Módulo 7 · 7.3
Utilizadores, funções e autenticação de dois fatores
Módulo 7: Colaborar, aplicações e segurança · Tempo de leitura: 11 minutos
Objetivo de aprendizagem: Depois desta lição, saberá configurar utilizadores e administradores no seu novo serviço de forma segura, escolher a forma certa de autenticação de dois fatores e criar uma rotina fixa para novos colegas e colegas que saem da organização.
Conceitos-chave: conta por pessoa, administrador, proprietário, função, privilégios mínimos, autenticação de dois fatores (2FA), TOTP, passkey, chave de segurança, WebAuthn, códigos de recuperação, palavra-passe de aplicação, revogar sessão, autenticação única (SSO), entrada e saída de serviço (onboarding e offboarding), transferência de propriedade
Uma mudança é uma oportunidade para arrumar a casa
No inventário (lição 3.1) verificou-se que a Bakkerij De Korrel tem 15 contas Google para 12 pessoas. Duas são de pessoas que já saíram há muito tempo, e uma conta, winkel@example.com, é usada por quatro pessoas com a mesma palavra-passe, que está afixada num papel junto à caixa registadora. Isto é muito comum. Na mudança, não leve esses hábitos consigo, aproveite para os corrigir de imediato.
Uma conta por pessoa
A regra básica: cada pessoa tem a sua própria conta, com a sua própria palavra-passe e o seu próprio segundo fator. Porquê?
- Vê quem fez o quê (atividade, versões, quem partilhou).
- Se alguém sair, basta desativar uma conta e ninguém tem de aprender uma nova palavra-passe.
- A autenticação de dois fatores só funciona bem se o segundo fator pertencer a uma única pessoa.
Endereços partilhados como winkel@example.com ou info@example.com continuam a existir, mas como caixa de correio partilhada, alias ou grupo: várias pessoas acompanham a correspondência através da sua própria conta. A forma como isto se chama e funciona varia consoante o fornecedor (lição 4.4).
Funções: quem pode fazer o quê?
Em qualquer serviço na nuvem existem pelo menos três níveis:
| Função | O que faz | Na De Korrel |
|---|---|---|
| Fornecedor | O servidor, a segurança, as atualizações, as cópias de segurança do sistema | O serviço na nuvem |
| Administrador ou proprietário | Criar e desativar utilizadores, repor palavras-passe, licenças, armazenamento | A proprietária Fatima e o gestor de escritório Ruud |
| Utilizador | Os seus próprios ficheiros, partilha, agenda, palavra-passe e segundo fator | Todos |
Duas regras práticas:
- Privilégios mínimos. Conceda a cada pessoa apenas os privilégios de que necessita. Um padeiro não precisa de poder criar utilizadores.
- No mínimo dois administradores. Se houver apenas um, e essa pessoa estiver doente, de férias ou já tiver saído, ninguém poderá repor uma palavra-passe ou cancelar o serviço. Tenha dois administradores, cada um com a sua própria conta e o seu próprio segundo fator, e os dados da conta de administração junto do fornecedor (o contrato) em nome da organização, não de uma única pessoa.
Preste atenção à diferença entre a gestão do pacote e o acesso aos ficheiros. Um bom serviço permite que um administrador faça a gestão de contas sem poder ver os ficheiros de outras pessoas. Mas quem pode repor uma palavra-passe pode depois iniciar sessão como essa pessoa, se o segundo fator for enviado para um endereço que consiga ler. Por isso, escolha para cada utilizador o seu próprio endereço de correio eletrónico como endereço de recuperação e de código.
Autenticação de dois fatores: porquê e qual
Uma palavra-passe por si só não é suficiente. As palavras-passe são expostas em violações de dados de outros sites, são adivinhadas ou obtidas por phishing. O Nationaal Cyber Security Centrum (NCSC), o centro nacional de segurança cibernética neerlandês, recomenda a autenticação de dois fatores sempre que possível. Com a autenticação de dois fatores (2FA), além da palavra-passe, precisa de algo que possui: o seu telemóvel, uma chave ou a sua caixa de correio.
