Ενότητα 7 · 7.3
Χρήστες, ρόλοι και έλεγχος ταυτότητας δύο παραγόντων
Ενότητα 7: Συνεργασία, εφαρμογές και ασφάλεια · Χρόνος ανάγνωσης: 11 λεπτά
Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να οργανώσετε με ασφάλεια τους χρήστες και τους διαχειριστές στη νέα σας υπηρεσία, να επιλέξετε τη σωστή μορφή ελέγχου ταυτότητας δύο παραγόντων και να θεσπίσετε μια σταθερή διαδικασία για νέους και αποχωρούντες συναδέλφους.
Κεντρικές έννοιες: λογαριασμός ανά άτομο, διαχειριστής, κάτοχος, ρόλος, ελάχιστα απαιτούμενα δικαιώματα, έλεγχος ταυτότητας δύο παραγόντων (2FA), TOTP, passkey, κλειδί ασφαλείας, WebAuthn, κωδικοί εφεδρείας, κωδικός πρόσβασης εφαρμογής, ανάκληση συνεδρίας, ενιαία σύνδεση (SSO), πρόσληψη και αποχώρηση (onboarding και offboarding), μεταβίβαση κυριότητας
Μια μετάβαση είναι ευκαιρία για τακτοποίηση
Στην απογραφή (μάθημα 3.1) διαπιστώθηκε ότι η Bakkerij De Korrel διαθέτει 15 λογαριασμούς Google για 12 άτομα. Δύο ανήκουν σε άτομα που έχουν αποχωρήσει εδώ και καιρό, και έναν λογαριασμό, winkel@example.com, τον χρησιμοποιούν τέσσερα άτομα με τον ίδιο κωδικό πρόσβασης, ο οποίος είναι γραμμένος σε ένα χαρτάκι δίπλα στο ταμείο. Αυτό συμβαίνει συχνά. Κατά τη μετάβαση δεν μεταφέρετε τέτοιες συνήθειες, αλλά τις διορθώνετε αμέσως.
Ένας λογαριασμός ανά άτομο
Ο βασικός κανόνας: κάθε άτομο έναν δικό του λογαριασμό, με δικό του κωδικό πρόσβασης και δικό του δεύτερο βήμα. Γιατί;
- Βλέπετε ποιος έκανε τι (δραστηριότητα, εκδόσεις, ποιος έχει μοιραστεί κάτι).
- Αν κάποιος αποχωρήσει, απενεργοποιείτε έναν λογαριασμό και κανείς δεν χρειάζεται να μάθει νέο κωδικό πρόσβασης.
- Ο έλεγχος ταυτότητας δύο παραγόντων λειτουργεί καλά μόνο όταν το δεύτερο βήμα ανήκει σε ένα συγκεκριμένο άτομο.
Κοινόχρηστες διευθύνσεις όπως winkel@example.com ή info@example.com εξακολουθούν να υπάρχουν, αλλά ως κοινόχρηστο γραμματοκιβώτιο, ψευδώνυμο (alias) ή ομάδα: πολλά άτομα διαβάζουν την αλληλογραφία με τον δικό τους λογαριασμό. Πώς ονομάζεται και πώς λειτουργεί αυτό διαφέρει ανά πάροχο (μάθημα 4.4).
Ρόλοι: ποιος μπορεί να κάνει τι;
Σε κάθε υπηρεσία cloud υπάρχουν τουλάχιστον τρία επίπεδα:
| Ρόλος | Τι | Στην De Korrel |
|---|---|---|
| Πάροχος | Ο server, η ασφάλεια, οι ενημερώσεις, τα αντίγραφα ασφαλείας του συστήματος | Η υπηρεσία cloud |
| Διαχειριστής ή κάτοχος | Δημιουργία και απενεργοποίηση χρηστών, επαναφορά κωδικών πρόσβασης, άδειες χρήσης, αποθηκευτικός χώρος | Η κάτοχος Fatima και ο υπεύθυνος γραφείου Ruud |
| Χρήστης | Δικά του αρχεία, κοινή χρήση, ημερολόγιο, κωδικός πρόσβασης και δεύτερο βήμα | Όλοι |
Δύο βασικοί κανόνες:
- Ελάχιστα απαιτούμενα δικαιώματα. Δώστε σε κάποιον μόνο τα δικαιώματα που χρειάζεται. Ένας φούρναρης δεν χρειάζεται να μπορεί να δημιουργεί χρήστες.
