Moodul 7 · 7.3
Kasutajad, rollid ja kaheastmeline autentimine
Moodul 7: Koostöö, rakendused ja turvalisus · Lugemisaeg: 11 minutit
Õpieesmärk: pärast seda tundi oskad oma uues teenuses kasutajaid ja administraatoreid turvaliselt seadistada, valida õiget kaheastmelise autentimise vormi ning luua kindla korra uute ja lahkuvate kolleegide jaoks.
Põhimõisted: konto iga inimese kohta, administraator, omanik, roll, minimaalsed õigused, kaheastmeline autentimine (2FA), TOTP, passkey, turvavõti, WebAuthn, varukoodid, rakenduse parool, seansi tühistamine, ühekordne sisselogimine (SSO), tööle tulek ja lahkumine (onboarding ja offboarding), omandi üleandmine
Üleminek on võimalus teha korda
Kaardistamisel (tund 3.1) selgus, et Bakkerij De Korrel`il on 15 Google'i kontot 12 inimese jaoks. Kaks neist kuuluvad inimestele, kes on ammu lahkunud, ja üht kontot winkel@example.com kasutab neli inimest sama parooliga, mis on kirjutatud paberile kassa kõrval. See on väga levinud. Ülemineku ajal ei võta sa selliseid harjumusi kaasa, vaid teed asjad kohe õigesti.
Üks konto inimese kohta
Põhireegel: igal inimesel oma konto, oma parooli ja oma teise astmega. Miks?
- Näed, kes mida on teinud (tegevus, versioonid, kes on midagi jaganud).
- Kui keegi lahkub, lülitad välja ühe konto ja kellelgi ei ole vaja uut parooli õppida.
- Kaheastmeline autentimine toimib hästi ainult siis, kui teine aste kuulub ühele inimesele.
Jagatud aadressid nagu winkel@example.com või info@example.com jäävad alles, kuid jagatud postkastina, aliasena või rühmana: mitu inimest loevad kaasa oma kontoga. Kuidas see täpselt nimetatakse ja toimib, erineb teenusepakkuja lõikes (tund 4.4).
Rollid: kes mida teha tohib?
Igas pilveteenuses on vähemalt kolm tasandit:
| Roll | Mis | De Korrel'is |
|---|---|---|
| Teenusepakkuja | Server, turvalisus, uuendused, süsteemi varukoopiad | Pilveteenus |
| Administraator või omanik | Kasutajate loomine ja väljalülitamine, paroolide lähtestamine, litsentsid, salvestusruum | Omanik Fatima ja kontorijuht Ruud |
| Kasutaja | Oma failid, jagamine, kalender, parool ja teine aste | Kõik |
Kaks põhireeglit:
- Minimaalsed õigused. Anna inimesele ainult need õigused, mida ta vajab. Pagaril ei ole vaja osata kasutajaid luua.
- Vähemalt kaks administraatorit. Kui on ainult üks ja ta on haige, puhkusel või lahkunud, ei saa keegi parooli lähtestada ega teenust üles öelda. Vähemalt kaks administraatorit, mõlemal oma konto ja oma teine aste, ning administraatorikonto andmed teenusepakkuja juures (leping) peavad olema organisatsiooni, mitte ühe inimese nimel.
Pane tähele vahet paketi haldamise ja failidele ligipääsu vahel. Hea teenus laseb administraatoril kontosid hallata ilma, et ta pääseks ligi teiste failidele. Kuid kes saab parooli lähtestada, saab pärast sisse logida kui see inimene, kui teine aste läheb aadressile, mida ta saab lugeda. Vali seetõttu iga kasutaja jaoks taaste- ja koodiaadressiks tema enda e-posti aadress.
Kaheastmeline autentimine: miks ja milline
Ainult paroolist ei piisa. Paroolid lekivad teiste saitide andmelekete käigus, neid arvatakse ära või need petetakse kätte phishinguga. Madalmaade riiklik küberturvalisuse keskus (NCSC) soovitab kasutada kaheastmelist autentimist kõikjal, kus see on võimalik. Kaheastmelise autentimisega (2FA) on sul lisaks paroolile vaja midagi, mis sul on: telefon, võti või postkast.
