Modul 7 · 7.3
Felhasználók, szerepkörök és kétlépcsős azonosítás
Modul 7: Együttműködés, alkalmazások és biztonság · Olvasási idő: 11 perc
Tanulási cél: E lecke után Ön biztonságosan tudja beállítani a felhasználókat és rendszergazdákat az új szolgáltatásában, ki tudja választani a megfelelő kétlépcsős azonosítási formát, és ki tud alakítani egy állandó rutint az újonnan belépő és a távozó munkatársak számára.
Kulcsfogalmak: személyenkénti fiók, rendszergazda, tulajdonos, szerepkör, minimális jogosultság, kétlépcsős azonosítás (2FA), TOTP, passkey, biztonsági kulcs, WebAuthn, visszaállítási kódok, alkalmazás jelszó, munkamenet visszavonása, egyszeri bejelentkezés (SSO), belépés és kilépés (onboarding és offboarding), tulajdonjog átadása
Az átállás jó alkalom a rendrakásra
A leltár során (3.1. lecke) kiderült, hogy a Szemcse Pékségnek 15 Google-fiókja van 12 ember számára. Kettő olyan emberé, akik már régen eltávoztak, és egy fiókot, a winkel@example.com címet négyen használják ugyanazzal a jelszóval, amely egy cetlire írva lóg a pénztárnál. Ez gyakori jelenség. Az átállásnál az ilyen szokásokat nem viszi tovább, hanem azonnal rendbe teszi.
Egy fiók személyenként
Az alapszabály: minden személynek saját fiókja legyen, saját jelszóval és saját második lépéssel. Miért?
- Ön látja, ki mit tett (tevékenység, verziók, ki osztott meg valamit).
- Ha valaki távozik, egyetlen fiókot kapcsol ki, és senkinek sem kell új jelszót megtanulnia.
- A kétlépcsős azonosítás csak akkor működik jól, ha a második lépés egyetlen személyhez tartozik.
A megosztott címek, mint a winkel@example.com vagy az info@example.com, továbbra is léteznek, de megosztott postafiókként, álnévként (aliasként) vagy csoportként: több ember olvassa el a leveleket a saját fiókjával. Hogy ezt hogyan hívják és hogyan működik, szolgáltatónként eltérő (4.4. lecke).
Szerepkörök: ki mit tehet?
Minden felhőszolgáltatásban legalább három szint van:
| Szerepkör | Mit | A Szemcse Pékségnél |
|---|---|---|
| Szolgáltató | A szerver, a biztonság, a frissítések, a rendszer biztonsági mentései | A felhőszolgáltatás |
| Rendszergazda vagy tulajdonos | Felhasználók létrehozása és kikapcsolása, jelszavak visszaállítása, licencek, tárhely | Fatima tulajdonos és Ruud irodavezető |
| Felhasználó | Saját fájlok, megosztás, naptár, jelszó és második lépés | Mindenki |
Két alapszabály:
- Minimális jogosultság. Csak azokat a jogosultságokat adja meg valakinek, amelyekre szüksége van. Egy pékmesternek nem kell tudnia felhasználókat létrehozni.
- Legalább két rendszergazda. Ha csak egy van, és az illető beteg, szabadságon van vagy távozott, akkor senki nem tudja visszaállítani a jelszót vagy felmondani a szolgáltatást. Két rendszergazda legyen, mindkettőnek saját fiókja és saját második lépése, és a szolgáltatónál a rendszergazdai fiók adatai (a szerződés) a szervezet nevén álljanak, ne egyetlen személyén.
Figyeljen a különbségre a csomag kezelése és a fájlokhoz való hozzáférés között. Egy jó szolgáltatás lehetővé teszi, hogy a rendszergazda kezelje a fiókokat anélkül, hogy betekinthetne mások fájljaiba. De aki vissza tudja állítani egy jelszót, az utána be tud lépni az illető nevében, ha a második lépés egy olyan címre érkezik, amelyet el tud olvasni. Ezért minden felhasználónál a saját e-mail címét válassza helyreállítási és kódcímnek.
Kétlépcsős azonosítás: miért és melyiket?
Önmagában a jelszó nem elegendő. A jelszavak kiszivárognak más oldalak adatvédelmi incidensei során, kitalálhatók vagy adathalászattal (phishing) megszerezhetők. A Nemzeti Cyber Biztonsági Központ (NCSC, a holland szervezet) azt javasolja, hogy mindenhol, ahol lehetséges, használjanak kétlépcsős azonosítást. A kétlépcsős azonosítással (2FA) a jelszó mellett valami olyasmire is szükség van, amivel Ön rendelkezik: a telefonjára, egy kulcsra vagy a postafiókjára.
