces renouvellements procéder à la fermeture des comptes où cela n'aurait pas été fait (utilisateurs plus très actifs) sauf dans le cas d'utilisateurs négligeants ? Qu'en pensez vous ? cordialement frederique -- Frederique Bassino LIPN UMR 7030 Tel: +33 1 49 40 35 79 Universite Paris 13 - CNRS Institut Galilee Bureau A 208 99, avenue J.-B. Clement 93430 Villetaneuse - FRANCE
Bonjour, Je peux passer un coup de John the Ripper pour le premier point. Camille Le 22/02/2018 à 17:15, Frédérique Bassino a écrit :
Bonjour,
Nous avons eu un échange sur les questions de sécurité informatique en réunion des responsables d'équipe et lors de mon entrevue avec le directeur du LAGA.
3 questions/ suggestions sont venues
- ne faudrait-il pas tester la fiabilité des mots de passe utilisés ?
- ne faudrait-il pas procéder à un renouvellement de tous les mots de passe personnels en contraignant le niveau de sécurités (lobgueur, caractères speciaux, chiffres, lettres minuscules et majuscules) ?
- ne faudrait-il pas à l'issue de ces renouvellements procéder à la fermeture des comptes où cela n'aurait pas été fait (utilisateurs plus très actifs) sauf dans le cas d'utilisateurs négligeants ?
Qu'en pensez vous ?
cordialement
frederique
Je pense que Marisol a un truc qui empêche l'usage de la force brute pour deviner des mots de passe, mais je ne sais pas si ça couvre étamine+svn+ssh Jorge Garcia Flores Ingénieur de recherche CNRS LIPN - Université Paris 13 http://lipn.univ-paris13.fr/~garciaflores/ Le 22/02/2018 à 18:03, Camille Coti a écrit :
Bonjour,
Je peux passer un coup de John the Ripper pour le premier point.
Camille
Le 22/02/2018 à 17:15, Frédérique Bassino a écrit :
Bonjour,
Nous avons eu un échange sur les questions de sécurité informatique en réunion des responsables d'équipe et lors de mon entrevue avec le directeur du LAGA.
3 questions/ suggestions sont venues
- ne faudrait-il pas tester la fiabilité des mots de passe utilisés ?
- ne faudrait-il pas procéder à un renouvellement de tous les mots de passe personnels en contraignant le niveau de sécurités (lobgueur, caractères speciaux, chiffres, lettres minuscules et majuscules) ?
- ne faudrait-il pas à l'issue de ces renouvellements procéder à la fermeture des comptes où cela n'aurait pas été fait (utilisateurs plus très actifs) sauf dans le cas d'utilisateurs négligeants ?
Qu'en pensez vous ?
cordialement
frederique
_______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme
!DSPAM:10297,5a8ef70f250399520315693!
Bonsoir :), Mon avis personnelle est : 1. On devrait "imposer" le changement de mot de passe chaque 6 mois de chaque membre (ou le délai que vous préférez) 2. On devrait "imposer" ce qui dit Frédérique : test et utilisation de mot de passe complexe (i.e., alphanumérique plus caractères spéciales) 3. On devrait "imposer" une politique de nettoyage de comptes. Si qqun n'est plus dans le labo, on donne un délai de, par exemple, 3 mois pour l'utiliser, après on les efface. Le trois points dernières sont implémentés par exemple à l'inria : au debut est chiant pour les ancien.ne.s mais d'abord la sécurité de la communauté :) On peut pas laisser que tout la sécurité soit gérée par le système informatique ... Bonne soirée. Cheers, Jaime On 22/02/2018 19:02, Jorge Garcia Flores wrote:
Je pense que Marisol a un truc qui empêche l'usage de la force brute pour deviner des mots de passe, mais je ne sais pas si ça couvre étamine+svn+ssh
Jorge Garcia Flores Ingénieur de recherche CNRS LIPN - Université Paris 13 http://lipn.univ-paris13.fr/~garciaflores/
Le 22/02/2018 à 18:03, Camille Coti a écrit :
Bonjour,
Je peux passer un coup de John the Ripper pour le premier point.
