PEBKAC #3335

En tant que responsable du service informatique d'une PME, j'envoie l'un de mes techniciens avec une fiche intervention et les accès de différents postes, pour installer la dernière version d'un certain logiciel. Une collègue m'appelle alors :
- C'est normal que le technicien soit sur mon PC ?
- Oui, je l'ai envoyé faire les mises à jour.
- (très énervée) Et je peux savoir comment il connait MON mot de passe ?!
- Il fait partie du service informatique, c'est donc normal qu'il connaisse ton mot de passe.
- Mais c'est MON PC ! Donc ce n'est pas normal qu'il connaisse mon mot de passe ! Pourquoi je ne connais pas le sien moi ?!...
PEBKAC.

PEBKAC #3335 proposé par JeanChris le 17/03/2011 | 26 commentaires | 👍🏽 👎🏽 +1

bah perso, je connais pas le mot de passe de mes users. si j'ai besoin, je le reset, en prevenant la personne avant, au cas ou.

Commentaire #156040 écrit par root le 21/04/2011 à 17h28 | 👍🏽 👎🏽

Mmm... Les mots de passe devraient être chiffrés. Les membres du service informatique n'ont pas à connaitre un mot de passe d'utilisateur.

Commentaire #156041 écrit par BiaK le 21/04/2011 à 17h34 | 👍🏽 👎🏽

Pareil...
Un technicien qui connaît le mot de passe de l'utilisateur d'une machine, ça me paraît aberrant. Il devrait utiliser un mot de passe admin, mais certainement pas celui de l'utilisateur.

Commentaire #156042 écrit par NonooStar le 21/04/2011 à 17h38 | 👍🏽 👎🏽 +1

Je plussois. Le service informatique n'as pas à connaitre le mot de passe des users mais il peut avoir un compte privilégié sur tous les postes (compte ADMIN).
Donc «C'est toi le Pebkac».

Commentaire #156043 écrit par Psykauze le 21/04/2011 à 17h39 | 👍🏽 👎🏽

LES MOTS DE PASSE SONT STRICTEMENT PERSONNELS !!!
Si un technicien à besoin de faire quelque chose sur un PC, c'est uniquement via un compte admin, ou alors avec l'accord et en présence de l'user.

Commentaire #156044 écrit par BSK le 21/04/2011 à 17h45 | 👍🏽 👎🏽 +1

... tout a été dit, si on se bat pour ne pas avoir de mot de passe sur un postit sur le pc, c'est surement pas pour qu'un technicien se balade avec un carnet remplis de mots de passe dés qu'il a une manip à réaliser !

Commentaire #156045 écrit par beajer le 21/04/2011 à 17h45 | 👍🏽 👎🏽 +1

(suite)

C'est une faille grave dans la politique de sécurité des données de l'entreprise : chacun ne doit avoir accès qu'à ce dont il a besoin pour éviter les fuites d'information. Ici, le technicien a virtuellement accès à toutes les données de l'entreprise. S'il lui prend l'envie de les vendre à la concurrence, rien ne l'en empêche, d'autant plus que c'est l'user dont-il aura utilisé le compte/PC qui risque de porter le chapeau.

Commentaire #156046 écrit par BSK le 21/04/2011 à 17h45 | 👍🏽 👎🏽

euh, il me semble qu'il donne une liste avec les acces aux PC, pas qu'il donne les mots de passe des utilisateurs... manifestement, ici l'utilisatrice confond les comptes (d'ailleur sait-elle ce qu'est un compte admin?)

enfin, dans pas mal de (grosses) entreprises, le service IT a acces aux comptes utilisateur que ce soit pour la maintenance ou pour des question de securite (car la faille, c'est toujours l'humain)

Commentaire #156047 écrit par Jo le 21/04/2011 à 17h54 | 👍🏽 👎🏽

La tournure laissant à penser que le service info a en effet accès à tout les mots de passes me fait voter "C'est toi le PEBKAC"

Commentaire #156048 écrit par caus909 le 21/04/2011 à 17h59 | 👍🏽 👎🏽

Attendez, vous vous focalisez sur un seul point : le technicien connaît le mot de passe de l'utilisatrice. Si c'est en soit un PEBKAC, c'est pas le seul problème que je vois.
Car, voyez-vous, il utilise le mot de passe (donc le compte) de l'utilisatrice pour *installer un logiciel*. L'utilisatrice aurait donc un compte admin ? Sécurité absolue !