| Segundo fator | Como funciona | Pontos fortes e fracos |
|---|---|---|
| Código por correio eletrónico | O serviço envia um código por correio eletrónico | Fácil; tão seguro quanto a sua caixa de correio. Proteja-a bem |
| Código por SMS | O serviço envia um código por SMS | Melhor do que nada; vulnerável se alguém assumir o seu número (fraude de cartão SIM) |
| Aplicação autenticadora (TOTP) | Uma aplicação no telemóvel gera a cada 30 segundos um novo código de seis dígitos | Funciona offline, muito utilizada. Um site falso ainda pode intercetar um código se o introduzir aí |
| Notificação noutro dispositivo | Aprova o início de sessão num dispositivo onde já tem sessão iniciada | Fácil; tenha cuidado para não tocar em "aprovar" sem pensar |
| Passkey ou chave de segurança (WebAuthn) | O seu telemóvel, computador ou uma chave (como uma YubiKey) confirma com impressão digital, rosto ou código PIN | O mais forte contra phishing: só funciona no site verdadeiro |
TOTP significa time-based one-time password (palavra-passe única baseada no tempo), descrita na RFC 6238. O serviço e a sua aplicação partilham uma chave secreta (que recebe através de um código QR) e ambos calculam o mesmo código a partir da chave e da hora. Por isso, o relógio do seu telemóvel tem de estar certo.
As passkeys baseiam-se na norma WebAuthn do W3C e da FIDO. O seu dispositivo cria um par de chaves para cada site. Como a chave está vinculada ao endereço verdadeiro do site, um site falso não consegue utilizá-la. Cada vez mais serviços suportam passkeys como segundo fator ou mesmo em substituição da palavra-passe.
Códigos de recuperação e o dia em que perde o telemóvel
Qualquer segundo fator pode falhar: telemóvel perdido, avariado, telemóvel novo sem transferir a aplicação. Por isso:
- Gere códigos de recuperação (normalmente dez códigos, cada um utilizável uma única vez) e não os guarde no mesmo telemóvel. Impressos junto aos documentos importantes, ou num gestor de palavras-passe (lição 7.4).
- Ative pelo menos dois métodos, por exemplo aplicação autenticadora mais código por correio eletrónico, ou passkey mais códigos de recuperação.
- Telemóvel novo? Transfira primeiro as contas da aplicação autenticadora, antes de apagar ou entregar o antigo.
Se alguém ficar mesmo bloqueado, o administrador pode ajudar (por exemplo, alterando o endereço de correio eletrónico para um que o utilizador consiga ler), ou o fornecedor, depois de verificar quem faz o pedido. Isto demora propositadamente algum tempo: um fornecedor que desativa o segundo fator sem verificação também está a ajudar um impostor.
Palavras-passe de aplicação e sessões
As aplicações que não conseguem introduzir o segundo fator recebem uma palavra-passe de aplicação própria (lição 7.2). Uma por aplicação e por dispositivo, com um nome reconhecível. Na lista de dispositivos e sessões vê onde alguém tem sessão iniciada. É aí que revoga o acesso de um telemóvel roubado ou de um portátil antigo. Verifique isto de vez em quando, e sobretudo sempre que alguém saia da organização.
Autenticação única (SSO)
As organizações maiores permitem que as pessoas iniciem sessão com uma única conta em vários serviços: autenticação única ou SSO, muitas vezes através de normas como SAML ou OpenID Connect. Atenção: se atualmente utiliza "Faça login no Google" ou "Iniciar sessão com a Microsoft" noutros serviços (contabilidade, planeamento, loja online), perderá esse acesso quando encerrar a sua conta Google ou Microsoft. Isto surgiu como ligação oculta no seu inventário (lição 3.1). Converta esses serviços para iniciar sessão com correio eletrónico e palavra-passe, ou para o seu novo SSO, antes de cancelar.
Entrada e saída de serviço: uma rotina fixa
A maioria dos problemas não surge na mudança, mas um ano depois, quando alguém sai e ninguém sabe o que fazer. Por isso, defina agora uma rotina fixa (exercício E7.3):
Novo colega: criar a conta com o seu próprio endereço de correio eletrónico, atribuir grupos e licenças, transmitir os dados com segurança (palavra-passe através de outro canal), fazer o primeiro início de sessão em conjunto, configurar o segundo fator e os códigos de recuperação, instalar aplicações.
