KS-SOMED i dziwne problemy z hasłami użytkowników

[Michał]

W tym tygodniu jakieś dziwne rzeczy się dzieją. Trzech użytkowników zgłosiło problem z brakiem możliwości zalogowania i wszyscy zarzekają się że wpisują właściwe hasło. Problem przełączonej klawiatury wykluczony. Gdyby chodziło o jednego użytkownika to bym sobie tym głowy nie zaprzątał, ale trzech różnych użytkowników, na trzech różnych stacjach w trzy różne dni w jednym tygodniu sprawiło, że zaczynam być podejrzliwy.

1. użytkownikowi hasło wygaśnie za 3 dni. Próbuje się logować i za każdym razem dostaje komunikat o błędnym haśle a następnie po 3 próbach blokada.

2. użytkownikowi wygasło hasło. Zmienił je, zalogował się i pracował. Po automatycznej blokadzie dostępu do KS-SOMED z powodu bezczynności przez kilka minut, przy próbie wpisania zarówno nowoustawionego (jak i tego starego) hasła, pojawia się komunikat o błędnym haśle a następnie blokada.

3. użytkownikowi wygasło hasło w zeszłym tygodniu. Zmienił je i pracował. Dzisiaj przy próbie logowania (nowe hasło ustanowione w zeszłym tygodniu - przy "starym" też) komunikat o błędnym haśle a następnie blokada.

aha w 1. i 2. przypadku po ustanowieniu przeze mnie tymczasowego hasła i próbie zmiany przez użytkownika na nowe hasło użytkownika, pojawiał się komunikat, że hasło było ostatnio używane i musi być inne. Oczywiście użytkownicy próbowali ustawić hasło takie jakie wg nich mieli ostatnio, czyli takie jakie wpisywali a program twierdził, że jest nieprawidłowe.

Ktoś się spotkał z podobnymi przypadkami? Ktoś ma jakiś pomysł? Czy to zbieg okoliczności i wszyscy faktycznie podawali błędne hasło?

[andy83]

Mam takie sytuacje, że użytkownik twierdzi że wpisuje dobre hasło, a nie może się zalogować.
Jedne z lekrzay, ma w telefonie menadżer haseł, i próbował wpisać takie na jakie ostatnio zmieniał.Ale nie pasowało ani stare, ani nowe.
Teraz jak o tym piszesz, to faktycznie może coś być na rzeczy ...

[Michał]

takich pojedynczych sytuacji na przestrzeni miesięcy ja też miałem kilka, ale nie dawałem wiary użytkownikom uznając, że program chyba wie lepiej czy użytkownik wpisuje właściwe hasło czy nie. Teraz już sam nie jestem pewny dlatego pytam na forum.

[cobratw]

potwierdzam, też miałem taki przypadek, wszystkie hasła poszły
musiałem wykonać tel do kamsoftu

[MK]

