1) Crypter le mot de passe
Voici quelques informations complémentaires sur la gestion de vos mots de passe qui sont un peu plus compliquer à mettre en œuvre mais qui peuvent vous évitez des problèmes et vous faciliter la gestion .
Par défaut les mots de passe circulent en clair sur votre réseau et avec TRCCNN sur L’IBMi ou en utilisant un outil réseau par exemple, wireshark vous pouvez voir le mot passe.
La solution est donc de passer en ssl
Voici les étapes à réaliser
Vous devez créer un certificat autosigné en utilisant DCM , puis indiquer les applications qui seront protégées par ce service
Vous devez indiquer sur le client que la connexion se fait en TLS, la première connexion vous demandera d’accepter d’échanger avec le site distant est par la suite tous vos échanges seront cryptés
2) Supprimer les mots de passe
La volonté est de plus pour éviter la prolifération des mots de passe d’aller vers du SSO, ce qui simplifierait la gestion des mots de passe utilisateurs.
Sur l’ibm la solution à mettre en œuvre c’est Kerberos qui s’appuiera sur votre AD Windows, pour en savoir plus regardez ici https://blog.devensys.com/kerberos-principe-de-fonctionnement/
Vous devrez alors gérer un annuaire sur votre IBM i qui s’appelle EIM pour en savoir plus, regardez ici https://www.ibm.com/support/knowledgecenter/en/ssw_ibm_i_74/rzalv/rzalvmst.htm
dans cette annuaire vous aurez toutes les correspondances entre vos logins IBM i et Windows, vous pouvez également utiliser kerberos pour sécuriser vos accès entre partitions Ibm i, FTP par exemple .
3) Mise en d’un programme de validation
Si les régles de controle de mot de passe ne suffisent pas vous pouvez indiquer un programme complémentaire
Si vous êtes en niveau de mot de passe 1 ou 0 valeur systéme QPWDLVL vous pouvez indiquer un programme dans la valeurs système QPWDVLDPGM voici un exemple
PGM (&NEWPWD &OLDPWD &sts &usrprf)
DCLPRCOPT USRPRF(OWNER) / Programme de controle de mot de passe / / Il est déclaré par la valeur système QPWDVLDPGM / / PWDLVL Doit être à Zéro ou à 1 / DCL VAR(&NEWPWD) TYPE(CHAR) LEN(10)
DCL VAR(&OLDPWD) TYPE(*CHAR) LEN(10)
dcl &sts *char 1 /* résultat du controle / / 0 ok / / 1 pas ok / DCL VAR(&USRPRF) TYPE(CHAR) LEN(10)
/* Renvoyer ‘0’ si ok dans tous les cas */
chgvar &sts ‘0’
endpgm
Si le niveau de mot de passe est 2 ou 3 Vous devrez utiliser un programme exit QIBM_QSY_CHK_PASSWRD , ou QIBM_QSY_VLD_PASSWRD vous pouvez ajouter votre programme par WRKREGINF puis option 8
d/INCLUDE QSYSINC/QRPGLESRC,ECHKPWD1
dcl-s old ucs2(128) based(oldPtr) ;
dcl-s new ucs2(128) based(newPtr) ;
dcl-s old2 ucs2(128) based(oldPtr) ;
dcl-s new2 ucs2(128) based(newPtr) ;
dcl-pi *N ;
P_Buffer char(1024) ;
P_status char(1) ;
end-pi ;
ECHQCPI00 = P_Buffer;
oldPtr = %addr( P_Buffer ) + ECHOTOP ;
newPtr = %addr( P_Buffer ) + ECHOTNP ;
old2 = %subst( old : 1 : ECHLOOP * 2 ) ;
new2 = %subst( new : 1 : ECHLONP * 2 ) ;
// Votre contrôle
// si ok on renvoit ‘0’ si Ko on renvoit KO
P_status = ‘0’ ;
*inlr = *on ;
attention les mots de passe sont en UCS2, et le mot de passe old est toujours à *NOPWD
Le programme ne se déclenchera que si les règles de contrôle de mot de passe sont vérifiés avant
Ces programmes devront être compiler en adoption de droit par rapport à qsecofr
4) Mettre en place un rendu de mot de passe automatique
Il peut être important de faciliter le rendu de mot de passe un peut comme sur internet avec le bouton mot de passe oublié.
le principe est le suivant
il faudra avoir un fichier qui comporte à minima l’utilisateur IBMi est le mail pour faire le lien
vous devrez avoir un programme en clle par exemple
/* 1 récupération du mail* /
call pgm(rtvmail &usr &mail )
/* 2 calcul du mot de passe */
chgvar &PWD …….
/* 3 modification du mot de passe * /
CHGUSRPRF USRPRF(&USR ) PASSWORD(&PWD ) + PWDEXP(YES) STATUS(ENABLED)
/*6 envoi du nouveau mot de passe */
CHGVAR VAR(&NOTE) VALUE(‘Votre nouveau mot de passe +
est, ‘ *BCAT &PWD *BCAT ‘, vous devrez le +
changer à la première utilisation’)
SNDSMTPEMM RCP((&MAIL)) SUBJECT(‘Mot de passe perdu’) +
NOTE(&NOTE)
/* 5 log de l’information */
SNDMSG MSG(‘Mot de passe pour l »utilisateur’ *BCAT +
&USR *BCAT ‘réinitialiser par’ *BCAT +
&USRE) TOMSGQ(*HSTLOG)
Ce programmes devra être compiler en adoption de droit par rapport à qsecofr
Attention,
vous pouvez en fonction de votre organisation, envoyer un mail au responsable , etc…
vous pouvez lancer ce programme par un autre utilisateur qui fera la demande
vous pouvez et c’est le mieux faire une page web sur votre ibm i , PHP, NODEJS, Autres qui fera cette demande
Il est conseillé malgré tout de bine suivre ces opérations de rendu de mot de passe
5) Auditer les violations de mot de passe
Vous pouvez tracer les erreurs de mot de passe, pour faire ca sur l’ibm i , vous devez mettre en place l’audit
C’est la valeurs système QAUDLVL vous devez au moins indiquer *AUTFAIL
C’est les codes PW qui vont indiquer une erreur de mot de passe
Vous pouvez avoir un suivi en analysant les postes de journaux exemple
DSPJRN JRN(QAUDJRN) JRNCDE((T)) ENTTYP(PW)
Vous pouvez être proactif en mettant en place une solution IDS
En utilisant un programme d’exit de journal par exemple :
RCVJRNE JRN(QAUDJRN) EXITPGM(VOTREBIB/VOTREPGM) RCVRNG(*CURCHAIN) +
FROMENTLRG(poste de début) +
JRNCDE((T)) ENTTYP(‘PW’)
Attention à soumettre votre traitement pour pouvoir l’arrêter proprement
Conclusions
Une bonne politique de mots de passe est une des pierres angulaires de la stratégie de sécurité