| Második lépés | Hogyan működik | Erős és gyenge pontok |
|---|---|---|
| Kód e-mailben | A szolgáltatás elküld egy kódot e-mailben | Egyszerű; olyan biztonságos, mint a postafiókja. Ezért azt is védje jól |
| Kód SMS-ben | A szolgáltatás SMS-ben küld egy kódot | Jobb, mint a semmi; sebezhető, ha valaki átveszi a telefonszámát (SIM-kártya csalás) |
| Hitelesítő alkalmazás (TOTP) | Egy telefonos alkalmazás 30 másodpercenként új, hat számjegyű kódot generál | Offline is működik, széles körben használt. Egy hamis oldal még így is megszerezheti a kódot, ha Ön ott adja meg |
| Értesítés egy másik eszközön | Ön jóváhagyja a bejelentkezést egy eszközön, amelyen már be van jelentkezve | Egyszerű; ügyeljen rá, hogy ne nyomja meg csak úgy a „jóváhagyás” gombot |
| Passkey vagy biztonsági kulcs (WebAuthn) | A telefonja, számítógépe vagy egy kulcs (például egy YubiKey) ujjlenyomattal, arcfelismeréssel vagy PIN-kóddal erősíti meg a bejelentkezést | A legerősebb védelem az adathalászat ellen: csak a valódi oldalon működik |
A TOTP a time-based one-time password (időalapú egyszer használatos jelszó) rövidítése, az RFC 6238 szabványban leírva. A szolgáltatás és az Ön alkalmazása egy közös titkos kulcsot oszt meg (amelyet egy QR-kóddal vesz át), és mindkettő ugyanabból a kulcsból és az időből számolja ki ugyanazt a kódot. Ezért fontos, hogy a telefonja órája pontos legyen.
A passkey-k a W3C és a FIDO WebAuthn szabványán alapulnak. Az Ön eszköze weboldalanként külön kulcspárt hoz létre. Mivel a kulcs a weboldal valódi címéhez van kötve, egy hamis oldal nem tud vele mit kezdeni. Egyre több szolgáltatás támogatja a passkey-ket második lépésként, vagy akár a jelszó helyett.
Visszaállítási kódok és az a nap, amikor elveszik a telefonja
Minden második lépés kieshet: elveszett telefon, meghibásodás, új telefon az alkalmazás átvitele nélkül. Ezért:
- Hozzon létre visszaállítási kódokat (általában tíz kód, mindegyik egyszer használható), és ne ugyanazon a telefonon tárolja őket. Nyomtassa ki és tárolja a fontos papírjai között, vagy jelszókezelőben (7.4. lecke).
- Állítson be legalább két módszert, például hitelesítő alkalmazást és e-mail kódot együtt, vagy passkey-t és visszaállítási kódokat együtt.
- Új telefonja van? Először vigye át a hitelesítő alkalmazás fiókjait, mielőtt törli vagy leadja a régit.
Ha valaki mégis kizáródik, a rendszergazda segíthet (például az e-mail cím megváltoztatásával egy olyan címre, amelyet a felhasználó el tud olvasni), vagy a szolgáltató, miután ellenőrizte, ki kéri ezt. Ez szándékosan időbe telik: az a szolgáltató, amelyik ellenőrzés nélkül kapcsolja ki a második lépést, egy csalónak is segít.
Alkalmazás jelszavak és munkamenetek
Azok az alkalmazások, amelyek nem tudják megadni a második lépést, saját alkalmazás jelszót kapnak (7.2. lecke). Alkalmazásonként és eszközönként egyet, felismerhető névvel. Az eszközök és munkamenetek áttekintésében látja, hol van valaki bejelentkezve. Ott vonhat vissza egy ellopott telefont vagy egy régi laptopot. Nézze meg időnként, és mindenképpen minden távozáskor.
Egyszeri bejelentkezés (SSO)
A nagyobb szervezetek lehetővé teszik, hogy az emberek egyetlen fiókkal jelentkezzenek be több szolgáltatásba is: ez az egyszeri bejelentkezés vagy SSO, gyakran olyan szabványokon keresztül, mint a SAML vagy az OpenID Connect. Ügyeljen rá: ha most a „Bejelentkezés a Google-lel” vagy a „Bejelentkezés a Microsofttal” lehetőséget használja más szolgáltatásoknál (könyvelés, tervezés, webáruház), akkor elveszíti ezt a hozzáférést, ha megszünteti a Google- vagy Microsoft-fiókját. Ez rejtett kapcsolatként szerepelt a leltárában (3.1. lecke). A felmondás előtt állítsa át ezeket a szolgáltatásokat e-mail és jelszó alapú bejelentkezésre, vagy az új SSO-jára.
Belépés és kilépés: állandó rutin
A legtöbb probléma nem az átállásnál keletkezik, hanem egy évvel később, amikor valaki távozik, és senki sem tudja, mi a teendő. Ezért rögzítsen most egy állandó rutint (E7.3 feladat):
Új munkatárs: fiók létrehozása saját e-mail címmel, csoportok és licencek hozzárendelése, az adatok biztonságos átadása (jelszó egy másik csatornán), az első bejelentkezés közös elvégzése, második lépés és visszaállítási kódok beállítása, alkalmazások telepítése.
