Tcepo at 12:22, 31 January 2023

2023-01-31T12:22:57Z

← Older revision		Revision as of 14:22, 31 January 2023
Line 113:		Line 113:
	<pre>		<pre>
	// Version history:		// Version history:
	// 2013-05-26 Antonio DA SILVA PACHECO (~~pacheco~~ at ~~infocepo~~.com)		// 2013-05-26 Antonio DA SILVA PACHECO (ynotopec at gmail.com)
	// Modification from static directory to dynamic		// Modification from static directory to dynamic
	// Defines added		// Defines added

Tcepo: /* Source CPP */

2022-03-04T00:10:07Z

Source CPP

← Older revision		Revision as of 02:10, 4 March 2022
Line 113:		Line 113:
	<pre>		<pre>
	// Version history:		// Version history:
	// 2013-05-26 Antonio DA SILVA PACHECO (~~ynotopec@gmail~~.com)		// 2013-05-26 Antonio DA SILVA PACHECO (pacheco at infocepo.com)
	// Modification from static directory to dynamic		// Modification from static directory to dynamic
	// Defines added		// Defines added

Tcepo: /* Source CPP */

2022-02-27T09:04:47Z

Source CPP

← Older revision		Revision as of 11:04, 27 February 2022
Line 118:		Line 118:

	// Change these parameters		// Change these parameters
	#define GroupName L"~~ESS_Supervision_Encadrement~~" // User name or group name for this database		#define GroupName L"users" // User name or group name for this database
	#define AccessType L"managers" // L"managers" for manage the database or L"users" for read only		#define AccessType L"managers" // L"managers" for manage the database or L"users" for read only
	#define ServicePassword L"*" // Show ESS_Supervision_Encadrement database. Do not archive with password!		#define ServicePassword L"*" // Show ESS_Supervision_Encadrement database. Do not archive with password!

Tcepo: Created page with "Ce document décrit la mise en place d'un gestionnaire de mots de passes crypté et sécurisé par contrôle d'accès. == Prérequis == === Configuration d'Active Directory =..."

2016-11-09T21:09:59Z

Created page with "Ce document décrit la mise en place d'un gestionnaire de mots de passes crypté et sécurisé par contrôle d'accès. == Prérequis == === Configuration d'Active Directory =..."

New page

Ce document décrit la mise en place d'un gestionnaire de mots de passes crypté et sécurisé par contrôle d'accès.

== Prérequis ==
=== Configuration d'Active Directory ===
* un compte "ServiceKeepass" de type utilisateur restreint
* un groupe <UserGroup> en lecture seule sur les mots de passes
* un groupe <ManagerGroup> de gestion des mots de passes
Attention!: le groupe <AdminGroup> qui va gérer les mots de passes ne doit pas contenir des personnes que l'on veut limiter en lecture seule
(* optionnel: un groupe d'administration de l'outil
Attention!: le groupe qui va administrer l'outil ne doit pas contenir de personnes non autorisés à modifier l'outil)

=== Autre ===
* un partage SMB au moins ouvert aux groupes qui vont accéder à l'outil
* KeePass 2 dernière version portable
* plugin KeeAutoExec.plgx pour ouvrir plusieurs bases simultanément

=== Plateforme de dévellopement ===
* un pc sécurisé (préco:crypté et hors réseau)
* KeePass 2.x déjà installé dans le pc sécurisé
* compilateur win32 dans le pc sécurisé (préco: Microsoft Visual CPP)

== Actions sur la plateforme de dev ==
=== Variables à définir ===
* Pour chaque groupe définir le triplet:
- GroupName:AccessType:Password

- GroupName = Nom du groupe dans l'AD

- AccessType = "users" pour lecture seulement des mots de passes ou "managers" pour la gestion en écriture aussi

- Password = Mot de passe d'accès à l'outil

* Définir ServicePassword = le mot de passe du compte ServiceKeepass

=== Actions ===
* créer un répertoire keepass\bases
* créer un répertoire keepass\keys
* créer un répertoire keepass\start

* créer un répertoire keepass\appli\users
* copier les fichiers du "KeePass portable" dans le répertoire
* ajouter le plugin KeeAutoExec.plgx

* dupliquer keepass\appli\users vers keepass\appli\managers
- ou créer des liens physiques sauf pour le fichier de configuration KeePass.config.xml qui doit être dupliqué obligatoirement!