- Τουλάχιστον δύο διαχειριστές. Αν υπάρχει μόνο ένας, και αυτός είναι άρρωστος, σε διακοπές ή έχει αποχωρήσει, τότε κανείς δεν μπορεί να επαναφέρει κωδικό πρόσβασης ή να καταγγείλει την υπηρεσία. Δύο διαχειριστές, καθένας με δικό του λογαριασμό και δικό του δεύτερο βήμα, και τα στοιχεία του λογαριασμού διαχείρισης στον πάροχο (η σύμβαση) στο όνομα του οργανισμού, όχι ενός μεμονωμένου ατόμου.
Προσέξτε τη διαφορά ανάμεσα στη διαχείριση του πακέτου και στην πρόσβαση στα αρχεία. Μια καλή υπηρεσία επιτρέπει σε έναν διαχειριστή να διαχειρίζεται λογαριασμούς χωρίς να μπορεί να δει τα αρχεία άλλων. Όποιος όμως μπορεί να επαναφέρει έναν κωδικό πρόσβασης, μπορεί στη συνέχεια να συνδεθεί ως αυτό το άτομο, εφόσον το δεύτερο βήμα πηγαίνει σε μια διεύθυνση που μπορεί να διαβάσει. Επιλέξτε λοιπόν για κάθε χρήστη το δικό του email ως διεύθυνση ανάκτησης και κωδικών.
Έλεγχος ταυτότητας δύο παραγόντων: γιατί και ποιος τύπος
Ένας κωδικός πρόσβασης από μόνος του δεν αρκεί. Οι κωδικοί πρόσβασης διαρρέουν σε παραβιάσεις δεδομένων άλλων ιστότοπων, μαντεύονται ή αποσπώνται με phishing. Το Nationaal Cyber Security Centrum (NCSC, το ολλανδικό εθνικό κέντρο κυβερνοασφάλειας) συνιστά έλεγχο ταυτότητας δύο παραγόντων παντού όπου είναι δυνατόν. Με τον έλεγχο ταυτότητας δύο παραγόντων (2FA) χρειάζεστε, εκτός από τον κωδικό πρόσβασης, κάτι που έχετε: το τηλέφωνό σας, ένα κλειδί ή το γραμματοκιβώτιό σας.
| Δεύτερο βήμα | Πώς λειτουργεί | Δυνατό και αδύναμο |
|---|---|---|
| Κωδικός μέσω email | Η υπηρεσία στέλνει κωδικό με email | Εύκολο· τόσο ασφαλές όσο το γραμματοκιβώτιό σας. Ασφαλίστε το λοιπόν καλά |
| Κωδικός μέσω SMS | Η υπηρεσία στέλνει κωδικό με SMS | Καλύτερο από τίποτα· ευάλωτο αν κάποιος αναλάβει τον αριθμό σας (απάτη με κάρτα SIM) |
| Εφαρμογή ελέγχου ταυτότητας (TOTP) | Μια εφαρμογή στο τηλέφωνό σας δημιουργεί κάθε 30 δευτερόλεπτα έναν νέο εξαψήφιο κωδικό | Λειτουργεί εκτός σύνδεσης, χρησιμοποιείται ευρέως. Ένας ψεύτικος ιστότοπος μπορεί ακόμα να υποκλέψει έναν κωδικό αν τον εισαγάγετε εκεί |
| Ειδοποίηση σε άλλη συσκευή | Εγκρίνετε τη σύνδεση σε μια συσκευή στην οποία έχετε ήδη συνδεθεί | Εύκολο· προσέξτε να μην πατήσετε «έγκριση» απερίσκεπτα |
| Passkey ή κλειδί ασφαλείας (WebAuthn) | Το τηλέφωνο, ο υπολογιστής σας ή ένα κλειδί (όπως ένα YubiKey) επιβεβαιώνει με δακτυλικό αποτύπωμα, πρόσωπο ή PIN | Το πιο ισχυρό έναντι phishing: λειτουργεί μόνο στον πραγματικό ιστότοπο |
Το TOTP σημαίνει time-based one-time password, όπως περιγράφεται στο RFC 6238. Η υπηρεσία και η εφαρμογή σας μοιράζονται ένα μυστικό κλειδί (το οποίο εισάγετε μέσω ενός κωδικού QR) και υπολογίζουν και οι δύο από το κλειδί και τον χρόνο τον ίδιο κωδικό. Γι' αυτό το ρολόι του τηλεφώνου σας πρέπει να είναι σωστά ρυθμισμένο.
