Έλεγχος ταυτότητας και ασφάλεια, μαζί με SSO

Εξαρχής όλοι συνδέονται με όνομα χρήστη και κωδικό πρόσβασης. Η διεύθυνση email λειτουργεί στη θέση του ονόματος χρήστη. Αν έχει ρυθμιστεί η παράδοση αλληλογραφίας, κάτω από τη φόρμα εμφανίζεται ο σύνδεσμος «Do you need a password reset?». Η παράδοση αλληλογραφίας είναι μέρος του Professional.

Μετά τη σύνδεση το πρόγραμμα περιήγησης παίρνει ένα διαβατήριο που ισχύει για ορισμένο χρόνο. Η κάρτα «JWT token timer» αποφασίζει για πόσο. Επιτρέπονται τιμές από 1 έως 24 ώρες, το 12 είναι η σύσταση. Μετά από αυτό το πρόσωπο πρέπει να συνδεθεί ξανά.

Η κάρτα «Password policy» ισχύει για κάθε κωδικό πρόσβασης που ορίζεται στο σύστημα. Επιβάλλεται όταν δημιουργείται λογαριασμός, όταν ένα πρόσωπο αλλάζει τον δικό του κωδικό και όταν ένας διαχειριστής επαναφέρει έναν.

Ορίζετε το ελάχιστο μήκος, ποια είδη χαρακτήρων πρέπει να εμφανίζονται, μετά από πόσες ημέρες λήγει ένας κωδικός και πόσοι παλιοί κωδικοί μένουν αποκλεισμένοι. Για τις ημέρες και για τη λίστα αποκλεισμού, το 0 σημαίνει «ανενεργό».

Οι κανόνες για τα κεφαλαία και τα πεζά δεν αποκλείουν καμία γλώσσα. Πολλά συστήματα γραφής δεν έχουν καθόλου τέτοια διάκριση, και ένας χαρακτήρας από ένα από αυτά ικανοποιεί μόνος του και τους δύο κανόνες.

Οι λογαριασμοί που συνδέονται μόνο μέσω SSO ή καταλόγου δεν έχουν τοπικό κωδικό πρόσβασης, οπότε η λήξη δεν τους αφορά. Οι κανόνες τους βρίσκονται στον πάροχο. Αν ένας υπάρχων λογαριασμός συνδέθηκε με SSO και έχει ακόμη δικό του κωδικό πρόσβασης, η λήξη και η πολιτική κωδικών πρόσβασης εξακολουθούν να ισχύουν για αυτόν τον κωδικό.

Η κάρτα «2FA Settings» ορίζει ποιος πρέπει να χρησιμοποιεί τη σύνδεση δύο παραγόντων. Στο «Two-factor requirement» επιλέγετε ένα από τέσσερα επίπεδα: «Off», «Administrators only», «Administrators and agents» ή «Everyone». Το «Everyone» περιλαμβάνει και τους πελάτες. Μια νέα εγκατάσταση ξεκινά με «Administrators only». Μια εγκατάσταση που υπήρχε ήδη κρατά μετά από μια ενημέρωση την προηγούμενη ρύθμισή της.

Όποιος συνδεθεί στη συνέχεια χωρίς δεύτερο παράγοντα, τον ρυθμίζει. Το σύστημα δείχνει έναν κωδικό QR για μια εφαρμογή ελέγχου ταυτότητας και το ίδιο κλειδί για πληκτρολόγηση με το χέρι. Μετά τον πρώτο κωδικό ο παράγοντας είναι ενεργός. Με το «Set up later» η ρύθμιση μπορεί να αναβληθεί, και η σύνδεση συνεχίζει χωρίς αυτήν. Αυτό ισχύει το πολύ για 7 ημέρες, από την πρώτη αναβολή. Η γραμμή κάτω από το κουμπί δείχνει τις ημέρες που απομένουν. Μετά η ρύθμιση είναι υποχρεωτική.

Αμέσως μετά εμφανίζονται δέκα κωδικοί ανάκτησης. Καθένας τους αντικαθιστά μία φορά τον κωδικό από την εφαρμογή. Εμφανίζονται ακριβώς μία φορά. Τους αποθηκεύετε με το «Copy» ή το «Download». Το «Download» λειτουργεί πάντα. Το «Copy» συνήθως λειτουργεί επίσης.