Távozó munkatárs: először a fájlok és mappák tulajdonjogának átadása (sok szolgáltatásnál egy törölt fiókkal minden fájl véglegesen elvész), megosztott naptárak és mappák átvitele, licenc felszabadítása, fiók kikapcsolása (ne törölje azonnal), alkalmazás jelszavak és munkamenetek visszavonása, levelek továbbítása vagy megosztott postafiókként való megtartása, és csak a megállapodott határidő után törlés.
A gyakorlatban: így néz ki egy szolgáltatónál
Egy WebOké Nextcloud esetében senki sem rendszergazda magában a Nextcloudban. A csomag tulajdonosa a Fiókomban kezeli a felhasználókat, a csomag oldalán a Felhasználókezelés menüpontban: felhasználó hozzáadása, jelszó módosítása, kikapcsolás vagy törlés, valamint az Office-licenc be- vagy kikapcsolása. Minden felhasználó a saját biztonsági beállításait a Nextcloudban, a Beállítások, Biztonság menüpontban intézi: az e-mailes kód mindig be van kapcsolva, és itt lehet bekapcsolni egy hitelesítő alkalmazást (TOTP), visszaállítási kódokat, egy passkey-t és alkalmazás jelszavakat, valamint itt látja az Eszközök és munkamenetek listáját.
Más szolgáltatóknál hasonlóan működik: van egy kezelői felület a fiókokhoz, és felhasználónként egy biztonsági oldal. A gombok nevei eltérnek.
Összefoglalás
- Egy fiók személyenként; a megosztott címek megosztott postafiókká vagy csoporttá válnak.
- Minimális jogosultság és legalább két rendszergazda; a szerződés a szervezet nevén.
- Kapcsolja be a kétlépcsős azonosítást mindenki számára. A passkey-k és a biztonsági kulcsok a legerősebbek az adathalászat ellen; a TOTP egy jó, széles körben használt választás.
- A visszaállítási kódokat ne ugyanazon a telefonon tárolja, és legalább két módszert alkalmazzon.
- Rögzítsen állandó rutint a be és kilépéshez: először átadás, utána kikapcsolás, csak később törlés.
Kvíz
Feladat
E7.3 feladat: Szerepkörök, valamint belépési és kilépési eljárás. Készítsen szerepkör-áttekintést a szervezete számára (ki a rendszergazda, ki nem, ki a második rendszergazda), és töltse ki a be- és kilépési ellenőrzőlistát a saját szolgáltatására. Kapcsolja be a kétlépcsős azonosítást a saját fiókjánál, és erősítse meg, hogy a visszaállítási kódjait a telefonján kívül tárolja.
E7.3. feladat: Szerepkörök, valamint belépési és kilépési eljárás
Töltse ki a szerepkör-áttekintést és mindkét eljárást a saját szolgáltatására vonatkozóan, és kapcsolja be a kétlépcsős azonosítást (2FA) a saját fiókján.
A pipái és jegyzetei csak ebben a böngészőben maradnak meg, sehova nem küldjük el őket. Ha bejelentkezett, a Fiókomban csak azt tároljuk, hogy elvégezte a feladatot.
További olvasnivaló
Az ezekben a cikkekben szereplő lépések a WebOké szolgáltatásaira érvényesek; más szolgáltatóknál hasonlóan működik.
- Nextcloud kézikönyv 3.1: Hogyan védi a WebOké az Ön Nextcloud fiókját?
- Nextcloud kézikönyv 3.3: Hitelesítő alkalmazás beállítása és biztonsági kódok mentése
- Nextcloud kézikönyv 3.5: Alkalmazásjelszavak: mikor és hogyan
- Nextcloud kézikönyv 3.6: Eszközök és munkamenetek megtekintése, visszavonása vagy távoli törlése
- Nextcloud kézikönyv 3.10: Elveszett telefon vagy elveszett kétlépcsős azonosítás: így tud újra bejelentkezni
- Nextcloud kézikönyv 14.2: Felhasználók létrehozása, szerkesztése, letiltása és törlése
- Nextcloud kézikönyv 14.7: Jogosultságok: ki mit kezel az Ön Nextcloudjában?
- Nextcloud kézikönyv 16.7: Kolléga távozik: fájlok, naptár és megosztott mappák biztonságos átvétele
- WebOké útmutató 3.3: Hitelesítő alkalmazás használata
- Kétlépcsős azonosítás (2FA) beállítása a Nextcloudban
- Alkalmazásjelszó létrehozása (alkalmazások és eszközök csatlakoztatásához szükséges)
- NCSC (a holland Nemzeti Cyber Biztonsági Központ), Ransomware uitgelegd (benne a javaslattal, hogy mindenhol használjanak kétlépcsős azonosítást): https://www.ncsc.nl/ransomware/ransomware-uitgelegd
- RFC 6238 (TOTP): https://www.rfc-editor.org/rfc/rfc6238
- W3C Web Authentication (WebAuthn): https://www.w3.org/TR/webauthn-3/ és a FIDO Alliance a passkey-kről: https://fidoalliance.org/passkeys/