Τα passkeys βασίζονται στο πρότυπο WebAuthn του W3C και του FIDO. Η συσκευή σας δημιουργεί ένα ζεύγος κλειδιών για κάθε ιστότοπο. Επειδή το κλειδί είναι συνδεδεμένο με την πραγματική διεύθυνση του ιστότοπου, ένας ψεύτικος ιστότοπος δεν μπορεί να το χρησιμοποιήσει. Όλο και περισσότερες υπηρεσίες υποστηρίζουν passkeys ως δεύτερο βήμα ή ακόμη και αντί για τον κωδικό πρόσβασης.
Κωδικοί εφεδρείας και η μέρα που χάνετε το τηλέφωνό σας
Κάθε δεύτερο βήμα μπορεί να χαθεί: χαμένο τηλέφωνο, χαλασμένο, νέο τηλέφωνο χωρίς να έχετε μεταφέρει την εφαρμογή. Γι' αυτό:
- Δημιουργήστε κωδικούς εφεδρείας (συνήθως δέκα κωδικούς που λειτουργούν ο καθένας μία φορά) και μην τους αποθηκεύετε στο ίδιο τηλέφωνο. Τυπωμένους μαζί με τα σημαντικά σας έγγραφα, ή σε έναν διαχειριστή κωδικών πρόσβασης (μάθημα 7.4).
- Ενεργοποιήστε τουλάχιστον δύο μεθόδους, για παράδειγμα εφαρμογή ελέγχου ταυτότητας συν κωδικό email, ή passkey συν κωδικούς εφεδρείας.
- Νέο τηλέφωνο; Μεταφέρετε πρώτα τους λογαριασμούς ελέγχου ταυτότητας, προτού σβήσετε ή παραδώσετε το παλιό.
Αν κάποιος παραμείνει εκτός πρόσβασης, βοηθά ο διαχειριστής (για παράδειγμα αλλάζοντας το email σε μια διεύθυνση που μπορεί πράγματι να διαβάσει ο χρήστης), ή ο πάροχος, μετά από έλεγχο του αιτήματος. Αυτό διαρκεί σκόπιμα λίγο: ένας πάροχος που απενεργοποιεί το δεύτερο βήμα χωρίς έλεγχο, βοηθά εξίσου και έναν απατεώνα.
Κωδικοί πρόσβασης εφαρμογών και συνεδρίες
Εφαρμογές που δεν μπορούν να εισαγάγουν το δεύτερο βήμα, λαμβάνουν δικό τους κωδικό πρόσβασης εφαρμογής (μάθημα 7.2). Ένας ανά εφαρμογή ανά συσκευή, με αναγνωρίσιμο όνομα. Στον κατάλογο συσκευών και συνεδριών βλέπετε πού είναι συνδεδεμένος κάποιος. Εκεί ανακαλείτε ένα κλεμμένο τηλέφωνο ή έναν παλιό φορητό υπολογιστή. Ελέγχετέ το κατά διαστήματα, και σίγουρα με κάθε αποχώρηση.