Camille
Le 22/02/2018 à 17:15, Frédérique Bassino a écrit :
Bonjour,
Nous avons eu un échange sur les questions de sécurité informatique en réunion des responsables d'équipe et lors de mon entrevue avec le directeur du LAGA.
3 questions/ suggestions sont venues
- ne faudrait-il pas tester la fiabilité des mots de passe utilisés ?
- ne faudrait-il pas procéder à un renouvellement de tous les mots de passe personnels en contraignant le niveau de sécurités (lobgueur, caractères speciaux, chiffres, lettres minuscules et majuscules) ?
- ne faudrait-il pas à l'issue de ces renouvellements procéder à la fermeture des comptes où cela n'aurait pas été fait (utilisateurs plus très actifs) sauf dans le cas d'utilisateurs négligeants ?
Qu'en pensez vous ?
cordialement
frederique
_______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme
_______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme
!DSPAM:10448,5a8f04eb276921252414043!
-- -------------------------------------------------------------- Jaime Arias https://himito.github.io CNRS Research Engineer LIPN, CNRS UMR 7030 Institut Galilée - Université Paris 13 99 Avenue Jean-Baptiste Clément, F-93430 Villetaneuse, FRANCE tel:[+33] 01 49 40 35 78 --------------------------------------------------------------
D’accord pour imposer les mots de passe complexes et tester régulièrement avec des craqueurs. Il me semble que l’obligation de changer tous les 6 mois a des aspects contre-productifs pour la sécurité - tendance à choisir des mots de passe simples pour s’en rappeler, ou à tourner sur les mêmes, ou à les noter en clair. Pour ma part, je mettrais ça en dernier dans la liste D’accord aussi pour nettoyer les comptes des gens qui ont fini leur activité au labo, mais il faut un peu détailler : on a pas mal de comptes extérieurs qui font partie de la politique de collaboration (comptes d’invités, associés. Autres cas ?). Ceci étant, il me semble que nos plus gros trous de sécurité viennent du php et des CMS non sécurisés dans les pages perso (dans Etamine c’est en bonne voie ?) et qu’il faut d’abord régler ça. François
Le 22 févr. 2018 à 19:35, Jaime Arias <arias@lipn.univ-paris13.fr> a écrit :
Bonsoir :),
Mon avis personnelle est : On devrait "imposer" le changement de mot de passe chaque 6 mois de chaque membre (ou le délai que vous préférez) On devrait "imposer" ce qui dit Frédérique : test et utilisation de mot de passe complexe (i.e., alphanumérique plus caractères spéciales) On devrait "imposer" une politique de nettoyage de comptes. Si qqun n'est plus dans le labo, on donne un délai de, par exemple, 3 mois pour l'utiliser, après on les efface. Le trois points dernières sont implémentés par exemple à l'inria : au debut est chiant pour les ancien.ne.s mais d'abord la sécurité de la communauté :) On peut pas laisser que tout la sécurité soit gérée par le système informatique ...
Bonne soirée. Cheers,
Jaime
On 22/02/2018 19:02, Jorge Garcia Flores wrote:
Je pense que Marisol a un truc qui empêche l'usage de la force brute pour deviner des mots de passe, mais je ne sais pas si ça couvre étamine+svn+ssh
Jorge Garcia Flores Ingénieur de recherche CNRS LIPN - Université Paris 13 http://lipn.univ-paris13.fr/~garciaflores/ <http://lipn.univ-paris13.fr/~garciaflores/>
Le 22/02/2018 à 18:03, Camille Coti a écrit :
Bonjour,
Je peux passer un coup de John the Ripper pour le premier point.
Camille
Le 22/02/2018 à 17:15, Frédérique Bassino a écrit :
Bonjour,
Nous avons eu un échange sur les questions de sécurité informatique en réunion des responsables d'équipe et lors de mon entrevue avec le directeur du LAGA.
3 questions/ suggestions sont venues
- ne faudrait-il pas tester la fiabilité des mots de passe utilisés ?
