Ověřování a zabezpečení včetně SSO

Ve výchozím stavu se každý přihlašuje uživatelským jménem a heslem. Místo uživatelského jména funguje i e-mailová adresa. Je-li nastaveno doručování pošty, objeví se pod formulářem odkaz „Do you need a password reset?“. Doručování pošty patří do edice Professional.

Po přihlášení dostane prohlížeč propustku platnou po určitou dobu. Jak dlouho, rozhoduje karta „JWT token timer“. Povolené jsou hodnoty od 1 do 24 hodin, doporučujeme 12. Potom se člověk musí přihlásit znovu.

Karta „Password policy“ platí pro každé heslo nastavené v systému. Vynucuje se při založení účtu, když si člověk mění vlastní heslo a když je správce obnovuje.

Nastavíte minimální délku, které druhy znaků se musí objevit, po kolika dnech heslo vyprší a kolik starých hesel zůstane blokovaných. U dnů a u seznamu blokovaných znamená 0 „vypnuto“.

Pravidla o velkých a malých písmenech nevylučují žádný jazyk. Mnohá písma tento rozdíl vůbec neznají a znak z takového písma splní obě pravidla sám o sobě.

Účty, které se přihlašují jen přes SSO nebo adresář, nemají místní heslo, takže se jich vypršení netýká. Jejich pravidla leží u poskytovatele. Pokud byl existující účet propojen se SSO a stále má vlastní heslo, platí pro toto heslo dál vypršení i pravidla pro hesla.

Karta „2FA Settings“ určuje, kdo musí používat dvoufázové přihlášení. V části „Two-factor requirement“ zvolíte jednu ze čtyř úrovní: „Off“, „Administrators only“, „Administrators and agents“ nebo „Everyone“. „Everyone“ zahrnuje i zákazníky. Nová instalace začíná úrovní „Administrators only“. Instalace, která existovala už dříve, si po aktualizaci ponechá dosavadní nastavení.

Kdo se příště přihlásí bez druhého faktoru, zřídí si jej. Systém ukáže QR kód pro ověřovací aplikaci a týž klíč k ručnímu opsání. Po prvním kódu je faktor aktivní. Tlačítkem „Set up later“ lze zřízení odložit a přihlášení pokračuje bez něj. To jde nejvýše 7 dní, počítáno od prvního odložení. Řádek pod tlačítkem ukazuje zbývající dny. Potom je zřízení povinné.

Hned poté se objeví deset záložních kódů. Každý z nich jednou nahradí kód z aplikace. Ukážou se právě jednou. Uložíte je tlačítkem „Copy“ nebo „Download“. „Download“ funguje vždy. „Copy“ většinou také.

Když někdo přijde o zařízení i o kódy, pomůže správce. V seznamu uživatelů obnoví tlačítko s přeškrtnutým štítem dvoufázové přihlášení dané osoby. Ta si je při dalším přihlášení zřídí znovu.

Kódy závisí na hodinách serveru. Jsou-li špatně, není přijat žádný kód. Tlačítko „Check now“ na téže kartě porovná čas serveru s veřejným zdrojem času.

Když se někdo přihlásí přes externí přihlašovací službu, systém se na kód neptá. Druhý faktor už ověřil poskytovatel. U přihlášení přes adresář je to jinak: tam pravidlo výše platí dál.

Každý uživatel si může zapnout dvoufázové přihlášení pro vlastní účet. Platí to pro každou roli, i když je karta „2FA Settings“ nevyžaduje. Otevřete uživatelskou nabídku vlevo dole v postranním panelu a zvolte „Profile picture“. Na téže stránce je i oblast „Two-factor authentication“.

Oblast ukazuje, zda je dvoufázové přihlášení zapnuté. Dokud je vypnuté, je tam tlačítko „Turn on“. To se nejprve zeptá na vaše heslo. Potom se objeví QR kód pro ověřovací aplikaci a týž klíč k ručnímu opsání. Po prvním kódu z aplikace je faktor aktivní.

Hned poté se objeví deset záložních kódů. Uložte je tlačítkem „Copy“ nebo „Download“. „I have saved my codes“ seznam zavře. Ukáže se jen tento jediný raz.

