PCI-DSS: ¿acceso de shell basado en clave a servidores internos?

1

En el siguiente requisito de PCI 2.0, no estoy seguro de cómo interpretar el acceso de la computadora a las máquinas internas (no accesible de forma remota):

Requirement 8: Assign a unique ID to each person with computer access

8.2 In addition to assigning a unique ID, employ at least one of the 
    following methods to authenticate all users:
    - Something you know, such as a password or passphrase
    - Something you have, such as a token device or smart card
    - Something you are, such as a biometric

En nuestro sistema, tenemos una máquina de pasarela de acceso remoto y autentificamos a los usuarios según los requisitos de PCI-DSS.

Pero para varias tareas, necesitamos acceder a una o más máquinas internas y, por lo general, esto está completamente automatizado (por ejemplo, actualizaciones del sistema). Normalmente, esto se logra a través de SSH, utilizando inicio de sesión sin contraseña .

La clave privada reside en el servidor de la puerta de enlace (ya sea encriptado o no encriptado).

Mi pregunta es, entonces, si esto está en violación con el sub-requisito 8.2. El usuario se autentica con la máquina de la puerta de enlace, pero ¿el requisito también se aplica al acceso a las máquinas internas?

Tenga en cuenta que el objetivo general del requisito 8 es identificar de manera única el acceso a la computadora y no poner "seguridad oscura".

    
pregunta malthe 25.10.2013 - 11:08
fuente

2 respuestas

0

Creo que esto está bien, siempre que cada usuario tenga una clave individual; una clave es un ejemplo de "algo que sabes".

No creo que PCI-DSS sea preceptivo sobre si necesita cifrado, pero si no lo está, sugiero que tenga una justificación para esa decisión (por ejemplo, el sistema tiene todo el cifrado del disco o se mantiene físicamente ubicación segura).

Si varios usuarios comparten una clave, esto es una violación de 8.2 porque efectivamente cada persona ya no tiene una ID única.

Descargo de responsabilidad: no soy un QSA y es la palabra de su QSA la que será definitiva.

    
respondido por el paj28 25.10.2013 - 11:21
fuente
1

Cada usuario debe tener una clave para cada máquina en la que necesita trabajar. Esta clave debe estar protegida por contraseña y NO residir en el servidor de la puerta de enlace. No debes compartir claves entre tus diferentes usuarios. Si esto es demasiado complicado, puede echar un vistazo a centrify o SSO. ¡No te olvides de la responsabilidad!

    
respondido por el Lucas Kauffman 25.10.2013 - 18:03
fuente

Lea otras preguntas en las etiquetas