Novell Documentation: Novell Identity Manager 3

7.3 Verwalten von Passwörtern

Wenn Sie Daten zwischen verbundenen Systemen austauschen möchten, sollten Sie darauf achten, dass beim Datenaustausch alle sicherheitsrelevanten Aspekte berücksichtigt werden. Dies gilt insbesondere für Passwörter.

Das Passworthinweisattribut (nsimHint) ist öffentlich zugänglich, damit nicht authentifizierte Benutzer, die ihr Passwort vergessen haben, ihren Passworthinweis lesen können. Passworthinweise tragen dazu bei, die Helpdesk-Anrufe zu reduzieren.
Aus Sicherheitsgründen werden Passworthinweise überpüft, um sicherzustellen, dass sie nicht das eigentliche Passwort des Benutzers enthalten. Trotzdem kann der Passworthinweis eines Benutzers zu viele Informationen über das Passwort preisgeben.

So erhöhen Sie bei Verwendung der Passworthinweise die Sicherheit:
- Gewähren Sie nur auf dem LDAP-Server, der für die Passwortselbstbedienung verwendet wird, den Zugriff auf das nsimHint-Attribut.
- Machen Sie zur Bedingung, dass Benutzer zuerst Herausforderungsfragen beantworten müssen, bevor sie den Passworthinweis erhalten.
- Erinnern Sie Benutzer daran, Passworthinweise zu erstellen, aus denen nur sie das Passwort ableiten können. Die Passwortänderungsmeldung in der Passwortrichtlinie bietet dazu eine Möglichkeit. Weitere Informationen hierzu finden Sie unter “Adding a Password Change Message” im Password Management Administration Guide (Administrationshandbuch zur Passwortverwaltung).
Falls Sie auf die Passworthinweise verzichten möchten, stellen Sie sicher, dass sie in keiner der Passwortrichtlinien verwendet werden. Wenn Sie das Einrichten von Passworthinweisen verhindern möchten, können Sie noch einen Schritt weitergehen und die Einrichtungsfunktion vollständig entfernen. Eine Beschreibung dieses Vorgangs finden Sie unter “Disabling Password Hint by Removing the Hint Gadget” im Password Management Administration Guide (Administrationshandbuch zur Passwortverwaltung).
Herausforderungsfragen sind ebenfalls öffentlich zugänglich, damit nicht authentifizierte Benutzer, die ihr Passwort vergessen haben, sich auf eine andere Art authentifizieren können. Herausforderungsfragen als erforderlich zu definieren erhöht im Rahmen der Selbstbedienung bei vergessenen Passwörtern die Sicherheit, weil ein Benutzer seine Identität durch die korrekte Beantwortung der Fragen beweisen muss, bevor er das vergessene Passwort oder einen Passworthinweis erhält bzw. bevor das Passwort neu eingestellt werden kann.
Bei Herausforderungsfragen ist die Unbefugtensperre aktiv, d. h., es ist nur eine beschränkte Anzahl fehlerhafter Versuche möglich.

Dennoch könnte ein Benutzer Herausforderungsfragen erstellen, die Rückschlüsse auf das Passwort ermöglichen. Erinnern Sie Benutzer daran, Herausforderungsfragen und -antworten zu erstellen, aus denen nur sie das Passwort ableiten können. Die Passwortänderungsmeldung in der Passwortrichtlinie bietet dazu eine Möglichkeit. Weitere Informationen hierzu finden Sie unter “Adding a Password Change Message” im Password Management Administration Guide (Administrationshandbuch zur Passwortverwaltung).
Aus Sicherheitsgründen sind die Aktionen Aktuelles Passwort per Email an den Benutzer senden und Benutzer darf Passwort zurücksetzen bei vergessenen Passwörtern nur dann verfügbar, wenn der Benutzer die Herausforderungsfragen beantworten muss.
In NMAS™ 2.3.4 wurde die Sicherheit von universellen Passwörtern, die von einem Administrator geändert werden, verbessert. Diese Verbesserung funktioniert im Großen und Ganzen genauso wie die Funktion für das NDS®-Passwort.
Wenn ein Administrator das Passwort eines Benutzers ändert, z. B. beim Erstellen eines neuen Benutzers oder als Reaktion auf einen Helpdesk-Anruf, läuft das Passwort automatisch ab, wenn Sie die entsprechende Einstellung in der Passwortrichtlinie aktiviert haben. Die Einstellung befindet sich in der Passwortrichtlinie unter „Erweiterte Passwortregeln“ und lautet Anzahl der Tage bis zum Ablaufen des Passworts (0-365). Bei dieser speziellen Funktion ist die Anzahl der Tage unwichtig, aber die Einstellung muss aktiviert sein.