- ne faudrait-il pas procéder à un renouvellement de tous les mots de passe personnels en contraignant le niveau de sécurités (lobgueur, caractères speciaux, chiffres, lettres minuscules et majuscules) ?
- ne faudrait-il pas à l'issue de ces renouvellements procéder à la fermeture des comptes où cela n'aurait pas été fait (utilisateurs plus très actifs) sauf dans le cas d'utilisateurs négligeants ?
Qu'en pensez vous ?
cordialement
frederique
_______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr <mailto:Systeme@lipn.univ-paris13.fr> https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme <https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme>
_______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr <mailto:Systeme@lipn.univ-paris13.fr> https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme <https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme>
-- -------------------------------------------------------------- Jaime Arias https://himito.github.io <https://himito.github.io/> CNRS Research Engineer LIPN, CNRS UMR 7030 Institut Galilée - Université Paris 13 99 Avenue Jean-Baptiste Clément, F-93430 Villetaneuse, FRANCE tel:[+33] 01 49 40 35 78 -------------------------------------------------------------- !DSPAM:48,5a8f0cc8302852975189220! _______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme
!DSPAM:48,5a8f0cc8302852975189220!
Bonsoir, je suis d’accord avec François. Pour ce qui est des changements réguliers de mots de passe, c’était en place au LIPN jusqu’il y a environ de 10 ans. Le résultat était tel que décrit, avec des mots de passe qui se ressemblaient (humainement), en mettant en place des stratégies de contournement des contraintes pour éviter de ne plus se souvenir du dernier utilisé… Laure
Le 22 févr. 2018 à 21:31, Lévy Francois <francois.levy@lipn.univ-paris13.fr> a écrit :
D’accord pour imposer les mots de passe complexes et tester régulièrement avec des craqueurs. Il me semble que l’obligation de changer tous les 6 mois a des aspects contre-productifs pour la sécurité - tendance à choisir des mots de passe simples pour s’en rappeler, ou à tourner sur les mêmes, ou à les noter en clair. Pour ma part, je mettrais ça en dernier dans la liste D’accord aussi pour nettoyer les comptes des gens qui ont fini leur activité au labo, mais il faut un peu détailler : on a pas mal de comptes extérieurs qui font partie de la politique de collaboration (comptes d’invités, associés. Autres cas ?). Ceci étant, il me semble que nos plus gros trous de sécurité viennent du php et des CMS non sé curisés dans les pages perso (dans Etamine c’est en bonne voie ?) et qu’il faut d’abord régler ça.
François
Le 22 févr. 2018 à 19:35, Jaime Arias <arias@lipn.univ-paris13.fr> a écrit :
Bonsoir :),
Mon avis personnelle est : • On devrait "imposer" le changement de mot de passe chaque 6 mois de chaque membre (ou le délai que vous préférez) • On devrait "imposer" ce qui dit Frédérique : test et utilisation de mot de passe complexe (i.e., alphanumérique plus caractères spéciales) • On devrait "imposer" une politique de nettoyage de comptes. Si qqun n'est plus dans le labo, on donne un délai de, par exemple, 3 mois pour l'utiliser, après on les efface. Le trois points dernières sont implémentés par exemple à l'inria : au debut est chiant pour les ancien.ne.s mais d'abord la sécurité de la communauté :) On peut pas laisser que tout la sécurité soit gérée par le système informatique ...
Bonne soirée. Cheers,
Jaime
On 22/02/2018 19:02, Jorge Garcia Flores wrote:
Je pense que Marisol a un truc qui empêche l'usage de la force brute pour deviner des mots de passe, mais je ne sais pas si ça couvre étamine+svn+ssh
Jorge Garcia Flores Ingénieur de recherche CNRS LIPN - Université Paris 13 http://lipn.univ-paris13.fr/~garciaflores/
Le 22/02/2018 à 18:03, Camille Coti a écrit :
Bonjour,
Je peux passer un coup de John the Ripper pour le premier point.
Camille
Le 22/02/2018 à 17:15, Frédérique Bassino a écrit :
Bonjour,
Nous avons eu un échange sur les questions de sécurité informatique en réunion des responsables d'équipe et lors de mon entrevue avec le directeur du LAGA.
