Lietotāji, lomas un divu faktoru autentifikācija

7. modulis: Sadarbība, lietotnes un drošība · Lasīšanas laiks: 11 minūtes

Mācību mērķis: Pēc šīs nodarbības Jūs varēsiet droši iekārtot lietotājus un administratorus savā jaunajā pakalpojumā, izvēlēties piemērotu divu faktoru autentifikācijas veidu un izveidot pastāvīgu kārtību jaunu un aizejošu kolēģu gadījumam.

Pamatjēdzieni: konts katrai personai, administrators, īpašnieks, loma, minimālās tiesības, divu faktoru autentifikācija (2FA), TOTP, piekļuves atslēga (passkey), drošības atslēga, WebAuthn, rezerves kodi, lietotnes parole, sesijas atsaukšana, vienotā pieteikšanās (SSO), darbā pieņemšana un aiziešana (onboarding un offboarding), īpašumtiesību nodošana

Pāreja ir iespēja sakārtot lietas

Veicot inventarizāciju (3.1. nodarbība), izrādījās, ka Bakkerij De Korrel ir 15 Google konti 12 cilvēkiem. Divi no tiem pieder cilvēkiem, kas jau sen aizgājuši, un vienu kontu winkel@example.com izmanto četri cilvēki ar vienu un to pašu paroli, kas pierakstīta uz lapiņas pie kases. Tas ir ļoti izplatīti. Pārejot uz jaunu pakalpojumu, šādus ieradumus nevajag paņemt līdzi, bet gan uzreiz sakārtot pareizi.

Viens konts katrai personai

Pamatnoteikums: katrai personai savs konts, ar savu paroli un savu otro soli. Kāpēc?

• Jūs redzat, kurš ko ir darījis (aktivitāte, versijas, kurš ar ko ir dalījies).
• Ja kāds aiziet, Jūs izslēdzat vienu kontu, un nevienam nav jāmācās jauna parole.
• Divu faktoru autentifikācija darbojas labi tikai tad, ja otrais solis pieder vienai konkrētai personai.

Koplietotas adreses, piemēram, winkel@example.com vai info@example.com, var turpināt pastāvēt, bet kā koplietota pastkaste, alias vai grupa: vairāki cilvēki lasa saraksti, izmantojot savu pašu kontu. Kā tas sauc un darbojas, atšķiras atkarībā no pakalpojuma sniedzēja (4.4. nodarbība).

Lomas: kam kas ir atļauts?

Katrā mākoņpakalpojumā ir vismaz trīs līmeņi:

Divi pamatnoteikumi:

1. Minimālās tiesības. Dodiet katram tikai tās tiesības, kas viņam ir vajadzīgas. Maiznieka darbam nav vajadzīgas tiesības veidot lietotājus.
2. Vismaz divi administratori. Ja administrators ir tikai viens un šis cilvēks ir slims, atvaļinājumā vai aizgājis, tad neviens nevar atiestatīt paroli vai pārtraukt pakalpojumu. Diviem administratoriem, katram ar savu kontu un savu otro soli, un administratora konta dati pie pakalpojumu sniedzēja (līgums) ir jābūt reģistrētiem uz organizācijas, nevis vienas personas vārda.

Ņemiet vērā atšķirību starp pakotnes pārvaldību un piekļuvi failiem. Labs pakalpojums ļauj administratoram pārvaldīt kontus, neskatoties citu cilvēku failos. Taču tas, kurš var atiestatīt paroli, pēc tam var arī pieteikties kā attiecīgā persona, ja otrais solis tiek sūtīts uz adresi, ko šis administrators var izlasīt. Tāpēc katram lietotājam par atkopšanas un koda adresi izvēlieties viņa paša e-pasta adresi.

Divu faktoru autentifikācija: kāpēc un kāda

Ar vienu paroli vien nepietiek. Paroles noplūst citu vietņu datu noplūdēs, tiek uzminētas vai iegūtas ar pikšķerēšanu (phishing). Nīderlandes Nacionālais kiberdrošības centrs (NCSC, Nationaal Cyber Security Centrum) iesaka izmantot divu faktoru autentifikāciju visur, kur vien tas ir iespējams. Izmantojot divu faktoru autentifikāciju (2FA), papildus parolei Jums ir vajadzīgs kaut kas, kas Jums pieder: tālrunis, atslēga vai pastkaste.

