Medlemsbladet 196.indd - Data3

More documents

Recommendations

Info

SÄKerheT 1 <strong>Data3</strong> #196 Hur står det till med lösenorden? jag antar att ni alla är medvetna om vikten av ett bra lösenord. Den kanske viktigaste parametern för ett lösenord är att det skall vara svårt att lista ut. Vi har eN fördel på IBM i (i5/OS), objektet som innehåller de krypterade lösenorden till användarprofilerna ligger skyddad så att endast operativsystemet har åtkomst till det. Det finns ingen möjlighet att visa eller skriva ut lösenorden. Det går också att inaktivera användarprofilen om för många felaktiga inloggningsförsök utförs. Som standard levereras operativsystemet satt så att det efter tre felaktiga försök inaktiverar användarprofilen. Jag känner inte till någon som lyckats göra en s.k. ”brute force” attack mot IBM i (i5/OS) och i och med det lyckats knäcka lösenord. Även om det verkar svårt att knäcka lösenord på IBM i så är det ytterst viktigt att lösenord är svåra att lista ut. Jag kommer vid ett senare tillfälle ta upp vad det finns för parametrar som styr lösenordskraven, jag kommer inte att ägna mer tid åt det i den här artikeln. PerSoNrelatreaDe löSeNorD Många användare använder lösenord som har anknytning till sig själva så som t.ex. namnet på hustrun, något av barnen, hundens namn, ett bilmärke eller något annat som man gillar. Genom att känna personen och kanske se några av tangenterna som användaren trycker ner kan det vara lätt att gissa sig till lösenordet. Om man ser att kollegan t.ex. trycker ner bl.a. tangenterna llab och vet att personens hustru heter Ullabritt så är det troligt att lösenordet är eller innehåller namnet ullabritt. Därför är det viktigt att lösenordet byts regelbundet, samt när det finns misstanke om att någon har sett hela eller delar av lösenordet. Det är också ganska vanligt att en siffra läggs till på slutet av lösenordet (t.ex. sommar1) och som sedan ökas vid varje lösenordsbyte (t.ex. sommar2). Glöm inte att ett bra lösenord skall vara svårt att lista ut. tIPS Ett bra exempel för att hitta på ett lösenord kan vara att ta första bokstaven i varje ord i en mening som är lätt att komma ihåg. Ett exempel skulle kunna vara; jtoastk9ph som är uppbyggt av de första bokstäverna i följande mening: Jag tycker om att sova till klockan 9 på helgerna. SaMMMa löSeN SoM aNväNDarNaMN Något som aldrig skall vara tillåtet på något system är att lösenordet är samma som användarprofilen. Eftersom det händer att applikationer levereras med användarprofiler med samma lösenord som användarnamnet, är det av yttersta vikt att försäkra sig om att det inte existerar några användarprofiler som har samma lösenord som användarnamn. Jag vill inte namnge några specifika leverantörer men de flesta brister tyvärr på den här punkten. Eftersom IBM envisas med att leverera kommandot CRTUSRPRF med lösenordsparametern PASS- WORD satt till *USRPRF som standard skapas användarprofilen med ett lösenord som är samma som användarprofilens namn om inte ett specifikt lösenord sätts. Kommandot CRTUSRPRF har också parametern PWDEXP satt till *NO som standard, vilket innebär att användaren inte tvingas att byta lösenord vid första inloggningen om inte den som skapar användarprofilen medvetet ändrar parametern PWDEXP till *YES. Även om PWDEXP parametern i CRTUSRPRF kommandot är *YES så har användarprofilen samma lösenord tills någon loggar på första gången, om inget specifikt lösenord sätts när profilen skapas. Om någon person med illvilliga avsikter vet om att en ny användarprofil har skapats och att lösenordet brukar vara samma som användarprofilen, är det ett förträffligt tillfälle