Kune kun retpoŝta ĉifrado kaj la uzo de ciferecaj subskriboj, unu el la plej efikaj kaj kostefikaj manieroj protekti retpoŝton kontraŭ hakado estas bona pasvorta sekureca politiko. Pasvortoj skribitaj sur papero, stokitaj en publikaj dosieroj, aŭ simple ne sufiĉe fortaj estas ĉiam granda sekureca breĉo en entrepreno kaj povas kaŭzi gravajn okazaĵojn kun percepteblaj komercaj sekvoj. Tial ĉiu entrepreno devus havi striktan pasvortan sekurecpolitikon.
Tamen ĉiu sekureca oficisto scias, ke pasvortpolitiko nur alportos rezultojn se ĝi ne nur ekzistas, sed estas strikte observita de ĉiuj, aŭ almenaŭ de ŝlosilaj dungitoj de la organizo. Atingi ĉi tion estas pli malfacila ol ĝi aspektas. Jam tre ŝarĝitaj dungitoj konstante forgesas pri la neceso ŝanĝi la pasvorton, aŭ sekvi la vojon de malplej rezistado, ĉiufoje plifaciligante kaj simpligante la pasvorton, tiel nuligante la tutan efikon. Tial la afero pri plenumo de la pasvortpolitiko en entreprenoj estas kutime solvita per diversaj teknikaj rimedoj.
Zimbra ne postulas iujn ajn triapartajn aplikaĵojn por plenumi pasvortpolitikon. Ĉi tio povas esti atingita per enkonstruitaj iloj.
Unue, indas kompreni kiel pasvortadministrado funkcias en Zimbra. Kiam nova konto estas kreita, ĝi estas asignita provizora pasvorto de la administranto. Post tio, la uzanto povos sendepende ensaluti en la konton kaj ŝanĝi la pasvorton. Ĉiuj pasvortoj estas konservitaj en ĉifrita formo sur la servilo kun Zimbra kaj pro tio ili estas nealireblaj eĉ por la administranto de la servilo. Tial se la uzanto forgesos la pasvorton, li devos krei novan. Memoru, ke ĝis antaŭ nelonge, krei novan pasvorton postulis la partoprenon de administranto, sed la plej nova versio de Zimbra Creative Suite 8.8.9 aldonis la eblon por uzantoj mem agordi novan pasvorton.
Pasvortpolitikaj agordoj troveblas en la agordoj por individuaj uzantoj kaj uzantgrupoj. Vi povas agordi:
- Pasvorto longeco - permesas vin agordi la minimuman kaj maksimuman pasvorton longon. Defaŭlte, la minimuma pasvorta longo estas 6 signoj kaj la maksimumo estas 64.
- Pasvorto maljuniĝo - permesas al vi agordi la tempon post kiu la pasvorto malvalidiĝas. Uzantoj ne devas atendi ke la pasvorto eksvalidiĝos, ili povas esti ŝanĝitaj antaŭ ol la pasvorto eksvalidiĝos
- Minimumaj majuskloj - permesas vin agordi la minimuman nombron da majuskloj uzataj en la pasvorto
- Minimumaj minusklaj signoj - permesas vin agordi la minimuman nombron da minusklaj signoj uzataj en la pasvorto
- Minimumaj nombraj signoj - permesas vin agordi la minimuman nombron da ciferoj de 0 ĝis 9 uzataj en la pasvorto
- Minimumaj interpunkciaj simboloj - permesas vin agordi la minimuman nombron da interpunkciaj signoj kaj specialaj signoj uzataj en la pasvorto
- Devigi pasvorthistorion - permesas vin agordi la nombron da memorindaj pasvortoj por ke la uzanto ne periode uzu ripetajn pasvortojn
- Pasvorto ŝlosita - ĉi tiu opcio ebligas al vi malhelpi la uzanton ŝanĝi la pasvorton
- Ebligi malsukcesan ensaluti-ŝlosadon - ĉi tiu opcio permesas al vi agordi la sisteman reagon al enigo de malĝusta pasvorto
Kiel vi povas vidi, la pasvort-agordoj en Zimbra estas sufiĉe flekseblaj kaj kapablaj adaptiĝi al la pasvortpolitiko en preskaŭ ajna entrepreno. Krome, uzante simplan skripton, vi povas sendi memorigilojn al uzantoj, ke ilia pasvorto estas eksvalidiĝos. Danke al tia rememorigilo, la dungito povos ŝanĝi la pasvorton en malstreĉa atmosfero, dum la poŝto, kiu ne malfermiĝas matene ĉe la dungito, kiu maltrafis la momenton de ŝanĝo de la pasvorto, povas negative influi lian efikecon.
