Потребители, роли и двуфакторна идентификация

Модул 7: Сътрудничество, приложения и сигурност · Време за четене: 11 минути

Учебна цел: След този урок ще можете да организирате сигурно потребители и администратори в новата си услуга, да изберете правилната форма на двуфакторна идентификация и да въведете постоянна процедура за нови и напускащи колеги.

Основни понятия: акаунт за всеки човек, администратор, собственик, роля, минимум права, двуфакторна идентификация (2FA), TOTP, passkey, ключ за сигурност, WebAuthn, резервни кодове, парола за приложение, прекратяване на сесия, единично влизане (SSO), постъпване и напускане (onboarding и offboarding), прехвърляне на собственост

Преминаването е възможност да подредите нещата

При инвентаризацията (урок 3.1) се оказа, че Bakkerij De Korrel има 15 Google акаунта за 12 души. Два от тях са на хора, които отдавна са напуснали, а един акаунт winkel@example.com се използва от четирима души с една и съща парола, която виси на листче до касата. Това е много разпространено. При преминаването не пренасяте такива навици, а веднага ги оправяте.

По един акаунт на човек

Основното правило: всеки човек свой собствен акаунт, със своя парола и своя втора стъпка. Защо?

• Виждате кой какво е направил (активност, версии, кой е споделил).
• Ако някой напусне, изключвате само един акаунт и никой не трябва да учи нова парола.
• Двуфакторната идентификация работи добре само ако втората стъпка принадлежи на един човек.

Споделени адреси като winkel@example.com или info@example.com продължават да съществуват, но като споделена пощенска кутия, псевдоним (alias) или група: няколко души четат с личния си акаунт. Как се нарича и работи това, зависи от доставчика (урок 4.4).

Роли: кой какво може?

Във всяка облачна услуга има поне три нива:

Две основни правила:

1. Минимум права. Давайте на всеки само правата, които са му нужни. Един пекар не трябва да може да създава потребители.
2. Минимум двама администратори. Ако има само един, и той е болен, на почивка или е напуснал, никой не може да нулира парола или да прекрати услугата. Двама администратори, всеки със собствен акаунт и собствена втора стъпка, а данните на администраторския акаунт при доставчика (договорът) да са на името на организацията, не на едно лице.

Обърнете внимание на разликата между управлението на пакета и достъпа до файловете. Добра услуга позволява на администратор да управлява акаунти, без да може да разглежда файловете на другите. Но който може да нулира парола, може след това да влезе като съответния човек, ако втората стъпка отива на адрес, който той може да чете. Затова за всеки потребител изберете неговия собствен имейл адрес като адрес за възстановяване и за кодове.

Двуфакторна идентификация: защо и коя

Само парола не е достатъчна. Пароли изтичат при пробиви на данни от други сайтове, отгатват се или се изкопчват чрез phishing. Nationaal Cyber Security Centrum (NCSC, Националният център за киберсигурност на Нидерландия) препоръчва двуфакторна идентификация навсякъде, където е възможно. С двуфакторна идентификация (2FA) освен паролата Ви е нужно и нещо, което притежавате: Вашият телефон, ключ или пощенската Ви кутия.

TOTP означава time-based one-time password (еднократна парола, базирана на времето), описана в RFC 6238. Услугата и Вашето приложение споделят един таен ключ (който въвеждате чрез QR код) и двете изчисляват от ключа и времето един и същ код. Затова часовникът на телефона Ви трябва да е точен.

Passkeys се базират на стандарта WebAuthn на W3C и FIDO. Устройството Ви създава по една двойка ключове за всеки сайт. Тъй като ключът е обвързан с истинския адрес на сайта, фалшив сайт не може да го използва. Все повече услуги поддържат passkeys като втора стъпка или дори вместо парола.

Резервни кодове и денят, в който телефонът Ви е изгубен

Всяка втора стъпка може да отпадне: изгубен телефон, повреден, нов телефон без пренесено приложение. Затова:

• Създайте резервни кодове (обикновено десет кода, всеки работещ еднократно) и ги съхранявайте не на същия телефон. Разпечатани при важните документи, или в мениджър на пароли (урок 7.4).
• Активирайте поне два метода, например authenticator приложение плюс код по имейл, или passkey плюс резервни кодове.
• Нов телефон? Пренесете authenticator акаунтите първо, преди да изтриете или предадете стария.

Ако някой все пак бъде заключен отвън, помага администраторът (например като промени имейл адреса на такъв, който потребителят може да чете), или доставчикът, след проверка кой подава заявката. Това отнема умишлено известно време: доставчик, който изключва втората стъпка без проверка, помага и на измамник.

Пароли за приложения и сесии

Приложения, които не могат да въведат втората стъпка, получават собствена парола за приложение (урок 7.2). По една за всяко приложение на всяко устройство, с разпознаваемо име. В прегледа на устройства и сесии виждате къде някой е вписан. Там прекратявате откраднат телефон или стар лаптоп. Проверявайте това от време на време, и непременно при всяко напускане.

