Korisnici, uloge i dvofaktorska autentifikacija

Modul 7: Suradnja, aplikacije i sigurnost · Vrijeme čitanja: 11 minuta

Cilj lekcije: Nakon ove lekcije moći ćete sigurno postaviti korisnike i administratore u svojoj novoj usluzi, odabrati pravi oblik dvofaktorske autentifikacije i uspostaviti stalnu rutinu za nove i kolege koji odlaze.

Ključni pojmovi: račun po osobi, administrator, vlasnik, uloga, najmanji potrebni pristup, dvofaktorska autentifikacija (2FA), TOTP, passkey, sigurnosni ključ, WebAuthn, rezervni kodovi, lozinka za aplikaciju, opoziv sesije, jedinstvena prijava (SSO), zapošljavanje i prestanak rada (onboarding i offboarding), prijenos vlasništva

Prelazak je prilika za čišćenje

Prilikom popisa stanja (lekcija 3.1) pokazalo se da Bakkerij De Korrel ima 15 Google računa za 12 ljudi. Dva pripadaju osobama koje su već dugo otišle, a jedan račun winkel@example.com koriste četvero ljudi s istom lozinkom, koja visi na papiriću kraj blagajne. To je vrlo čest slučaj. Pri prelasku takve navike ne prenosite dalje, nego ih odmah ispravljate.

Jedan račun po osobi

Osnovno pravilo: svaka osoba ima vlastiti račun, s vlastitom lozinkom i vlastitim drugim korakom. Zašto?

• Vidite tko je što napravio (aktivnost, verzije, tko je nešto podijelio).
• Kad netko ode, isključite samo taj jedan račun i nitko drugi ne mora učiti novu lozinku.
• Dvofaktorska autentifikacija dobro funkcionira samo ako drugi korak pripada jednoj osobi.

Zajedničke adrese poput winkel@example.com ili info@example.com nastavljaju postojati, ali kao zajednički poštanski sandučić, alias ili grupa: više ljudi čita poštu putem svojeg vlastitog računa. Kako se to naziva i kako funkcionira, razlikuje se ovisno o pružatelju usluge (lekcija 4.4).

Uloge: tko smije što?

U svakoj oblak usluzi postoje najmanje tri razine:

Dva osnovna pravila:

1. Najmanji potrebni pristup. Dodijelite osobi samo prava koja su joj doista potrebna. Pekar ne mora moći stvarati nove korisnike.
2. Najmanje dva administratora. Ako postoji samo jedan, a on je bolestan, na godišnjem odmoru ili je otišao, nitko ne može resetirati lozinku niti otkazati uslugu. Dva administratora, svaki sa svojim računom i svojim drugim korakom, a podaci administratorskog računa kod pružatelja usluge (ugovor) glase na ime organizacije, a ne jedne osobe.

Obratite pažnju na razliku između upravljanja paketom i pristupa datotekama. Dobra usluga omogućuje administratoru upravljanje računima, a da pritom ne može gledati datoteke drugih korisnika. No tko može resetirati lozinku, nakon toga se može prijaviti kao ta osoba, ako drugi korak ide na adresu koju ta osoba može pročitati. Zato za svakog korisnika odaberite njegovu vlastitu e-mail adresu kao adresu za oporavak i kodove.

Dvofaktorska autentifikacija: zašto i koja

Sama lozinka nije dovoljna. Lozinke cure prilikom curenja podataka na drugim stranicama, pogađaju se ili se izvlače phishingom. Nizozemski Nacionalni centar za kibernetičku sigurnost (NCSC) preporučuje dvofaktorsku autentifikaciju posvuda gdje je to moguće. Uz dvofaktorsku autentifikaciju (2FA), osim lozinke potrebno Vam je i nešto što posjedujete: Vaš telefon, ključ ili Vaš poštanski sandučić.

TOTP znači time-based one-time password (jednokratna lozinka ovisna o vremenu), opisan u RFC 6238. Usluga i Vaša aplikacija dijele jedan tajni ključ (koji preuzimate putem QR koda) i oboje na temelju ključa i vremena izračunavaju isti kod. Zato sat na Vašem telefonu mora biti točan.

Passkeyevi temelje se na standardu WebAuthn organizacija W3C i FIDO. Vaš uređaj stvara par ključeva za svaku stranicu posebno. Budući da je ključ vezan uz pravu adresu stranice, lažna stranica njime ne može ništa učiniti. Sve više usluga podržava passkeyeve kao drugi korak ili čak umjesto lozinke.

Rezervni kodovi i dan kad izgubite telefon

Svaki drugi korak može otpasti: izgubljen telefon, pokvaren telefon, novi telefon bez prenesene aplikacije. Zato:

• Izradite rezervne kodove (obično deset kodova od kojih svaki radi samo jednom) i čuvajte ih izvan istog telefona. Ispisane uz važne papire ili u upravitelju lozinki (lekcija 7.4).
• Uključite barem dvije metode, na primjer aplikaciju za autentifikaciju i kod putem e-pošte, ili passkey i rezervne kodove.
• Novi telefon? Prvo prenesite račune u aplikaciji za autentifikaciju, prije nego što izbrišete ili predate stari.

Ako je netko ipak isključen, pomaže administrator (na primjer promjenom e-mail adrese na adresu koju korisnik može pročitati), ili pružatelj usluge, nakon provjere tko postavlja zahtjev. To namjerno traje malo duže: pružatelj usluge koji bi bez provjere isključio drugi korak, pomogao bi i prevarantu.

Lozinke za aplikacije i sesije

Aplikacije koje ne mogu unijeti drugi korak dobivaju vlastitu lozinku za aplikaciju (lekcija 7.2). Po jednu za svaku aplikaciju na svakom uređaju, s prepoznatljivim nazivom. U pregledu uređaja i sesija vidite gdje je netko prijavljen. Ondje opozivate ukraden telefon ili stari prijenosnik. Pogledajte ondje povremeno, a posebno pri svakom odlasku kolege.

