364178_es-ES

liliconcom

Pregunta de seguridad de TI sobre el cifrado de contraseñas

Hola,

El equipo de seguridad de TI de un nuevo cliente potencial está examinando JMP antes de la compra. La documentación de ayuda de JMP nos brinda la ubicación del archivo .jmp donde se almacenan las ID de usuario y las contraseñas y señala que 'Su contraseña de Google está encriptada'; el equipo de seguridad ahora pregunta dónde se almacena la clave de cifrado para las contraseñas.

¿Esta información se maneja a nivel del sistema operativo (es decir, Credential Manager) o JMP maneja el cifrado/descifrado de contraseñas?

 

Además, ¿hay una ubicación análoga donde se almacena esta información (OAuthTokens.jmp en PC) en MacOS?

 

¡Gracias!

jeff

Re: Pregunta de seguridad de TI sobre el cifrado de contraseñas

@briancorcoran , gracias por la corrección. He actualizado el documento con el texto que proporcionó.

Re: Pregunta de seguridad de TI sobre el cifrado de contraseñas

Lo encontré. ¡Gracias de nuevo por tu ayuda, Jeff!

Re: Pregunta de seguridad de TI sobre el cifrado de contraseñas

@sheila_loring Eso no es lo que dijo Jeff.Realmente debería decir: Las contraseñas no se almacenan en la computadora y los tokens de acceso están encriptados.  

Re: Pregunta de seguridad de TI sobre el cifrado de contraseñas

He agregado la parte en cursiva al documento:

 

Tenga en cuenta que su contraseña de Google está encriptada y no se almacena en la computadora.

Re: Pregunta de seguridad de TI sobre el cifrado de contraseñas

@sheila_loring , puedes actualizar El documento eliminar la referencia a las contraseñas almacenadas o, mejor aún, dejar en claro que no se almacenan contraseñas?

Re: Pregunta de seguridad de TI sobre el cifrado de contraseñas

Estás viendo /Library (el de toda tu máquina). Debe buscar la biblioteca en su carpeta de inicio (~/Library).

En el Finder, mantenga presionada la tecla Opción y haga clic en el menú Ir y elija Biblioteca.

Me gustaría darle una captura de pantalla del menú Ir que muestra la opción Biblioteca, pero eso es difícil de hacer ya que la tecla Opción se interpone en el camino de la herramienta de captura de pantalla.

En cambio, aquí está la carpeta de la que estoy hablando:

 

 

 

 

Re: Pregunta de seguridad de TI sobre el cifrado de contraseñas

¡Gracias, Jeff y Brian, por esta información!

 

@Jeff_Perkinson Espero poder molestarte a ti o a un colega con una pregunta de seguimiento:

Encontré la ubicación de Mac que mencionas, pero no muestra un archivo OAuthToken.jmp. Puedo acceder a mi hoja de Google de demostración a través de JMP sin credenciales, por lo que asumo que existe un token, pero el archivo no aparece donde esperamos... y tampoco tengo suerte para encontrarlo a través de la búsqueda.Esto contrasta con mi instancia de Windows que muestra el archivo OAuthToken.jmp.

¿Alguna idea aquí?

¡Gracias de nuevo! Sus respuestas son buenas/bienvenidas en cualquier momento

-Jeff

Re: Pregunta de seguridad de TI sobre el cifrado de contraseñas

Gracias Jeff Perkinson, tienes razón.No almacenamos contraseñas, sino tokens de acceso que pueden caducar según el servicio que esté utilizando.  

 

Brian

Re: Pregunta de seguridad de TI sobre el cifrado de contraseñas

Nota personal: nunca responda después de la hora de acostarse. Mis disculpas.

 

Localicé la sección de la documentación a la que te referías. Es el Acerca de la importación de hojas de cálculo de Google sección:

 

• La información que utiliza Google para autenticar su cuenta se almacena en C:/Usuarios//AppData/Roaming/SAS/JMP/OAuthTokens.jmp . (Su contraseña de Google está encriptada). Esto le permite importar y exportar datos utilizando la misma cuenta de Google sin tener que volver a proporcionar la información de autenticación. Tenga en cuenta que un usuario con acceso a la cuenta de usuario de su computadora tiene acceso a todas sus hojas de cálculo de Google. Si contienen información confidencial, reconsidere compartir su cuenta de usuario.

El oauthtokens.jmp en una Mac está en ~/Library/Application Support/JMP.

 

Según lo que hay en mi oauthtokens.jmp, sigo sin creer que estemos almacenando contraseñas, pero @briancorcoran puede ayudar a confirmar.

 

NB: agregué la columna Longitud [] a continuación para mostrar que el campo de contraseña está vacío.

 

Re: Pregunta de seguridad de TI sobre el cifrado de contraseñas

Supongo que estás hablando de la Seguridad sección de la OAuth 2.0 para API web sección:

 

Los tokens de OAuth pueden contener información confidencial. Según el tipo de concesión, es posible que deba proporcionar su contraseña o un secreto de cliente. JMP maneja automáticamente esta información por usted.

La información que utiliza Google para autenticar su cuenta se almacena en C:/Usuarios//AppData/Roaming/SAS/JMP/OAuthTokens.jmp . (Su contraseña de Google no se almacena). Después de usar un token de OAuth en su cuenta personal, puede eliminar todas las columnas excepto la ID de usuario y de cliente. Tenga en cuenta que si necesita compartir su secuencia de comandos, otras personas no tendrán las columnas de ID de usuario y cliente guardadas en su máquina. Recomendamos mover esta información a un script JSL cifrado antes de compartir el script OAuth.

Énfasis arriba es mio.

 

Basado en eso, no creo que almacenemos contraseñas. Lo que se almacena son los fichas utilizado por aplicaciones creadas con el marco OAuth en JSL.

 

@bryan_boone puede proporcionar más detalles aquí.