Používatelia, role a dvojfaktorové overenie

Modul 7: Spolupráca, aplikácie a bezpečnosť · Čas čítania: 11 minút

Cieľ lekcie: Po tejto lekcii dokážete bezpečne nastaviť používateľov a správcov vo svojej novej službe, vybrať vhodnú formu dvojfaktorového overenia a zaviesť pevný postup pre nových a odchádzajúcich kolegov.

Kľúčové pojmy: účet na osobu, správca, vlastník, rola, princíp minimálnych oprávnení, dvojfaktorové overenie (2FA), TOTP, passkey, bezpečnostný kľúč, WebAuthn, záložné kódy, aplikačné heslo, odhlásenie relácie, jednotné prihlasovanie (SSO), nástup a odchod (onboarding a offboarding), prevod vlastníctva

Prechod je príležitosť urobiť poriadok

Pri inventarizácii (lekcia 3.1) sa ukázalo, že Bakkerij De Korrel má 15 účtov Google pre 12 ľudí. Dva patria ľuďom, ktorí už dávno odišli, a jeden účet winkel@example.com používajú štyria ľudia s rovnakým heslom, ktoré visí na lístočku pri pokladni. Toto je veľmi bežné. Pri prechode si takéto zvyky neberiete so sebou, ale rovno to napravíte.

Jeden účet na osobu

Základné pravidlo: každá osoba má vlastný účet, s vlastným heslom a vlastným druhým krokom overenia. Prečo?

• Vidíte, kto čo urobil (aktivita, verzie, kto čo zdieľal).
• Keď niekto odíde, vypnete jeden účet a nikto sa nemusí učiť nové heslo.
• Dvojfaktorové overenie funguje dobre len vtedy, keď druhý krok patrí jednej konkrétnej osobe.

Zdieľané adresy ako winkel@example.com alebo info@example.com naďalej existujú, ale ako zdieľaná schránka, alias alebo skupina: viacero ľudí si poštu číta cez vlastný účet. Ako sa to nazýva a ako to funguje, sa líši podľa poskytovateľa (lekcia 4.4).

Role: kto čo môže?

V každej cloudovej službe existujú aspoň tri úrovne:

Dve zlaté pravidlá:

1. Princíp minimálnych oprávnení. Dávajte každému iba tie oprávnenia, ktoré skutočne potrebuje. Pekár nepotrebuje vedieť vytvárať používateľov.
2. Minimálne dvaja správcovia. Ak je správca len jeden a ten je chorý, na dovolenke alebo odišiel, nikto nemôže obnoviť heslo ani zrušiť službu. Dvaja správcovia, každý s vlastným účtom a vlastným druhým krokom overenia, a údaje o správcovskom účte u poskytovateľa (zmluva) sú vedené na meno organizácie, nie jednej osoby.

Všimnite si rozdiel medzi správou balíka a prístupom k súborom. Dobrá služba umožňuje správcovi spravovať účty bez toho, aby videl súbory ostatných. Kto však môže obnoviť heslo, môže sa potom prihlásiť ako daná osoba, ak druhý krok overenia smeruje na adresu, ktorú vie prečítať. Preto pre každého používateľa zvoľte ako obnovovaciu a kódovú adresu jeho vlastnú e-mailovú adresu.

Dvojfaktorové overenie: prečo a ktoré

Samotné heslo nestačí. Heslá unikajú pri porušeniach ochrany osobných údajov na iných stránkach, dajú sa uhádnuť alebo vylákať phishingom. Národné centrum kybernetickej bezpečnosti Holandska (NCSC) odporúča používať dvojfaktorové overenie všade, kde je to možné. Pri dvojfaktorovom overení (2FA) potrebujete okrem hesla aj niečo, čo máte: svoj telefón, kľúč alebo svoju schránku.

