Jelszóházirend beállítása a Zimbrában

A jelszabályzat hatékony és alacsony költségű módja az e-mailek feltörés elleni védelmének a titkosított üzenetek és az elektronikus aláírás mellett. A papíron felírt, nyilvános fájlokban tárolt vagy éppen túl egyszerű jelszavak mindig komoly biztonsági rést jelentenek a vállalat informatikai védelmében, és súlyos incidensekhez vezethetnek, amelyek érzékenyen érinthetik az üzletet. Ezért minden vállalatnál szigorú jelszabályzatnak kell lennie.

Mindazonáltal minden biztonsági szakember tudja, hogy a jelszabályzat csak akkor lesz hatékony, ha nemcsak létezik, hanem mindenki, vagy legalább a kulcsszereplők, maradéktalanul betartják azt. Ezt elérni nehezebb, mint amilyennek látszik. A már amúgy is túlterhelt munkatársak folyamatosan elfelejtik a jelszócserére vonatkozó kötelezettséget, vagy a legkisebb ellenállás irányába mennek, minden alkalommal egyre egyszerűbb jelszót választva, ezzel nullára csökkentve az egész effektust. Ezért a jelszabályzattal való megfelelés kérdését általában különféle technikai eszközökkel oldják meg a vállalatok.

A jelszabályzat betartásának nyomon követéséhez Zimbrában nincs szükség külső alkalmazásokra. Ezt a beépített eszközökkel lehet elérni.

Először is, érdemes tisztázni, hogyan működik a jelszókezelés a Zimbrában. Amikor új fiókot hoznak létre, az adminisztrátor ideiglenes jelszót rendel hozzá. Ezt követően a felhasználó önállóan be tud lépni a fiókjába és meg tudja változtatni a jelszót. Minden jelszó titkosítva van tárolva a szerveren Zimbrával, így az még a szerver adminisztrátora számára sem hozzáférhető. Éppen ezért, ha a felhasználó elfelejti a jelszót, új fiókot kell létrehoznia. Emlékeztetjük, hogy nemrég még az új jelszó létrehozásához adminisztrátor közreműködése volt szükséges, de a legfrissebb Zimbra Creative Suite 8.8.9-es verzióban lehetőséget kaptak a felhasználók arra, hogy önállóan új jelszót állítsanak be.

A jelszabályzat beállításait az egyes felhasználók és felhasználói csoportok beállításaiban találhatjuk. A következőket lehet beállítani:

• Jelszó hossz — lehetővé teszi a jelszó minimum és maximum hosszának beállítását. Alapértelmezés szerint a jelszó minimum hossza 6 karakter, maximuma pedig 64.
• Jelszó érvényességi idő — lehetővé teszi a jelszó elévülési idejének beállítását. A felhasználóknak nem kell várniuk a jelszó lejáratára, azt idő előtt is megváltoztathatják.
• Minimum nagybetűk — lehetővé teszi a jelszóban használt minimum nagybetűk számának beállítását.
• Minimum kisbetűk — lehetővé teszi a jelszóban használt minimum kisbetűk számának beállítását.
• Minimum számjegyek — lehetővé teszi a jelszóban használt minimum 0 és 9 közötti számjegyek számának beállítását.
• Minimum írásjelek — lehetővé teszi a jelszóban használt minimum írásjelek és speciális karakterek számának beállítását.
• Jelszó előzmények érvényesítése — lehetővé teszi a tárolt jelszavak számának beállítását, hogy a felhasználó ne használhassa gyakran ugyanazt a jelszót.
• Jelszó blokkolva — ez az opció megakadályozza, hogy a felhasználó megváltoztassa a jelszót.
• Hibás bejelentkezés esetén zárás engedélyezése — ez az opció lehetővé teszi a rendszer válaszának beállítását, ha hibás jelszót adtak meg.

Ahogy látja, a jelszóbeállítások a Zimbrában meglehetősen rugalmasak és képesek alkalmazkodni szinte bármely vállalat jelszópolitikájához. Ezen kívül egy egyszerű script segítségével beállíthatja a felhasználóknak a jelszó lejáratáról szóló emlékeztető küldését is. Ezzel az emlékeztetővel a dolgozó nyugodt körülmények között tudja megváltoztatni a jelszavát, míg az a dolgozó, aki elszalasztotta a jelszóváltást, reggel nem tudja megnyitni az e-mailjét, ami negatívan befolyásolhatja a hatékonyságát.