Enfin, peut-être voulait-il dire "c'est normal qu'il connaisse le mot de passe admin de ton PC" (auquel cas il n'y aurait qu'un problème d'expression) ?

Commentaire #156049 écrit par Quelqu'un le 21/04/2011 à 18h04 | 👍🏽 👎🏽

(cf BOFH)
- Pouvez vous réinit mon password ?
- Tout d'abord, vous convenez qu'un password est personnel et ne doit être divulgué pour des raisons évidentes de sécurité ?
- Oui, cela va sans dire.
- Très bien. Voilà j'ai réinitialisé votre password.
- Merci beaucoup. *clic*

...

- Euh, c'est encore moi, vous ne m'avez pas donné mon password.
- C'est normal, nous avions convenu qu'un mot de passe est personnel, donc une seule personne doit le connaitre. L'ayant moi même réinitialisé, je suis le seul a le connaitre, et ne doit en aucun cas le divulguer. Au revoir. *clic*

Commentaire #156050 écrit par Loma Trail le 21/04/2011 à 18h11 | 👍🏽 👎🏽

S'il y a un responsable et un technicien, je suppose que l'entreprise est assez grosse pour disposer d'Active Directory. Pourquoi n'ont ils pas fait une GPO pour lancer automatiquement l'installation en mode silencieux sur tous les postes ? Je suis peut etre linuxien mais je connais quelques bonnes pratiques d'administration Windows.

Commentaire #156051 écrit par Psykauze le 21/04/2011 à 18h24 | 👍🏽 👎🏽

À mon avis le responsable du service informatique ne sait pas faire la différence entre un compte admin et un compte d'utilisateur. Je pense que le technicien s'est simplement loggé en tant qu'admin, il n'avait pas besoin de connaître le mdp de l'utilisatrice.

Commentaire #156052 écrit par tauny le 21/04/2011 à 18h28 | 👍🏽 👎🏽 +1

@Jo: Peut-être que le technicien est logué avec un autre compte et que l'utilisatrice confond, mais dans ce cas là le "responsable du service informatique" confond aussi puisqu'il répond "c'est donc normal qu'il connaisse TON mot de passe".

Dans tous les cas c'est lui le PEBKAC.
Il est normal que le service informatique ait accès aux PC avec un compte admin, mais pas qu'il ait les mots de passe des utilisateurs.

Commentaire #156053 écrit par Shirluban le 21/04/2011 à 19h49 | 👍🏽 👎🏽

Quand j'étais responsable informatique en PME, mon DG exigeait de moi que je tienne une liste des mots de passe des utilisateurs. Ce que je faisais quand je créais un compte. Mais je donnais aussi aux utilisateurs la procédure pour changer le mot de passe, ce qu'ils s'empressaient de faire.
J'obéissais à l'odre qui m'était donné tout en préservant la sécurité et la confidentialité des comptes des utilisateurs...

Commentaire #156054 écrit par Tharkun le 21/04/2011 à 20h10 | 👍🏽 👎🏽

Pour en rajouter une couche :
1/Envoi d'un technicien pour installer une mise à jour -> PEBKAC, quand on administre dans une entreprise, on centralise les mises à jour au maximum
2/ Intervention sur un poste sans prévenir l'utilisateur -> PEBKAC
3/ Les service info semble avoir tous les mots de passe utilisateurs -> PEBKAC, faille de sécurité et manquement au respect de la confidentialité
4/ " C'est MON PC" -> PEBKAC de l'utilisateur, ce n'est pas son PC, c'est celui de la boîte (par contre, c'est peut être son compte -> PEBKAC de donner les droits d'installation sur un compte utilisateur)

Commentaire #156055 écrit par Morrock le 21/04/2011 à 22h26 | 👍🏽 👎🏽

@Morrock : toutes les boîtes n'ont pas les moyens de se payer l'infrastructure permettant une centralisation des mises à jours. Je sais que ce n'est pas le cas de la mienne, je me tape donc ce genre de manip - heureusement qu'on n'est pas nombreux.