Cóż, możecie mi Państwo tylko na słowo wierzyć. Używam systemu codziennie, mam włączony najwyższy poziom bezpieczeństwa, więc hasło mam dość skomplikowane i muszę zmieniać je co miesiąc. Tak mam czasem problemy z wpisaniem hasła. Tak, czasem nawet zablokuję stację, ale wynika to tylko i wyłącznie z poczynionej literówki. Zresztą, pisząc dowolny tekst zdarzają mi się często literówki, no tak po prostu mam.
Nie ma żadnego mechanizmu aby zweryfikować problem, poza testami u nas, co jak przed chwilą napisałem, osobiście czynię a i większość naszych programistów oraz testerów też bierze codzienny udział w tych testach. Możecie mi Państwo tylko wierzyć na słowo, poparte tym, że osobiście mechanizm logowania i weryfikowania haseł napisałem i go pielęgnuję. Nikomu innemu grzebać nie pozwalam ;-) a ostatnie zmiany przeprowadzałem dobrych kilka lat temu. Tego się nie zmienna codziennie.
Nie mamy żadnego keyloggera, nie zapisujemy hasła wpisanego przez operatora do jakiegokolwiek logu, nie ma nigdzie śladu, co operator wpisał, więc w żaden sposób nie możemy zweryfikować takich zgłoszeń. Zostają tylko wewnętrzne testy, które są codziennie prowadzone.
Problemy mogą pojawić się w przypadku zmiany pewnych parametrów systemu - z oczywistych przyczyn nie powiem jakich - które wpływają na klucz, którym hasła są kodowane. Ale aby takie zmiany nastąpiły, ktoś musiałby chcieć czynić na bazie danych coś nieładnego i w żaden sposób nie mającego nic wspólnego z normalną pracą z systemem. Tak, byli tacy, którzy wiedzieli gdzie jest hasło zapisane i próbowali "importować" z innej bazy i innego operatora, gdzie akurat hasło znali. Tak się nie da. To taki przykład aby naszkicować, o jakiego typu nielegalnych operacjach mówię. Oczywiście nie podejrzewam nikogo z ty się wypowiadających, o tego typu manipulacje.
Inna sprawa jest z hasłami dostępu do bazy. Tu kodowanie jest całkowicie inne i uzależnione od licencji. Więc otrzymanie nowej licencji (nowy numer)  może spowodować konieczność ponownego nauczenia KS-SOMED jakie są hasła do bazy danych. To tak tylko sygnalizując, aby była świadomość, że każde hasło jest kodowane inaczej. Bo być może za chwilę ktoś napiszę, że mu po wgraniu nowej licencji hasła się popsuły. Ale to o inne hasła chodzi.

[MK]

A z telefonem do Kamsoftu to dziwna sprawa, bo nikt z Kamsoftu haseł nie odtworzy. Jak rozumiem miał Pan zdefiniowanego użytkownika serwisowego i ktoś z Kamsoftu zalogował się na tego użytkownika korzystając ze swojego jednodniowego, unikalnego hasła i wyczyścił operatorowi lub operatorom hasła. Bo tylko tak da się to zrobić.

[09061303]

Z czasów przed użytkownikiem serwisowym - chyba jakoś 150zł netto i po udowodnieniu, że osoba zwracająca się jest właścicielem bazy i programu producent reset robił (nie wiem czy exec, baczówka, skrypt czy inne coś, bo hasło się znalazło, ale info takie było). Nie odtworzenie, tylko reset.
Teraz może jest inaczej, ale osobiście uważam, że producent powinien móc przy bezpośrednim dostępie do bazy za zgodą właściciela w sytuacji awaryjnej hasło administracyjne odzyskać. Oczywiście odpłatnie, bo zawsze można admina jakiegoś założyć na okoliczność awaryjną, zahasłować i "włożyć" do sejfu - wtedy będzie za darmo i bez nerwów.
Jak chodzi o PPSa
http://forumpps.pl/index.php?topic=11237.msg81438#msg81438
chociaż może na schemacie zintegrowanym inaczej się to odbywa.

[cobratw]

A z telefonem do Kamsoftu to dziwna sprawa, bo nikt z Kamsoftu haseł nie odtworzy. Jak rozumiem miał Pan zdefiniowanego użytkownika serwisowego i ktoś z Kamsoftu zalogował się na tego użytkownika korzystając ze swojego jednodniowego, unikalnego hasła i wyczyścił operatorowi lub operatorom hasła. Bo tylko tak da się to zrobić.

dokładnie, i po zmieniał wszystkim hasła na jednorazowe

[Michał]

Panie MK, tak jak pisałem wcześniej. Nie myślałem, że coś jest nie tak z programem do czasu ostatnich trzech przypadków, po których zacząłem wątpić.

Proszę wyjaśnić jak jest możliwa taka sytuacja (w załączniku screen z logów KS-SOMED):
użytkownikowi hasło wygaśnie za 3 dni. Próbuje się logować i za każdym razem dostaje komunikat o błędnym haśle a następnie po 3 próbach blokada. W logach KS-SOMED o dziwo pokazuje, że pierwsze próby logowania były udane (dwie udane próby z czego jedna minutę po drugiej!) a po 2 minutach wpisy o trzech błędnych próbach.

Dodam, że automatyczna blokada po bezczynności następuje u nas po kilku minutach a tutaj mamy info, że ponowne logowanie nastąpiło po minucie.