Jedinstvena prijava (SSO)

Veće organizacije omogućuju ljudima prijavu jednim računom u više usluga: jedinstvena prijava ili SSO, često putem standarda poput SAML ili OpenID Connect. Pripazite: ako sada koristite "Prijavi se putem Googlea" ili "Prijavi se putem Microsofta" kod drugih usluga (računovodstvo, planiranje, web trgovina), izgubit ćete taj pristup kada ukinete svoj Google ili Microsoft račun. To je bila skrivena poveznica u Vašem popisu stanja (lekcija 3.1). Prije otkazivanja prebacite te usluge na prijavu putem e-pošte i lozinke, ili na Vaš novi SSO.

Zapošljavanje i prestanak rada: stalna rutina

Većina problema ne nastaje pri samom prelasku, nego godinu dana kasnije, kada netko ode, a nitko ne zna što treba napraviti. Zato sada utvrdite stalnu rutinu (zadatak E7.3):

Novi kolega: stvorite račun s vlastitom e-mail adresom, dodijelite grupe i licencije, sigurno proslijedite podatke (lozinku putem drugog kanala), zajedno obavite prvu prijavu, postavite drugi korak i rezervne kodove, instalirajte aplikacije.

Kolega koji odlazi: prvo prenesite vlasništvo datoteka i mapa (kod mnogih usluga izbrisani račun sa svim datotekama nestaje zauvijek), prebacite zajedničke kalendare i mape, oslobodite licenciju, isključite račun (ne brišite ga odmah), opozovite lozinke za aplikacije i sesije, prosljeđujte poštu ili je zadržite kao zajednički poštanski sandučić, i tek nakon dogovorenog razdoblja izbrišite ga.

U praksi: kako to izgleda kod jednog pružatelja usluge

Kod WebOké Nextclouda nitko nije administrator u samom Nextcloudu. Vlasnik paketa upravlja korisnicima u Mojem WebOkéu, pod Gebruikersbeheer (upravljanje korisnicima) na stranici paketa: dodavanje korisnika, promjena lozinke, isključivanje ili brisanje te uključivanje ili isključivanje licencije za Office. Svaki korisnik samostalno uređuje vlastitu sigurnost u Nextcloudu pod Postavke, Sigurnost: kod putem e-pošte uvijek je uključen, a ondje uključujete aplikaciju za autentifikaciju (TOTP), rezervne kodove, passkey i lozinke za aplikacije, te vidite Uređaji i sesije.

Kod drugih pružatelja usluga funkcionira slično: postoji administratorsko okruženje za račune i stranica sigurnosti za svakog korisnika. Nazivi gumba se razlikuju.

Sažetak

• Jedan račun po osobi; zajedničke adrese postaju zajednički poštanski sandučići ili grupe.
• Najmanji potrebni pristup i najmanje dva administratora; ugovor glasi na ime organizacije.
• Uključite dvofaktorsku autentifikaciju za sve. Passkeyevi i sigurnosni ključevi najotporniji su na phishing; TOTP je dobar i raširen izbor.
• Rezervni kodovi ne smiju biti na istom telefonu, i treba imati barem dvije metode.
• Utvrdite stalnu rutinu za zapošljavanje i prestanak rada: prvo prijenos, zatim isključivanje, tek kasnije brisanje.

Kviz

Zadatak

Zadatak E7.3: Uloge i rutina zapošljavanja i prestanka rada. Izradite pregled uloga za svoju organizaciju (tko je administrator, tko nije, tko je drugi administrator) i popunite kontrolni popis za zapošljavanje i prestanak rada za vlastitu uslugu. Uključite dvofaktorsku autentifikaciju na vlastitom računu i potvrdite da su Vaši rezervni kodovi pohranjeni izvan telefona.

Dodatno štivo

Koraci u ovim člancima vrijede za usluge tvrtke WebOké; kod drugih pružatelja usluga funkcionira slično.

• Nextcloud priručnik 3.1: Kako WebOké osigurava Vaš Nextcloud?
• Nextcloud priručnik 3.3: Postavljanje aplikacije za autentifikaciju i spremanje pričuvnih šifri
• Nextcloud priručnik 3.5: App-lozinke: kada i kako
• Nextcloud priručnik 3.6: Uređaje i sesije pregledati, opozvati ili daljinski izbrisati
• Nextcloud priručnik 3.10: Izgubljeni telefon ili izgubljena dvofaktorska autentifikacija: ovako ponovno dobivate pristup
• Nextcloud priručnik 14.2: Gebruikers aanmaken, bewerken, uitschakelen en verwijderen
• Nextcloud priručnik 14.7: Prava: tko što upravlja u Vašem Nextcloudu?
• Nextcloud priručnik 16.7: Kolega odlazi: sigurno preuzimanje datoteka, kalendara i dijeljenih mapa
• Priručnik za WebOké 3.3: Korištenje aplikacije za autentifikaciju
• Postavljanje dvostupanjske provjere (2FA) u Nextcloudu
• Izrada lozinke aplikacije (potrebna za povezivanje s aplikacijama i uređajima)
• NCSC, Ransomware objašnjen (s preporukom o korištenju dvofaktorske autentifikacije posvuda): https://www.ncsc.nl/ransomware/ransomware-uitgelegd
• RFC 6238 (TOTP): https://www.rfc-editor.org/rfc/rfc6238
• W3C Web Authentication (WebAuthn): https://www.w3.org/TR/webauthn-3/ i FIDO Alliance o passkeyevima: https://fidoalliance.org/passkeys/