7 modulis · 7.3
Vartotojai, vaidmenys ir dviejų veiksnių autentifikacija
7 modulis: Bendradarbiavimas, programėlės ir saugumas · Skaitymo trukmė: 11 min.
Mokymosi tikslas: Baigę šią pamoką galėsite saugiai sutvarkyti vartotojus ir administratorius savo naujoje paslaugoje, pasirinkti tinkamą dviejų veiksnių autentifikacijos formą ir nustatyti aiškią tvarką naujiems bei išeinantiems kolegoms.
Pagrindinės sąvokos: paskyra kiekvienam asmeniui, administratorius, savininkas, vaidmuo, minimalios teisės, dviejų veiksnių autentifikacija (2FA), TOTP, raktažodis (passkey), saugumo raktas, WebAuthn, atsarginiai kodai, programėlės slaptažodis, sesijos atšaukimas, vienkartinis prisijungimas (SSO), priėmimas ir atleidimas (onboarding ir offboarding), nuosavybės perdavimas
Perėjimas yra proga susitvarkyti
Atliekant inventorizaciją (3.1 pamoka) paaiškėjo, kad Bakkerij De Korrel turi 15 „Google“ paskyrų 12 žmonių. Dvi iš jų priklauso žmonėms, kurie jau seniai išėję, o viena paskyra winkel@example.com naudojama keturių žmonių su tuo pačiu slaptažodžiu, kuris užrašytas lapelyje prie kasos. Tai pasitaiko dažnai. Pereinant prie naujos paslaugos tokių įpročių nesitempkite su savimi, o iš karto sutvarkykite kaip reikia.
Viena paskyra kiekvienam asmeniui
Pagrindinė taisyklė: kiekvienas asmuo turi turėti savo paskyrą su savo slaptažodžiu ir savo antru autentifikavimo žingsniu. Kodėl?
- Matote, kas ką padarė (veikla, versijos, kas kuo dalijosi).
- Kai kas nors išeina, tiesiog išjungiate vieną paskyrą ir niekam nereikia mokytis naujo slaptažodžio.
- Dviejų veiksnių autentifikacija gerai veikia tik tuomet, kai antras žingsnis priklauso vienam konkrečiam asmeniui.
Bendri adresai, tokie kaip winkel@example.com arba info@example.com, gali ir toliau egzistuoti, tačiau kaip bendra pašto dėžutė, alias arba grupė: keli žmonės skaito tą patį paštą naudodami savo asmenines paskyras. Kaip tai vadinasi ir veikia, priklauso nuo konkretaus paslaugų teikėjo (4.4 pamoka).
Vaidmenys: kas ką gali daryti?
Kiekvienoje debesijos paslaugoje yra bent trys lygmenys:
| Vaidmuo | Kas | De Korrel atveju |
|---|---|---|
| Paslaugų teikėjas | Serveris, saugumas, atnaujinimai, sistemos atsarginės kopijos | Debesijos paslaugų teikėjas |
| Administratorius arba savininkas | Vartotojų kūrimas ir išjungimas, slaptažodžių atstatymas, licencijos, saugykla | Savininkė Fatima ir biuro vadovas Ruud |
| Vartotojas | Savi failai, dalijimasis, kalendorius, slaptažodis ir antras žingsnis | Visi |
Dvi auksinės taisyklės:
- Minimalios teisės. Suteikite žmogui tik tas teises, kurių jam iš tikrųjų reikia. Kepėjui nereikia galimybės kurti vartotojų.
- Mažiausiai du administratoriai. Jei yra tik vienas, o jis serga, atostogauja ar išeina, niekas negalės atstatyti slaptažodžio ar nutraukti paslaugos sutarties. Du administratoriai, kiekvienas su savo paskyra ir savo antru žingsniu, o administratoriaus paskyros duomenys pas paslaugų teikėją (sutartis) turi būti registruoti organizacijos, o ne vieno asmens vardu.