3 questions/ suggestions sont venues
- ne faudrait-il pas tester la fiabilité des mots de passe utilisés ?
- ne faudrait-il pas procéder à un renouvellement de tous les mots de passe personnels en contraignant le niveau de sécurités (lobgueur, caractères speciaux, chiffres, lettres minuscules et majuscules) ?
- ne faudrait-il pas à l'issue de ces renouvellements procéder à la fermeture des comptes où cela n'aurait pas été fait (utilisateurs plus très actifs) sauf dans le cas d'utilisateurs négligeants ?
Qu'en pensez vous ?
cordialement
frederique
_______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme
_______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme
-- -------------------------------------------------------------- Jaime Arias https://himito.github.io
CNRS Research Engineer LIPN, CNRS UMR 7030 Institut Galilée - Université Paris 13 99 Avenue Jean-Baptiste Clément, F-93430 Villetaneuse, FRANCE
tel:[+33] 01 49 40 35 78 --------------------------------------------------------------
_______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme
!DSPAM:48,5a8f0cc8302852975189220!
!DSPAM:14,5a8f27dc23188262812816! _______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme
!DSPAM:14,5a8f27dc23188262812816!
-- ---------------------------------------------------------------------- Laure Petrucci laure.petrucci@lipn.univ-paris13.fr LIPN, CNRS UMR 7030 Institut Galilée - Université Paris 13 99 Avenue Jean-Baptiste Clément, F-93430 Villetaneuse, FRANCE tel:[+33 1]/[01] 49 40 28 05 (sec: 35 90) fax:[+33 1]/[01] 48 26 07 12 tel (IUT):[+33 1]/[01] 49 40 37 41 ----------------------------------------------------------------------
Bonsoir, je suis d’accord avec François. Pour ce qui est des changements réguliers de mots de passe, c’était en place au LIPN jusqu’il y a environ de 10 ans. Le résultat était tel que décrit, avec des mots de passe qui se ressemblaient (humainement), en mettant en place des stratégies de contournement des contraintes pour éviter de ne plus se souvenir du dernier utilisé… Laure
Le 22 févr. 2018 à 21:31, Lévy Francois <francois.levy@lipn.univ-paris13.fr> a écrit :
D’accord pour imposer les mots de passe complexes et tester régulièrement avec des craqueurs. Il me semble que l’obligation de changer tous les 6 mois a des aspects contre-productifs pour la sécurité - tendance à choisir des mots de passe simples pour s’en rappeler, ou à tourner sur les mêmes, ou à les noter en clair. Pour ma part, je mettrais ça en dernier dans la liste D’accord aussi pour nettoyer les comptes des gens qui ont fini leur activité au labo, mais il faut un peu détailler : on a pas mal de comptes extérieurs qui font partie de la politique de collaboration (comptes d’invités, associés. Autres cas ?). Ceci étant, il me semble que nos plus gros trous de sécurité viennent du php et des CMS non sé curisés dans les pages perso (dans Etamine c’est en bonne voie ?) et qu’il faut d’abord régler ça.
François
Le 22 févr. 2018 à 19:35, Jaime Arias <arias@lipn.univ-paris13.fr> a écrit :
Bonsoir :),
Mon avis personnelle est : • On devrait "imposer" le changement de mot de passe chaque 6 mois de chaque membre (ou le délai que vous préférez) • On devrait "imposer" ce qui dit Frédérique : test et utilisation de mot de passe complexe (i.e., alphanumérique plus caractères spéciales) • On devrait "imposer" une politique de nettoyage de comptes. Si qqun n'est plus dans le labo, on donne un délai de, par exemple, 3 mois pour l'utiliser, après on les efface. Le trois points dernières sont implémentés par exemple à l'inria : au debut est chiant pour les ancien.ne.s mais d'abord la sécurité de la communauté :) On peut pas laisser que tout la sécurité soit gérée par le système informatique ...