att logga in med någons nya ännu oanvända användarprofil och göra sina oegentligheter. Det är viktigt att det finns bra processer och rutiner för hur användarprofiler skall skapas och hanteras så att det aldrig skapas användare med samma lösenord som användarnamn samt att användaren tvingas att byta lösenord vid första inloggningen. Ett enkelt sätt att verifiera om det finns användarprofiler som har lösenord som är det samma som användarnamnet, är att använda kommandot ANZDFTPWD ACTION(*NONE). Kommandot skapar en lista som kan vara skrämmande, den innehåller alla användarprofiler på systemet som har ett lösenord som matchar användarprofilen.
Så här skall resultatet se ut: User profi les with default passwords. Page 1 5722SS1 V5R4M0 060210 09-06-01 18:29:49 CEST Action taken against profi les . . . . . . :*NONE User Profi le STATUS PWDEXP Text (There are no user profi les with default passwords to list) * * * * * E N D O F L I S T I N G * * * * * Om din lista innehåller några användarprofi ler skall du genast åtgärda problemet, du skall aldrig tillåta att det fi nns användare med samma lösenord som användarnamn. Jag rekommenderar att kommandot ANZDFT- PWD körs regelbundet för att säkerställa att det inte dyker upp användare med samma användarnamn och lösenord. Överväg att använda parametern ACTION satt till *DISABLE vilket ändrar status på användarprofi len till *DISABLE. ANZDFTPWD ACTION(*DISABLE) Hoppas att det här har gjort dig medveten om hur viktigt lösenordet är samt att regelbundet kontrollera om du har några användarprofi ler där användar- namn och lösenord är de samma. Lars-Olov Spångberg har arbetat med IBM i serverplattformen och dess föregångare i 30 år, 27 av dessa inom olika positioner på IBM. Är sedan 2007 anställd på Handelsbankens IT-säkerhetsavdelning. Lars-Olov Spångberg har arbetat med IBM i serverplattformen och dess föregångare i 30 år, 27 av dessa inom olika positioner på IBM. Är sedan 2007 anställd på Handelsbank- ens IT-säkerhetsavdelning. Ledande på WebSphere Håkan Broström är en av de Pdb-konsulter som utvecklar Husqvarnas distributionssystem. www.pdb.se Vi var med och röjde vägen för utveckling av affärsprocesser på Internet och sedan 2000 bygger vi funktionella lösningar åt våra kunder med hjälp av WebSphere. Att göra affärssystem tillgängliga via Internet är något som Pdb har arbetat med sedan 1997. Pdb har lång erfarenhet av E-Commerce och inte minst av System I och dess möjligheter, vi har varit systemarkitekter inom området sedan 80-talet. Vi vet hur man på bästa sätt bygger en jordnära lösning för just din verksamhet. Nyckelorden är tillgänglighet och kvalitet. Pdb - din långsiktiga partner E-Commerce WebSphere Strategisk rådgivning E-Commerce är mycket mer än att sälja på nätet . Det handlar om att förbättra IT-stödet för alla processer i din verksamhet och att möjliggöra nya affärsmodeller - utan att du för den skull behöver investera i ett nytt affärssystem. Några av våra kunder inom området E-commerce: DHL, Electrolux, Husqvarna, Sydved, SAAB Training Systems och Kabe. SÄKerheT <strong>Data3</strong> #196 1
Page 1 and 2: Med kompetens och nätverk för dig
Page 3 and 4: Höst Höst Höst OMMareN liDer MOt
Page 5 and 6: evenemang Trevligt mingel och samkv
Page 7 and 8: 5761SS1 14 *COMPATIBLE V6R1M0 5761S
Page 9 and 10: Välj alt 1 för att aktivera. Stat
Page 11 and 12: Erfaren konsult - implementeringar
Page 13 and 14: orosmolnet Det går iNte att slå u
Page 15: Deltagarna var mycket nöjda och di
Page 19 and 20: Detta är Data3 Data3 är en oberoe

Medlemsbladet 196.indd - Data3

Create successful ePaper yourself

Delete template?

Save as template?