Użytkownicy, role i uwierzytelnianie dwuskładnikowe

Moduł 7: Współpraca, aplikacje i bezpieczeństwo · Czas czytania: 11 minut

Cel lekcji: Po tej lekcji będą Państwo potrafili bezpiecznie skonfigurować użytkowników i administratorów w nowej usłudze, wybrać odpowiednią formę uwierzytelniania dwuskładnikowego oraz ustalić stałą procedurę dla nowych i odchodzących współpracowników.

Kluczowe pojęcia: konto na osobę, administrator, właściciel, rola, zasada minimalnych uprawnień, uwierzytelnianie dwuskładnikowe (2FA), TOTP, passkey, klucz bezpieczeństwa, WebAuthn, kody zapasowe, hasło aplikacji, wylogowanie sesji, logowanie jednokrotne (SSO), przyjęcie i odejście pracownika (onboarding i offboarding), przekazanie własności

Przejście to okazja, by zrobić porządek

Podczas inwentaryzacji (lekcja 3.1) okazało się, że Bakkerij De Korrel ma 15 kont Google dla 12 osób. Dwa z nich należą do osób, które dawno odeszły, a jedno konto winkel@example.com jest używane przez cztery osoby z tym samym hasłem, które wisi na karteczce przy kasie. To bardzo częsta sytuacja. Przy przejściu nie przenoszą Państwo takich przyzwyczajeń, lecz od razu je poprawiają.

Jedno konto na osobę

Podstawowa zasada: każda osoba ma własne konto, z własnym hasłem i własnym drugim składnikiem. Dlaczego?

• Widać, kto co zrobił (aktywność, wersje, kto coś udostępnił).
• Gdy ktoś odchodzi, wyłączają Państwo jedno konto i nikt nie musi uczyć się nowego hasła.
• Uwierzytelnianie dwuskładnikowe działa dobrze tylko wtedy, gdy drugi składnik należy do jednej osoby.

Adresy współdzielone, takie jak winkel@example.com czy info@example.com, nadal istnieją, ale jako współdzielona skrzynka pocztowa, alias lub grupa: kilka osób odczytuje pocztę przy użyciu własnych kont. Nazwa i działanie tego mechanizmu różnią się w zależności od dostawcy (lekcja 4.4).

Role: kto co może robić?

W każdej usłudze chmurowej istnieją co najmniej trzy poziomy:

Dwie zasady podstawowe:

1. Minimalne uprawnienia. Niech każda osoba otrzyma tylko te uprawnienia, których naprawdę potrzebuje. Piekarz nie musi móc tworzyć użytkowników.
2. Co najmniej dwóch administratorów. Jeśli jest tylko jeden, a on jest chory, na urlopie lub odszedł, nikt nie może zresetować hasła ani wypowiedzieć usługi. Niech dwóch administratorów ma własne konta i własny drugi składnik, a dane konta administracyjnego u dostawcy (umowa) niech będą zapisane na organizację, a nie na jedną osobę.

Proszę zwrócić uwagę na różnicę między zarządzaniem pakietem a dostępem do plików. Dobra usługa pozwala administratorowi zarządzać kontami bez możliwości wglądu w pliki innych osób. Jednak osoba, która może zresetować hasło, może potem zalogować się jako dana osoba, jeśli drugi składnik trafia na adres, który ta osoba może odczytać. Dlatego dla każdego użytkownika proszę wybrać jego własny adres e-mail jako adres odzyskiwania i do kodów.

Uwierzytelnianie dwuskładnikowe: dlaczego i które

Samo hasło to za mało. Hasła wyciekają przy naruszeniach danych na innych stronach, są odgadywane lub wyłudzane przez phishing. Holenderskie Narodowe Centrum Cyberbezpieczeństwa (NCSC) zaleca stosowanie uwierzytelniania dwuskładnikowego wszędzie, gdzie to możliwe. Przy uwierzytelnianiu dwuskładnikowym (2FA) potrzebują Państwo obok hasła czegoś, co mają przy sobie: telefonu, klucza lub skrzynki pocztowej.