Единично влизане (SSO)

По-големи организации позволяват на хората да влизат с един акаунт в няколко услуги: единично влизане или SSO, често чрез стандарти като SAML или OpenID Connect. Внимавайте: ако сега използвате "Вписване с Google" или "Вписване с Microsoft" при други услуги (счетоводство, планиране, онлайн магазин), ще загубите този достъп, ако закриете Google или Microsoft акаунта си. Това беше скрита връзка във Вашата инвентаризация (урок 3.1). Преди да прекратите акаунта, преминете тези услуги към вписване с имейл и парола, или към новия си SSO.

Постъпване и напускане: постоянна процедура

Повечето проблеми не възникват при самото преминаване, а година по-късно, когато някой напусне и никой не знае какво трябва да се направи. Затова установете сега постоянна процедура (задача E7.3):

Нов колега: създаване на акаунт със собствен имейл адрес, добавяне към групи и лицензи, предаване на данните по сигурен начин (парола по друг канал), съвместно първо влизане, настройване на втора стъпка и резервни кодове, инсталиране на приложения.

Напускащ колега: първо прехвърляне на собствеността на файлове и папки (при много услуги изтрит акаунт с всички файлове изчезва завинаги), прехвърляне на споделени календари и папки, освобождаване на лиценза, деактивиране на акаунта (не незабавно изтриване), отмяна на пароли за приложения и сесии, пренасочване на пощата или запазването ѝ като споделена пощенска кутия, и изтриване едва след договорен срок.

На практика: ето как изглежда при един доставчик

При WebOké Nextcloud никой не е администратор в самия Nextcloud. Собственикът на пакета управлява потребителите в Моят WebOké, в раздел Управление на потребители на страницата на пакета: добавяне на потребител, промяна на парола, деактивиране или изтриване, както и включване или изключване на Office лиценза. Всеки потребител урежда собствената си сигурност в Nextcloud в Настройки, Сигурност: кодът по имейл винаги е включен, а там активирате authenticator приложение (TOTP), резервни кодове, passkey и пароли за приложения, и виждате Устройства и сесии.

При други доставчици работи по подобен начин: има административна среда за акаунти и страница за сигурност за всеки потребител. Имената на бутоните се различават.

Обобщение

• По един акаунт на човек; споделените адреси стават споделени пощенски кутии или групи.
• Минимум права и поне двама администратори; договорът на името на организацията.
• Активирайте двуфакторна идентификация за всички. Passkeys и ключовете за сигурност са най-силни срещу phishing; TOTP е добър, широко използван избор.
• Резервни кодове не на същия телефон, и поне два метода.
• Установете постоянна процедура за постъпване и напускане: първо прехвърляне, после деактивиране, едва по-късно изтриване.

Тест

Задача

Задача E7.3: Роли и процедура при постъпване и напускане. Направете преглед на ролите във Вашата организация (кой е администратор, кой не е, кой е вторият администратор) и попълнете checklist за постъпване и напускане за собствената Ви услуга. Активирайте двуфакторна идентификация за собствения си акаунт и потвърдете, че резервните Ви кодове са съхранени извън телефона Ви.

Допълнително четене

Стъпките в тези статии важат за услугите на WebOké; при други доставчици работи по подобен начин.

• Nextcloud наръчник 3.1: Как WebOké защитава Вашия Nextcloud?
• Nextcloud наръчник 3.3: Настройване на приложение за удостоверяване и съхраняване на резервни кодове
• Nextcloud наръчник 3.5: App-пароли: кога и как
• Nextcloud наръчник 3.6: Преглед, отнемане или дистанционно изтриване на устройства и сесии
• Nextcloud наръчник 3.10: Изгубен телефон или изгубена двуфакторна автентикация: ето как да влезете отново
• Nextcloud наръчник 14.2: Създаване, редактиране, изключване и изтриване на потребители
• Nextcloud наръчник 14.7: Права: кой какво управлява във Вашия Nextcloud?
• Nextcloud наръчник 16.7: Колега напуска фирмата: безопасно поемане на файлове, календар и споделени папки
• Ръководство на WebOké 3.3: Използване на приложение за автентикация
• Настройване на двустепенна проверка (2FA) в Nextcloud
• Създаване на парола за приложение (необходима за свързване с приложения и устройства)
• NCSC, обяснение за ransomware (с препоръката двуфакторна идентификация да се използва навсякъде): https://www.ncsc.nl/ransomware/ransomware-uitgelegd
• RFC 6238 (TOTP): https://www.rfc-editor.org/rfc/rfc6238
• W3C Web Authentication (WebAuthn): https://www.w3.org/TR/webauthn-3/ и FIDO Alliance за passkeys: https://fidoalliance.org/passkeys/