Modulul 7 · 7.3
Utilizatori, roluri și autentificare în doi pași
Modulul 7: Colaborare, aplicații și securitate · Timp de citire: 11 minute
Obiectivul lecției: După această lecție veți putea configura în siguranță utilizatorii și administratorii în noul dumneavoastră serviciu, veți alege forma potrivită de autentificare în doi pași și veți stabili o rutină fixă pentru colegii noi și cei care pleacă.
Noțiuni cheie: cont per persoană, administrator, proprietar, rol, principiul celor mai mici privilegii, autentificare în doi pași (2FA), TOTP, passkey, cheie de securitate, WebAuthn, coduri de rezervă, parolă de aplicație, revocarea sesiunii, autentificare unică (SSO), angajare și încetare a activității (onboarding și offboarding), transferul proprietății
O trecere este o ocazie de a face ordine
La inventariere (lecția 3.1) a reieșit că Bakkerij De Korrel are 15 conturi Google pentru 12 persoane. Două aparțin unor persoane care au plecat de mult timp, iar un cont, winkel@example.com, este folosit de patru persoane cu aceeași parolă, scrisă pe un bilețel lipit lângă casă. Acest lucru este foarte răspândit. La trecere nu preluați astfel de obiceiuri, ci le îndreptați din start.
Un cont per persoană
Regula de bază: fiecare persoană are propriul cont, cu propria parolă și propriul al doilea pas. De ce?
- Puteți vedea cine a făcut ce (activitate, versiuni, cine a distribuit).
- Dacă cineva pleacă, dezactivați un singur cont și nimeni nu trebuie să învețe o parolă nouă.
- Autentificarea în doi pași funcționează bine doar dacă al doilea pas aparține unei singure persoane.
Adresele partajate, precum winkel@example.com sau info@example.com, continuă să existe, dar ca cutie poștală partajată, alias sau grup: mai multe persoane citesc mesajele folosind propriul cont. Modul exact în care se numește și funcționează acest lucru diferă în funcție de furnizor (lecția 4.4).
Roluri: cine ce poate face?
În orice serviciu cloud există cel puțin trei niveluri:
| Rol | Ce face | La De Korrel |
|---|---|---|
| Furnizor | Serverul, securitatea, actualizările, copiile de siguranță ale sistemului | Serviciul cloud |
| Administrator sau proprietar | Crearea și dezactivarea utilizatorilor, resetarea parolelor, licențe, spațiu de stocare | Proprietara Fatima și administratorul de birou Ruud |
| Utilizator | Propriile fișiere, partajare, calendar, parolă și al doilea pas | Toată lumea |
Două reguli de bază:
- Principiul celor mai mici privilegii. Acordați unei persoane doar drepturile de care are nevoie. Un brutar nu trebuie să poată crea utilizatori.
- Cel puțin doi administratori. Dacă există un singur administrator, iar acesta este bolnav, în concediu sau a plecat, nimeni nu mai poate reseta o parolă sau anula serviciul. Doi administratori, fiecare cu propriul cont și propriul al doilea pas, iar datele contului de administrare la furnizor (contractul) sunt pe numele organizației, nu al unei singure persoane.
Fiți atenți la diferența dintre administrarea pachetului și accesul la fișiere. Un serviciu bun permite unui administrator să gestioneze conturile fără să poată vedea fișierele altora. Dar cine poate reseta o parolă se poate autentifica ulterior ca acea persoană, dacă al doilea pas ajunge la o adresă pe care o poate citi. Alegeți, prin urmare, pentru fiecare utilizator propria adresă de e-mail ca adresă de recuperare și de coduri.
Autentificarea în doi pași: de ce și care tip
O parolă, singură, nu este suficientă. Parolele se scurg în urma încălcărilor de securitate ale altor site-uri, sunt ghicite sau sunt obținute prin phishing. Centrul Național de Securitate Cibernetică din Țările de Jos (NCSC, instituția neerlandeză) recomandă autentificarea în doi pași oriunde este posibil. Cu autentificarea în doi pași (2FA) aveți nevoie, pe lângă parolă, de ceva ce dețineți: telefonul dumneavoastră, o cheie sau cutia dumneavoastră poștală.
