Procedimentos recomendados
-
Instalar a Sincronização de Palavra-passe em todos os controladores de domínio adequados Para garantir a sincronização consistente de palavras-passe de domínio com palavras-passe UNIX, a Sincronização de Palavra-passe terá de estar instalada no controlador de domínio primário e, no caso de um domínio do Windows 2000, em todos os controladores de domínio existentes num domínio.
-
Se adicionar um controlador de domínio a um domínio, deve instalar a Sincronização de Palavra-passe no novo controlador de domínio logo que seja possível e configurá-la para corresponder aos outros controladores de domínio.
-
Se necessitar de remover a Sincronização de Palavra-passe de qualquer controlador de domínio, deverá despromover o servidor para um servidor membro antes de desinstalar a Sincronização de Palavra-passe.
-
Se adicionar um controlador de domínio a um domínio, deve instalar a Sincronização de Palavra-passe no novo controlador de domínio logo que seja possível e configurá-la para corresponder aos outros controladores de domínio.
-
Garantir políticas de palavras-passe consistentes Se está a tratar apenas da sincronização de palavra-passe unidireccional, certifique-se de que a política de palavra-passe no computador a partir do qual as palavras-passe serão sincronizadas é, pelo menos, tão restritiva em todas as áreas que a política no computador com o qual as palavras-passe serão sincronizadas. Por exemplo, se configurar a sincronização Windows para UNIX, a política de palavras-passe do Windows tem de ser pelo menos tão restritiva como a política dos computadores UNIX com os quais sincroniza palavras-passe. Se estiver a suportar a sincronização bidireccional, as políticas de palavras-passe têm de ser igualmente restritivas em ambos os sistemas. As políticas de palavras-passe inconsistentes podem resultar numa falha de sincronização quando um utilizador alterar uma palavra-passe no sistema menos restritivo; ou a palavra-passe pode ser alterada no sistema mais restritivo, mesmo quando não está em conformidade com as políticas do sistema.
Certifique-se de que os utilizadores do Windows têm conhecimento de quaisquer restrições especiais de palavras-passe nos sistemas UNIX com os quais as respectivas palavras-passe serão sincronizadas. Por exemplo, algumas versões do UNIX suportam um comprimento máximo de palavra-passe de oito caracteres. Para máxima compatibilidade com a política predefinida de palavras-passe do Windows e estas limitações do sistema UNIX, as palavras-passe devem ter sete ou oito caracteres de comprimento a menos que tenha a certeza de que todos os sistemas UNIX podem suportar palavras-passe mais longas.
-
Configurar Sincronização de Palavra-passe para fornecer o máximo de protecção às palavras-passe dos utilizadores
Siga estas recomendações para manter a segurança óptima:
-
Listar explicitamente os utilizadores UNIX cujas palavras-passe serão sincronizadas Para fornecer o máximo de controlo sobre que utilizadores podem sincronizar palavras-passe, não utilize a palavra-chave ALL com a lista SYNC_USERS no ficheiro sso.conf no anfitrião UNIX. Em vez disso, deve listar explicitamente cada utilizador para o qual a sincronização de palavra-passe é permitida ou bloqueada. No computador baseado em Windows a executar a Sincronização de Palavra-passe, crie o grupo PasswordPropAllow e adicione as contas dos utilizadores cujas palavras-passe pretende sincronizar. Para obter mais informações, consulte Controlar sincronização de palavra-passe para contas de utilizador.
-
Não sincronizar palavras-passe para contas UNIX desactivadas Nalgumas versões do UNIX, alterar a palavra-passe de uma conta de utilizador desactivada activa essa conta. Consequentemente, se um utilizador tiver uma conta desactivada num computador UNIX que esteja configurada para sincronizar palavras-passe com um computador baseado no Windows, o utilizador ou um administrador pode activar a conta UNIX alterando a palavra-passe do Windows. Para impedir isto, utilize o grupo PasswordPropDeny para bloquear a sincronização para contas UNIX desactivadas.
Além disso, quando um administrador desactiva uma conta UNIX, o administrador deve utilizar a entrada SYNC_USERS em sso.conf para bloquear a sincronização de palavra-passe para a conta.
-
Evitar sincronizar palavras-passe de administrador Não sincronize palavra-passe para membros dos grupos Administradores do Windows ou palavras-passe das contas de raiz e super-utilizador (superuser) UNIX.
-
Executar a verificação de compatibilidade do Windows Server 2003 SP1 (Service Pack 1) ao activar a Sincronização de palavra-passe do Windows para NIS (Active Directory) na caixa de diálogo Propriedades da Sincronização de Palavra-passe, separador Configuração. Para proteger a segurança das palavras-passe de conta de utilizador na empresa, recomenda-se vivamente que permita a Sincronização de Palavra-passe para identificar todos os controladores de domínio na floresta que não têm o Windows Server 2003 SP1 ou versões posteriores.
A Sincronização de Palavra-passe pede-lhe que permita a verificação de compatibilidade quando selecciona Activar na área Sincronização de palavra-passe do Windows para NIS (Active Directory). Com o Windows Server 2003 SP1 ou uma versão posterior instalada nos controladores de domínio numa floresta, o risco de expor hashes da palavra-passe do utilizador a visualizadores não autorizados é largamente reduzido. Quando o Windows Server 2003 SP1 não está no nível funcional mínimo de todos os controladores de domínio numa floresta, é possível qualquer utilizador autenticado do domínio ver o hash de palavra-passe para qualquer utilizador UNIX cuja conta tenha sido migrada para os Serviços do domínio Active Directory (AD DS).