TOTP znamená time-based one-time password, opísané v RFC 6238. Služba a vaša aplikácia zdieľajú jeden tajný kľúč (ktorý prevezmete pomocou QR kódu) a obe strany z neho a z aktuálneho času vypočítajú rovnaký kód. Preto musí byť hodina vo vašom telefóne nastavená správne.

Passkeys sú založené na štandarde WebAuthn od W3C a FIDO. Vaše zariadenie vytvára pre každú stránku samostatný pár kľúčov. Keďže kľúč je viazaný na skutočnú adresu stránky, falošná stránka s ním nič nezmôže. Čoraz viac služieb podporuje passkeys ako druhý krok overenia alebo dokonca namiesto hesla.

Záložné kódy a deň, keď stratíte telefón

Každý druhý krok overenia môže vypadnúť: stratený telefón, pokazený telefón, nový telefón bez prenesenej aplikácie. Preto:

• Vytvorte si záložné kódy (zvyčajne desať kódov, z ktorých každý funguje raz) a neukladajte ich do toho istého telefónu. Vytlačte ich a uložte k dôležitým papierom, alebo si ich uložte do správcu hesiel (lekcia 7.4).
• Zapnite si aspoň dve metódy, napríklad autentifikačnú aplikáciu spolu s e-mailovým kódom, alebo passkey spolu so záložnými kódmi.
• Nový telefón? Najprv preneste účty autentifikačnej aplikácie, až potom starý telefón vymažte alebo odovzdajte.

Ak sa niekto predsa ocitne mimo prístupu, pomôže správca (napríklad zmenou e-mailovej adresy na adresu, ktorú si používateľ vie prečítať), alebo poskytovateľ, po overení, že žiadosť podáva skutočne daná osoba. Toto overenie zámerne chvíľu trvá: poskytovateľ, ktorý by druhý krok vypol bez kontroly, by rovnako pomohol aj podvodníkovi.

Aplikačné heslá a relácie

Aplikácie, ktoré nedokážu zadať druhý krok overenia, dostanú vlastné aplikačné heslo (lekcia 7.2). Pre každú aplikáciu a každé zariadenie jedno heslo, s rozpoznateľným názvom. V prehľade zariadení a relácií vidíte, kde je daná osoba prihlásená. Tam môžete odhlásiť ukradnutý telefón alebo starý notebook. Pozerajte sa tam občas, a určite pri každom odchode kolegu.

Jednotné prihlasovanie (SSO)

Väčšie organizácie umožňujú ľuďom prihlasovať sa jedným účtom do viacerých služieb: jednotné prihlasovanie čiže SSO, často cez štandardy ako SAML alebo OpenID Connect. Pozor: ak teraz pri iných službách (účtovníctvo, plánovanie, e-shop) používate „Prihlásiť pomocou Google“ alebo „Prihlásiť sa cez Microsoft“, stratíte k nim prístup, keď zrušíte svoj účet Google alebo Microsoft. Toto bola skrytá väzba vo vašej inventarizácii (lekcia 3.1). Pred zrušením účtu prepnite tieto služby na prihlasovanie e-mailom a heslom, alebo na vaše nové SSO.

Nástup a odchod: pevný postup

Väčšina problémov nevzniká pri samotnom prechode, ale o rok neskôr, keď niekto odíde a nikto nevie, čo treba urobiť. Preto si teraz stanovte pevný postup (úloha E7.3):

Nový kolega: vytvoriť účet s vlastnou e-mailovou adresou, priradiť skupiny a licencie, bezpečne odovzdať prihlasovacie údaje (heslo cez iný kanál), prvé prihlásenie urobiť spoločne, nastaviť druhý krok overenia a záložné kódy, nainštalovať aplikácie.

Odchádzajúci kolega: najprv previesť vlastníctvo súborov a priečinkov (v mnohých službách sú pri vymazanom účte všetky súbory nenávratne preč), preniesť zdieľané kalendáre a priečinky, uvoľniť licenciu, účet vypnúť (nie hneď vymazať), odvolať aplikačné heslá a relácie, poštu presmerovať alebo ponechať ako zdieľanú schránku, a vymazať až po dohodnutej lehote.