Atkreipkite dėmesį į skirtumą tarp paketo administravimo ir prieigos prie failų. Gera paslauga leidžia administratoriui valdyti paskyras, bet nematyti kitų žmonių failų turinio. Tačiau tas, kas gali atstatyti slaptažodį, po to gali prisijungti kaip tas asmuo, jei antras žingsnis siunčiamas adresu, kurį jis gali skaityti. Todėl kiekvienam vartotojui pasirinkite jo paties el. pašto adresą kaip atkūrimo ir kodų gavimo adresą.
Dviejų veiksnių autentifikacija: kodėl ir kokia
Vien slaptažodžio nepakanka. Slaptažodžiai nutekina per kitų svetainių duomenų saugumo pažeidimus, būna atspėjami arba išviliojami sukčiavimo (phishing) būdu. Nyderlandų Nacionalinis kibernetinio saugumo centras (NCSC) rekomenduoja naudoti dviejų veiksnių autentifikaciją visur, kur tik įmanoma; tai Nyderlandų institucijos rekomendacija. Naudojant dviejų veiksnių autentifikaciją (2FA), be slaptažodžio reikia dar ir kažko, ką turite: Jūsų telefono, rakto arba pašto dėžutės.
| Antras žingsnis | Kaip veikia | Stiprumas ir silpnumas |
|---|---|---|
| Kodas el. paštu | Paslauga atsiunčia kodą el. paštu | Paprasta; tiek saugu, kiek saugi Jūsų pašto dėžutė. Todėl ją gerai apsaugokite |
| Kodas SMS žinute | Paslauga atsiunčia kodą SMS žinute | Geriau nei nieko; pažeidžiama, jei kas nors perima Jūsų numerį (SIM kortelės sukčiavimas) |
| Autentifikavimo programėlė (TOTP) | Programėlė telefone kas 30 sekundžių sukuria naują šešių skaitmenų kodą | Veikia neprisijungus prie interneto, plačiai naudojama. Netikra svetainė kodą vis dar gali perimti, jei jį ten įvedate |
| Pranešimas kitame įrenginyje | Patvirtinate prisijungimą įrenginyje, kuriame jau esate prisijungę | Paprasta; būkite atidūs, kad neatsitiktinai paspaustumėte „patvirtinti“ |
| Raktažodis arba saugumo raktas (WebAuthn) | Jūsų telefonas, kompiuteris ar raktas (pvz., YubiKey) patvirtina pirštų antspaudu, veidu ar PIN kodu | Stipriausia apsauga nuo sukčiavimo: veikia tik tikroje svetainėje |
TOTP reiškia time-based one-time password (laiku pagrįstas vienkartinis slaptažodis), aprašytas RFC 6238. Paslauga ir Jūsų programėlė dalijasi vienu slaptu raktu (kurį perkeliate QR kodu) ir abu iš rakto bei laiko apskaičiuoja tą patį kodą. Todėl Jūsų telefono laikrodis turi būti tikslus.
Raktažodžiai (passkeys) yra pagrįsti W3C ir FIDO standartu WebAuthn. Jūsų įrenginys sukuria raktų porą kiekvienai svetainei atskirai. Kadangi raktas yra susietas su tikru svetainės adresu, netikra svetainė juo pasinaudoti negali. Vis daugiau paslaugų palaiko raktažodžius kaip antrą žingsnį arba net vietoj slaptažodžio.
Atsarginiai kodai ir diena, kai pamesite telefoną
Bet kuris antras žingsnis gali tapti neprieinamas: telefonas pamestas, sugedęs, naujas telefonas be perkeltos programėlės. Todėl:
- Sukurkite atsarginius kodus (dažniausiai dešimt kodų, kurių kiekvienas veikia vieną kartą) ir laikykite juos ne tame pačiame telefone. Atsispausdinkite kartu su svarbiais dokumentais arba laikykite slaptažodžių tvarkytuvėje (7.4 pamoka).
- Įjunkite bent du metodus, pavyzdžiui, autentifikavimo programėlę kartu su el. pašto kodu, arba raktažodį kartu su atsarginiais kodais.
