• 注册日期: 2009-12-18
  • 文章数: 90

主题: 对于iredadmin的改善建议

张工：您好！

由于现在基于SOX法案的要求，特别是对于帐号和密码的管理，更是严格控制，因此对iredadmin中密码修改的建议如下：

1、设定密码长度和强度限限制，如至少8位长，必须包含字母和数字的组合，区别大小写，至少包含一个符号；
2、密码定期修改要求，如3个月必须修改一次密码；
3、每次修改的密码与前5次修改的密码必须不同；

我现在在postfixadmin中第1、2条实现了，还没有实现第3条。

如果实现了这些要求，今后可以向单点认证方向扩展！


谢谢！

  • 注册日期: 2009-12-18
  • 文章数: 2,864

回复: 对于iredadmin的改善建议

会考虑实现 #1，#2。
#3 则可能要保存加密后的前5次密码了，每次设立新密码都要和旧的加密密码进行比对。

== UPDATE ==
提交了 issue 用于跟踪你的这个需求：
http://code.google.com/p/iredmail/issues/detail?id=80

感谢您的建议。:)

  • 注册日期: 2009-12-18
  • 文章数: 2,864

回复: 对于iredadmin的改善建议

另外，iRedAdmin 是由 iRedMail 项目组开发，所以从代码可控性上来说，要实现这些功能是比较容易的，只要大家认为确实有必要。
但是 Roundcube webmail 里也可以更改密码，但是它自带的密码插件不支持这些要求，就比较麻烦。因为用户几乎都是用 Webmail 修改密码的。从这一点来说，在 iRedAdmin 里实现了反而意义不那么大了，只要管理员有这个安全意识，就可以为用户设置符合要求的新密码。

4 sdaniel回复 最后由 sdaniel (2011-12-26 14:25:58) 编辑

  • 注册日期: 2009-12-18
  • 文章数: 90

回复: 对于iredadmin的改善建议

这个问题的确是象您说的那样！

我们是这样做的：
1、我修改了postfixadmin中的代码，使得管理员在设置缺省密码时使用这个规则；
2、我们又修改了roundcubemail中的修改密码的插件，增加了规则控制，并将其设定的密码发到用户的邮箱中，以备查；
3、在服务器上还内置了用户密码修改频率的检查脚本，超过3个月没有修改密码，每天邮件通知，直到其修改密码。

  • 注册日期: 2009-12-18
  • 文章数: 2,864

回复: 对于iredadmin的改善建议

sdaniel 写道:

1、我修改了postfixadmin中的代码，使得管理员在设置缺省密码时使用这个规则；

如果可能的话，将补丁提交给 PostfixAdmin 开发团队吧，以后你就不用每次更新 PostfixAdmin 都自己修改一遍。

sdaniel 写道:

2、我们又修改了roundcubemail中的修改密码的插件，增加了规则控制，并将其设定的密码发到用户的邮箱中，以备查；

如果能提交补丁给 Roundcube 密码插件的作者，让他直接实现会更好。

sdaniel 写道:

3、在服务器上还内置了用户密码修改频率的检查脚本，超过3个月没有修改密码，每天邮件通知，直到其修改密码。

您是使用 OpenLDAP 还是 MySQL 存储帐号？如果是 MySQL，这里有现成的方案：
http://iredmail.org/wiki/index.php?titl … in.90.Days