* Modifier la politique de sécurité dans le fichier keepass\appli\users\KeePass.config.xml:
<pre>
<Policy>
<Plugins>true</Plugins>
<Export>false</Export>
<ExportNoKey>false</ExportNoKey>
<Import>false</Import>
<Print>false</Print>
<NewFile>false</NewFile>
<SaveFile>false</SaveFile>
<AutoType>true</AutoType>
<AutoTypeWithoutContext>true</AutoTypeWithoutContext>
<CopyToClipboard>true</CopyToClipboard>
<CopyWholeEntries>false</CopyWholeEntries>
<DragDrop>true</DragDrop>
<UnhidePasswords>true</UnhidePasswords>
<ChangeMasterKey>false</ChangeMasterKey>
<ChangeMasterKeyNoKey>false</ChangeMasterKeyNoKey>
<EditTriggers>true</EditTriggers>
</Policy>
</pre>

* Modifier le champs CheckForUpdate s'il existe dans les 2 fichiers KeePass.config.xml:
<pre>
<Start>
<CheckForUpdate>false</CheckForUpdate>
<CheckForUpdateConfigured>true</CheckForUpdateConfigured>
</Start>
</pre>

=== Création des bases ===
* lancer KeePass
* pour chaque groupe:
- créer une nouvelle base nommée GroupName
- créer une clé et la nommer comme cette base
- entrer le mot de passe d'accès défini pour ce groupe
- configurer le plugin KeeAutoExec.plgx pour intégrer d'autres bases

=== Création des lanceurs ===
* pour chaque base créée
- créer un fichier <GroupName>.cpp avec le source CPP fourni ci-joint
- éditer
- compiler
* déplacer les fichiers <GroupName>.exe dans keepass\start

=== Configuration des droits ===
*keepass\appli |autoriser ServiceKeepass en lecture et exécution et refuser le reste|autoriser le goupe administrateur de l'outil en modification
*keepass\bases |autoriser ServiceKeepass en modification et refuser le reste|autoriser le goupe administrateur de l'outil en modification
*keepass\keys |autoriser le goupe administrateur de l'outil en modification
*keepass\keys et sous répertoires |autoriser ServiceKeepass à traverser le répertoire et refuser le reste
*keepass\keys fichiers |autoriser ServiceKeepass à lire et refuser le reste
*keepass\start |autoriser le goupe administrateur en modification
*keepass\start et sous répertoire |autoriser le groupe utilisateurs en lecture et refuser le reste|autoriser les groupes managers keepass en lecture et refuser le reste
*Pour chaque fichier <GroupName>.exe |ajouter le groupe <GroupName> associé en exécution et refuser le reste

==Finalisation==
* Créer les raccourcis du ou des lanceurs associés au poste sur le bureau et dans le menu démarrer

==Propositions/Options==
*préco: ajouter le decryptage dans les sources et utiliser un mot de passe crypté
*préco: prévoir un mécanisme de redondance spaciale avec un pc portable en local et crypté
*préco: la modification des clés et mots de passes d'accès aux bases ne doit être possible que par deux personnes en même temps (de confiances et sans conflits d'intérêts!)
*préco: prévoir un backup régulier des bases
*préco: prévoir ajout des clés avec compte ServiceKeepass

== Source CPP ==
<pre>
// Version history:
// 2013-05-26 Antonio DA SILVA PACHECO (ynotopec@gmail.com)
// Modification from static directory to dynamic
// Defines added

// Change these parameters
#define GroupName L"ESS_Supervision_Encadrement" // User name or group name for this database
#define AccessType L"managers" // L"managers" for manage the database or L"users" for read only
#define ServicePassword L"*" // Show ESS_Supervision_Encadrement database. Do not archive with password!