- Naujas telefonas? Pirmiausia perkelkite autentifikavimo programėlės paskyras, o tik tada ištrinkite ar atiduokite seną telefoną.
Jei kas nors vis dėlto nebegali prisijungti, padeda administratorius (pavyzdžiui, pakeisdamas el. pašto adresą į tokį, kurį vartotojas gali skaityti) arba paslaugų teikėjas, patikrinęs, kas iš tikrųjų pateikė prašymą. Tai sąmoningai užtrunka: paslaugų teikėjas, kuris be patikrinimo išjungia antrą žingsnį, padeda ir sukčiui.
Programėlių slaptažodžiai ir sesijos
Programėlės, kurios negali įvesti antro žingsnio, gauna atskirą programėlės slaptažodį (7.2 pamoka): po vieną kiekvienai programėlei kiekviename įrenginyje, su atpažįstamu pavadinimu. Įrenginių ir sesijų apžvalgoje matote, kur kas nors yra prisijungęs. Ten galite atšaukti pavogto telefono ar seno nešiojamojo kompiuterio prieigą. Patikrinkite tai kartkartėmis ir būtinai kiekvieno kolegos išėjimo atveju.
Vienkartinis prisijungimas (SSO)
Didesnės organizacijos leidžia žmonėms prisijungti prie kelių paslaugų naudojant vieną paskyrą: vienkartinis prisijungimas arba SSO, dažnai pasitelkiant tokius standartus kaip SAML ar OpenID Connect. Atkreipkite dėmesį: jei dabar kitose paslaugose (apskaitos, planavimo, internetinės parduotuvės) naudojate „Prisijungti naudojant „Google““ arba „Prisijungti naudojant „Microsoft““, panaikinus „Google“ ar „Microsoft“ paskyrą, prarasite ir tą prieigą. Tai buvo paminėta kaip paslėptas ryšys Jūsų inventorizacijoje (3.1 pamoka). Prieš atsisakydami senos paslaugos, perjunkite tokias paslaugas į prisijungimą el. paštu ir slaptažodžiu arba į savo naują SSO.
Priėmimas ir atleidimas: aiški tvarka
Dauguma problemų kyla ne pereinant prie naujos paslaugos, o po metų, kai kas nors išeina ir niekas nežino, ką reikia daryti. Todėl dabar nustatykite aiškią tvarką (užduotis E7.3):
Naujas kolega: sukurti paskyrą su savo el. pašto adresu, priskirti grupes ir licencijas, saugiai perduoti prisijungimo duomenis (slaptažodį kitu kanalu), kartu atlikti pirmąjį prisijungimą, nustatyti antrą žingsnį ir atsarginius kodus, įdiegti programėles.
Išeinantis kolega: pirmiausia perduoti nuosavybę failų ir aplankų (daugelyje paslaugų ištrynus paskyrą visi failai dingsta negrįžtamai), perkelti bendrinamus kalendorius ir aplankus, atlaisvinti licenciją, paskyrą išjungti (ne iš karto ištrinti), atšaukti programėlių slaptažodžius ir sesijas, persiųsti paštą arba palikti kaip bendrą pašto dėžutę, ir ištrinti tik po sutartos laiko tarpo.
Praktikoje: kaip tai atrodo pas paslaugų teikėją
WebOké Nextcloud atveju niekas pačioje Nextcloud sistemoje nėra administratorius. Paketo savininkas tvarko vartotojus Mano WebOké skyriuje Vartotojų valdymas pakete puslapyje: pridėti vartotoją, pakeisti slaptažodį, išjungti ar ištrinti, taip pat įjungti ar išjungti Office licenciją. Kiekvienas vartotojas pats tvarko savo saugumą Nextcloud, skiltyje Nustatymai, Saugumas: kodas el. paštu visada įjungtas, o ten taip pat galite įjungti autentifikavimo programėlę (TOTP), atsarginius kodus, raktažodį ir programėlių slaptažodžius, bei matote Įrenginiai ir sesijos.