Ενιαία σύνδεση (SSO)
Οι μεγαλύτεροι οργανισμοί επιτρέπουν στα άτομα να συνδέονται με έναν μόνο λογαριασμό σε πολλές υπηρεσίες: ενιαία σύνδεση ή SSO, συχνά μέσω προτύπων όπως SAML ή OpenID Connect. Προσέξτε: αν χρησιμοποιείτε τώρα το «Σύνδεση με την Google» ή «Σύνδεση με Microsoft» σε άλλες υπηρεσίες (λογιστική, προγραμματισμός, ηλεκτρονικό κατάστημα), θα χάσετε αυτή την πρόσβαση όταν καταργήσετε τον λογαριασμό σας στην Google ή στη Microsoft. Αυτό φαινόταν ως κρυφή σύνδεση στην απογραφή σας (μάθημα 3.1). Μετατρέψτε αυτές τις υπηρεσίες πριν την καταγγελία σε σύνδεση με email και κωδικό πρόσβασης, ή στο νέο σας SSO.
Πρόσληψη και αποχώρηση: μια σταθερή διαδικασία
Τα περισσότερα προβλήματα δεν προκύπτουν κατά τη μετάβαση, αλλά έναν χρόνο αργότερα, όταν κάποιος αποχωρεί και κανείς δεν ξέρει τι πρέπει να γίνει. Καθορίστε λοιπόν τώρα μια σταθερή διαδικασία (άσκηση E7.3):
Νέος συνάδελφος: δημιουργία λογαριασμού με δικό του email, ανάθεση ομάδων και αδειών χρήσης, ασφαλής μεταβίβαση των στοιχείων (κωδικός πρόσβασης μέσω άλλου καναλιού), πρώτη σύνδεση μαζί, ρύθμιση δεύτερου βήματος και κωδικών εφεδρείας, εγκατάσταση εφαρμογών.
Συνάδελφος που αποχωρεί: πρώτα μεταβίβαση κυριότητας αρχείων και φακέλων (σε πολλές υπηρεσίες, ένας διαγραμμένος λογαριασμός με όλα τα αρχεία χάνεται οριστικά), μεταφορά κοινόχρηστων ημερολογίων και φακέλων, απελευθέρωση άδειας χρήσης, απενεργοποίηση λογαριασμού (όχι άμεση διαγραφή), ανάκληση κωδικών πρόσβασης εφαρμογών και συνεδριών, προώθηση της αλληλογραφίας ή διατήρησή της ως κοινόχρηστο γραμματοκιβώτιο, και διαγραφή μόνο μετά από μια συμφωνημένη περίοδο.
Στην πράξη: έτσι μοιάζει σε έναν πάροχο
Σε ένα Nextcloud της WebOké, κανείς δεν είναι διαχειριστής στο ίδιο το Nextcloud. Ο κάτοχος του πακέτου διαχειρίζεται τους χρήστες στο Το WebOké μου, στη Διαχείριση χρηστών στη σελίδα του πακέτου: προσθήκη χρήστη, αλλαγή κωδικού πρόσβασης, απενεργοποίηση ή διαγραφή, και ενεργοποίηση ή απενεργοποίηση της άδειας Office. Κάθε χρήστης ρυθμίζει τη δική του ασφάλεια στο Nextcloud μέσω Ρυθμίσεις, Ασφάλεια: ο κωδικός μέσω email είναι πάντα ενεργός, και εκεί ενεργοποιείτε μια εφαρμογή ελέγχου ταυτότητας (TOTP), κωδικούς εφεδρείας, ένα passkey και κωδικούς πρόσβασης εφαρμογών, και βλέπετε τις Συσκευές & συνεδρίες.
Σε άλλους παρόχους λειτουργεί με παρόμοιο τρόπο: υπάρχει ένα περιβάλλον διαχείρισης για λογαριασμούς και μια σελίδα ασφάλειας ανά χρήστη. Τα ονόματα των κουμπιών διαφέρουν.
Σύνοψη
- Ένας λογαριασμός ανά άτομο· οι κοινόχρηστες διευθύνσεις γίνονται κοινόχρηστα γραμματοκιβώτια ή ομάδες.
- Ελάχιστα απαιτούμενα δικαιώματα και τουλάχιστον δύο διαχειριστές· η σύμβαση στο όνομα του οργανισμού.
- Ενεργοποιήστε τον έλεγχο ταυτότητας δύο παραγόντων για όλους. Τα passkeys και τα κλειδιά ασφαλείας είναι τα πιο ισχυρά έναντι phishing· το TOTP είναι μια καλή, ευρέως χρησιμοποιούμενη επιλογή.