// Not necessary to change
#define ServiceName L"ServiceKeepass" // default=L"ServiceKeepass"
#define DOMAIN L"<domain>" // default=L"<domain>", L"." to use local account database only

#define ROOT_DEPTH L".." // default=L".." // Keepass root directory relative to start directory
#define APPLI L"appli\\" AccessType L"\\KeePass.exe" // default=L"appli\\" AccessType L"\\KeePass.exe"
#define DB L"bases\\" GroupName L".kdbx" // default=L"bases\\" DB_NAME L".kdbx"
#define KEY L"keys\\" GroupName L".key" // default=L"keys\\" DB_NAME L".key"
#define COMMAND_LINE APPLI L" " DB L" -preselect:" KEY // default=APPLI L" " DB L" -preselect:" KEY

#include <direct.h>
#include <windows.h>
#include <stdio.h>
#include <ntsecapi.h>

int main()
{
// Store root directory
_wchdir(ROOT_DEPTH);
wchar_t RootPath[_MAX_PATH];
_wgetcwd(RootPath, _MAX_PATH);

// Launch application with another account
STARTUPINFOW su_info;
ZeroMemory(&su_info, sizeof(STARTUPINFOW));
su_info.cb = sizeof(STARTUPINFOW);

PROCESS_INFORMATION pi;
ZeroMemory(&pi, sizeof(PROCESS_INFORMATION));
CreateProcessWithLogonW(ServiceName, DOMAIN, ServicePassword, LOGON_WITH_PROFILE, NULL, COMMAND_LINE, 0, NULL, RootPath, &su_info, &pi);
return 0;
}

//ref http://forums.codeguru.com/showthread.php?493062-c-createProcessWithLogonW
</pre>

== Exemple de fichiers *.config.xml ==
=== Users ===
<pre>
<?xml version="1.0" encoding="utf-8"?>
<Configuration xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:xsd="http://www.w3.org/2001/XMLSchema">
<Meta>
<PreferUserConfiguration>false</PreferUserConfiguration>
<OmitItemsWithDefaultValues>true</OmitItemsWithDefaultValues>
</Meta>
<Application>
<LastUsedFile>
<Path></Path>
<CredProtMode>Obf</CredProtMode>
<CredSaveMode>NoSave</CredSaveMode>
</LastUsedFile>
<MostRecentlyUsed>
<MaxItemCount>12</MaxItemCount>
<Items>
<ConnectionInfo>
<Path></Path>
<CredProtMode>Obf</CredProtMode>
<CredSaveMode>NoSave</CredSaveMode>
</ConnectionInfo>
</Items>
</MostRecentlyUsed>
<WorkingDirectories />
<Start>
<CheckForUpdate>false</CheckForUpdate>
<CheckForUpdateConfigured>true</CheckForUpdateConfigured>
</Start>
<FileOpening />
<FileClosing />
<TriggerSystem>
<Triggers />
</TriggerSystem>
</Application>
<Logging />
<MainWindow>
<X>259</X>
<Y>45</Y>
<Width>662</Width>
<Height>513</Height>
<Maximized>true</Maximized>
<SplitterHorizontalFrac>0.8303835</SplitterHorizontalFrac>
<SplitterVerticalFrac>0.250366032</SplitterVerticalFrac>
<Layout>Default</Layout>
<MinimizeAfterLocking>false</MinimizeAfterLocking>
<ToolBar />
<EntryView />
<TanView />
<EntryListColumnCollection>
<Column>
<Type>Title</Type>
<Width>348</Width>
</Column>
<Column>
<Type>UserName</Type>
<Width>237</Width>
</Column>
<Column>