Kitų paslaugų teikėjų atveju veikia panašiai: yra paskyrų administravimo aplinka ir kiekvienam vartotojui atskiras saugumo puslapis. Mygtukų pavadinimai skiriasi.
Santrauka
- Viena paskyra kiekvienam asmeniui; bendri adresai tampa bendromis pašto dėžutėmis ar grupėmis.
- Minimalios teisės ir bent du administratoriai; sutartis organizacijos vardu.
- Įjunkite dviejų veiksnių autentifikaciją visiems. Raktažodžiai ir saugumo raktai yra stipriausia apsauga nuo sukčiavimo; TOTP yra geras ir plačiai naudojamas pasirinkimas.
- Atsarginiai kodai ne tame pačiame telefone, ir bent du metodai.
- Nustatykite aiškią priėmimo ir atleidimo tvarką: pirmiausia perduoti, paskui išjungti, ištrinti tik vėliau.
Testas
Užduotis
Užduotis E7.3: Vaidmenys bei priėmimo ir atleidimo tvarka. Sudarykite savo organizacijos vaidmenų apžvalgą (kas yra administratorius, kas ne, kas yra antrasis administratorius) ir užpildykite priėmimo bei atleidimo kontrolinį sąrašą savo paslaugai. Įjunkite dviejų veiksnių autentifikaciją savo paskyroje ir patvirtinkite, kad atsarginiai kodai saugomi ne telefone.
Užduotis E7.3: Vaidmenys bei priėmimo ir atleidimo tvarka
Užpildykite vaidmenų apžvalgą ir abi tvarkas savo pačios tarnybai ir įjunkite 2FA savo paskyroje.
Jūsų pažymėti varneliai ir pastabos lieka tik šioje naršyklėje; niekur jų nesiunčiame. Jei esate prisijungę, skiltyje Mano kursai išsaugome tik tai, kad užduotį atlikote.
Skaitykite daugiau
Šiuose straipsniuose aprašyti žingsniai galioja WebOké paslaugoms; kitų teikėjų atveju veikia panašiai.
- Nextcloud vadovas 3.1: Kaip WebOké apsaugo Jūsų Nextcloud?
- Nextcloud vadovas 3.3: Tapatybės nustatymo programėlės nustatymas ir atsarginių kodų saugojimas
- Nextcloud vadovas 3.5: Programėlių slaptažodžiai: kada ir kaip juos naudoti
- Nextcloud vadovas 3.6: Peržiūrėti, panaikinti arba nuotoliniu būdu ištrinti duomenis įrenginiuose ir seansuose
- Nextcloud vadovas 3.10: Pamestas telefonas arba prarasta DVA: kaip vėl prisijungti
- Nextcloud vadovas 14.2: Naudotojų kūrimas, redagavimas, išjungimas ir šalinimas
- Nextcloud vadovas 14.7: Teisės: kas administruoja ką Jūsų Nextcloud sistemoje?
- Nextcloud vadovas 16.7: Bendradarbis išeina: kaip saugiai perimti failus, kalendorių ir bendrinamus aplankus
- WebOké vadovas 3.3: Autentifikavimo programėlės naudojimas
- Dviejų veiksnių autentifikavimo (2FA) nustatymas Nextcloud sistemoje
- Sukurti programos slaptažodį (reikalingas norint prisijungti prie programų ir įrenginių)
- NCSC, „Ransomware uitgelegd“ (su rekomendacija visur naudoti dviejų veiksnių autentifikaciją), Nyderlandų institucijos informacija: https://www.ncsc.nl/ransomware/ransomware-uitgelegd
- RFC 6238 (TOTP): https://www.rfc-editor.org/rfc/rfc6238
- W3C Web Authentication (WebAuthn): https://www.w3.org/TR/webauthn-3/ ir FIDO Alliance apie raktažodžius (passkeys): https://fidoalliance.org/passkeys/