Ahhoz, hogy ez a script működjön, másolja át egy fájlba, és tegye azt végrehajthatóvá. Ajánlott automatizálni a script futtatását a Cron segítségével, hogy naponta értesítse azokat a felhasználókat, akik régen nem frissítették a jelszavukat, hogy az hamarosan lejár. Továbbá, a scriptben a zimbra.server.com helyett illessze be a saját neveit. domain.

#!/bin/bash
# Задаем ряд переменных:
# Сперва количество дней для первого напоминания, затем для последнего:
FIRST="3"
LAST="1"
# Задаем адрес отправителя:
FROM="admin@zimbra.server.com"
# Задаем адрес получателя, который будет получать письмо со списком аккаунтов с истекшими паролями
ADMIN_RECIPIENT="admin@zimbra.server.com"
# Указываем путь к исполняемому файлу Sendmail
SENDMAIL=$(ionice -c3 find /opt/zimbra/common/sbin/sendmail* -type f -iname sendmail)
# Получаем список всех пользователей.
USERS=$(ionice -c3 /opt/zimbra/bin/zmprov -l gaa $DOMAIN)
# Указываем дату с точностью до секунды:
DATE=$(date +%s)
# Проверяем каждого из них:
for USER in $USERS
 do
# Узнаем, когда был установлен пароль
USERINFO=$(ionice -c3 /opt/zimbra/bin/zmprov ga "$USER")
PASS_SET_DATE=$(echo "$USERINFO" | grep zimbraPasswordModifiedTime: | cut -d " " -f 2 | cut -c 1-8)
PASS_MAX_AGE=$(echo "$USERINFO" | grep "zimbraPasswordMaxAge:" | cut -d " " -f 2)
NAME=$(echo "$USERINFO" | grep givenName | cut -d " " -f 2)
# Проверяем, нет ли среди пользователей тех, у кого срок действия пароля уже истек.
if [[ "$PASS_MAX_AGE" -eq "0" ]]
then
  continue
fi
# Высчитываем дату окончания действия паролей
EXPIRES=$(date -d  "$PASS_SET_DATE $PASS_MAX_AGE days" +%s)
# Считаем, сколько дней осталось до окончания срока действия пароля
DEADLINE=$(( (($DATE - $EXPIRES)) / -86400 ))
# Отправляем письмо пользователям
SUBJECT="$NAME - Ваш пароль станет недействительным через $DEADLINE дней"
BODY="
Здравствуйте, $NAME,
Пароль вашего аккаунта станет недействительным через $DEADLINE дней, Пожалуйста, создайте новый как можно скорее.
Вы можете также создать напоминание о смене пароля в календаре Zimbra.
Заранее спасибо.
С уважением, IT-отдел
"
# Первое предупреждение
if [[ "$DEADLINE" -eq "$FIRST" ]]
then
	echo "Subject: $SUBJECT" "$BODY" | $SENDMAIL -f "$FROM" "$USER"
	echo "Reminder email sent to: $USER - $DEADLINE days left"
# Последнее предупреждение
elif [[ "$DEADLINE" -eq "$LAST" ]]
then
	echo "Subject: $SUBJECT" "$BODY" | $SENDMAIL -f "$FROM" "$USER"
	echo "Reminder email sent to: $USER - $DEADLINE days left"
# Final
elif [[ "$DEADLINE" -eq "1" ]]
then
    echo "Subject: $SUBJECT" "$BODY" | $SENDMAIL -f "$FROM" "$USER"
	echo "Last chance for: $USER - $DEADLINE days left"
fi
done

Így elmondhatjuk, hogy a Zimbra Collaboration Suite teljes mértékben megfelel azoknak a vállalatoknak is, ahol szigorú jelszópolitika van érvényben, és a beépített funkciók révén elérhetjük a munkatársaktól ennek szigorú betartását is.

A Zextras Suite-tel kapcsolatos kérdésekkel Katarina Triandafiladihez, a «Zextras» cég képviselőjéhez fordulhat a katerina@zextras.com e-mail címen.

Forrás: habr.com