Reprise du message précédent :
Tu bosses pour eux pour leur faire de la pub ?

c'est clair que quand tu lis ça, tu penses AD. après si l'hypothèse de départ est : comment faire sans AD, c'est un peu plus compliqué puisque justement l AD a été conçu pour ça ( et pas que ). vouloir le contourner c'est réinventer la roue, et a moins de vouloir se spécialiser la dedans, ça sera forcément moins bien fait.

perso, quand je dois utiliser un protocole connu, je reste en général les différentes implémentations mais je ne réécris pas le protocole ( sauf cas très particulier comme la compatibilité avec la certif DO178 par exemple ).

 
Voila, tout est dit quoi.  

je ne le nie pas au contraire. mais la secu c'est voir globalement les problématiques et pas seulement une solution toute faite et basta. cette solution toute faite peut être un maillon, mais pas THE solution.
si le risque de viol se contente d'avoir un tank qui te défonce la vitrine tous les 5ans, tu vas monter un abri anti-atomique?
alors que quelques bonnes pratiques+verrouillage de certaines stations et une bonne remise à plat "pourrait suffire".
 
essaye d'imposer du jour au lendemain, une politique de mot de passe 16char3maj2chiffres à délai de le changer tous les 1mois à 200personnes.
tu vas voir ce qu'il va se passer et on en reparle.
 
edit : c'est qd meme dingue d'expliquer ça a des aigris comme vous

je ne suis pas aigri  

et ce dont tu parles sur le fait d'imposer, on s'est pris 10 fois pire l'année dernière, on n'a pas eu notre mot à dire. l IT a tout pouvoir même si ça nous empêche de travailler. la raison est simple, on fait partie d'un groupe américain côté au nasdaq, et avec la loi sox, l it prime sur tout y compris l'activité qui génère de la richesse.

- tu peux t'abonner au flux RSS
- il coûte combien, l'abonnement ?

jusqu'au jour où une faille majeure sera exploitée puisque c'est le plus répandu et tu pourras te mettre ton ADWinPatché au cul.
 

Ça vire à la sodomie de diptères ici.

Non mais le gars est venu avec un problématique précise:

- synchronisé des mdp entre poste client et serveur de fichier dans un environnement full windows.

On lui a donné la seul réponse valable qui est un bon pas vers un environnement plus contrôlé et l'alternative galère (sauf que de toute évidence quand tu pose ce genre de question sur un forum t'a pas les compétence pour l'appliquer)

Toi t'a vu ça proposais de la DIME, t'es monté sur tes grands chevaux, quand ça n'a pas tournée en ta faveur t'a plaider le troll, puis la persécution sectaire de ta personne et maintenant tu déforme le prémisse pour accuser les participants du sujet de pas lui avoir offert un audit de sécurité complet via un post sur HFR ?

What the fuck...

 
Syllogismes, mille-feuille argumentatif..
 
Je sais pas trop ce que tu cherches à prouver et ce que tu as contre moi, mais tu es vraiment ridicule là.

Sinon une illustration d'une infra avec un annuaire et une synchro qui foire ça donne ça
https://youtu.be/v0mwT3DkG4w

C’est raccord

c'est pourtant la base d'un vrai conseil sur ce sujet. avant d'imposer une solution toute faite et qui peut lui apporter
plus de pb que d'avantages. on en sait rien, puisque tu n'es pas sur le terrain pour comprendre toi non plus.

rien c'est toi qui es ridicule à vouloir le dernier mot, non? on dirait mon gamin de 8ans
qui refuse tout autre compromis et analyse que la sienne

Sur, un audit de sécurité sur 5 postes en Workgroup c'est super utile !!
Faut arréter, avant de faire un audit de sécurité faudrait déja que le mec ai un semblant de réseau.

Même sur 200 postes rien que le fait d'être en workgroup tu sais que c'est une passoire pas besoin d'un audit pour te le dire en fait.

 
Non. Et je ne sais même comment tu fais pour avoir du boulot, t'es toujours à côté de la plaque et t'apportes jamais aucune réponse ne serait-ce qu'avec un début d'intérêt.
 
Remarque, y'a bien des SI avec 200 postes en workgroup, je crois qu'on peut retrouver ton cv en fait.

j'ai voté AD aussi pour la réponse mais pour ça faut apprendre à lire au lieu de clouer les gens sans savoir et se renseigner au préalable.
ça recoupe ma théorie de ce topic.  
 
flash_gordon et ses sbires ont toujours raison inutile de partager quoiquecesoit d'autre(s) de concret avec vous.