Αν κάποιος χάσει τη συσκευή του και τους κωδικούς του, βοηθά ο διαχειριστής. Στη λίστα χρηστών, το κουμπί με τη διαγραμμένη ασπίδα επαναφέρει τη σύνδεση δύο παραγόντων εκείνου του προσώπου. Τη ρυθμίζει ξανά στην επόμενη σύνδεση.

Οι κωδικοί εξαρτώνται από το ρολόι του διακομιστή. Αν είναι λάθος, δεν γίνεται δεκτός κανένας κωδικός. Το κουμπί «Check now» στην ίδια κάρτα συγκρίνει την ώρα του διακομιστή με μια δημόσια πηγή ώρας.

Αν κάποιος συνδεθεί μέσω εξωτερικής υπηρεσίας σύνδεσης, το σύστημα δεν ζητά κωδικό. Ο πάροχος έχει ήδη ελέγξει τον δεύτερο παράγοντα. Η σύνδεση μέσω καταλόγου είναι διαφορετική: εκεί ισχύει ακόμη ο παραπάνω κανόνας.

Κάθε χρήστης μπορεί να ενεργοποιήσει τη σύνδεση δύο παραγόντων για τον δικό του λογαριασμό. Αυτό ισχύει για κάθε ρόλο, ακόμη κι όταν η κάρτα «2FA Settings» δεν την απαιτεί. Ανοίξτε το μενού χρήστη κάτω αριστερά στην πλαϊνή στήλη και επιλέξτε «Profile picture». Η ίδια σελίδα περιέχει την περιοχή «Two-factor authentication».

Η περιοχή δείχνει αν η σύνδεση δύο παραγόντων είναι ενεργή. Όσο είναι ανενεργή, εκεί υπάρχει το κουμπί «Turn on». Πρώτα ζητά τον κωδικό πρόσβασής σας. Μετά εμφανίζεται ένας κωδικός QR για την εφαρμογή ελέγχου ταυτότητας και το ίδιο κλειδί για πληκτρολόγηση με το χέρι. Μετά τον πρώτο κωδικό από την εφαρμογή ο παράγοντας είναι ενεργός.

Αμέσως μετά εμφανίζονται δέκα κωδικοί ανάκτησης. Αποθηκεύστε τους με το «Copy» ή το «Download». Το «I have saved my codes» κλείνει τη λίστα. Εμφανίζεται μόνο αυτή τη μία φορά.

Όσο η σύνδεση δύο παραγόντων είναι ενεργή, η περιοχή δείχνει πόσοι κωδικοί ανάκτησης απομένουν. Το «New recovery codes» δημιουργεί δέκα νέους. Οι παλιοί κωδικοί τότε παύουν να λειτουργούν. Το «Turn off» απενεργοποιεί ξανά τη σύνδεση δύο παραγόντων. Και τα δύο κουμπιά ζητούν τον τρέχοντα κωδικό από την εφαρμογή. Εκεί δεν γίνεται δεκτός κωδικός ανάκτησης.

Αν η κάρτα «2FA Settings» απαιτεί σύνδεση δύο παραγόντων για τον ρόλο σας, λείπει το «Turn off». Μια γραμμή στην περιοχή το λέει.

Ένας λάθος κωδικός πρόσβασης ή ένας λάθος κωδικός μετράει ως αποτυχημένη σύνδεση. Η προστασία από μαντεψιά κωδικών πρόσβασης ισχύει επομένως κι εδώ. Η ενεργοποίηση και η απενεργοποίηση καταγράφονται στην καταγραφή ασφαλείας. Αν ένας διαχειριστής απενεργοποιήσει τη δική του σύνδεση δύο παραγόντων, η καταγραφή σημαίνει συναγερμό.

Οι λογαριασμοί που συνδέονται μόνο μέσω εξωτερικής υπηρεσίας σύνδεσης βλέπουν μια πρόταση αντί για τα κουμπιά. Τον δεύτερο παράγοντα τον χειρίζεται ο πάροχός τους. Οι λογαριασμοί από κατάλογο εισάγουν στο πρώτο βήμα τον κωδικό πρόσβασής τους από τον κατάλογο.

Η προστασία λειτουργεί χωρίς καμία ρύθμιση. Δεν υπάρχει τίποτα να ενεργοποιηθεί. Η σημείωση γι' αυτήν στέκεται στην κάρτα «2FA Settings».

