Modul 7 · 7.3
Uporabniki, vloge in dvostopenjsko preverjanje
Modul 7: Sodelovanje, aplikacije in varnost · Čas branja: 11 minut
Učni cilj: Po tej lekciji boste znali varno urediti uporabnike in skrbnike v novi storitvi, izbrati pravo obliko dvostopenjskega preverjanja in vzpostaviti stalno rutino za nove in odhajajoče sodelavce.
Ključni pojmi: račun na osebo, skrbnik, lastnik, vloga, načelo minimalnih pravic, dvostopenjsko preverjanje (2FA), TOTP, passkey, varnostni ključ, WebAuthn, rezervne kode, geslo za aplikacijo, preklic seje, enotna prijava (SSO), zaposlitev in odhod (onboarding in offboarding), prenos lastništva
Prehod je priložnost za pospravljanje
Pri popisu stanja (lekcija 3.1) se je izkazalo, da ima Bakkerij De Korrel 15 računov Google za 12 ljudi. Dva sta last ljudi, ki sta že dolgo odšla, en račun winkel@example.com pa uporabljajo štiri osebe z istim geslom, ki visi na lističu pri blagajni. To je zelo pogosto. Ob prehodu takih navad ne prenesete naprej, temveč jih takoj odpravite.
En račun na osebo
Osnovno pravilo: vsaka oseba ima svoj račun, z lastnim geslom in lastnim drugim korakom. Zakaj?
- Vidite, kdo je kaj storil (dejavnost, različice, kdo je kaj delil).
- Če nekdo odide, onemogočite samo en račun in nikomur ni treba učiti se novega gesla.
- Dvostopenjsko preverjanje deluje dobro le, če je drugi korak vezan na eno samo osebo.
Skupni naslovi, kot sta winkel@example.com ali info@example.com, še naprej obstajajo, vendar kot skupni poštni predal, vzdevek (alias) ali skupina: več ljudi bere sporočila s svojim lastnim računom. Kako se to imenuje in deluje, je odvisno od ponudnika (lekcija 4.4).
Vloge: kdo sme kaj?
V vsaki storitvi v oblaku obstajajo vsaj tri ravni:
| Vloga | Dejanje | Pri De Korrel |
|---|---|---|
| Ponudnik | Strežnik, varnost, posodobitve, varnostne kopije sistema | Storitev v oblaku |
| Skrbnik ali lastnik | Ustvarjanje in onemogočanje uporabnikov, ponastavitev gesel, licence, prostor za shranjevanje | Lastnica Fatima in vodja pisarne Ruud |
| Uporabnik | Lastne datoteke, deljenje, koledar, geslo in drugi korak | Vsi |
Dve pravili:
- Načelo minimalnih pravic. Osebi dodelite samo tiste pravice, ki jih dejansko potrebuje. Pek ne potrebuje pravice za ustvarjanje uporabnikov.
- Vsaj dva skrbnika. Če je skrbnik samo eden in je bolan, na dopustu ali je odšel, nihče ne more ponastaviti gesla ali odpovedati storitve. Imejte dva skrbnika, vsak s svojim računom in lastnim drugim korakom, podatki skrbniškega računa pri ponudniku (pogodba) pa naj bodo vedeni na ime organizacije, ne ene same osebe.
Bodite pozorni na razliko med upravljanjem paketa in dostopom do datotek. Dobra storitev omogoča skrbniku upravljanje računov, ne da bi lahko videl datoteke drugih. Vendar lahko tisti, ki ponastavi geslo, nato vstopi kot ta oseba, če drugi korak gre na naslov, ki ga lahko prebere. Za vsakega uporabnika zato izberite njegov lasten e-poštni naslov kot naslov za obnovitev in prejemanje kod.
Dvostopenjsko preverjanje: zakaj in katero
Samo geslo ni dovolj. Gesla uhajajo pri vdorih na drugih straneh, jih uganejo ali pridobijo s poskusom ribarjenja (phishing). Nizozemski nacionalni center za kibernetsko varnost (NCSC) svetuje uporabo dvostopenjskega preverjanja povsod, kjer je to mogoče. Pri dvostopenjskem preverjanju (2FA) poleg gesla potrebujete nekaj, kar imate: svoj telefon, ključ ali svoj poštni predal.