| Teine aste | Kuidas see toimib | Tugev ja nõrk külg |
|---|---|---|
| Kood e-postiga | Teenus saadab koodi e-postiga | Lihtne; sama turvaline kui su postkast. Kaitse seda seega hästi |
| Kood SMS-iga | Teenus saadab koodi SMS-iga | Parem kui mitte midagi; haavatav, kui keegi võtab üle su numbri (SIM-kaardi pettus) |
| Autentimisrakendus (TOTP) | Telefoni rakendus loob iga 30 sekundi järel uue kuuekohalise koodi | Toimib internetiühenduseta, väga levinud. Valesait saab koodi siiski kätte, kui sisestad selle sinna |
| Teade teises seadmes | Kinnitad sisselogimise seadmes, kuhu oled juba sisse logitud | Lihtne; ole ettevaatlik, et sa ei vajuta lihtsalt "kinnita" |
| Passkey või turvavõti (WebAuthn) | Telefon, arvuti või võti (näiteks YubiKey) kinnitab sõrmejälje, näo või PIN-koodiga | Kõige tugevam phishingu vastu: toimib ainult õigel saidil |
TOTP tähendab time-based one-time password, mis on kirjeldatud RFC 6238-s. Teenus ja su rakendus jagavad üht salajast võtit (mille võtad üle QR-koodiga) ning arvutavad mõlemad võtme ja aja põhjal sama koodi. Seetõttu peab su telefoni kell olema õige.
Passkeyd põhinevad W3C ja FIDO standardil WebAuthn. Su seade loob iga saidi jaoks võtmepaari. Kuna võti on seotud sidrulisel saidi tegeliku aadressiga, ei saa valesait seda kasutada. Üha rohkem teenuseid toetab passkeyd teise astmena või isegi parooli asemel.
Varukoodid ja päev, mil su telefon on kadunud
Iga teine aste võib ära kaduda: telefon kadunud, katki, uus telefon ilma rakendust üle kandmata. Seetõttu:
- Loo varukoodid (tavaliselt kümme koodi, millest igaüks toimib ühe korra) ja hoia neid mitte samas telefonis. Prindi need välja koos oluliste paberitega või hoia paroolihaldaja. (tund 7.4).
- Lülita sisse vähemalt kaks meetodit, näiteks autentimisrakendus pluss e-posti kood, või passkey pluss varukoodid.
- Uus telefon? Kanna autentimisrakenduse kontod kõigepealt üle, enne kui vana telefoni kustutad või ära annad.
Kui keegi jääb siiski ligipääsuta, aitab administraator (näiteks muutes e-posti aadressi aadressiks, mida kasutaja saab lugeda) või teenusepakkuja pärast kontrolli, kes taotluse esitab. See võtab teadlikult veidi aega: teenusepakkuja, kes lülitab teise astme välja ilma kontrollita, aitab ka petturit.
Rakenduse paroolid ja seansid
Rakendused, mis ei saa teist astet sisestada, saavad oma rakenduse parooli (tund 7.2). Üks iga rakenduse ja seadme kohta, äratuntava nimega. Seadmete ja seansside ülevaates näed, kus keegi on sisse logitud. Sealt tühistad varastatud telefoni või vana sülearvuti. Vaata seda aeg-ajalt üle, ja kindlasti iga lahkumise korral.
Ühekordne sisselogimine (SSO)
Suuremad organisatsioonid lasevad inimestel logida ühe kontoga sisse mitmesse teenusesse: ühekordne sisselogimine ehk SSO, sageli selliste standardite kaudu nagu SAML või OpenID Connect. Pane tähele: kui kasutad praegu "Logi sisse Google'i kontoga" või "Logi sisse Microsofti kontoga" teistes teenustes (raamatupidamine, planeerimine, veebipood), kaotad selle ligipääsu, kui kustutad oma Google'i või Microsofti konto. See oli su kaardistamises varjatud seosena (tund 3.1). Lülita need teenused enne ülesütlemist ümber e-posti ja parooliga sisselogimisele või uuele SSO-le.
Tööle tulek ja lahkumine: kindel kord
Enamik probleeme ei teki ülemineku ajal, vaid aasta hiljem, kui keegi lahkub ja keegi ei tea, mida teha. Pane seetõttu nüüd kirja kindel kord (ülesanne E7.3):
Uus kolleeg: loo konto oma e-posti aadressiga, määra rühmad ja litsentsid, anna andmed turvaliselt edasi (parool teise kanali kaudu), tee esimene sisselogimine koos, seadista teine aste ja varukoodid, paigalda rakendused.