Colega que sai: primeiro transferir a propriedade dos ficheiros e pastas (em muitos serviços, uma conta eliminada com todos os ficheiros desaparece definitivamente), transferir agendas e pastas partilhadas, libertar a licença, desativar a conta (não eliminar de imediato), revogar palavras-passe de aplicação e sessões, reencaminhar o correio ou mantê-lo como caixa de correio partilhada, e só eliminar depois de decorrido um prazo acordado.
Na prática: como se apresenta junto de um fornecedor
Num WebOké Nextcloud, ninguém é administrador no próprio Nextcloud. O proprietário do pacote gere os utilizadores em O meu WebOké, em Gestão de utilizadores na página do pacote: adicionar utilizador, alterar palavra-passe, desativar ou eliminar, e ativar ou desativar a licença do Office. Cada utilizador trata da sua própria segurança no Nextcloud em Definições, Segurança: o código por correio eletrónico está sempre ativo, e é aí que ativa uma aplicação autenticadora (TOTP), códigos de recuperação, uma passkey e palavras-passe de aplicação, e onde vê Dispositivos e sessões.
Noutros fornecedores funciona de forma semelhante: há um ambiente de gestão para as contas e, por utilizador, uma página de segurança. Os nomes dos botões variam.
Resumo
- Uma conta por pessoa; os endereços partilhados tornam-se caixas de correio partilhadas ou grupos.
- Privilégios mínimos e no mínimo dois administradores; o contrato em nome da organização.
- Ative a autenticação de dois fatores para todos. As passkeys e as chaves de segurança são as mais fortes contra phishing; a TOTP é uma boa opção, muito utilizada.
- Os códigos de recuperação não devem ficar no mesmo telemóvel, e use pelo menos dois métodos.
- Defina uma rotina fixa para a entrada e saída de serviço: primeiro transferir, depois desativar, só mais tarde eliminar.
Quiz
Exercício
Exercício E7.3: Funções e rotina de entrada e saída de serviço. Crie um esquema de funções para a sua organização (quem é administrador, quem não é, quem é o segundo administrador) e preencha a lista de verificação de entrada e saída de serviço para o seu próprio serviço. Ative a autenticação de dois fatores na sua própria conta e confirme que os seus códigos de recuperação estão guardados fora do telemóvel.
Exercício E7.3: Funções e rotina de entrada e saída de serviço
Preencha o quadro de funções e ambas as rotinas para o seu próprio serviço, e ative a 2FA na sua própria conta.
As suas marcações e notas ficam apenas neste navegador; não as enviamos para lado nenhum. Se tiver sessão iniciada, guardamos em Os meus cursos apenas que concluiu o exercício.
Para saber mais
Os passos descritos nestes artigos aplicam-se aos serviços da WebOké; junto de outros fornecedores funciona de forma semelhante.
- Manual do Nextcloud 3.1: Como é que a WebOké protege a sua Nextcloud?
- Manual do Nextcloud 3.3: Configurar uma aplicação autenticadora e guardar códigos de segurança
- Manual do Nextcloud 3.5: Palavras-passe de aplicação: quando e como
- Manual do Nextcloud 3.6: Ver, revogar ou apagar remotamente dispositivos e sessões
- Manual do Nextcloud 3.10: Perdeu o telemóvel ou a 2FA: assim volta a entrar
- Manual do Nextcloud 14.2: Criar, editar, desativar e eliminar utilizadores
- Manual do Nextcloud 14.7: Permissões: quem gere o quê na sua Nextcloud?
- Manual do Nextcloud 16.7: Colega sai da empresa: receber ficheiros, calendário e pastas partilhadas em segurança
- Manual do WebOké 3.3: Utilizar uma aplicação de autenticação
- Configurar a verificação em dois passos (2FA) no Nextcloud
- Criar palavra-passe de aplicação (necessária para ligar a aplicações e dispositivos)
- NCSC (o centro nacional de segurança cibernética neerlandês), Ransomware uitgelegd (com a recomendação de utilizar a autenticação de dois fatores sempre que possível): https://www.ncsc.nl/ransomware/ransomware-uitgelegd
- RFC 6238 (TOTP): https://www.rfc-editor.org/rfc/rfc6238
- W3C Web Authentication (WebAuthn): https://www.w3.org/TR/webauthn-3/ e FIDO Alliance sobre passkeys: https://fidoalliance.org/passkeys/