V praxi: ako to vyzerá u poskytovateľa

Pri WebOké Nextcloud nie je nikto správcom priamo v Nextcloud. Vlastník balíka spravuje používateľov v Môj WebOké, v časti Gebruikersbeheer na stránke balíka: pridanie používateľa, zmena hesla, vypnutie alebo vymazanie, a zapnutie či vypnutie licencie Office. Každý používateľ si svoje zabezpečenie nastavuje sám v Nextcloud v časti Nastavenia, Zabezpečenie: kód e-mailom je vždy zapnutý, a tam si zapnete autentifikačnú aplikáciu (TOTP), záložné kódy, passkey a aplikačné heslá, a nájdete tam aj Zariadenia a relácie.

U iných poskytovateľov to funguje podobne: existuje správcovské prostredie pre účty a pre každého používateľa stránka so zabezpečením. Názvy tlačidiel sa líšia.

Zhrnutie

• Jeden účet na osobu; zdieľané adresy sa menia na zdieľané schránky alebo skupiny.
• Princíp minimálnych oprávnení a minimálne dvaja správcovia; zmluva na meno organizácie.
• Zapnite dvojfaktorové overenie pre každého. Passkeys a bezpečnostné kľúče sú proti phishingu najsilnejšie; TOTP je dobrá a veľmi rozšírená voľba.
• Záložné kódy neukladajte do toho istého telefónu, a používajte aspoň dve metódy.
• Stanovte si pevný postup pre nástup a odchod: najprv previesť vlastníctvo, potom vypnúť, vymazať až neskôr.

Kvíz

Úloha

Úloha E7.3: Role a postup pri nástupe a odchode. Vytvorte prehľad rolí pre svoju organizáciu (kto je správca, kto nie, kto je druhý správca) a vyplňte kontrolný zoznam pre nástup a odchod vo svojej vlastnej službe. Zapnite dvojfaktorové overenie na svojom vlastnom účte a potvrďte, že vaše záložné kódy sú uložené mimo telefónu.

Ďalšie čítanie

Kroky v týchto článkoch platia pre služby WebOké; u iných poskytovateľov to funguje podobne.

• Návod na Nextcloud 3.1: Ako WebOké zabezpečuje váš Nextcloud?
• Návod na Nextcloud 3.3: Nastavenie aplikácie autentifikátora a uloženie záložných kódov
• Návod na Nextcloud 3.5: Heslá aplikácií: kedy a ako ich použiť
• Návod na Nextcloud 3.6: Zobrazenie, odvolanie alebo vzdialené vymazanie zariadení a relácií
• Návod na Nextcloud 3.10: Stratili ste telefón alebo prístup k dvojfaktorovému overeniu: takto sa znovu prihlásite
• Návod na Nextcloud 14.2: Vytváranie, úprava, deaktivácia a mazanie používateľov
• Návod na Nextcloud 14.7: Oprávnenia: kto spravuje čo vo vašom Nextcloud?
• Návod na Nextcloud 16.7: Kolega odchádza: bezpečné prevzatie súborov, kalendára a zdieľaných priečinkov
• Príručka WebOké 3.3: Používanie overovacej aplikácie
• Nastavenie dvojstupňového overenia (2FA) v Nextcloud
• Vytvoriť heslo pre aplikácie (potrebné na pripojenie aplikácií a zariadení)
• NCSC (holandské Národné centrum kybernetickej bezpečnosti), Ransomware uitgelegd (s odporúčaním používať dvojfaktorové overenie všade): https://www.ncsc.nl/ransomware/ransomware-uitgelegd
• RFC 6238 (TOTP): https://www.rfc-editor.org/rfc/rfc6238
• W3C Web Authentication (WebAuthn): https://www.w3.org/TR/webauthn-3/ a FIDO Alliance o passkeys: https://fidoalliance.org/passkeys/