Удостоверяване и сигурност, включително SSO

Още от началото всеки влиза с потребителско име и парола. Имейл адресът работи вместо потребителското име. Ако изпращането на поща е настроено, под формуляра се появява връзката „Do you need a password reset?“. Изпращането на поща е част от Professional.

След влизането браузърът получава пропуск, който е валиден за определено време. Картата „JWT token timer“ решава колко дълго. Позволени са стойности от 1 до 24 часа, препоръчва се 12. След това човекът трябва да влезе отново.

Картата „Password policy“ важи за всяка парола, задавана в системата. Тя се налага при създаване на профил, когато човек променя собствената си парола и когато администратор нулира парола.

Задавате минималната дължина, какви видове знаци трябва да се появят, след колко дни паролата изтича и колко стари пароли остават блокирани. За дните и за списъка с блокирани 0 означава „изключено“.

Правилата за главни и малки букви не изключват никой език. Много писмености изобщо нямат такова разграничение, а знак от някоя от тях сам по себе си удовлетворява и двете правила.

Профилите, които влизат само през SSO или през директория, нямат местна парола, затова изтичането не важи за тях. Техните правила живеят при доставчика. Ако съществуващ профил е бил свързан със SSO и все още има собствена парола, изтичането и политиката за паролите продължават да важат за тази парола.

Картата „2FA Settings“ определя кой трябва да използва двуфакторен вход. Под „Two-factor requirement“ избирате едно от четири нива: „Off“, „Administrators only“, „Administrators and agents“ или „Everyone“. „Everyone“ включва и клиентите. Нова инсталация започва с „Administrators only“. Инсталация, която е съществувала и преди, запазва след обновяване досегашната си настройка.

Който влезе следващия път без втори фактор, го настройва. Системата показва QR код за приложение за удостоверяване и същия ключ за въвеждане на ръка. След първия код факторът е активен. С „Set up later“ настройката може да се отложи, а входът продължава без нея. Това става най-много 7 дни, броено от първото отлагане. Редът под бутона показва оставащите дни. След това настройката е задължителна.

Веднага след това се появяват десет кода за възстановяване. Всеки от тях замества веднъж кода от приложението. Показват се точно веднъж. Запазвате ги с „Copy“ или „Download“. „Download“ работи винаги. „Copy“ обикновено също работи.

Ако някой загуби устройството и кодовете си, администраторът помага. В списъка с потребители бутонът със зачеркнатия щит нулира двуфакторния вход на този човек. Той го настройва отново при следващото влизане.

Кодовете зависят от часовника на сървъра. Ако той е грешен, никой код не се приема. Бутонът „Check now“ на същата карта сверява времето на сървъра с публичен източник за време.

Ако някой влезе през външна услуга за вход, системата не иска код. Доставчикът вече е проверил втория фактор. При входа през директория е различно: там важи горното правило.

Всеки потребител може да включи двуфакторен вход за собствения си акаунт. Това важи за всяка роля, и когато картата „2FA Settings“ не го изисква. Отворете потребителското меню долу вляво в страничната лента и изберете „Profile picture“. На същата страница е и областта „Two-factor authentication“.

Областта показва дали двуфакторният вход е включен. Докато е изключен, там стои бутонът „Turn on“. Той първо пита за паролата ви. След това се появява QR код за приложението за удостоверяване и същият ключ за въвеждане на ръка. След първия код от приложението факторът е активен.

Веднага след това се появяват десет кода за възстановяване. Запазете ги с „Copy“ или „Download“. „I have saved my codes“ затваря списъка. Той се показва само този един път.

Докато двуфакторният вход е включен, областта показва колко кода за възстановяване са останали. „New recovery codes“ създава десет нови. Старите кодове тогава спират да работят. „Turn off“ отново изключва двуфакторния вход. И двата бутона искат текущия код от приложението. Код за възстановяване там не се приема.

Ако картата „2FA Settings“ изисква двуфакторен вход за вашата роля, бутонът „Turn off“ липсва. Ред в областта казва това.

Грешна парола или грешен код се брои като неуспешен вход. Защитата срещу отгатване на пароли значи важи и тук. Включването и изключването се записват в дневника за сигурността. Ако администратор изключи собствения си двуфакторен вход, дневникът вдига тревога.

Акаунтите, които влизат само чрез външна услуга за вход, виждат изречение вместо бутоните. Вторият фактор при тях се поема от доставчика им. Акаунтите от директория въвеждат в първата стъпка паролата си от директорията.

Защитата работи без никаква настройка. Няма какво да се включва. Бележката за нея стои в картата „2FA Settings“.

Тя действа на два етапа. След пет неуспешни опита за един и същ профил адресът, от който идват, се спира. Спирането приключва най-късно 15 минути след първия от тези опити. От всеки друг адрес профилът остава използваем веднага.