Bonne soirée. Cheers,
Jaime
On 22/02/2018 19:02, Jorge Garcia Flores wrote:
Je pense que Marisol a un truc qui empêche l'usage de la force brute pour deviner des mots de passe, mais je ne sais pas si ça couvre étamine+svn+ssh
Jorge Garcia Flores Ingénieur de recherche CNRS LIPN - Université Paris 13 http://lipn.univ-paris13.fr/~garciaflores/
Le 22/02/2018 à 18:03, Camille Coti a écrit :
Bonjour,
Je peux passer un coup de John the Ripper pour le premier point.
Camille
Le 22/02/2018 à 17:15, Frédérique Bassino a écrit :
Bonjour,
Nous avons eu un échange sur les questions de sécurité informatique en réunion des responsables d'équipe et lors de mon entrevue avec le directeur du LAGA.
3 questions/ suggestions sont venues
- ne faudrait-il pas tester la fiabilité des mots de passe utilisés ?
- ne faudrait-il pas procéder à un renouvellement de tous les mots de passe personnels en contraignant le niveau de sécurités (lobgueur, caractères speciaux, chiffres, lettres minuscules et majuscules) ?
- ne faudrait-il pas à l'issue de ces renouvellements procéder à la fermeture des comptes où cela n'aurait pas été fait (utilisateurs plus très actifs) sauf dans le cas d'utilisateurs négligeants ?
Qu'en pensez vous ?
cordialement
frederique
_______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme
_______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme
-- -------------------------------------------------------------- Jaime Arias https://himito.github.io
CNRS Research Engineer LIPN, CNRS UMR 7030 Institut Galilée - Université Paris 13 99 Avenue Jean-Baptiste Clément, F-93430 Villetaneuse, FRANCE
tel:[+33] 01 49 40 35 78 --------------------------------------------------------------
_______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme
!DSPAM:48,5a8f0cc8302852975189220!
!DSPAM:14,5a8f27dc23188262812816! _______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme
!DSPAM:14,5a8f27dc23188262812816!
-- ---------------------------------------------------------------------- Laure Petrucci laure.petrucci@lipn.univ-paris13.fr LIPN, CNRS UMR 7030 Institut Galilée - Université Paris 13 99 Avenue Jean-Baptiste Clément, F-93430 Villetaneuse, FRANCE tel:[+33 1]/[01] 49 40 28 05 (sec: 35 90) fax:[+33 1]/[01] 48 26 07 12 tel (IUT):[+33 1]/[01] 49 40 37 41 ----------------------------------------------------------------------
Bonjour En ce qui concerne les mots de passe il n’y a eu aucun changement depuis mon arrivée en septembre 2008, la dernière opération dont vous faites mention laure et François remonte à plus de 10 ans. On peut donc raisonnablement procéder à un changement général dès lors de passe. On aura ensuite tout loisir de réfléchir à la répétition de l’opération Cordialement Frédérique Bassino
Le 22 févr. 2018 à 21:58, Petrucci Laure <Laure.Petrucci@lipn.univ-paris13.fr> a écrit :
Bonsoir,
je suis d’accord avec François. Pour ce qui est des changements réguliers de mots de passe, c’était en place au LIPN jusqu’il y a environ de 10 ans. Le résultat était tel que décrit, avec des mots de passe qui se ressemblaient (humainement), en mettant en place des stratégies de contournement des contraintes pour éviter de ne plus se souvenir du dernier utilisé…
Laure
Le 22 févr. 2018 à 21:31, Lévy Francois <francois.levy@lipn.univ-paris13.fr> a écrit :
D’accord pour imposer les mots de passe complexes et tester régulièrement avec des craqueurs. Il me semble que l’obligation de changer tous les 6 mois a des aspects contre-productifs pour la sécurité - tendance à choisir des mots de passe simples pour s’en rappeler, ou à tourner sur les mêmes, ou à les noter en clair. Pour ma part, je mettrais ça en dernier dans la liste D’accord aussi pour nettoyer les comptes des gens qui ont fini leur activité au labo, mais il faut un peu détailler : on a pas mal de comptes extérieurs qui font partie de la politique de collaboration (comptes d’invités, associés. Autres cas ?). Ceci étant, il me semble que nos plus gros trous de sécurité viennent du php et des CMS non sé curisés dans les pages perso (dans Etamine c’est en bonne voie ?) et qu’il faut d’abord régler ça.