| Drugi korak | Kako deluje | Prednosti in slabosti |
|---|---|---|
| Koda po e-pošti | Storitev pošlje kodo po e-pošti | Enostavno; tako varno kot Vaš poštni predal. Zato ga dobro zavarujte |
| Koda po SMS-u | Storitev pošlje kodo po SMS-u | Boljše kot nič; ranljivo, če nekdo prevzame Vašo številko (prevara s SIM-kartico) |
| Aplikacija za preverjanje pristnosti (TOTP) | Aplikacija na Vašem telefonu vsakih 30 sekund ustvari novo šestmestno kodo | Deluje brez povezave, pogosto uporabljano. Ponarejeno spletno mesto lahko kodo še vedno prestreže, če jo tam vnesete |
| Obvestilo na drugi napravi | Prijavo potrdite na napravi, v katero ste že prijavljeni | Enostavno; pazite, da ne pritisnete kar tako na "potrdi" |
| Passkey ali varnostni ključ (WebAuthn) | Vaš telefon, računalnik ali ključ (na primer YubiKey) potrdi z odtisom prsta, obrazom ali kodo PIN | Najmočnejše proti ribarjenju: deluje samo na pravem spletnem mestu |
TOTP pomeni time-based one-time password, opisano v RFC 6238. Storitev in Vaša aplikacija si delita en skupen skrivni ključ (ki ga prevzamete s kodo QR) in obe iz ključa in časa izračunata isto kodo. Zato mora biti ura Vašega telefona pravilno nastavljena.
Passkeyji temeljijo na standardu WebAuthn organizacij W3C in FIDO. Vaša naprava za vsako spletno mesto ustvari svoj par ključev. Ker je ključ vezan na pravi naslov spletnega mesta, ga ponarejeno spletno mesto ne more uporabiti. Vedno več storitev podpira passkeyje kot drugi korak ali celo namesto gesla.
Rezervne kode in dan, ko izgubite telefon
Vsak drugi korak lahko odpove: izgubljen telefon, pokvarjen, nov telefon brez prenesene aplikacije. Zato:
- Ustvarite rezervne kode (običajno deset kod, vsaka uporabna enkrat) in jih ne shranjujte na istem telefonu. Natisnite jih med pomembnimi dokumenti ali jih shranite v upravljavca gesel (lekcija 7.4).
- Vklopite vsaj dve metodi, na primer aplikacijo za preverjanje pristnosti in kodo po e-pošti, ali passkey in rezervne kode.
- Nov telefon? Najprej prenesite račune v aplikaciji za preverjanje pristnosti, preden izbrišete ali oddate starega.
Če kdo kljub temu ostane brez dostopa, pomaga skrbnik (na primer tako, da e-poštni naslov spremeni v naslov, ki ga uporabnik lahko prebere), ali ponudnik, po preverjanju, kdo zahtevo pošilja. To namerno traja nekaj časa: ponudnik, ki bi brez preverjanja izklopil drugi korak, bi s tem pomagal tudi goljufu.
Gesla za aplikacije in seje
Aplikacije, ki ne znajo izpolniti drugega koraka, dobijo svoje geslo za aplikacijo (lekcija 7.2). Za vsako aplikacijo na vsaki napravi eno, s prepoznavnim imenom. V pregledu naprav in sej vidite, kje je nekdo prijavljen. Tam prekličete ukraden telefon ali star prenosnik. Ta pregled preverjajte občasno, zagotovo pa ob vsakem odhodu sodelavca.
Enotna prijava (SSO)
Večje organizacije omogočajo ljudem prijavo z enim računom v več storitev: enotna prijava ali SSO, pogosto prek standardov, kot sta SAML ali OpenID Connect. Bodite pozorni: če zdaj uporabljate "Prijava z računom Google" ali "Prijava z računom Microsoft" pri drugih storitvah (računovodstvo, načrtovanje, spletna trgovina), boste ta dostop izgubili, ko ukinete račun Google ali Microsoft. To je bila ena izmed skritih povezav v Vašem popisu stanja (lekcija 3.1). Preden odpoveste, te storitve preklopite na prijavo z e-pošto in geslom ali na Vaš nov sistem SSO.
Zaposlitev in odhod: stalna rutina
Večina težav ne nastane ob prehodu, temveč leto dni pozneje, ko nekdo odide in nihče ne ve, kaj je treba storiti. Zato zdaj zapišite stalno rutino (naloga E7.3):
Nov sodelavec: ustvarite račun z lastnim e-poštnim naslovom, dodelite skupine in licence, podatke varno posredujte (geslo prek drugega kanala), prvo prijavo opravite skupaj, nastavite drugi korak in rezervne kode, namestite aplikacije.