Това е важната част. Иначе всеки, който знае едно име за вход, би могъл да заключи колега с пет грешни пароли. За това никога не би му трябвала парола.

Вторият етап е самият профил. Той се заключва за 15 минути след 20 неуспешни опита. Тъй като един-единствен адрес може да допринесе най-много пет от тях, за това са нужни няколко адреса.

Успешното влизане нулира и двата брояча. След рестарт на сървъра спирането на адреса отпада, заключването на профила остава. Същите броячи важат и за влизането през директория. Недостъпна директория не се брои за неуспешен опит. Ако за името все още няма профил в системата за заявки, важи само спирането на адреса.

В списъка с потребители заключеният по този начин профил носи знака „temporarily locked“. Той остава в списъка. След 15 минути знакът изчезва сам.

Не е нужно да чакате. В същия ред има бутон с отворен катинар. Той вдига заключването веднага и изчиства и двата брояча.

Това не е същото като „Archive“. Онзи бутон спира профила окончателно и само той заема или освобождава вътрешно място.

Дневникът за сигурността записва два вида събития. Областта „Sign-in“ съдържа неуспешни влизания, заключени профили, опити за влизане по време на заключване, отхвърлени двуфакторни кодове и смени на пароли. Това важи за влизане с парола, чрез директория и чрез SSO.

Областта „Administration“ показва кой какво е променил. Това обхваща профили, роли, права, настройки за сигурност и архиви. Там се записва и всеки експорт на дневника.

Успешните влизания се записват само в два случая. Първият случай е администратор. Вторият случай е влизане след неуспешни опити за същия профил. Обикновеното влизане на агент или клиент не е в дневника. Дневникът не е списък за присъствие.

Ако някой влезе с име, което не съществува, в записа пише „unknown account“. Системата не запазва въведеното име. Понякога това е парола, попаднала в грешното поле.

Събитията по влизане запазват IP адреса и браузъра. Административните действия запазват кой ги е извършил, но не и IP адрес. Пароли, кодове и съдържание на заявки или имейли никога не са в дневника.

Страницата показва първо най-новите записи, по 50 на страница. Картата „Filters“ стеснява списъка. „Area“ избира влизания или администрация, „Event“ един вид събитие. „Person“ търси в името на този, който е действал, и на засегнатия. „From“ и „To“ ограничават дните. „Failures only“ скрива всичко, което е успяло.

Филтрите действат едва след щракване върху „Apply“. „Reset“ отново ги премахва.

„Export CSV“ и „Export PDF“ изтеглят точно това, което показват филтрите. Всеки файл съдържа най-много 10 000 записа. Ако на филтрите отговарят повече записи, това се посочва в бележка до бутоните за експорт. PDF файлът е на твоя език и посочва горе филтрите и периода. Датата и часът следват формата, зададен в „Settings → General Settings“.

CSV файлът винаги остава на английски, а часовете са в UTC. Така програма може да го чете независимо от езика. Всеки експорт сам е в дневника като „Security log exported“.

Шест събития задействат сигнал. Това са профил, заключен след неуспешни опити, роля, сменена на „Admin“, профил, създаден направо с ролята „Admin“, и нулирано двуфакторно влизане на администратор. Към тях се добавят архивирани заявки, премахнати от текущите данни, и влизане на администратор след неуспешни опити.

След сигнал всеки с правото вижда жълт банер в горната част на всяка страница. Той посочва броя сигнали от последното му посещение на дневника. Връзката „Open security log“ води дотам. С отварянето на дневника банерът изчезва. Преди първото посещение той брои сигналите от последните седем дни.

Освен това всеки активен профил с правото и имейл адрес получава имейл със сигнал. Системата събира сигналите на всеки 15 минути и изпраща по един имейл на човек, а не по един на събитие. Имейлът посочва събитието, засегнатото лице и часа. Той не съдържа IP адрес. Имейлът със сигнал е част от Professional.

Нощното изпълнение изтрива старите записи. Сроковете са в „Settings → Security“, в картата „Data protection“, в блока „Security log retention“. Събитията по влизане се пазят по подразбиране 90 дни, позволени са от 7 до 365 дни. Административните действия се пазят по подразбиране 12 месеца, позволени са от 1 до 120 месеца.

Всеки срок има собствен превключвател: „Delete old sign-in events“ и „Delete old administrator actions“. Ако превключвателят е изключен, тези записи остават. Картата „Срокове за съхранение“ обяснява нощното изпълнение.

При искане за достъп до данни лицето получава всеки запис, в който е действало или е засегнато. IP адресът и браузърът се прилагат само към записи, които то само е предизвикало, например собственото си влизане. Ако лицето бъде анонимизирано, системата изтрива неговите събития по влизане. Административните му действия остават. Името му там се заменя със заместващото име.