| Al doilea pas | Cum funcționează | Puncte tari și slabe |
|---|---|---|
| Cod prin e-mail | Serviciul trimite un cod prin e-mail | Simplu; la fel de sigur ca și cutia dumneavoastră poștală. Așadar, protejați-o bine |
| Cod prin SMS | Serviciul trimite un cod prin SMS | Mai bine decât nimic; vulnerabil dacă cineva vă preia numărul (fraudă cu cartela SIM) |
| Aplicație de autentificare (TOTP) | O aplicație pe telefonul dumneavoastră generează la fiecare 30 de secunde un cod nou din șase cifre | Funcționează offline, foarte utilizată. Un site fals poate totuși intercepta un cod dacă îl introduceți acolo |
| Notificare pe un alt dispozitiv | Aprobați autentificarea pe un dispozitiv pe care sunteți deja conectat | Simplu; aveți grijă să nu apăsați pur și simplu pe „aprobare” |
| Passkey sau cheie de securitate (WebAuthn) | Telefonul, computerul sau o cheie (precum un YubiKey) confirmă prin amprentă, față sau cod PIN | Cea mai puternică protecție împotriva phishing-ului: funcționează doar pe site-ul real |
TOTP înseamnă time-based one-time password, descris în RFC 6238. Serviciul și aplicația dumneavoastră partajează o singură cheie secretă (pe care o preluați printr-un cod QR) și calculează amândouă, din cheie și din oră, același cod. De aceea, ceasul telefonului dumneavoastră trebuie să fie corect.
Passkeys se bazează pe standardul WebAuthn al W3C și FIDO. Dispozitivul dumneavoastră creează o pereche de chei pentru fiecare site. Deoarece cheia este legată de adresa reală a site-ului, un site fals nu poate face nimic cu ea. Tot mai multe servicii susțin passkeys ca al doilea pas sau chiar în locul parolei.
Coduri de rezervă și ziua în care pierdeți telefonul
Orice al doilea pas poate dispărea: telefon pierdut, stricat, telefon nou fără a transfera aplicația. De aceea:
- Generați coduri de rezervă (de obicei zece coduri, fiecare utilizabil o singură dată) și nu le păstrați pe același telefon. Tipărite împreună cu actele importante sau într-un manager de parole (lecția 7.4).
- Activați cel puțin două metode, de exemplu aplicație de autentificare plus cod prin e-mail, sau passkey plus coduri de rezervă.
- Telefon nou? Transferați mai întâi conturile din aplicația de autentificare, înainte de a șterge sau de a preda telefonul vechi.
Dacă totuși cineva rămâne blocat în afara contului, administratorul poate ajuta (de exemplu, modificând adresa de e-mail către o adresă pe care utilizatorul o poate citi), sau furnizorul, după verificarea identității celui care face cererea. Acest lucru durează, intenționat, puțin mai mult: un furnizor care dezactivează al doilea pas fără verificare ajută în egală măsură un fraudator.
Parole de aplicație și sesiuni
Aplicațiile care nu pot introduce al doilea pas primesc o parolă de aplicație proprie (lecția 7.2). Câte una pentru fiecare aplicație și fiecare dispozitiv, cu un nume ușor de recunoscut. În secțiunea dispozitive și sesiuni puteți vedea unde este cineva autentificat. Acolo puteți revoca un telefon furat sau un laptop vechi. Verificați acest lucru din când în când și, cu siguranță, la fiecare plecare.
Autentificare unică (SSO)
Organizațiile mai mari permit persoanelor să se autentifice cu un singur cont la mai multe servicii: autentificare unică sau SSO, adesea prin standarde precum SAML sau OpenID Connect. Atenție: dacă folosiți în prezent „Autentifică-te cu Google” sau „Autentifică-te cu Microsoft” la alte servicii (contabilitate, planificare, magazin online), pierdeți acel acces în momentul în care desființați contul Google sau Microsoft. Aceasta a fost menționată ca legătură ascunsă în inventarul dumneavoastră (lecția 3.1). Comutați acele servicii, înainte de reziliere, către autentificare cu e-mail și parolă, sau către noul dumneavoastră SSO.
Angajare și încetarea activității: o rutină fixă
Majoritatea problemelor nu apar la momentul trecerii, ci un an mai târziu, când cineva pleacă și nimeni nu mai știe ce trebuie făcut. Stabiliți, prin urmare, acum o rutină fixă (exercițiul E7.3):
Coleg nou: creați un cont cu propria adresă de e-mail, atribuiți grupuri și licențe, transmiteți datele în siguranță (parola printr-un alt canal), efectuați împreună prima autentificare, configurați al doilea pas și codurile de rezervă, instalați aplicațiile.