Λειτουργεί σε δύο στάδια. Μετά από πέντε αποτυχημένες προσπάθειες για τον ίδιο λογαριασμό, η διεύθυνση από την οποία ήρθαν παύει. Η παύση λήγει το αργότερο 15 λεπτά μετά την πρώτη από αυτές τις προσπάθειες. Από κάθε άλλη διεύθυνση ο λογαριασμός παραμένει αμέσως χρησιμοποιήσιμος.

Αυτό είναι το σημαντικό μέρος. Αλλιώς όποιος γνωρίζει ένα όνομα σύνδεσης θα μπορούσε να κλειδώσει έναν συνάδελφο έξω με πέντε λάθος κωδικούς. Δεν θα χρειαζόταν ποτέ κωδικό γι' αυτό.

Το δεύτερο στάδιο είναι ο ίδιος ο λογαριασμός. Κλειδώνεται για 15 λεπτά μετά από 20 αποτυχημένες προσπάθειες. Επειδή μία μόνο διεύθυνση μπορεί να συνεισφέρει το πολύ πέντε από αυτές, αυτό χρειάζεται πολλές διευθύνσεις.

Μια επιτυχημένη σύνδεση μηδενίζει και τους δύο μετρητές. Μετά από επανεκκίνηση του διακομιστή η παύση της διεύθυνσης φεύγει, το κλείδωμα του λογαριασμού μένει. Οι ίδιοι μετρητές ισχύουν για τη σύνδεση μέσω καταλόγου. Ένας κατάλογος που δεν είναι προσβάσιμος δεν μετράει ως αποτυχημένη προσπάθεια. Αν δεν υπάρχει ακόμη λογαριασμός για το όνομα στο σύστημα αιτημάτων, ισχύει μόνο η παύση της διεύθυνσης.

Στη λίστα χρηστών ένας λογαριασμός κλειδωμένος έτσι φέρει την ένδειξη «temporarily locked». Μένει στη λίστα. Μετά από 15 λεπτά η ένδειξη εξαφανίζεται από μόνη της.

Δεν χρειάζεται να περιμένετε. Στην ίδια γραμμή υπάρχει κουμπί με ανοιχτό λουκέτο. Αίρει αμέσως το κλείδωμα και μηδενίζει και τους δύο μετρητές.

Αυτό δεν είναι το ίδιο με το «Archive». Εκείνο το κουμπί κλείνει έναν λογαριασμό οριστικά, και μόνο αυτό πιάνει ή ελευθερώνει θέση προσωπικού.

Η καταγραφή ασφαλείας καταγράφει δύο είδη συμβάντων. Η περιοχή «Sign-in» περιέχει αποτυχημένες συνδέσεις, κλειδωμένους λογαριασμούς, προσπάθειες σύνδεσης κατά τη διάρκεια κλειδώματος, απορριφθέντες κωδικούς δύο παραγόντων και αλλαγές κωδικού πρόσβασης. Αυτό ισχύει για τη σύνδεση με κωδικό πρόσβασης, μέσω καταλόγου και μέσω SSO.

Η περιοχή «Administration» δείχνει ποιος άλλαξε τι. Αυτό καλύπτει λογαριασμούς, ρόλους, δικαιώματα, ρυθμίσεις ασφαλείας και αρχεία. Εκεί καταγράφεται και κάθε εξαγωγή της καταγραφής.

Οι επιτυχείς συνδέσεις καταγράφονται μόνο σε δύο περιπτώσεις. Η πρώτη περίπτωση είναι ένας διαχειριστής. Η δεύτερη περίπτωση είναι μια σύνδεση μετά από αποτυχημένες προσπάθειες στον ίδιο λογαριασμό. Η συνηθισμένη σύνδεση ενός πράκτορα ή ενός πελάτη δεν βρίσκεται στην καταγραφή. Η καταγραφή δεν είναι κατάλογος παρουσιών.

Αν κάποιος συνδεθεί με όνομα που δεν υπάρχει, στην εγγραφή γράφει «unknown account». Το σύστημα δεν αποθηκεύει το όνομα που πληκτρολογήθηκε. Μερικές φορές είναι ένας κωδικός πρόσβασης που κατέληξε σε λάθος πεδίο.

Τα συμβάντα σύνδεσης αποθηκεύουν τη διεύθυνση IP και το πρόγραμμα περιήγησης. Οι διαχειριστικές ενέργειες αποθηκεύουν ποιος τις εκτέλεσε, αλλά καμία διεύθυνση IP. Κωδικοί πρόσβασης, κωδικοί και το περιεχόμενο αιτημάτων ή e-mail δεν βρίσκονται ποτέ στην καταγραφή.