Бележка към теб като оператор: успешните влизания са в дневника само за администратори и след неуспешни опити. Въпреки това дневникът показва кой какво и кога е направил. Във фирма с представители на работниците той затова е въпрос на съвместно решаване.

Най-горе стои главният превключвател „Enable single sign-on“. Докато е изключен, остава входът с потребителско име и парола. Всичко, което настроите под него, се запазва и влиза в сила едва когато го включите.

Картата „Active Directory / LDAP“ свързва директория на място. Въвеждате сървъра, базата за търсене, филтъра, който намира човек, и полетата за имейл адреса и имената.

Профилът, използван за търсенията, е по избор. Без него системата пита анонимно. Паролата на човека се използва само за свързване с директорията и никога не се съхранява.

Директорията не носи собствен втори фактор. Ако страницата за сигурност изисква двуфакторен вход, тези хора също биват питани за него.

Картата „Identity providers“ съдържа външните услуги за вход. Всяка получава собствена плочка и собствен бутон на страницата за вход. „Add provider“ създава нова.

Под „Provider type“ избирате вида. „Generic OIDC Provider“ подхожда за услуги като Google Workspace, Microsoft Entra ID, Okta, Keycloak, Auth0 или Ping Identity. „SAML 2.0 Provider“ подхожда за същите къщи, когато трябва да се свържат през SAML.

До тях стоят шест регионални услуги: LINE, Kakao, Naver, WeChat, WeCom и DingTalk. Техните адреси са предварително попълнени и се показват като сив текст в полето.

Името под „Display name“ по-късно се показва на бутона. Превключвателят до него важи само за този един доставчик.

За адреса за връщане работете в този ред. Първо въведете само име и щракнете върху „Save provider“. Едва тогава системата знае номера на доставчика и показва готовия адрес под „Redirect URI“. Той се изгражда от публичния адрес на тази инсталация, този, който е записан под „Settings → Security“. Точно това е адресът, който системата използва, когато някой влиза.

Копирате този адрес и го регистрирате при доставчика. Там той трябва да съвпада знак по знак. В замяна доставчикът ви дава идентификатор и тайна и вие ги въвеждате тук през „Edit“.

Полето „Allowed e-mail domains“ ограничава кой може да влиза през този доставчик. Оставено празно, всеки домейн е позволен.

Ако на доставчик още липсва нещо, плочката му носи червения знак „Incomplete“. Тогава той не се показва на страницата за вход. Текстът до него казва кои полета изисква неговият вид.

Напълно настроените доставчици все още не се показват, докато главният превключвател е изключен. Плочката го казва с жълт ред.

Ако вашият лиценз се върне към Basic, влизането през SSO и през директорията продължава да работи. На тази страница тогава можете само да изключвате доставчиците и директорията. Дневникът на опитите за влизане остава четим.

Превключвателят „Automatically create accounts on first sign-in“ стои в същата карта като главния превключвател. Той е включен по подразбиране.

Когато някой влезе през доставчик за първи път, системата първо търси профил, който вече принадлежи на този доставчик. Ако не намери такъв, се създава нов.

Новият профил получава ролята „Customer“ и никакъв екип. Клиентът няма нужда от членство, за да създаде заявка, и затова може да работи веднага.

Клиентите са неограничени и в двете издания, затова създаден по този начин профил не използва вътрешно място. Който трябва да стане оператор, получава ролята след това в управлението на потребители.

Ако вече съществува профил със същия имейл адрес, двата се свързват. Това става само когато доставчикът съобщи адреса като потвърден. Ако не го направи, влизането се отказва.

Ако го изключите, влизат само хора, които вече имат профил. Всички останали биват отпратени.

Картата „Recent sign-in attempts“ най-долу показва последните 100 събития по влизане чрез SSO и директорията. Те идват от дневника за сигурността. Неуспешните опити винаги са в нея. Успешно влизане е в нея само за администратори и след неуспешни опити за същия профил. Затова не всяко влизане е в списъка.

Всеки ред назовава часа, доставчика, резултата и адреса на източника. При неуспешен опит до него стои причината. Колоната „User“ показва името на профила. Ако няма профил, показва адреса, съобщен от доставчика, иначе „unknown account“. Системата не запазва въведеното име.

Входът с потребителско име и парола не се появява в тази таблица. Той не е SSO. Намираш го в дневника за сигурността.

По подразбиране записите се изтриват след 90 дни. Изречението под заглавието на картата посочва зададения срок. Картата „Срокове за съхранение“ обяснява настройката.

След инсталирането екипът ви използва системата във всеки уеб браузър. Инсталаторът пита как да е достъпна системата. В инсталатора за Windows избирате това на страницата „Достъпност“. В Linux install.sh задава същия въпрос и номерира възможностите от 1 до 5. По-късно го променяте с „Промяна на начина на достъп до SMITEY“. Данните ви остават където са.