TOTP apzīmē time-based one-time password, aprakstīts RFC 6238. Pakalpojums un Jūsu lietotne kopīgi izmanto vienu slepenu atslēgu (ko Jūs pārņemat, izmantojot QR kodu) un abi, izmantojot atslēgu un laiku, aprēķina vienu un to pašu kodu. Tāpēc Jūsu tālruņa pulkstenim jābūt precīzam.

Piekļuves atslēgas (passkeys) balstās uz W3C un FIDO standartu WebAuthn. Jūsu ierīce izveido atslēgu pāri katrai vietnei atsevišķi. Tā kā atslēga ir piesaistīta vietnes īstajai adresei, viltus vietne to nevar izmantot. Arvien vairāk pakalpojumu atbalsta piekļuves atslēgas kā otro soli vai pat paroles vietā.

Rezerves kodi un diena, kad Jūsu tālrunis ir pazudis

Jebkurš otrais solis var pazust: tālrunis nozaudēts, salauzts, jauns tālrunis, nepārceļot lietotni. Tāpēc:

• Izveidojiet rezerves kodus (parasti desmit kodi, katrs der tikai vienu reizi) un neglabājiet tos tajā pašā tālrunī. Izdrukātus pie svarīgajiem dokumentiem vai paroļu pārvaldniekā (7.4. nodarbība).
• Iespējojiet vismaz divas metodes, piemēram, autentificēšanas lietotni kopā ar e-pasta kodu, vai piekļuves atslēgu kopā ar rezerves kodiem.
• Jauns tālrunis? Vispirms pārcelieties uz autentificēšanas kontiem, pirms dzēšat vai nododat veco tālruni.

Ja kāds tomēr paliek bez piekļuves, palīdz administrators (piemēram, mainot e-pasta adresi uz tādu, ko lietotājs var izlasīt), vai pakalpojumu sniedzējs, pēc tam kad ir pārbaudīts, kurš iesniedz pieprasījumu. Tas apzināti aizņem kādu brīdi: pakalpojumu sniedzējs, kas izslēdz otro soli bez pārbaudes, palīdz arī krāpniekam.

Lietotnes paroles un sesijas

Lietotnes, kas nevar ievadīt otro soli, saņem savu lietotnes paroli (7.2. nodarbība). Pa vienai katrai lietotnei katrā ierīcē, ar atpazīstamu nosaukumu. Pārskatā Ierīces un sesijas Jūs redzat, kur kāds ir pieteicies. Tur Jūs atsaucat nozagtu tālruni vai vecu klēpjdatoru. Pārbaudiet to ik pa laikam, un noteikti pie katras aiziešanas.

Vienotā pieteikšanās (SSO)

Lielākas organizācijas ļauj cilvēkiem pieteikties vairākos pakalpojumos ar vienu kontu: vienotā pieteikšanās jeb SSO, bieži izmantojot tādus standartus kā SAML vai OpenID Connect. Ņemiet vērā: ja šobrīd izmantojat "Pieteikties ar Google" vai "Pieteikties ar Microsoft" citos pakalpojumos (grāmatvedība, plānošana, interneta veikals), Jūs zaudēsiet šo piekļuvi, kad atceltu savu Google vai Microsoft kontu. Tas kā slēpts savienojums parādījās Jūsu inventarizācijā (3.1. nodarbība). Pirms atcelšanas pārslēdziet šos pakalpojumus uz pieteikšanos ar e-pastu un paroli vai uz Jūsu jauno SSO.

Darbā pieņemšana un aiziešana: pastāvīga kārtība

Lielākā daļa problēmu rodas nevis pašas pārejas laikā, bet gadu vēlāk, kad kāds aiziet un neviens nezina, kas jādara. Tāpēc tagad nosakiet pastāvīgu kārtību (uzdevums E7.3):

Jauns kolēģis: izveidot kontu ar savu e-pasta adresi, piešķirt grupas un licences, droši nodot datus (paroli citā kanālā), pirmo pieteikšanos veikt kopā, iestatīt otro soli un rezerves kodus, instalēt lietotnes.

Aizejošs kolēģis: vispirms nodot īpašumtiesības uz failiem un mapēm (daudzos pakalpojumos dzēsts konts kopā ar visiem failiem pazūd neatgriezeniski), pārcelt koplietotos kalendārus un mapes, atbrīvot licenci, izslēgt kontu (nevis uzreiz dzēst), atsaukt lietotnes paroles un sesijas, pārsūtīt pastu vai saglabāt to kā koplietotu pastkasti, un dzēst tikai pēc saskaņota termiņa.

