Neue Passwortregeln
Betrifft: alle Anlagen, die den nächsten Programmstand einspielen Wer muss handeln: Systemadministrator, vor der Installation Aufwand: eine Zeile in einer Datei, fünf Minuten
Worum es geht
In Kürze wird es ein Generationenwechsel für die Anmeldung in GoeChem geben.
Ab diesem Programmstand verlangt GoeChem von jedem Anwender ein selbst vergebenes Kennwort. Ein vom Administrator ausgestelltes Kennwort gilt nur noch als Einmalzugang.
Das trifft alle lokalen Konten auf einmal. GoeChem hat bisher nicht festgehalten, wann ein Kennwort zuletzt selbst geändert wurde (benutzer.pwzeit wird auf dem bisherigen Stand nirgends gesetzt). Nach dem Einspielen ist dieser Zeitpunkt deshalb für jedes Konto leer, und ein leerer Zeitpunkt bedeutet „noch nie selbst vergeben“. Die Aufforderung erscheint damit beim nächsten Anmelden bei allen Anwendern mit einem GoeChem-eigenen Konto — nicht nur bei neu angelegten.
Was vorher zu tun ist
Ohne Eintrag gilt eine Vorgabe: 12 Zeichen, Groß-, Klein- und Ziffernanteil. Das ist eine brauchbare Regel, aber nicht zwingend Ihre. Tragen Sie sie deshalb vor dem Einspielen ein.
Datei: <DOCUMENT_ROOT>/daten/config.dat Aufbau: Name · Tabulator · Wert — kein Leerzeichen, sonst gehört es zum Namen und die Einstellung bleibt wirkungslos, ohne Fehlermeldung.
| Einstellung | Bedeutung | Vorgabe | Untergrenze |
|---|---|---|---|
| PASSWORT_MINLAENGE | Mindestlänge in Zeichen | 12 | 8 |
| PASSWORT_STAERKE | Zeichenklassen: Groß, Klein, Ziffer, Sonderzeichen | GKZ | GK |
| PASSWORTWECHSEL_ERSTANMELDUNG | 0/nein/aus/n schaltet die Aufforderung ab; jeder andere Wert und ein fehlender Eintrag bedeuten ein | ein | – |
| PASSWORT_MAXALTER_TAGE | Höchstalter; 0 oder nicht gesetzt = kein Ablauf | 0 | – |
| PASSWORT_ITERATIONEN | Runden PBKDF2-SHA512 | 210 000 | 50 000 |
Zur Untergrenze bei den Zeichenklassen: sie wird nicht verglichen, sondern ergänzt. Wer Z einträgt, bekommt GKZ; wer SZ einträgt, bekommt GKZS. Verschärfen geht beliebig, absenken unter das Mindestmaß nicht — ein zu kleiner Wert wird angehoben und protokolliert (Feld KENNWORT im Protokoll der aufrufenden Seite, daten/log/).
Reihenfolge
- Regel abstimmen und eintragen
- Anwender vorab informieren — eine Zeile genügt, die Regel gleich mitnennen
- Programmstand einspielen (cfsa02.cgi, Bereich Releases)
- Mit einem Testkonto anmelden und die Prüfliste gegen die abgestimmte Regel halten
Umgekehrt melden sich Anwender an, bekommen die Aufforderung mit der Vorgabe-Regel und vergeben ein Kennwort danach. Eine später verschärfte Regel wirkt nicht rückwirkend: diese Kennwörter bleiben gültig, bis sie das nächste Mal geändert werden.
Was die Anwender sehen
Nach dem Anmelden ein Fenster, das sich nicht wegklicken lässt: oben die geltende Regel, darunter zwei Eingabefelder und eine mitlaufende Prüfliste. Zwei Wege weiter — Kennwort setzen und anmelden oder Abbrechen und abmelden. Ist noch etwas offen, nennt GoeChem beim Klick die fehlenden Punkte und springt in das betroffene Feld.
Eine Prüfung nimmt nur der Server vor: „weicht vom bisherigen Kennwort ab“. Sie steht nicht in der Prüfliste, weil sie nur gegen das gespeicherte Kennwort zu entscheiden ist. Eine vollständig abgehakte Prüfliste schließt eine Abweisung also nicht aus.
Wen es nicht betrifft
- Konten aus externen Verzeichnissen (SSO, Shibboleth, CAS, LDAP) — GoeChem verwaltet das Kennwort dort nicht
- Kartenanmeldung
- Konten ohne hinterlegtes Kennwort (frisch registriert, noch nicht freigeschaltet)
Abschalten
PASSWORTWECHSEL_ERSTANMELDUNG auf 0. Die Regel selbst bleibt gültig für jedes neu vergebene Kennwort; GoeChem verlangt dann nur keinen Wechsel mehr von sich aus. Für eine Anlage nach EU-GMP Annex 11 ist das Abschalten zu begründen und zu dokumentieren.
Halten Sie einen zweiten Zugang bereit
Der Wechsel trifft auch das Administratorkonto, sofern es ein GoeChem-eigenes Konto ist. Wechseln Sie das Administratorkennwort als Erstes, nicht als Letztes.
Erkennbar auf cfsa02.cgi
Commits, die eine solche Vorbereitung voraussetzen, sind im Bereich Releases hervorgehoben: rotes Kennzeichen ACHTUNG, roter Rahmen um den Eintrag und ein Hinweis über der Zeitleiste — „Vor dem Einspielen lesen: dieser Commit setzt eine Vorbereitung am System voraus oder wirkt sich auf alle Anwender aus.“
Ein Programmstand, der die Kennzeichnung noch nicht kennt, zeigt ACHTUNG als graues Kennzeichen statt als rotes. Sichtbar bleibt es also auch dort; nur die Hervorhebung des ganzen Eintrags fehlt.
Unterlagen
- GoeChem-Kennwortregeln.pdf — ausführlich, für Systemadministratoren. Erreichbar über die Seite "Support&Feedback" als globale Meldung
- GoeChem-Anmeldung_Registrierung.pdf — die Bedienung des Kennwortfensters aus Anwendersicht. Dorthin verweisen statt die Regel im Einzelfall zu erklären
Mit freundlichem Gruß,
Ihr GoeChem-Support