François
Le 22 févr. 2018 à 19:35, Jaime Arias <arias@lipn.univ-paris13.fr> a écrit :
Bonsoir :),
Mon avis personnelle est : • On devrait "imposer" le changement de mot de passe chaque 6 mois de chaque membre (ou le délai que vous préférez) • On devrait "imposer" ce qui dit Frédérique : test et utilisation de mot de passe complexe (i.e., alphanumérique plus caractères spéciales) • On devrait "imposer" une politique de nettoyage de comptes. Si qqun n'est plus dans le labo, on donne un délai de, par exemple, 3 mois pour l'utiliser, après on les efface. Le trois points dernières sont implémentés par exemple à l'inria : au debut est chiant pour les ancien.ne.s mais d'abord la sécurité de la communauté :) On peut pas laisser que tout la sécurité soit gérée par le système informatique ...
Bonne soirée. Cheers,
Jaime
On 22/02/2018 19:02, Jorge Garcia Flores wrote: Je pense que Marisol a un truc qui empêche l'usage de la force brute pour deviner des mots de passe, mais je ne sais pas si ça couvre étamine+svn+ssh
Jorge Garcia Flores Ingénieur de recherche CNRS LIPN - Université Paris 13 http://lipn.univ-paris13.fr/~garciaflores/
Le 22/02/2018 à 18:03, Camille Coti a écrit : Bonjour,
Je peux passer un coup de John the Ripper pour le premier point.
Camille
Le 22/02/2018 à 17:15, Frédérique Bassino a écrit : Bonjour,
Nous avons eu un échange sur les questions de sécurité informatique en réunion des responsables d'équipe et lors de mon entrevue avec le directeur du LAGA.
3 questions/ suggestions sont venues
- ne faudrait-il pas tester la fiabilité des mots de passe utilisés ?
- ne faudrait-il pas procéder à un renouvellement de tous les mots de passe personnels en contraignant le niveau de sécurités (lobgueur, caractères speciaux, chiffres, lettres minuscules et majuscules) ?
- ne faudrait-il pas à l'issue de ces renouvellements procéder à la fermeture des comptes où cela n'aurait pas été fait (utilisateurs plus très actifs) sauf dans le cas d'utilisateurs négligeants ?
Qu'en pensez vous ?
cordialement
frederique
_______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme
_______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme
-- -------------------------------------------------------------- Jaime Arias https://himito.github.io
CNRS Research Engineer LIPN, CNRS UMR 7030 Institut Galilée - Université Paris 13 99 Avenue Jean-Baptiste Clément, F-93430 Villetaneuse, FRANCE
tel:[+33] 01 49 40 35 78 --------------------------------------------------------------
_______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme
!DSPAM:14,5a8f27dc23188262812816! _______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme
!DSPAM:14,5a8f27dc23188262812816!
-- ---------------------------------------------------------------------- Laure Petrucci laure.petrucci@lipn.univ-paris13.fr LIPN, CNRS UMR 7030 Institut Galilée - Université Paris 13 99 Avenue Jean-Baptiste Clément, F-93430 Villetaneuse, FRANCE tel:[+33 1]/[01] 49 40 28 05 (sec: 35 90) fax:[+33 1]/[01] 48 26 07 12 tel (IUT):[+33 1]/[01] 49 40 37 41 ----------------------------------------------------------------------
_______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme
!DSPAM:242,5a8f2e2628013108695120!
