Tengo un problema que debo resolver, específicamente, cómo entregar contraseñas a personas en una variedad de ubicaciones y con una amplia variedad de acceso.
He pensado en algunas opciones, pero hay inconvenientes para todos:
- Correo electrónico : inseguro y viaja sin contratiempos, a menos que se mantenga dentro de la empresa. Sin embargo, parte del correo se reenvía fuera de la empresa y, sin duda, algunos accesos de usuarios desde Internet se realizan con acceso no cifrado. En cualquier caso, no todos tienen acceso a correo electrónico (por ejemplo, contratistas).
- "Maletín" : podría agregar la contraseña al maletín Zimbra del usuario, pero esto tiene la mayoría de los mismos problemas que el correo electrónico.
- Teléfono : el problema con el uso del teléfono es que se puede interceptar VoIP y, en general, creo que no está encriptado (aunque no lo sé). También es posible que el destinatario esté utilizando VoIP y se desconoce si está cifrado o no. De hecho, la misma naturaleza del teléfono receptor es desconocida. En cualquier caso, algunos usuarios están en una zona horaria a 12 horas de nuestro tiempo, por lo que esto está fuera en su mayor parte.
- Correo electrónico cifrado : vacilo con este, ya que incluye la educación del usuario, pero puede ser la mejor manera. Además, significa entregar las llaves de alguna manera. También está el problema de soporte del cliente de correo electrónico: la mayoría de los usuarios usan Outlook, pero hay usuarios que usan Gmail, Hotmail, Evolution, iPhone Mail, Apple Mail y la interfaz web Zimbra, entre otros.
- Portal web : con esto, los usuarios pueden acceder a una página web dentro de la empresa o a través de un enlace cifrado y obtener una contraseña (o tal vez, solicitar una también). Tendría que configurar esto (no es un problema: soy programador y administrador en uno ...) pero aún así es necesario entregar una contraseña para la VPN o iniciar sesión la primera vez.
Aquí están los problemas que deben superarse, en pocas palabras:
- educación del usuario
- Tráfico sin cifrar
- acceso de usuario
- diferencias de zona horaria del usuario
- Diferencias de ubicación del usuario
Mi inclinación es que probablemente termine con algún tipo de correo electrónico cifrado y / o portal web; por ahora estoy usando un teléfono móvil.
EDIT : el gran problema aquí (como en todos los métodos de encriptación) es obtener la contraseña o la clave inicial de la fuente. En particular, debe haber una forma de identificar al creador y evitar la divulgación de la clave. Los problemas que enfrentamos para prevenir la divulgación son los siguientes:
- Las estaciones de trabajo de los usuarios no están todas en la red central
- Algunos usuarios están aislados (trabajo en casa, etc.)
- Algunos usuarios son internacionales: diferencia horaria de 12 horas
- Muchos usuarios ni siquiera son empleados, sino contratistas con empresas hermanas o con proveedores externos
Me pregunto si tendré que aceptar algún riesgo.