- Μην αποθηκεύετε κωδικούς εφεδρείας στο ίδιο τηλέφωνο, και χρησιμοποιήστε τουλάχιστον δύο μεθόδους.
- Καθορίστε μια σταθερή διαδικασία για πρόσληψη και αποχώρηση: πρώτα μεταβίβαση, μετά απενεργοποίηση, και διαγραφή μόνο αργότερα.
Κουίζ
Άσκηση
Άσκηση E7.3: Ρόλοι και διαδικασία πρόσληψης και αποχώρησης. Φτιάξτε έναν πίνακα ρόλων για τον οργανισμό σας (ποιος είναι διαχειριστής, ποιος όχι, ποιος είναι ο δεύτερος διαχειριστής) και συμπληρώστε τη λίστα ελέγχου πρόσληψης και αποχώρησης για τη δική σας υπηρεσία. Ενεργοποιήστε τον έλεγχο ταυτότητας δύο παραγόντων στον δικό σας λογαριασμό και επιβεβαιώστε ότι οι κωδικοί εφεδρείας σας φυλάσσονται εκτός του τηλεφώνου σας.
Άσκηση E7.3: Ρόλοι και διαδικασία πρόσληψης και αποχώρησης
Συμπληρώστε την επισκόπηση ρόλων και τις δύο διαδικασίες για τη δική σας υπηρεσία και ενεργοποιήστε τον έλεγχο ταυτότητας δύο παραγόντων (2FA) στον δικό σας λογαριασμό.
Τα τικ και οι σημειώσεις σας παραμένουν μόνο σε αυτό το πρόγραμμα περιήγησης· δεν τα στέλνουμε πουθενά. Αν έχετε εγγραφεί, αποθηκεύουμε στο Τα μαθήματά μου μόνο ότι έχετε ολοκληρώσει την άσκηση.
Περαιτέρω ανάγνωση
Τα βήματα σε αυτά τα άρθρα ισχύουν για τις υπηρεσίες της WebOké· σε άλλους παρόχους λειτουργεί με παρόμοιο τρόπο.
- Οδηγός Nextcloud 3.1: Πώς προστατεύει το WebOké το Nextcloud σας;
- Οδηγός Nextcloud 3.3: Μια εφαρμογή πιστοποίησης ρυθμίζετε και εφεδρικούς κωδικούς αποθηκεύετε
- Οδηγός Nextcloud 3.5: Συνθηματικά εφαρμογών: πότε και πώς
- Οδηγός Nextcloud 3.6: Συσκευές και συνεδρίες προβολή, ανάκληση ή απομακρυσμένη εκκαθάριση
- Οδηγός Nextcloud 3.10: Χάσατε το τηλέφωνό σας ή τον έλεγχο ταυτότητας δύο παραγόντων; Να πώς θα ξαναμπείτε
- Οδηγός Nextcloud 14.2: Χρήστες: δημιουργία, επεξεργασία, απενεργοποίηση και διαγραφή
- Οδηγός Nextcloud 14.7: Δικαιώματα: ποιος διαχειρίζεται τι στο Nextcloud σας;
- Οδηγός Nextcloud 16.7: Συνάδελφος αποχωρεί: ασφαλής παραλαβή αρχείων, ημερολογίου και κοινόχρηστων φακέλων
- Εγχειρίδιο WebOké 3.3: Χρήση μιας εφαρμογής authenticator
- Ρύθμιση επαλήθευσης δύο βημάτων (2FA) στο Nextcloud
- Δημιουργία κωδικού εφαρμογής (απαραίτητος για σύνδεση με εφαρμογές και συσκευές)
- NCSC (το ολλανδικό εθνικό κέντρο κυβερνοασφάλειας), Ransomware uitgelegd (με τη σύσταση για χρήση ελέγχου ταυτότητας δύο παραγόντων παντού): https://www.ncsc.nl/ransomware/ransomware-uitgelegd
- RFC 6238 (TOTP): https://www.rfc-editor.org/rfc/rfc6238
- W3C Web Authentication (WebAuthn): https://www.w3.org/TR/webauthn-3/ και FIDO Alliance σχετικά με τα passkeys: https://fidoalliance.org/passkeys/