Dokud je dvoufázové přihlášení zapnuté, oblast ukazuje, kolik záložních kódů zbývá. „New recovery codes“ vytvoří deset nových. Staré kódy pak přestanou platit. „Turn off“ dvoufázové přihlášení zase vypne. Obě tlačítka vyžadují aktuální kód z aplikace. Záložní kód se tam nepřijímá.

Vyžaduje-li karta „2FA Settings“ dvoufázové přihlášení pro vaši roli, tlačítko „Turn off“ chybí. Říká to řádek v oblasti.

Špatné heslo nebo špatný kód se počítá jako neúspěšné přihlášení. Ochrana proti hádání hesel tedy platí i zde. Zapnutí a vypnutí se zapíše do protokolu zabezpečení. Vypne-li správce své vlastní dvoufázové přihlášení, protokol vyhlásí poplach.

Účty, které se přihlašují jen přes externí přihlašovací službu, vidí místo tlačítek větu. Druhý faktor u nich řeší jejich poskytovatel. Účty z adresáře zadají v prvním kroku své heslo z adresáře.

Ochrana běží bez jakéhokoli nastavení. Není co zapínat. Poznámka o ní stojí na kartě „2FA Settings“.

Funguje ve dvou stupních. Po pěti neúspěšných pokusech u téhož účtu se adresa, ze které přišly, pozastaví. Pozastavení skončí nejpozději 15 minut po prvním z těchto pokusů. Ze všech ostatních adres zůstane účet hned použitelný.

To je ta důležitá část. Jinak by každý, kdo zná přihlašovací jméno, mohl kolegu vyzamknout pěti špatnými hesly. Žádné heslo by k tomu nepotřeboval.

Druhým stupněm je samotný účet. Po 20 neúspěšných pokusech se na 15 minut uzamkne. Protože jediná adresa jich může přispět nejvýše pět, je k tomu potřeba několik adres.

Úspěšné přihlášení oba čítače vynuluje. Po restartu serveru je pozastavení adresy pryč, uzamčení účtu zůstává. Stejné čítače platí i pro přihlášení přes adresář. Nedostupný adresář se jako neúspěšný pokus nepočítá. Pokud pro dané jméno ještě v ticketovacím systému žádný účet není, platí jen pozastavení adresy.

V seznamu uživatelů nese takto uzamčený účet označení „temporarily locked“. Ze seznamu nemizí. Po 15 minutách označení samo zmizí.

Čekat nemusíte. Ve stejném řádku je tlačítko s otevřeným zámkem. Uzamčení okamžitě zruší a vynuluje oba čítače.

Není to totéž jako „Archive“. To tlačítko účet natrvalo vyřadí a jen ono zabere nebo uvolní zaměstnanecké místo.

Protokol zabezpečení zaznamenává dva druhy událostí. Oblast „Sign-in“ obsahuje neúspěšná přihlášení, zamčené účty, pokusy o přihlášení během zámku, odmítnuté dvoufázové kódy a změny hesel. Platí to pro přihlášení heslem, přes adresář i přes SSO.

Oblast „Administration“ ukazuje, kdo co změnil. Patří sem účty, role, oprávnění, nastavení zabezpečení a archivy. Zaznamená se tam i každý export protokolu.

Úspěšná přihlášení se zaznamenávají jen ve dvou případech. Prvním případem je správce. Druhým případem je přihlášení po neúspěšných pokusech na stejný účet. Běžné přihlášení řešitele nebo zákazníka v protokolu není. Protokol není docházkový seznam.

Když se někdo přihlásí jménem, které neexistuje, stojí v záznamu „unknown account“. Systém zadané jméno neukládá. Někdy je to heslo, které skončilo ve špatném poli.

Události přihlášení ukládají IP adresu a prohlížeč. Správcovské akce ukládají, kdo je provedl, ale žádnou IP adresu. Hesla, kódy a obsah tiketů nebo e-mailů v protokolu nikdy nejsou.

Stránka ukazuje nejnovější záznamy jako první, 50 na stránku. Karta „Filters“ seznam zúží. „Area“ vybere přihlášení nebo správu, „Event“ jediný druh události. „Person“ hledá ve jménu toho, kdo jednal, i toho, koho se to týká. „From“ a „To“ omezí dny. „Failures only“ skryje vše, co se podařilo.

Filtry začnou platit až po kliknutí na „Apply“. „Reset“ je zase odstraní.