Por ke ĉi tiu skripto funkciu, vi devas kopii ĝin al dosiero kaj fari ĉi tiun dosieron plenumebla. Oni rekomendas aŭtomatigi la ekzekuton de ĉi tiu skripto uzante Cron por ke ĝi sciigu uzantojn, kiuj ne ĝisdatigis sian pasvorton ĉiutage, ke ĝi baldaŭ ĉesos funkcii. Krome, en la skripto, anstataŭ zimbra.server.com, vi devas anstataŭigi la nomon de via propra domajno.
#!/bin/bash
# Задаем ряд переменных:
# Сперва количество дней для первого напоминания, затем для последнего:
FIRST="3"
LAST="1"
# Задаем адрес отправителя:
FROM="[email protected]"
# Задаем адрес получателя, который будет получать письмо со списком аккаунтов с истекшими паролями
ADMIN_RECIPIENT="[email protected]"
# Указываем путь к исполняемому файлу Sendmail
SENDMAIL=$(ionice -c3 find /opt/zimbra/common/sbin/sendmail* -type f -iname sendmail)
# Получаем список всех пользователей.
USERS=$(ionice -c3 /opt/zimbra/bin/zmprov -l gaa $DOMAIN)
# Указываем дату с точностью до секунды:
DATE=$(date +%s)
# Проверяем каждого из них:
for USER in $USERS
do
# Узнаем, когда был установлен пароль
USERINFO=$(ionice -c3 /opt/zimbra/bin/zmprov ga "$USER")
PASS_SET_DATE=$(echo "$USERINFO" | grep zimbraPasswordModifiedTime: | cut -d " " -f 2 | cut -c 1-8)
PASS_MAX_AGE=$(echo "$USERINFO" | grep "zimbraPasswordMaxAge:" | cut -d " " -f 2)
NAME=$(echo "$USERINFO" | grep givenName | cut -d " " -f 2)
# Проверяем, нет ли среди пользователей тех, у кого срок действия пароля уже истек.
if [[ "$PASS_MAX_AGE" -eq "0" ]]
then
continue
fi
# Высчитываем дату окончания действия паролей
EXPIRES=$(date -d "$PASS_SET_DATE $PASS_MAX_AGE days" +%s)
# Считаем, сколько дней осталось до окончания срока действия пароля
DEADLINE=$(( (($DATE - $EXPIRES)) / -86400 ))
# Отправляем письмо пользователям
SUBJECT="$NAME - Ваш пароль станет недействительным через $DEADLINE дней"
BODY="
Здравствуйте, $NAME,
Пароль вашего аккаунта станет недействительным через $DEADLINE дней, Пожалуйста, создайте новый как можно скорее.
Вы можете также создать напоминание о смене пароля в календаре Zimbra.
Заранее спасибо.
С уважением, IT-отдел
"
# Первое предупреждение
if [[ "$DEADLINE" -eq "$FIRST" ]]
then
echo "Subject: $SUBJECT" "$BODY" | $SENDMAIL -f "$FROM" "$USER"
echo "Reminder email sent to: $USER - $DEADLINE days left"
# Последнее предупреждение
elif [[ "$DEADLINE" -eq "$LAST" ]]
then
echo "Subject: $SUBJECT" "$BODY" | $SENDMAIL -f "$FROM" "$USER"
echo "Reminder email sent to: $USER - $DEADLINE days left"
# Final
elif [[ "$DEADLINE" -eq "1" ]]
then
echo "Subject: $SUBJECT" "$BODY" | $SENDMAIL -f "$FROM" "$USER"
echo "Last chance for: $USER - $DEADLINE days left"
fi
doneTiel, ni povas diri, ke Zimbra Collaboration Suite estas sufiĉe taŭga eĉ por tiuj entreprenoj, kiuj efektivigis striktan pasvortpolitikon, kaj danke al la enkonstruitaj funkcioj, estos sufiĉe simple atingi ĝian striktan efektivigon de dungitoj.
Por ĉiuj demandoj rilataj al Zextras Suite, vi povas kontakti la Reprezentanton de la kompanio Zextras Katerina Triandafilidi retpoŝte. [retpoŝte protektita]
fonto: www.habr.com