Възможността „Само в локалната мрежа, чрез IP адреса (HTTP) - най-прост вариант“ е настройката по подразбиране. Екипът ви отваря системата на http://, последвано от IP адреса на сървъра и порта, например http://192.168.1.20:8088. Портът е 8088, освен ако не изберете друг. Работи и порт 80. Тогава адресът няма нужда от порт. Тази възможност не изисква нито име, нито сертификат.

Възможността „В локалната мрежа със собствено име (HTTP, HTTPS е възможен по-късно) - имате вътрешен DNS“ работи като първата, но с име като ticket.company.local. Името създавате сами във вашия вътрешен DNS. То сочи към IP адреса на сървъра. Тогава екипът ви достига системата по името и продължава да я достига по IP адреса. След това инсталаторът показва адреса с това име.

При двете възможности с HTTP паролите и заявките минават през мрежата ви като четим текст. В този случай администраторите виждат съобщение горе на страницата.

Другите три възможности използват HTTPS: „Чрез публичен домейн с HTTPS (автоматично, чрез Let's Encrypt)“, „В локалната мрежа с HTTPS и собствен сертификат“ и „В локалната мрежа с HTTPS, сертификат, създаден от SMITEY“. Те изискват на сървъра портове 80 и 443. Следващата карта ги описва.

За първи тест първата възможност е достатъчна. Ако мрежата ви има вътрешен DNS, изберете втората. Ако системата трябва да е достъпна от интернет, изберете публичния домейн. Ако фирмата ви има собствен сертификационен орган, изберете собствения сертификат в локалната мрежа. Иначе оставете SMITEY да създаде сертификата.

Без HTTPS паролите и заявките минават през мрежата ви като четим текст. Нова инсталация започва с обикновен HTTP, за да работи веднага във всеки уеб браузър. Докато администратор отваря системата през обикновен HTTP, горе на страницата се появява съобщение: „This connection is not encrypted.“ Ако системата се отвори на самия сървър като „localhost“, съобщението не се появява. Операторите и клиентите никога не го виждат.

„How to switch on HTTPS“ води до тази карта. „Hide for 30 days“ скрива съобщението за вас. Настройката принадлежи на акаунта ви и затова важи и в друг браузър. След 30 дни съобщението се връща, докато връзката все още не е шифрована.

Инсталаторът на SMITEY настройва HTTPS по три начина. В инсталатора за Windows избирате на страницата „Достъпност“, а в Linux install.sh задава същия въпрос. При система, която вече работи, отворете „Промяна на начина на достъп до SMITEY“ на работния плот на Windows или в менюто Старт. В Linux същото прави командата по-долу. Данните ви остават където са.

Възможността „В локалната мрежа с HTTPS и собствен сертификат“ използва вашия собствен сертификат, например от сертификационния орган на фирмата ви. Инсталаторът пита за името на системата и за файла на сертификата с неговия ключ. Става и PFX файл с паролата му. Преди да промени каквото и да е, той проверява сертификата. Ключът трябва да съвпада, сертификатът трябва да е валиден и името трябва да е в сертификата.

Възможността „В локалната мрежа с HTTPS, сертификат, създаден от SMITEY“ не се нуждае от собствен сертификат. SMITEY създава такъв сам и сам го подновява. Основния сертификат инсталаторът записва като SMITEY-root-ca.crt в папката на инсталацията. Инсталирайте този файл на всеки компютър като доверен основен сертификат, например с групова политика. Дотогава браузърите показват предупреждение.

Възможността „Чрез публичен домейн с HTTPS (автоматично, чрез Let's Encrypt)“ взема сертификата си от Let’s Encrypt. Нужен му е публичен домейн, който сочи към сървъра. Затова сървърът трябва да е достъпен от интернет.

При двете възможности за локалната мрежа името може да е име като ticket.company.local, една дума като helpdesk или IPv4 адрес. И трите пътя изискват на сървъра портове 80 и 443. Ако ги използва друга програма, инсталаторът спира и не променя нищо. След това системата е достъпна на https:// и името, без порт.

Собственият ви сертификат някога изтича. От 30 дни преди това администраторите виждат горе на страницата съобщение с датата. От 7 дни преди това то е червено. В Professional всички администратори с имейл адрес получават освен това имейл 30 и 7 дни преди това. За подновяване отворете отново „Промяна на начина на достъп до SMITEY“, изберете възможността със собствен сертификат и посочете новите файлове.

Файлът HTTPS-GUIDE.txt, който идва с инсталацията, описва всяка стъпка. Към това спадат разпространението на основния сертификат и стъпките на ръка.