Coleg care pleacă: transferați mai întâi proprietatea fișierelor și folderelor (în multe servicii, un cont șters, cu toate fișierele, dispare definitiv), transferați calendarele și folderele partajate, eliberați licența, dezactivați contul (nu îl ștergeți imediat), revocați parolele de aplicație și sesiunile, redirecționați e-mailul sau păstrați-l ca o cutie poștală partajată, și ștergeți abia după un termen convenit.
În practică: cum arată la un furnizor
La un pachet WebOké Nextcloud, nimeni nu este administrator în Nextcloud în sine. Proprietarul pachetului gestionează utilizatorii în Contul meu WebOké, la Gestionarea utilizatorilor de pe pagina pachetului: adăugare utilizator, modificare parolă, dezactivare sau ștergere și activarea sau dezactivarea licenței Office. Fiecare utilizator își gestionează propria securitate în Nextcloud la Setări, Securitate: codul prin e-mail este mereu activ, iar acolo activați o aplicație de autentificare (TOTP), coduri de rezervă, un passkey și parole de aplicație, și vedeți secțiunea Dispozitive și sesiuni.
La alți furnizori funcționează similar: există un mediu de administrare pentru conturi și, pentru fiecare utilizator, o pagină de securitate. Denumirile butoanelor diferă.
Rezumat
- Un cont per persoană; adresele partajate devin cutii poștale partajate sau grupuri.
- Principiul celor mai mici privilegii și cel puțin doi administratori; contractul pe numele organizației.
- Activați autentificarea în doi pași pentru toată lumea. Passkeys și cheile de securitate oferă cea mai puternică protecție împotriva phishing-ului; TOTP este o alegere bună și foarte utilizată.
- Codurile de rezervă nu se păstrează pe același telefon, și activați cel puțin două metode.
- Stabiliți o rutină fixă pentru angajare și încetarea activității: mai întâi transfer, apoi dezactivare, abia ulterior ștergere.
Quiz
Exercițiu
Opdracht E7.3: Rolurile și rutina de angajare și de încetare a activității. Realizați o schemă a rolurilor pentru organizația dumneavoastră (cine este administrator, cine nu, cine este al doilea administrator) și completați lista de verificare pentru angajare și încetarea activității pentru propriul serviciu. Activați autentificarea în doi pași la propriul cont și confirmați că ați păstrat codurile de rezervă în afara telefonului dumneavoastră.
Exercițiul E7.3: Roluri și rutina de angajare și de încetare a activității
Completați tabelul de roluri și ambele rutine pentru serviciul dvs. propriu și activați 2FA pe propriul cont.
Bifele și notițele dumneavoastră rămân doar în acest browser; nu le trimitem nicăieri. Dacă sunteți autentificat, păstrăm în Cursurile mele doar faptul că ați finalizat exercițiul.
Pentru aprofundare
Pașii din aceste articole sunt valabili pentru serviciile WebOké; la alți furnizori funcționează similar.
- Manual Nextcloud 3.1: Cum vă securizează WebOké Nextcloud-ul?
- Manual Nextcloud 3.3: Configurarea unei aplicații de autentificare și păstrarea codurilor de rezervă
- Manual Nextcloud 3.5: Parole de aplicație: când și cum se folosesc
- Manual Nextcloud 3.6: Dispozitivele și sesiunile vizualizare, revocare sau ștergere de la distanță
- Manual Nextcloud 3.10: Ați pierdut telefonul sau codul 2FA: iată cum reveniți în cont
- Manual Nextcloud 14.2: Crearea, editarea, dezactivarea și ștergerea utilizatorilor
- Manual Nextcloud 14.7: Drepturi: cine administrează ce în Nextcloud al dumneavoastră?
- Manual Nextcloud 16.7: Un coleg pleacă: preluarea în siguranță a fișierelor, calendarului și dosarelor partajate
- Manual WebOké 3.3: Utilizarea unei aplicații de autentificare
- Configurarea verificării în doi pași (2FA) în Nextcloud
- Crearea unei parole de aplicație (necesară pentru conectarea aplicațiilor și dispozitivelor)
- NCSC (Centrul Național de Securitate Cibernetică din Țările de Jos), Ransomware explicat (cu recomandarea de a folosi autentificarea în doi pași peste tot): https://www.ncsc.nl/ransomware/ransomware-uitgelegd
- RFC 6238 (TOTP): https://www.rfc-editor.org/rfc/rfc6238
- W3C Web Authentication (WebAuthn): https://www.w3.org/TR/webauthn-3/ și FIDO Alliance despre passkeys: https://fidoalliance.org/passkeys/