主题: 对于iredadmin的改善建议

张工:您好!

由于现在基于SOX法案的要求,特别是对于帐号和密码的管理,更是严格控制,因此对iredadmin中密码修改的建议如下:

1、设定密码长度和强度限限制,如至少8位长,必须包含字母和数字的组合,区别大小写,至少包含一个符号;
2、密码定期修改要求,如3个月必须修改一次密码;
3、每次修改的密码与前5次修改的密码必须不同;

我现在在postfixadmin中第1、2条实现了,还没有实现第3条。

如果实现了这些要求,今后可以向单点认证方向扩展!


谢谢!

回复: 对于iredadmin的改善建议

会考虑实现 #1,#2。
#3 则可能要保存加密后的前5次密码了,每次设立新密码都要和旧的加密密码进行比对。

== UPDATE ==
提交了 issue 用于跟踪你的这个需求:
http://code.google.com/p/iredmail/issues/detail?id=80

感谢您的建议。:)

回复: 对于iredadmin的改善建议

另外,iRedAdmin 是由 iRedMail 项目组开发,所以从代码可控性上来说,要实现这些功能是比较容易的,只要大家认为确实有必要。
但是 Roundcube webmail 里也可以更改密码,但是它自带的密码插件不支持这些要求,就比较麻烦。因为用户几乎都是用 Webmail 修改密码的。从这一点来说,在 iRedAdmin 里实现了反而意义不那么大了,只要管理员有这个安全意识,就可以为用户设置符合要求的新密码。

4 最后由 sdaniel (2011-12-26 14:25:58) 编辑

回复: 对于iredadmin的改善建议

这个问题的确是象您说的那样!

我们是这样做的:
1、我修改了postfixadmin中的代码,使得管理员在设置缺省密码时使用这个规则;
2、我们又修改了roundcubemail中的修改密码的插件,增加了规则控制,并将其设定的密码发到用户的邮箱中,以备查;
3、在服务器上还内置了用户密码修改频率的检查脚本,超过3个月没有修改密码,每天邮件通知,直到其修改密码。

回复: 对于iredadmin的改善建议

sdaniel 写道:

1、我修改了postfixadmin中的代码,使得管理员在设置缺省密码时使用这个规则;

如果可能的话,将补丁提交给 PostfixAdmin 开发团队吧,以后你就不用每次更新 PostfixAdmin 都自己修改一遍。

sdaniel 写道:

2、我们又修改了roundcubemail中的修改密码的插件,增加了规则控制,并将其设定的密码发到用户的邮箱中,以备查;

如果能提交补丁给 Roundcube 密码插件的作者,让他直接实现会更好。

sdaniel 写道:

3、在服务器上还内置了用户密码修改频率的检查脚本,超过3个月没有修改密码,每天邮件通知,直到其修改密码。

您是使用 OpenLDAP 还是 MySQL 存储帐号?如果是 MySQL,这里有现成的方案:
http://iredmail.org/wiki/index.php?titl … in.90.Days