<Type>Password</Type>
<Width>120</Width>
<HideWithAsterisks>true</HideWithAsterisks>
</Column>
<Column>
<Type>Url</Type>
<Width>90</Width>
</Column>
<Column>
<Type>Notes</Type>
<Width>90</Width>
</Column>
</EntryListColumnCollection>
<EntryListColumnDisplayOrder>0 1 2 3 4</EntryListColumnDisplayOrder>
<ListSorting>
<Order>Ascending</Order>
</ListSorting>
</MainWindow>
<UI>
<TrayIcon />
<Hiding />
<StandardFont>
<Family>Microsoft Sans Serif</Family>
<Size>8.25</Size>
<GraphicsUnit>Point</GraphicsUnit>
<Style>Regular</Style>
<OverrideUIDefault>false</OverrideUIDefault>
</StandardFont>
<PasswordFont>
<Family>Courier New</Family>
<Size>8.25</Size>
<GraphicsUnit>Point</GraphicsUnit>
<Style>Regular</Style>
<OverrideUIDefault>false</OverrideUIDefault>
</PasswordFont>
<BannerStyle>WinVistaBlack</BannerStyle>
<DataEditorFont>
<Family>Microsoft Sans Serif</Family>
<Size>8.25</Size>
<GraphicsUnit>Point</GraphicsUnit>
<Style>Regular</Style>
<OverrideUIDefault>false</OverrideUIDefault>
</DataEditorFont>
<UIFlags>0</UIFlags>
<KeyCreationFlags>0</KeyCreationFlags>
<KeyPromptFlags>0</KeyPromptFlags>
</UI>
<Security>
<WorkspaceLocking>
<LockAfterTime>0</LockAfterTime>
<LockAfterGlobalTime>0</LockAfterGlobalTime>
</WorkspaceLocking>
<Policy>
<Export>false</Export>
<ExportNoKey>false</ExportNoKey>
<Import>false</Import>
<Print>false</Print>
<NewFile>false</NewFile>
<SaveFile>false</SaveFile>
<CopyWholeEntries>false</CopyWholeEntries>
<ChangeMasterKey>false</ChangeMasterKey>
<ChangeMasterKeyNoKey>false</ChangeMasterKeyNoKey>
</Policy>
<MasterPassword>
<MinimumLength>0</MinimumLength>
<MinimumQuality>0</MinimumQuality>
</MasterPassword>
</Security>
<Native />
<PasswordGenerator>
<AutoGeneratedPasswordsProfile>
<GeneratorType>CharSet</GeneratorType>
<Length>20</Length>
<CharSetRanges>ULD_______</CharSetRanges>
</AutoGeneratedPasswordsProfile>
<LastUsedProfile>
<GeneratorType>CharSet</GeneratorType>
<Length>20</Length>
<CharSetRanges>ULD_______</CharSetRanges>
</LastUsedProfile>
<UserProfiles />
</PasswordGenerator>
<Defaults>
<OptionsTabIndex>1</OptionsTabIndex>
<SearchParameters>
<ComparisonMode>InvariantCultureIgnoreCase</ComparisonMode>
</SearchParameters>
<KeySources>
<Association>
<DatabasePath></DatabasePath>
<KeyFilePath></KeyFilePath>
</Association>
</KeySources>
</Defaults>
<Integration>
<HotKeyGlobalAutoType>393281</HotKeyGlobalAutoType>
<HotKeySelectedAutoType>0</HotKeySelectedAutoType>
<HotKeyShowWindow>393291</HotKeyShowWindow>
<HotKeyEntryMenu>1</HotKeyEntryMenu>
<UrlSchemeOverrides>
<BuiltInOverridesEnabled>1</BuiltInOverridesEnabled>
<CustomOverrides />
</UrlSchemeOverrides>
<ProxyType>System</ProxyType>
</Integration>
<Custom />
</Configuration>
</pre>