TOTP oznacza time-based one-time password, opisane w RFC 6238. Usługa i aplikacja dzielą jeden tajny klucz (który Państwo przejmują za pomocą kodu QR) i obie strony obliczają z tego klucza i czasu ten sam kod. Dlatego zegar telefonu musi być ustawiony prawidłowo.

Passkeys opierają się na standardzie WebAuthn organizacji W3C i FIDO. Urządzenie tworzy dla każdej strony osobną parę kluczy. Ponieważ klucz jest powiązany z prawdziwym adresem strony, fałszywa strona nic z nim nie zrobi. Coraz więcej usług obsługuje passkeys jako drugi składnik lub nawet zamiast hasła.

Kody zapasowe i dzień, gdy zgubi się telefon

Każdy drugi składnik może zawieść: zgubiony telefon, zepsuty, nowy telefon bez przeniesionej aplikacji. Dlatego:

• Proszę utworzyć kody zapasowe (zwykle dziesięć kodów, z których każdy działa raz) i nie przechowywać ich na tym samym telefonie. Najlepiej wydrukowane przy ważnych dokumentach lub w menedżerze haseł (lekcja 7.4).
• Proszę włączyć co najmniej dwie metody, na przykład aplikację uwierzytelniającą plus kod e-mailem, lub passkey plus kody zapasowe.
• Nowy telefon? Proszę najpierw przenieść konta z aplikacji uwierzytelniającej, zanim wykasują Państwo lub oddadzą stary telefon.

Jeśli ktoś mimo wszystko zostanie zablokowany, pomoże administrator (na przykład zmieniając adres e-mail na taki, który użytkownik może odczytać) lub dostawca, po sprawdzeniu, kto składa taki wniosek. To celowo trwa chwilę: dostawca, który wyłącza drugi składnik bez weryfikacji, pomaga też oszustowi.

Hasła aplikacji i sesje

Aplikacje, które nie potrafią wprowadzić drugiego składnika, otrzymują własne hasło aplikacji (lekcja 7.2). Jedno na aplikację na urządzenie, z rozpoznawalną nazwą. W zestawieniu urządzeń i sesji widzą Państwo, gdzie dana osoba jest zalogowana. Tam wylogowują Państwo skradziony telefon lub stary laptop. Proszę zaglądać tam od czasu do czasu, a zwłaszcza przy każdym odejściu pracownika.

Logowanie jednokrotne (SSO)

Większe organizacje umożliwiają logowanie do wielu usług jednym kontem: logowanie jednokrotne czyli SSO, często za pomocą standardów takich jak SAML lub OpenID Connect. Uwaga: jeśli obecnie korzystają Państwo z opcji „Zaloguj się przez Google” lub „Zaloguj się przez Microsoft” w innych usługach (księgowość, planowanie, sklep internetowy), stracą Państwo do nich dostęp po usunięciu konta Google lub Microsoft. Było to wskazane jako ukryte powiązanie w Państwa inwentaryzacji (lekcja 3.1). Przed rezygnacją z konta proszę przestawić te usługi na logowanie e-mailem i hasłem albo na nowe SSO.

Przyjęcie i odejście pracownika: stała procedura

Większość problemów powstaje nie podczas samego przejścia, lecz rok później, gdy ktoś odchodzi i nikt nie wie, co wtedy zrobić. Proszę więc już teraz ustalić stałą procedurę (zadanie E7.3):

Nowy współpracownik: utworzenie konta z własnym adresem e-mail, przypisanie grup i licencji, bezpieczne przekazanie danych (hasło innym kanałem), wspólne pierwsze logowanie, ustawienie drugiego składnika i kodów zapasowych, instalacja aplikacji.

Odchodzący współpracownik: najpierw przekazanie własności plików i folderów (w wielu usługach usunięcie konta oznacza trwałą utratę wszystkich plików), przeniesienie wspólnych kalendarzy i folderów, zwolnienie licencji, wyłączenie konta (nie od razu usunięcie), unieważnienie haseł aplikacji i sesji, przekierowanie poczty lub zachowanie jej jako współdzielonej skrzynki pocztowej, a dopiero po ustalonym terminie usunięcie konta.