100 % d'accord avec François ! Détecter les mots de passe faibles pourquoi pas, idéalement pousser à l'utilisation de clés ssh. Mais nos urgences sont la configuration WordPress et tous les scripts PHP additionnels sans oublier une politique de bon sens et d'éducation pour les scripts perso... Le 22 février 2018 15:31:26 GMT-05:00, "Lévy Francois" <francois.levy@lipn.univ-paris13.fr> a écrit :
D’accord pour imposer les mots de passe complexes et tester régulièrement avec des craqueurs. Il me semble que l’obligation de changer tous les 6 mois a des aspects contre-productifs pour la sécurité - tendance à choisir des mots de passe simples pour s’en rappeler, ou à tourner sur les mêmes, ou à les noter en clair. Pour ma part, je mettrais ça en dernier dans la liste D’accord aussi pour nettoyer les comptes des gens qui ont fini leur activité au labo, mais il faut un peu détailler : on a pas mal de comptes extérieurs qui font partie de la politique de collaboration (comptes d’invités, associés. Autres cas ?). Ceci étant, il me semble que nos plus gros trous de sécurité viennent du php et des CMS non sécurisés dans les pages perso (dans Etamine c’est en bonne voie ?) et qu’il faut d’abord régler ça.
François
Le 22 févr. 2018 à 19:35, Jaime Arias <arias@lipn.univ-paris13.fr> a écrit :
Bonsoir :),
Mon avis personnelle est : On devrait "imposer" le changement de mot de passe chaque 6 mois de chaque membre (ou le délai que vous préférez) On devrait "imposer" ce qui dit Frédérique : test et utilisation de mot de passe complexe (i.e., alphanumérique plus caractères spéciales) On devrait "imposer" une politique de nettoyage de comptes. Si qqun n'est plus dans le labo, on donne un délai de, par exemple, 3 mois pour l'utiliser, après on les efface. Le trois points dernières sont implémentés par exemple à l'inria : au debut est chiant pour les ancien.ne.s mais d'abord la sécurité de la communauté :) On peut pas laisser que tout la sécurité soit gérée par le système informatique ...
Bonne soirée. Cheers,
Jaime
On 22/02/2018 19:02, Jorge Garcia Flores wrote:
Je pense que Marisol a un truc qui empêche l'usage de la force brute pour deviner des mots de passe, mais je ne sais pas si ça couvre étamine+svn+ssh
Jorge Garcia Flores Ingénieur de recherche CNRS LIPN - Université Paris 13 http://lipn.univ-paris13.fr/~garciaflores/ <http://lipn.univ-paris13.fr/~garciaflores/>
Le 22/02/2018 à 18:03, Camille Coti a écrit :
Bonjour,
Je peux passer un coup de John the Ripper pour le premier point.
Camille
Le 22/02/2018 à 17:15, Frédérique Bassino a écrit :
Bonjour,
Nous avons eu un échange sur les questions de sécurité informatique en réunion des responsables d'équipe et lors de mon entrevue avec le directeur du LAGA.
3 questions/ suggestions sont venues
- ne faudrait-il pas tester la fiabilité des mots de passe utilisés ?
- ne faudrait-il pas procéder à un renouvellement de tous les mots de passe personnels en contraignant le niveau de sécurités (lobgueur,
caractères speciaux, chiffres, lettres minuscules et majuscules) ?
- ne faudrait-il pas à l'issue de ces renouvellements procéder à
la
fermeture des comptes où cela n'aurait pas été fait (utilisateurs plus très actifs) sauf dans le cas d'utilisateurs négligeants ?
Qu'en pensez vous ?
cordialement
frederique
_______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr <mailto:Systeme@lipn.univ-paris13.fr> https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme <https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme>
_______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr <mailto:Systeme@lipn.univ-paris13.fr> https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme <https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme>
-- -------------------------------------------------------------- Jaime Arias https://himito.github.io <https://himito.github.io/> CNRS Research Engineer LIPN, CNRS UMR 7030 Institut Galilée - Université Paris 13 99 Avenue Jean-Baptiste Clément, F-93430 Villetaneuse, FRANCE tel:[+33] 01 49 40 35 78 --------------------------------------------------------------
_______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme
!DSPAM:48,5a8f0cc8302852975189220!
!DSPAM:105,5a8f27db23082067447183!
-- Envoyé de mon appareil Android avec K-9 Mail. Veuillez excuser ma brièveté.
participants (8)
-
Camille Coti -
F.Butelle -
Frédérique Bassino -
Frédérique Bassino -
Jaime Arias -
Jorge Garcia Flores -
Lévy Francois -
Petrucci Laure