„Export CSV“ a „Export PDF“ stáhnou přesně to, co ukazují filtry. Každý soubor obsahuje nejvýše 10 000 záznamů. Pokud filtrům odpovídá více záznamů, upozorní na to poznámka u tlačítek exportu. PDF je ve tvém jazyce a nahoře uvádí filtry a období. Datum a čas mají formát nastavený v „Settings → General Settings“.

Soubor CSV zůstává vždy anglicky a časy jsou v UTC. Program ho tak může číst nezávisle na jazyce. Každý export je sám v protokolu jako „Security log exported“.

Šest událostí spustí upozornění. Jsou to účet zamčený po neúspěšných pokusech, role změněná na „Admin“, účet založený rovnou s rolí „Admin“ a resetované dvoufázové přihlášení správce. K tomu patří archivované tikety odstraněné z běžných dat a přihlášení správce po neúspěšných pokusech.

Po upozornění vidí každý s oprávněním nahoře na každé stránce žlutý banner. Uvádí počet upozornění od jeho poslední návštěvy protokolu. Odkaz „Open security log“ vede tam. Otevřením protokolu banner zmizí. Před první návštěvou počítá upozornění za posledních sedm dní.

Navíc dostane každý aktivní účet s oprávněním a e-mailovou adresou e-mail s upozorněním. Systém upozornění sbírá každých 15 minut a posílá jeden e-mail na osobu, ne jeden na událost. E-mail uvádí událost, dotčenou osobu a čas. Neobsahuje žádnou IP adresu. E-mail s upozorněním patří k edici Professional.

Noční běh maže staré záznamy. Lhůty jsou v „Settings → Security“ na kartě „Data protection“ v bloku „Security log retention“. Události přihlášení se ve výchozím nastavení uchovávají 90 dní, povoleno je 7 až 365 dní. Správcovské akce se ve výchozím nastavení uchovávají 12 měsíců, povoleno je 1 až 120 měsíců.

Každá lhůta má vlastní přepínač: „Delete old sign-in events“ a „Delete old administrator actions“. Je-li přepínač vypnutý, tyto záznamy zůstanou. Karta „Lhůty uchovávání“ vysvětluje noční běh.

Při žádosti o přístup k údajům dostane osoba každý záznam, ve kterém jednala nebo které se jí týkají. IP adresa a prohlížeč jsou přiloženy jen u záznamů, které sama vyvolala, například u svého vlastního přihlášení. Když se osoba anonymizuje, systém smaže její události přihlášení. Její správcovské akce zůstávají. Její jméno se tam nahradí zástupným jménem.

Poznámka pro tebe jako provozovatele: úspěšná přihlášení jsou v protokolu jen u správců a po neúspěšných pokusech. Protokol přesto ukazuje, kdo co kdy udělal. Ve firmě se zastoupením zaměstnanců je proto věcí spolurozhodování.

Úplně nahoře sedí hlavní přepínač „Enable single sign-on“. Dokud je vypnutý, zůstává se u uživatelského jména a hesla. Všechno, co pod ním nastavíte, se uloží a začne platit, teprve až jej zapnete.

Karta „Active Directory / LDAP“ napojí místní adresář. Zadáte server, kořen vyhledávání, filtr, který najde osobu, a pole pro e-mailovou adresu a jména.

Účet používaný k vyhledávání je nepovinný. Bez něj se systém ptá anonymně. Heslo osoby se používá jen k navázání spojení s adresářem a nikdy se neukládá.

Adresář žádný vlastní druhý faktor nepřináší. Pokud stránka zabezpečení vyžaduje dvoufázové přihlášení, jsou o ně požádáni i tito lidé.

Karta „Identity providers“ drží externí přihlašovací služby. Každá dostane vlastní dlaždici a vlastní tlačítko na přihlašovací stránce. „Add provider“ založí novou.

Pod „Provider type“ vyberete druh. „Generic OIDC Provider“ se hodí pro služby jako Google Workspace, Microsoft Entra ID, Okta, Keycloak, Auth0 nebo Ping Identity. „SAML 2.0 Provider“ se hodí pro tytéž domy, mají-li se napojit přes SAML.

Vedle nich je šest regionálních služeb: LINE, Kakao, Naver, WeChat, WeCom a DingTalk. Jejich adresy jsou předvyplněné a v poli se objevují jako šedý text.

Název pod „Display name“ se později objeví na tlačítku. Přepínač vedle platí jen pro tohoto jednoho poskytovatele.