=== Manager ===
<pre>
<?xml version="1.0" encoding="utf-8"?>
<Configuration xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:xsd="http://www.w3.org/2001/XMLSchema">
<Meta>
<PreferUserConfiguration>false</PreferUserConfiguration>
<OmitItemsWithDefaultValues>true</OmitItemsWithDefaultValues>
</Meta>
<Application>
<LastUsedFile>
<Path>..\..\bases\ESS.kdbx</Path>
<CredProtMode>Obf</CredProtMode>
<CredSaveMode>NoSave</CredSaveMode>
</LastUsedFile>
<MostRecentlyUsed>
<MaxItemCount>12</MaxItemCount>
<Items>
<ConnectionInfo>
<Path></Path>
<CredProtMode>Obf</CredProtMode>
<CredSaveMode>NoSave</CredSaveMode>
</ConnectionInfo>
</Items>
</MostRecentlyUsed>
<WorkingDirectories />
<Start>
<CheckForUpdate>false</CheckForUpdate>
<CheckForUpdateConfigured>true</CheckForUpdateConfigured>
</Start>
<FileOpening />
<FileClosing />
<TriggerSystem>
<Triggers />
</TriggerSystem>
</Application>
<Logging />
<MainWindow>
<X>259</X>
<Y>45</Y>
<Width>662</Width>
<Height>513</Height>
<Maximized>true</Maximized>
<SplitterHorizontalFrac>0.8303835</SplitterHorizontalFrac>
<SplitterVerticalFrac>0.250366032</SplitterVerticalFrac>
<Layout>Default</Layout>
<MinimizeAfterLocking>false</MinimizeAfterLocking>
<ToolBar />
<EntryView />
<TanView />
<EntryListColumnCollection>
<Column>
<Type>Title</Type>
<Width>348</Width>
</Column>
<Column>
<Type>UserName</Type>
<Width>237</Width>
</Column>
<Column>
<Type>Password</Type>
<Width>120</Width>
<HideWithAsterisks>true</HideWithAsterisks>
</Column>
<Column>
<Type>Url</Type>
<Width>90</Width>
</Column>
<Column>
<Type>Notes</Type>
<Width>90</Width>
</Column>
</EntryListColumnCollection>
<EntryListColumnDisplayOrder>0 1 2 3 4</EntryListColumnDisplayOrder>
<ListSorting>
<Order>Ascending</Order>
</ListSorting>
</MainWindow>
<UI>
<TrayIcon />
<Hiding />
<StandardFont>
<Family>Microsoft Sans Serif</Family>
<Size>8.25</Size>
<GraphicsUnit>Point</GraphicsUnit>
<Style>Regular</Style>
<OverrideUIDefault>false</OverrideUIDefault>
</StandardFont>
<PasswordFont>
<Family>Courier New</Family>
<Size>8.25</Size>
<GraphicsUnit>Point</GraphicsUnit>
<Style>Regular</Style>
<OverrideUIDefault>false</OverrideUIDefault>
</PasswordFont>
<BannerStyle>WinVistaBlack</BannerStyle>
<DataEditorFont>
<Family>Microsoft Sans Serif</Family>
<Size>8.25</Size>
<GraphicsUnit>Point</GraphicsUnit>
<Style>Regular</Style>
<OverrideUIDefault>false</OverrideUIDefault>
</DataEditorFont>
<UIFlags>0</UIFlags>
<KeyCreationFlags>0</KeyCreationFlags>
<KeyPromptFlags>0</KeyPromptFlags>
</UI>
<Security>
<WorkspaceLocking>
<LockAfterTime>0</LockAfterTime>
<LockAfterGlobalTime>0</LockAfterGlobalTime>
</WorkspaceLocking>
<Policy />
<MasterPassword>
<MinimumLength>0</MinimumLength>
<MinimumQuality>0</MinimumQuality>
</MasterPassword>
</Security>
<Native />
<PasswordGenerator>
<AutoGeneratedPasswordsProfile>
<GeneratorType>CharSet</GeneratorType>
<Length>20</Length>
<CharSetRanges>ULD_______</CharSetRanges>
</AutoGeneratedPasswordsProfile>
<LastUsedProfile>
<GeneratorType>CharSet</GeneratorType>
<Length>20</Length>
<CharSetRanges>ULD_______</CharSetRanges>
</LastUsedProfile>
<UserProfiles />
</PasswordGenerator>
<Defaults>
<OptionsTabIndex>0</OptionsTabIndex>
<SearchParameters>
<ComparisonMode>InvariantCultureIgnoreCase</ComparisonMode>
</SearchParameters>
<KeySources>
<Association>
<DatabasePath></DatabasePath>
<KeyFilePath></KeyFilePath>
</Association>
</KeySources>
</Defaults>
<Integration>
<HotKeyGlobalAutoType>393281</HotKeyGlobalAutoType>
<HotKeySelectedAutoType>0</HotKeySelectedAutoType>
<HotKeyShowWindow>393291</HotKeyShowWindow>
<HotKeyEntryMenu>1</HotKeyEntryMenu>
<UrlSchemeOverrides>
<BuiltInOverridesEnabled>1</BuiltInOverridesEnabled>
<CustomOverrides />
</UrlSchemeOverrides>
<ProxyType>System</ProxyType>
</Integration>
<Custom />
</Configuration>
</pre>

Keepass improve - Revision history

Tcepo at 12:22, 31 January 2023

Tcepo: /* Source CPP */

Tcepo: /* Source CPP */

Tcepo: Created page with "Ce document décrit la mise en place d'un gestionnaire de mots de passes crypté et sécurisé par contrôle d'accès. == Prérequis == === Configuration d'Active Directory =..."