Odhajajoč sodelavec: najprej prenesite lastništvo datotek in map (pri mnogih storitvah je ob izbrisu računa vsebina vseh datotek trajno izgubljena), prenesite skupne koledarje in mape, sprostite licenco, račun onemogočite (ne izbrišite ga takoj), prekličite gesla za aplikacije in seje, pošto preusmerite ali obdržite kot skupni poštni predal, in ga izbrišite šele po dogovorjenem roku.
V praksi: tako je videti pri ponudniku
Pri paketu WebOké Nextcloud nihče ni skrbnik v samem Nextcloudu. Lastnik paketa upravlja uporabnike v Moj WebOké, pri Gebruikersbeheer na strani paketa: dodajanje uporabnika, spreminjanje gesla, onemogočanje ali brisanje, ter vklop ali izklop licence za Office. Vsak uporabnik svojo varnost ureja v Nextcloudu pod Nastavitve, Varnost: koda po e-pošti je vedno vklopljena, tam pa vklopite tudi aplikacijo za preverjanje pristnosti (TOTP), rezervne kode, passkey in gesla za aplikacije, in si ogledate Naprave in seje.
Pri drugih ponudnikih deluje podobno: obstaja upravljavsko okolje za račune in za vsakega uporabnika stran z varnostnimi nastavitvami. Imena gumbov se razlikujejo.
Povzetek
- En račun na osebo; skupni naslovi postanejo skupni poštni predali ali skupine.
- Načelo minimalnih pravic in vsaj dva skrbnika; pogodba na ime organizacije.
- Dvostopenjsko preverjanje vklopite za vse. Passkeyji in varnostni ključi so najmočnejši proti ribarjenju; TOTP je dobra in pogosto uporabljena izbira.
- Rezervne kode ne hranite na istem telefonu, in uporabite vsaj dve metodi.
- Zapišite stalno rutino za zaposlitev in odhod: najprej prenos, nato onemogočanje, šele kasneje brisanje.
Kviz
Naloga
Naloga E7.3: Vloge ter postopek ob zaposlitvi in odhodu. Pripravite pregled vlog za svojo organizacijo (kdo je skrbnik, kdo ni, kdo je drugi skrbnik) ter izpolnite kontrolni seznam za zaposlitev in odhod za svojo storitev. Vklopite dvostopenjsko preverjanje za svoj račun in potrdite, da imate rezervne kode shranjene zunaj telefona.
Naloga E7.3: Vloge ter postopek ob zaposlitvi in odhodu
Izpolnite pregled vlog in oba postopka za svojo lastno storitev ter vklopite 2FA na svojem lastnem računu.
Vaše kljukice in zapiski ostanejo samo v tem brskalniku, nikamor jih ne pošiljamo. Če ste prijavljeni, v Moji tečaji shranimo samo podatek, da ste nalogo opravili.
Za nadaljnje branje
Koraki v teh člankih veljajo za storitve WebOké; pri drugih ponudnikih deluje podobno.
- Priročnik za Nextcloud 3.1: Kako WebOké zaščiti Vaš Nextcloud?
- Priročnik za Nextcloud 3.3: Namestitev overjevalnega programa in shranjevanje varnostnih kod
- Priročnik za Nextcloud 3.5: Gesla programov: kdaj in kako
- Priročnik za Nextcloud 3.6: Naprave in seje ogled, preklic ali daljinski izbris
- Priročnik za Nextcloud 3.10: Izgubljen telefon ali izgubljena dvostopenjska avtentikacija: tako se znova prijavite
- Priročnik za Nextcloud 14.2: Ustvarjanje, urejanje, onemogočanje in brisanje uporabnikov
- Priročnik za Nextcloud 14.7: Pravice: kdo upravlja kaj v Vašem Nextcloud?
- Priročnik za Nextcloud 16.7: Znanec odhaja: varen prevzem datotek, koledarja in map v souporabi
- Priročnik WebOké 3.3: Uporaba aplikacije za preverjanje pristnosti
- Nastavitev dvostopenjskega preverjanja pristnosti (2FA) v Nextcloud
- Ustvarjanje gesla aplikacije (potrebno za povezavo z aplikacijami in napravami)
- NCSC, pojasnilo o izsiljevalski programski opremi (z nasvetom o povsodnji uporabi dvostopenjskega preverjanja, nizozemski nacionalni center za kibernetsko varnost): https://www.ncsc.nl/ransomware/ransomware-uitgelegd
- RFC 6238 (TOTP): https://www.rfc-editor.org/rfc/rfc6238
- W3C Web Authentication (WebAuthn): https://www.w3.org/TR/webauthn-3/ in FIDO Alliance o passkeyjih: https://fidoalliance.org/passkeys/