U zpětné adresy postupujte v tomto pořadí. Nejdřív zadejte jen název a klepněte na „Save provider“. Teprve pak systém zná číslo poskytovatele a ukáže hotovou adresu pod „Redirect URI“. Skládá se z veřejné adresy této instalace, té uložené pod „Settings → Security“. Je to přesně ta adresa, kterou systém používá, když se někdo přihlašuje.

Tuto adresu zkopírujete a zaregistrujete u poskytovatele. Musí tam sedět znak po znaku. Poskytovatel vám na oplátku dá ID a tajný klíč a ty tady zadáte přes „Edit“.

Pole „Allowed e-mail domains“ omezuje, kdo smí přes tohoto poskytovatele dovnitř. Necháte-li je prázdné, je povolena každá doména.

Pokud poskytovateli ještě něco chybí, nese jeho dlaždice červené označení „Incomplete“. Na přihlašovací stránce se pak neobjeví. Text vedle říká, která pole jeho druh potřebuje.

Plně nastavení poskytovatelé se přesto neobjeví, dokud je hlavní přepínač vypnutý. Dlaždice to říká žlutým řádkem.

Když vaše licence spadne zpátky na Basic, přihlášení přes SSO a adresář funguje dál. Na této stránce pak můžete poskytovatele a adresář už jen vypnout. Protokol pokusů o přihlášení zůstane čitelný.

Přepínač „Automatically create accounts on first sign-in“ sedí na téže kartě jako hlavní přepínač. Ve výchozím stavu je zapnutý.

Když se někdo přihlásí přes poskytovatele poprvé, hledá systém nejdřív účet, který už k tomuto poskytovateli patří. Když žádný nenajde, založí nový.

Nový účet dostane roli „Customer“ a žádný tým. Zákazník k založení tiketu členství nepotřebuje, může tedy pracovat hned.

Zákazníků je v obou edicích neomezeně, takto založený účet tedy neobsadí žádné zaměstnanecké místo. Kdo se má stát řešitelem, dostane roli potom ve správě uživatelů.

Pokud už účet se stejnou e-mailovou adresou existuje, oba se propojí. Stane se to jen tehdy, hlásí-li poskytovatel adresu jako ověřenou. Pokud ne, je přihlášení odmítnuto.

Když jej vypnete, dostanou se dovnitř jen lidé, kteří už účet mají. Všichni ostatní jsou odmítnuti.

Karta „Recent sign-in attempts“ úplně dole ukazuje posledních 100 událostí přihlášení přes SSO a adresář. Pocházejí z protokolu zabezpečení. Neúspěšné pokusy v ní jsou vždy. Úspěšné přihlášení v ní je jen u správců a po neúspěšných pokusech na stejný účet. V seznamu proto není každé přihlášení.

Každý řádek pojmenuje čas, poskytovatele, výsledek a zdrojovou adresu. U neúspěšného pokusu stojí vedle důvod. Sloupec „User“ ukazuje jméno účtu. Pokud účet neexistuje, ukazuje adresu, kterou nahlásil poskytovatel, jinak „unknown account“. Zadané jméno systém neukládá.

Přihlášení uživatelským jménem a heslem se v této tabulce neobjeví. Není to SSO. Najdeš ho v protokolu zabezpečení.

Ve výchozím nastavení se záznamy mažou po 90 dnech. Věta pod názvem karty uvádí nastavenou lhůtu. Nastavení vysvětluje karta „Lhůty uchovávání“.

Po instalaci používá váš tým systém v každém webovém prohlížeči. Instalační program se zeptá, jak má být systém dostupný. V instalačním programu pro Windows to zvolíte na stránce „Dostupnost“. V Linuxu se install.sh zeptá na totéž a možnosti očísluje od 1 do 5. Později to změníte pomocí „Změnit způsob přístupu k SMITEY“. Vaše data zůstanou, kde jsou.

Možnost „Pouze v místní síti, přes IP adresu (HTTP) - nejjednodušší varianta“ je výchozí nastavení. Váš tým otevírá systém na http:// a za tím IP adresa serveru a port, například http://192.168.1.20:8088. Port je 8088, pokud nezvolíte jiný. Funguje i port 80. Adresa pak port nepotřebuje. Tato možnost nepotřebuje název ani certifikát.