Praksē: kā tas izskatās pie pakalpojumu sniedzēja

WebOké Nextcloud gadījumā neviens nav administrators pašā Nextcloud. Pakotnes īpašnieks pārvalda lietotājus sadaļā Mans WebOké, pakotnes lapā pie Lietotāju pārvaldības: lietotāja pievienošana, paroles maiņa, izslēgšana vai dzēšana, un Office licences ieslēgšana vai izslēgšana. Katrs lietotājs pats nokārto savu drošību Nextcloud sadaļā Iestatījumi, Drošība: kods pa e-pastu vienmēr ir ieslēgts, un tur Jūs ieslēdzat autentificēšanas lietotni (TOTP), rezerves kodus, piekļuves atslēgu un lietotnes paroles, kā arī redzat Ierīces un sesijas.

Citiem pakalpojumu sniedzējiem tas darbojas līdzīgi: ir pārvaldības vide kontiem un katram lietotājam drošības lapa. Pogu nosaukumi atšķiras.

Kopsavilkums

• Viens konts katrai personai; koplietotas adreses kļūst par koplietotām pastkastēm vai grupām.
• Minimālās tiesības un vismaz divi administratori; līgums uz organizācijas vārda.
• Ieslēdziet divu faktoru autentifikāciju visiem. Piekļuves atslēgas un drošības atslēgas ir visspēcīgākās pret pikšķerēšanu; TOTP ir labs, plaši izmantots risinājums.
• Rezerves kodus neglabājiet tajā pašā tālrunī, un iespējojiet vismaz divas metodes.
• Nosakiet pastāvīgu kārtību darbā pieņemšanai un aiziešanai: vispirms nodot, tad izslēgt, dzēst tikai vēlāk.

Tests

Uzdevums

Uzdevums E7.3: Lomas un darbā pieņemšanas un atlaišanas kārtība. Izveidojiet savas organizācijas lomu pārskatu (kurš ir administrators, kurš nav, kurš ir otrais administrators) un aizpildiet darbā pieņemšanas un aiziešanas kontrolsarakstu savam pakalpojumam. Ieslēdziet divu faktoru autentifikāciju savā kontā un apstipriniet, ka Jūsu rezerves kodi ir glabāti ārpus Jūsu tālruņa.

Tālākai lasīšanai

Šajos rakstos aprakstītie soļi attiecas uz WebOké pakalpojumiem; pie citiem pakalpojumu sniedzējiem tas darbojas līdzīgi.

• Nextcloud rokasgrāmata 3.1: Kā WebOké aizsargā Jūsu Nextcloud?
• Nextcloud rokasgrāmata 3.3: Autentificētājlietotnes iestatīšana un rezerves kodu saglabāšana
• Nextcloud rokasgrāmata 3.5: Lietotņu paroles: kad un kā
• Nextcloud rokasgrāmata 3.6: Ierīces un sesijas apskatīt, atsaukt vai attālināti dzēst
• Nextcloud rokasgrāmata 3.10: Pazudis tālrunis vai pazaudēta divfaktoru autentifikācija: kā atkal tikt iekšā
• Nextcloud rokasgrāmata 14.2: Lietotāju izveide, rediģēšana, deaktivēšana un dzēšana
• Nextcloud rokasgrāmata 14.7: Tiesības: kurš pārvalda ko Jūsu Nextcloud?
• Nextcloud rokasgrāmata 16.7: Kolēģis aiziet: droša datņu, kalendāra un koplietoto mapju pārņemšana
• WebOké rokasgrāmata 3.3: Autentifikatora lietotnes izmantošana
• Divpakāpju verifikācijas (2FA) iestatīšana Nextcloud
• Izveidot lietotnes paroli (nepieciešama, lai izveidotu savienojumu ar lietotnēm un ierīcēm)
• NCSC (Nīderlandes Nacionālais kiberdrošības centrs), Ransomware uitgelegd (kur iekļauts ieteikums visur izmantot divu faktoru autentifikāciju): https://www.ncsc.nl/ransomware/ransomware-uitgelegd
• RFC 6238 (TOTP): https://www.rfc-editor.org/rfc/rfc6238
• W3C Web Authentication (WebAuthn): https://www.w3.org/TR/webauthn-3/ un FIDO Alliance par piekļuves atslēgām (passkeys): https://fidoalliance.org/passkeys/