No caso de um utilizador não autorizado decifrar o hash de palavra-passe para uma conta de utilizador baseada em UNIX no AD DS, a palavra-passe baseada em Windows para a conta já não é segura.
-
Listar explicitamente os utilizadores UNIX cujas palavras-passe serão sincronizadas Para fornecer o máximo de controlo sobre que utilizadores podem sincronizar palavras-passe, não utilize a palavra-chave ALL com a lista SYNC_USERS no ficheiro sso.conf no anfitrião UNIX. Em vez disso, deve listar explicitamente cada utilizador para o qual a sincronização de palavra-passe é permitida ou bloqueada. No computador baseado em Windows a executar a Sincronização de Palavra-passe, crie o grupo PasswordPropAllow e adicione as contas dos utilizadores cujas palavras-passe pretende sincronizar. Para obter mais informações, consulte Controlar sincronização de palavra-passe para contas de utilizador.
Quando a Sincronização de Palavras-Passe estiver instalada, os membros do grupo Administradores local e do grupo Administradores de Domínio serão adicionados ao grupo PasswordPropDeny, o que impede a sincronização das respectivas palavras-passe. Se adicionar um utilizador ao grupo Administradores ou Administradores de Domínio, certifique-se de que adiciona o utilizador ao grupo PasswordPropDeny.
Modifique a instrução SYNC_USERS no ficheiro sso.conf em todos os sistemas baseados em UNIX para impedir que as palavras-passe de super-utilizadores sejam sincronizadas.
-
Não utilizar o número da porta e a chave de encriptação predefinidos Preservar o número da porta e a chave de encriptação predefinidos torna possível a um atacante configurar um anfitrião UNIX de spoofing para capturar palavras-passe. Deve proteger as chaves de encriptação e o número da porta utilizados para sincronizar palavras-passe com tanto cuidado como as próprias palavras-passe.
-
Proteger o ficheiro sso.conf O ficheiro sso.conf em cada anfitrião UNIX contém informações de configuração importantes que podem ser utilizadas para comprometer a segurança. Recomenda-se que defina a máscara de bit de modo do ficheiro como 600.
-
Garantir que o directório identificado por TEMP_FILE_PATH está devidamente protegido Os ficheiros temporários criados nos anfitriões UNIX pela função Sincronização de Palavra-passe contêm informações que podem ser utilizadas por um atacante para comprometer a segurança do sistema. Por este motivo, deve certificar-se de que qualquer directório referenciado por TEMP_FILE_PATH em sso.conf tem acesso de leitura para a conta root e não pode ser acedido por quaisquer outros utilizadores.
-
Garantir que os ficheiros estão bem protegidos No anfitrião UNIX, a Sincronização de Palavras-Passe utiliza o daemon syslogd para registar mensagens que resultam de operações de sincronização. Os registos resultantes contêm informações tais como os nomes de utilizadores cujas palavras-passe estão a ser sincronizadas e com que computadores, os erros de propagação, entre outras. Estes ficheiros de registo devem ser protegidos para assegurar que apenas os administradores podem visualizá-los.
-
Iniciar o daemon de Sincronização de Palavra-passe depois de alterar a configuração Quando efectuar alterações ao ficheiro de configuração de daemon de Sincronização de Palavra-passe (sso.conf), tem de parar e reiniciar o daemon para as alterações de configuração terem em efeito.
-
Configurar sistemas para processar correctamente a sensibilidade a maiúsculas e minúsculas do nome do utilizador A menos que imponha rigorosamente uma política para assegurar que os nomes de utilizador Windows e UNIX correspondem em termos de ortografia e maiúsculas e minúsculas, verifique se a opção CASE_IGNORE_NAME no ficheiro sso.conf está definida como 1 (a predefinição). Os nomes de utilizador UNIX são sensíveis a maiúsculas e minúsculas; portanto, as palavras-passe podem não ser correctamente sincronizadas se os nomes de utilizador não corresponderem exactamente, como o daemon Sincronização de Palavra-passe não consegue associar o nome de utilizador Windows ao nome de utilizador UNIX correspondente.
-
Certificar-se de que o nome e o tipo de ficheiro de palavra-passe são consistentes Quando configura o daemon Sincronização de Palavra-passe, verifique se o tipo de ficheiro de palavra-passe (especificado por USE_SHADOW) e o nome do caminho (definido como FILE_PATH) são apropriados um para o outro. Por exemplo, na maioria dos sistemas, se USE_SHADOW estiver definido como 0 (para indicar que o ficheiro passwd é utilizado para sincronização), a opção FILE_PATH deve ser definida como /etc/passwd. No entanto, se USE_SHADOW estiver definido como 1 (para indicar que o ficheiro shadow é utilizado em seu lugar), em seguida, a opção FILE_PATH deve ser definida como /etc/shadow. (Em sistemas IBM AIX, o caminho e nome do ficheiro sombra é /etc/security/passwd.)