 
Les utilisateurs ferment leurs gueules et c’est tout. C’est à l’IT de définir la politique de sécurité.  
 
On est payé pour ca non ?

 
L'user va se faire un mot de passe du style COGIPcogip01012020 juste changer les chiffres tous les mois, et se le noter sur un post it sur l'écran.    
 
Je vois plein de collègues qui demandent "on est quel mois" quand ils doivent taper leur mot de passe    
 
Et donc au final tu as l'effet contraire à ce qui était recherché.

jusqu'au jour où une faille majeure dans les bonnes pratiques sera exploitée  
c'est facile de dire que ça fonctionnera jusqu'à ce que ça ne fonctionne plus    
 

On est passé d'une politique de 6 caractères, sans historique, complexité, expiration, verrouillage, à une "politique 16char3maj2chiffres à délai de le changer tous les 1mois que si tu te trompes 3 fois le compte se verrouille" pour 400 utilisateurs.
On peut en parler si tu veux

Sinon badge + pin c'est plus facile mais pour ça faut un peu plus qu'un simple Ad

Dans ma cogip c'est tellement l'enfer d'une sécurité académiquement parfaite qu'on en est effectivement réduits à ça, et pourtant on conçoit très bien à quel point c'est lamentable

pourquoi autant de caractère ? avec autant, c'est quasi certain que l'utilisateur moyen ne le retient pas.

et le dongle authenticator, c'est pas démocratisé ? c'est pas mal ça pour sécuriser sans avoir besoin de mot de passe complexe. ma femme a ça pour se loguer avec sa machine ( carsat )

Faut former les utilisateurs à la sécurité aussi... y’a aussi moyen de scanner les hash des mdp des utilisateurs une fois le temps pour etre sur qu’ils utilisent pas des trucs qui sont dans n’importe quelle BDD de hash de password bidon.
 

 
+1
A un moment c’est aussi à l’IT de proposer des solutions qui font que l’utilisateur ne passe pas le pc par la fenêtre  

 
Un mec qui est pas capable de retenir un mot de passe de 8 caractères avec MAJ/symbole/chiffre et qui change tous les 3 mois je pense qu’il est pas capable de faire grand chose...

 
On parle pas de 8 caractères mais de 16, 3 maj, 2 chiffres, a changer tt les mois...

Oui enfin le password qui change tous les 30 jours, tu peux déjà être sûr que tu vas retrouver des timeo1, timeo2...

Alors bon, quand tu te connectes à deux types de serveurs Windows/linux, qu'ils ont leurs contraintes de pwd différentes et pas les mêmes periode de renouvellement, auxquelles tu ajoutes un mot de passe intranet encore différent, plus quelques outils Legacy avec leurs règles bien à elles, tu te retrouves à installer keepass a minima pour reussir à t'en dépêtrer (pour ceux qui veulent faire l'effort de suivre les règles et d'avoir les bonnes pratiques)
Heureusement qu'un certain nombre de choses évoluent vers l'utilisation de la puce + pin.

 
Faut un compromis. 16 c'est bien trop.

clé de Windows fckgw ... avec une rotation de 1 tous les mois
sinon y a les phrases mnémotechniques en prenant la première lettre de chaque mot.
y a plein de techniques pour ça

SSO quand c'est possible et des applications métiers connectés à l'AD. En tout et pour 90% de nos utilisateurs ont deux mots de passe.

cette caricature, c'est lolesque qd même

 
 
Idem.
 
Encore faut-il avoir un AD à la base pour implémenter un SSO de ce type.  

C'est déjà 'dredi ici ?

Ah ben memaster était en forme aujourd'hui.

 
Ce serait trop simple tu comprends... Et enrichir micro$oft, ça va pas la tête...

Et donc, qu'est-ce qui va se passer avec 16char3maj2chiffres ?

bah qd je lis ici d'un pro que AD c'est 100% secure puisqu'il est mis à jour quotidiennement, ouaip  
et qui ne vérifierait pas toutes les failles possibles comportements à risque au niveau de l'ICC.
c'est comment dire   : comme le nombre 42, c'est un peu la charité qui se fout de l'hopital.