W praktyce: jak to wygląda u dostawcy

W usłudze WebOké Nextcloud nikt nie jest administratorem w samym Nextcloud. Właściciel pakietu zarządza użytkownikami w Moje WebOké, w sekcji Zarządzanie użytkownikami na stronie pakietu: dodawanie użytkownika, zmiana hasła, wyłączanie lub usuwanie, a także włączanie lub wyłączanie licencji Office. Każdy użytkownik samodzielnie ustawia swoje zabezpieczenia w Nextcloud, w sekcji Ustawienia, Bezpieczeństwo: kod e-mailem jest zawsze włączony, a tam mogą Państwo włączyć aplikację uwierzytelniającą (TOTP), kody zapasowe, passkey i hasła aplikacji, oraz zobaczyć Urządzenia i sesje.

U innych dostawców działa to podobnie: istnieje środowisko do zarządzania kontami oraz strona bezpieczeństwa dla każdego użytkownika. Nazwy przycisków mogą się różnić.

Podsumowanie

• Jedno konto na osobę; adresy współdzielone stają się współdzielonymi skrzynkami pocztowymi lub grupami.
• Minimalne uprawnienia i co najmniej dwóch administratorów; umowa zawarta na organizację.
• Proszę włączyć uwierzytelnianie dwuskładnikowe dla wszystkich. Passkeys i klucze bezpieczeństwa są najsilniejsze przeciwko phishingowi; TOTP to dobry, powszechnie stosowany wybór.
• Kody zapasowe nie na tym samym telefonie, i co najmniej dwie metody.
• Proszę ustalić stałą procedurę przyjęcia i odejścia pracownika: najpierw przekazanie, potem wyłączenie, dopiero później usunięcie.

Quiz

Zadanie

Zadanie E7.3: Role oraz procedura przyjęcia i odejścia pracownika. Proszę przygotować zestawienie ról w Państwa organizacji (kto jest administratorem, kto nie jest, kto jest drugim administratorem) oraz wypełnić listę kontrolną przyjęcia i odejścia pracownika dla Państwa usługi. Proszę włączyć uwierzytelnianie dwuskładnikowe na własnym koncie i potwierdzić, że kody zapasowe są przechowywane poza telefonem.

Dalsza lektura

Kroki opisane w tych artykułach dotyczą usług WebOké; u innych dostawców działa to podobnie.

• Podręcznik Nextcloud 3.1: Jak WebOké zabezpiecza Pana/Pani Nextcloud?
• Podręcznik Nextcloud 3.3: Konfiguracja aplikacji uwierzytelniającej i zapisywanie kodów zapasowych
• Podręcznik Nextcloud 3.5: Hasła aplikacji: kiedy i jak ich używać
• Podręcznik Nextcloud 3.6: Przeglądanie, cofanie dostępu lub zdalne czyszczenie urządzeń i sesji
• Podręcznik Nextcloud 3.10: Zgubiony telefon lub brak dostępu do uwierzytelniania dwuskładnikowego: jak odzyskać dostęp
• Podręcznik Nextcloud 14.2: Gebruikers aanmaken, bewerken, uitschakelen en verwijderen
• Podręcznik Nextcloud 14.7: Uprawnienia: kto czym zarządza w Państwa Nextcloud?
• Podręcznik Nextcloud 16.7: Odejście kolegi/koleżanki z pracy: bezpieczne przejęcie plików, kalendarza i udostępnionych folderów
• Podręcznik WebOké 3.3: Korzystanie z aplikacji uwierzytelniającej
• Konfiguracja weryfikacji dwuetapowej (2FA) w Nextcloud
• Tworzenie hasła aplikacji (potrzebnego do połączenia z aplikacjami i urządzeniami)
• NCSC (holenderskie Narodowe Centrum Cyberbezpieczeństwa), wyjaśnienie ransomware (z zaleceniem stosowania uwierzytelniania dwuskładnikowego wszędzie): https://www.ncsc.nl/ransomware/ransomware-uitgelegd
• RFC 6238 (TOTP): https://www.rfc-editor.org/rfc/rfc6238
• W3C Web Authentication (WebAuthn): https://www.w3.org/TR/webauthn-3/ oraz FIDO Alliance o passkeys: https://fidoalliance.org/passkeys/