Lahkuv kolleeg: kõigepealt anna üle omandiõigus failide ja kaustade üle (paljudes teenustes on kustutatud kontoga kõik failid lõplikult kadunud), kanna üle jagatud kalendrid ja kaustad, vabasta litsents, lülita konto välja (ära kustuta kohe), tühista rakenduse paroolid ja seansid, suuna e-post edasi või hoia jagatud postkastina, ja kustuta alles pärast kokkulepitud tähtaega.
Praktikas: nii näeb see välja teenusepakkuja juures
WebOké Nextcloudi puhul ei ole keegi Nextcloudi enda administraator. Paketi omanik haldab kasutajaid Minu WebOké's, jaotises Gebruikersbeheer paketi lehel: kasutaja lisamine, parooli muutmine, väljalülitamine või kustutamine, ja Office'i litsentsi sisse või välja lülitamine. Iga kasutaja korraldab oma turvalisust Nextcloudis jaotises Seadistused, Turvalisus: kood e-postiga on alati sisse lülitatud ja seal lülitad sisse autentimisrakenduse (TOTP), varukoodid, passkey ja rakenduse paroolid ning näed jaotist Seadmed & sessioonid.
Teiste teenusepakkujate juures toimib see sarnaselt: on olemas haldekeskkond kontode jaoks ja iga kasutaja jaoks turvalisuse leht. Nuppude nimed on erinevad.
Kokkuvõte
- Üks konto inimese kohta; jagatud aadressid muutuvad jagatud postkastideks või rühmadeks.
- Minimaalsed õigused ja vähemalt kaks administraatorit; leping organisatsiooni nimel.
- Lülita kaheastmeline autentimine sisse kõigile. Passkeyd ja turvavõtmed on kõige tugevamad phishingu vastu; TOTP on hea ja laialdaselt kasutatav valik.
- Varukoodid mitte samas telefonis ja vähemalt kaks meetodit.
- Pane kirja kindel kord tööle tuleku ja lahkumise jaoks: kõigepealt anna üle, siis lülita välja, kustuta alles hiljem.
Test
Ülesanne
Ülesanne E7.3: Rollid ning tööle tuleku ja lahkumise kord. Koosta oma organisatsiooni jaoks rolliülevaade (kes on administraator, kes mitte, kes on teine administraator) ja täida oma teenuse jaoks tööle tuleku ja lahkumise kontrollnimekiri. Lülita sisse kaheastmeline autentimine oma kontol ja kinnita, et hoiad varukoode väljaspool telefoni.
Ülesanne E7.3: Rollid ning tööle tuleku ja lahkumise kord
Täida rolliülevaade ja mõlemad korrad oma teenuse jaoks ning lülita oma kontol sisse 2FA.
Su linnukesed ja märkmed jäävad ainult sellesse brauserisse, me ei saada neid kuhugi. Kui oled sisse loginud, salvestame Minu kursustes ainult info, et tegid ülesande ära.
Rohkem lugemist
Nende artiklite sammud kehtivad WebOké teenustele; teiste teenusepakkujate juures toimib see sarnaselt.
- Nextcloudi juhend 3.1: Kuidas WebOké kaitseb sinu Nextcloudi?
- Nextcloudi juhend 3.3: Autentimisrakenduse seadistamine ja varukoodide salvestamine
- Nextcloudi juhend 3.5: Rakenduse salasõnad: millal ja kuidas
- Nextcloudi juhend 3.6: Seadmete ja sessioonide vaatamine, tühistamine või kaugkustutamine
- Nextcloudi juhend 3.10: Telefon kadunud või 2FA kadunud: nii pääsed uuesti sisse
- Nextcloudi juhend 14.2: Kasutajate loomine, muutmine, väljalülitamine ja kustutamine
- Nextcloudi juhend 14.7: Õigused: kes haldab sinu Nextcloudis mida?
- Nextcloudi juhend 16.7: Kolleeg lahkub: failide, kalendri ja jagatud kaustade turvaline ülevõtmine
- WebOké juhend 3.3: Autentimisrakenduse kasutamine
- Kaheastmelise kinnituse (2FA) seadistamine Nextcloudis
- Rakenduse parooli loomine (vajalik rakenduste ja seadmetega ühendamiseks)
- NCSC, lunavara selgitus (soovitusega kasutada kaheastmelist autentimist kõikjal): https://www.ncsc.nl/ransomware/ransomware-uitgelegd
- RFC 6238 (TOTP): https://www.rfc-editor.org/rfc/rfc6238
- W3C Web Authentication (WebAuthn): https://www.w3.org/TR/webauthn-3/ ja FIDO Alliance passkeyde kohta: https://fidoalliance.org/passkeys/