Možnost „V místní síti pod vlastním názvem (HTTP, HTTPS lze doplnit později) - máte interní DNS“ funguje jako první, ale pod názvem jako ticket.company.local. Název si vytvoříte sami ve svém interním DNS. Ukazuje na IP adresu serveru. Váš tým se pak k systému dostane přes název a stále i přes IP adresu. Instalační program pak ukáže adresu s tímto názvem.

U obou možností s HTTP putují hesla a tikety vaší sítí jako čitelný text. Správci pak vidí nahoře na stránce upozornění.

Další tři možnosti používají HTTPS: „Přes veřejnou doménu s HTTPS (automaticky pomocí Let's Encrypt)“, „V místní síti s HTTPS a vlastním certifikátem“ a „V místní síti s HTTPS, certifikát vytvoří SMITEY“. Potřebují na serveru porty 80 a 443. Popisuje je další karta.

Pro první test stačí první možnost. Má-li vaše síť interní DNS, zvolte druhou. Má-li být systém dostupný z internetu, zvolte veřejnou doménu. Má-li vaše firma vlastní certifikační autoritu, zvolte vlastní certifikát v místní síti. Jinak nechte certifikát vytvořit SMITEY.

Bez HTTPS putují hesla a tikety vaší sítí jako čitelný text. Nová instalace začíná obyčejným HTTP, aby hned fungovala v jakémkoli webovém prohlížeči. Dokud správce otevírá systém přes obyčejné HTTP, objeví se nahoře na stránce upozornění: „This connection is not encrypted.“ Otevře-li se systém přímo na serveru jako „localhost“, upozornění se neobjeví. Řešitelé a zákazníci je nikdy nevidí.

„How to switch on HTTPS“ vede k této kartě. „Hide for 30 days“ upozornění pro vás skryje. Nastavení patří k vašemu účtu, a proto platí i v jiném prohlížeči. Po 30 dnech se upozornění vrátí, pokud spojení stále není šifrované.

Instalační program SMITEY nastaví HTTPS třemi způsoby. V instalačním programu pro Windows jej zvolíte na stránce „Dostupnost“, v Linuxu se install.sh zeptá na totéž. U systému, který už běží, otevřete „Změnit způsob přístupu k SMITEY“ na ploše Windows nebo v nabídce Start. V Linuxu udělá totéž příkaz níže. Vaše data zůstanou, kde jsou.

Možnost „V místní síti s HTTPS a vlastním certifikátem“ používá váš vlastní certifikát, například od firemní certifikační autority. Instalační program se zeptá na název systému a na soubor certifikátu s jeho klíčem. Funguje i soubor PFX s jeho heslem. Než cokoli změní, certifikát zkontroluje. Klíč musí pasovat, certifikát musí být platný a název musí být v certifikátu.

Možnost „V místní síti s HTTPS, certifikát vytvoří SMITEY“ nepotřebuje vlastní certifikát. SMITEY si jej vytvoří sám a sám jej i obnovuje. Kořenový certifikát uloží instalační program jako SMITEY-root-ca.crt do instalační složky. Nainstalujte tento soubor na každý počítač jako důvěryhodný kořenový certifikát, například zásadou skupiny. Do té doby prohlížeče ukazují varování.

Možnost „Přes veřejnou doménu s HTTPS (automaticky pomocí Let's Encrypt)“ získá svůj certifikát od Let’s Encrypt. Potřebuje veřejnou doménu, která ukazuje na server. Server proto musí být dosažitelný z internetu.

U obou možností pro místní síť může být názvem název jako ticket.company.local, jediné slovo jako helpdesk nebo adresa IPv4. Všechny tři cesty potřebují na serveru porty 80 a 443. Používá-li je jiný program, instalační program skončí a nic nezmění. Systém je pak dostupný na https:// a názvu, bez portu.

Váš vlastní certifikát jednou vyprší. Od 30 dnů předem vidí správci nahoře na stránce upozornění s datem. Od 7 dnů předem je červené. V edici Professional dostanou všichni správci s e-mailovou adresou navíc 30 a 7 dnů předem e-mail. K obnovení znovu otevřete „Změnit způsob přístupu k SMITEY“, zvolte možnost s vlastním certifikátem a zadejte nové soubory.

Soubor HTTPS-GUIDE.txt, který přichází s instalací, popisuje každý krok. Patří k tomu rozdání kořenového certifikátu a kroky ručně.