Kann een e Proxy-Passwuert virum Administrateur vum Client-Host verstoppen?
Wielt en Ëmfang vu Proxy-Umeldungsdonnéeën, dee passt zu den Administrateuren, déi den Host kontrolléieren, wou de Geheimnis benotzt gëtt.
„Aner Benotzer aus dëser Datei eraushalen“ an „d'Passwuert virun de Leit verstoppen, déi dëse Server administréieren“ sinn zwou verschidde Fuerderungen.
Berechtegungen, geréiert Umeldungsdonnéeën a redigéiert Diagnostik hëllefen bei der éischter. Si reduzéieren zoufälleg Offenbarung iwwer Konfiguratioun, Backups, Kommandoargumenter an Ëmfelddumps.
Fir déi zweet, frot wat déi Administrateuren kontrolléieren. Linux-Capabilities a Confinement kënne bestëmmte Rollen aschränken. Wien de Proxy-Client ersetzen, säin Start änneren oder seng Ausféierung iwwerpréiwen kann, ass en aneren Adversaire wéi e gewéinleche Kont, deen eng Datei liest.
En Déngscht muss d'Umeldungsdonnéeën iergendwann benotzen. Se verschlësselen, wärend de benotzbare Decryptiounswee ënner der Kontroll vum selwechten Administrateur bleift, schaaft net déi fehlend Grenz.
Gitt enger onbewaachter Maschinn eng Déngscht-Umeldung mat passendem Ëmfang, mat getrennter Rotatioun a Revocatioun. Wann eng Operatioun ausserhalb vun den Administrateure vun där Maschinn bleiwe muss, setzt se hannert eng separat administréiert Grenz. Schützt weider déi lokal gespäichert Kopie; behaapt just net, datt hir Berechtegungen béid Fuerderunge léisen.