NexTool Solutions

Ein in die Folgeaktion geschriebenes Passwort verschwindet nicht, wenn das Problem gelöst ist. – Es bleibt im Ticketverlauf, in der Benachrichtigungs-E-Mail und in den Backups. Vault Send, ein kostenloses Modul von NexTool, ersetzt das Passwort durch einen Einmal-Link von Vaultwarden, im Browser verschlüsselt.

Das Problem

Jeder Service Desk übergibt Passwörter über das Ticket: das des Gäste-WLANs, das des neu angelegten Benutzers, das des Routers der Filiale, das des Systems, das der Lieferant gerade eingerichtet hat. Der schnellste Weg ist, es in die Folgeaktion zu schreiben – und genau dort bleibt das Passwort für immer.

Der Antworttext landet im Ticketverlauf, den Dutzende Personen jahrelang lesen. Er geht in der Benachrichtigungs-E-Mail in die Posteingänge aller Ticketbeteiligten und von dort auf die Smartphones. Er landet in der Datenbank des GLPI, in den Backups und in exportierten Berichten. Ein Passwort, das fünf Minuten gelten sollte, existiert plötzlich an Orten, die niemand kontrolliert, und im Sinne der LGPD sind es Daten, die Sie ohne Grund weiter speichern.

Wie Vault Send funktioniert

Das Modul nutzt Bitwarden Send, gespeichert im Vaultwarden Ihres Unternehmens, und fügt in der Ticketantwort neben Hinzufügen eine Schaltfläche Sichere Zugangsdaten hinzu.

• Im Browser verschlüsselte Zugangsdaten – der Techniker füllt Titel, Login, Passwort (es gibt einen Passwortgenerator), eine Notiz, die Gültigkeit und die Anzahl der erlaubten Aufrufe des Links aus. Der Browser verschlüsselt alles vor dem Senden: Das GLPI erhält nur den verschlüsselten Text und leitet ihn an den Tresor weiter.



• Ein Block in der Antwort – beim Einfügen erhält die Antwort einen Block mit dem Link, der Gültigkeit und der Anzahl der Aufrufe, direkt nach dem Absatz, in dem der Cursor steht. Der Techniker sendet die Antwort wie gewohnt über Hinzufügen, und das Ticket speichert den Link, nie das Passwort.



• Öffnungsseite mit Schaltfläche – der Link führt zu einer GLPI-Seite mit einer Schaltfläche Zugangsdaten öffnen. Link-Scanner der E-Mail-Systeme, die alles Eingehende öffnen, verbrauchen den Aufruf nicht. Nur wer klickt, sieht die Zugangsdaten, entschlüsselt im eigenen Browser.



• Warnung bei eingetipptem Passwort – wenn jemand ein Passwort in den Antworttext schreibt (zum Beispiel „Passwort: …“) und auf Hinzufügen klickt, schlägt das GLPI vor, Sichere Zugangsdaten zu verwenden, ohne den Versand zu verhindern. Über die Warnung öffnet sich das Fenster bereits mit dem im Text gefundenen Login und Passwort, und der sichere Block ersetzt diese Zeilen. Die Prüfung erfolgt im Browser und lässt sich abschalten.



• Nachverfolgung und Widerruf – der Reiter Zugangsdaten des Tickets zeigt jeden gesendeten Link mit Status, Gültigkeit und Aufrufen. Ein versehentlich gesendeter Link wird sofort widerrufen, und das Ticket erhält einen Hinweis.



• Vom Anforderer zum Techniker – mit dem entsprechenden Recht im Self-Service-Profil kann auch der Anforderer über dieselbe Schaltfläche ein Passwort an den Techniker senden.

Was mit dem Passwort passiert

Der Inhalt wird im Browser des Absenders im Format von Bitwarden Send verschlüsselt. Der Schlüssel, der den Inhalt öffnet, steht nur im Link, nach dem „#“ – ein Teil der Adresse, den der Browser nie an einen Server sendet. So erhält der Server des GLPI das Passwort nicht im Klartext, und der Tresor speichert einen Inhalt, den er selbst nicht öffnen kann.

Der Link selbst bleibt im Ticket, solange er gültig ist: Wer das Ticket in diesem Zeitraum liest, kann ihn öffnen. Deshalb sind die kurze Gültigkeit und der einmalige Aufruf der wichtigste Schutz. Ein unbefugter Zugriff verbraucht den Link, der Empfänger bemerkt es sofort, und Sie widerrufen ihn und senden einen neuen. Das optionale Passwort zum Öffnen, das im Block selbst angezeigt wird, hält diejenigen auf, die nur den Link haben, etwa Bots, die Adressen öffnen, oder einen an anderer Stelle eingefügten Link.

Vault Send ist aus einem Plugin von Fernando Silva entstanden und wurde als Modul von NexTool neu geschrieben und vor der Freigabe einer Sicherheitsprüfung unterzogen.

So aktivieren Sie es

1. Sie benötigen das NexTool-Plugin ab Version 6.35.0 in Ihrem GLPI 10, 11 oder 12, aufgerufen über HTTPS
2. Legen Sie in Vaultwarden einen eigenen Benutzer für das GLPI an und kopieren Sie dessen API-Schlüssel
3. Installieren und aktivieren Sie in NexTool Vault Send und geben Sie im Reiter Verbindung die Adresse des Tresors, die Client ID und das Client Secret ein; testen Sie dann die Verbindung
4. Geben Sie unter Verwaltung > Profile, Reiter NexTool, den Versand von Zugangsdaten für die Techniker und auf Wunsch für die Anforderer frei

Und wenn Sie noch keinen Tresor haben?

Das Modul ist kostenlos, benötigt aber ein Vaultwarden. NexTool richtet Vaultwarden auf Ihrem Server ein, hostet einen Tresor für Sie oder hält Ihren bestehenden aktuell und betreut ihn. Alle drei Optionen erscheinen oben in der Konfiguration des Moduls, mit direktem Kontakt zum Team. Um Vaultwarden vorher kennenzulernen, lesen Sie unseren Leitfaden zu Vaultwarden.

Für wen es geeignet ist

IT-Teams und MSPs, die Zugänge über das GLPI übergeben: Anlegen von Benutzern, Gerätepasswörter, Zugangsdaten von Lieferanten, temporäre Zugänge. Es hilft auch allen, die bei einem Audit oder für die LGPD nachweisen müssen, dass Passwörter weder in Tickets noch in E-Mails gespeichert bleiben.

Kompatibilität

• GLPI: 10, 11 und 12, über HTTPS
• Tarif: Kostenlos
• Plugin: NexTool 6.35.0+
• Tresor: Vaultwarden, vom Server des GLPI aus erreichbar

Nächster Schritt

Details finden Sie auf der Seite von Vault Send. Das Modul ist Teil von NexTool, einem Ökosystem von Modulen, das das GLPI ohne Code-Anpassungen erweitert. Sprechen Sie mit dem Team für eine Demonstration oder um Ihren Tresor in Betrieb zu nehmen.

Geprüft vom Team der NexTool Solutions. Die Screenshots stammen aus einer echten GLPI-Umgebung mit dem NexTool-Plugin.