Commentaire #156056 écrit par Chymes le 21/04/2011 à 22h32 | 👍🏽 👎🏽

@ Chymes : C'est pas faux... mais bon s'ils ont un service info avec un responsable et plusieurs techniciens (il a bien dit "un de mes techniciens", il doit quand même y avoir de quoi faire derrière...
Et ça n'excuse pas les autres problèmes ...

Commentaire #156057 écrit par Morrock le 21/04/2011 à 22h39 | 👍🏽 👎🏽

Tout a été dit, donc puisque je n'ai rien à ajouter, je signale juste que j'ai voté "c'est toi le PEBKAC!" ... Donc voilà...

Sinon... Mais les mises à jours centralisés, c'est pas gratuit par hasard? Pourquoi avoir besoin de moyens supplémentaires pour le faire? Pour moi, il s'agit de mettre un RHN sur un serveur quelconque, puis de mettre comme repo unique sur tous les postes... et hop! c'est centralisé et automatisé... Même plus besoin de se demander si on est à jours ou pas... Je teste, je valide, si c'est bon, je mets sur le serveur RHN et l'update automatique fait le reste.

Commentaire #156058 écrit par Arafel le 21/04/2011 à 23h00 | 👍🏽 👎🏽

C'est toi le PEBKAC !! C'est clair !!!
Je ne connais pas de service informatique qui connaisse les mots de passe utilisateurs !! Le comité de sécurité informatique me tomberais dessus violemment si je le faisais. Et effectivement, le déplacement de quelqu'un sur un poste pour faire une installation ou une mise à jour me parait dépassé de nos jours.
Et pour finir, je ne fais pas d'installation logiciel sans prévenir l'utilisateur et tant que possible, je le fais en dehors des heures de production.
Je répète ce qui a été dit dans les autres commentaires, mais là, ça me semble gros quand même

Commentaire #156059 écrit par François le 22/04/2011 à 06h56 | 👍🏽 👎🏽

Dans mon entreprise c'est encore pire : tout le monde possède un compte admin et connait le mot de passe de tout le monde (mot de passe joliment formé de la concaténation du nom de l'utilisateur et du numéro de département).

Commentaire #156060 écrit par Momo le 22/04/2011 à 08h10 | 👍🏽 👎🏽

enfin, c'est bien beau le compte admin, mais y'a certaines applis qui necessitent de s'installer avec le compte user. (j'entends par là, sur la session de l'utilisateur) et qui ne proposent pas d'install pour chaque user du poste. deja vecu. t'as beau faire l'install avec le compte admin, une fois sur la session de l'utilisateur, ça marche pas. apres, c'etait dans un environnement particulier, et des applis particulières aussi.

Commentaire #156061 écrit par root le 22/04/2011 à 09h12 | 👍🏽 👎🏽

@root: Dans ce cas la, tu attends la présence de l'user afin d'installer ou de configurer l'application spécifique a sa session. En aucun cas tu n'as a connaitre le mot des passe des users. Conformement a la CNIL, cela est interdit!

Commentaire #156062 écrit par Youpibaal le 22/04/2011 à 10h04 | 👍🏽 👎🏽

@ Youpi, oui, tout à fait.
je reagissais juste sur le fait que le compte admin ne te sauve pas de toutes les situations.

Commentaire #156063 écrit par root le 22/04/2011 à 10h22 | 👍🏽 👎🏽

Dans certains services j'ai connu ça. Consigne d'en haut de collecter et consigner tous les mots de passe des utilisateurs (certains gueulaient, et je les comprenais). Et tous ces utilisateurs avaient un compte admin. Résultat, des machines presque toutes vérolées (installation de petits jeux pour la pause de midi...). J'ai bien suggéré qu'il y avait des méthodes plus efficaces, mais on m'a remis à ma place, en me disant que si je n'étais pas content...

Commentaire #156064 écrit par BonSensS'abstenir le 22/04/2011 à 12h56 | 👍🏽 👎🏽

@Clem On peut avoir une p'tite MAJ ? Ou va falloir encore attendre 15 jours pour avoir 3 PEBKAC ?

Commentaire #156065 écrit par Drevv le 25/04/2011 à 00h15 | 👍🏽 👎🏽