Η σελίδα δείχνει πρώτα τις νεότερες εγγραφές, 50 ανά σελίδα. Η κάρτα «Filters» περιορίζει τη λίστα. Το «Area» επιλέγει συνδέσεις ή διαχείριση, το «Event» ένα μόνο είδος συμβάντος. Το «Person» αναζητά στο όνομα όποιου ενήργησε και όποιου επηρεάστηκε. Τα «From» και «To» περιορίζουν τις ημέρες. Το «Failures only» κρύβει ό,τι πέτυχε.

Τα φίλτρα ισχύουν μόνο μετά από κλικ στο «Apply». Το «Reset» τα αφαιρεί ξανά.

Τα «Export CSV» και «Export PDF» κατεβάζουν ακριβώς ό,τι δείχνουν τα φίλτρα. Κάθε αρχείο περιέχει το πολύ 10.000 εγγραφές. Αν ταιριάζουν περισσότερες εγγραφές στα φίλτρα, το αναφέρει μια σημείωση δίπλα στα κουμπιά εξαγωγής. Το PDF είναι στη γλώσσα σου και αναφέρει επάνω τα φίλτρα και την περίοδο. Η ημερομηνία και η ώρα ακολουθούν τη μορφή που έχει οριστεί στο «Settings → General Settings».

Το αρχείο CSV μένει πάντα στα αγγλικά, και οι ώρες είναι σε UTC. Έτσι ένα πρόγραμμα μπορεί να το διαβάσει ανεξάρτητα από τη γλώσσα. Κάθε εξαγωγή βρίσκεται η ίδια στην καταγραφή, ως «Security log exported».

Έξι συμβάντα προκαλούν ειδοποίηση. Είναι ένας λογαριασμός που κλειδώθηκε μετά από αποτυχημένες προσπάθειες, ένας ρόλος που άλλαξε σε «Admin», ένας λογαριασμός που δημιουργήθηκε απευθείας με τον ρόλο «Admin» και μια σύνδεση δύο παραγόντων διαχειριστή που επαναφέρθηκε. Σε αυτά προστίθενται αρχειοθετημένα αιτήματα που αφαιρέθηκαν από τα τρέχοντα δεδομένα και η σύνδεση ενός διαχειριστή μετά από αποτυχημένες προσπάθειες.

Μετά από μια ειδοποίηση, όποιος έχει το δικαίωμα βλέπει ένα κίτρινο πλαίσιο ειδοποίησης στο πάνω μέρος κάθε σελίδας. Αναφέρει τον αριθμό ειδοποιήσεων από την τελευταία του επίσκεψη στην καταγραφή. Ο σύνδεσμος «Open security log» οδηγεί εκεί. Με το άνοιγμα της καταγραφής το πλαίσιο εξαφανίζεται. Πριν από την πρώτη επίσκεψη μετρά τις ειδοποιήσεις των τελευταίων επτά ημερών.

Επιπλέον, κάθε ενεργός λογαριασμός με το δικαίωμα και μια διεύθυνση e-mail λαμβάνει ένα e-mail ειδοποίησης. Το σύστημα συγκεντρώνει τις ειδοποιήσεις κάθε 15 λεπτά και στέλνει ένα e-mail ανά άτομο, όχι ένα ανά συμβάν. Το e-mail αναφέρει το συμβάν, το επηρεαζόμενο πρόσωπο και την ώρα. Δεν περιέχει διεύθυνση IP. Το e-mail ειδοποίησης ανήκει στο Professional.

Η νυχτερινή εκτέλεση διαγράφει παλιές εγγραφές. Τα χρονικά όρια βρίσκονται στο «Settings → Security», στην κάρτα «Data protection», στο μπλοκ «Security log retention». Τα συμβάντα σύνδεσης διατηρούνται από προεπιλογή 90 ημέρες, επιτρέπονται 7 έως 365 ημέρες. Οι διαχειριστικές ενέργειες διατηρούνται από προεπιλογή 12 μήνες, επιτρέπονται 1 έως 120 μήνες.

Κάθε χρονικό όριο έχει τον δικό του διακόπτη: «Delete old sign-in events» και «Delete old administrator actions». Αν ένας διακόπτης είναι κλειστός, αυτές οι εγγραφές παραμένουν. Η κάρτα «Χρόνοι διατήρησης» εξηγεί τη νυχτερινή εκτέλεση.

Σε ένα αίτημα πρόσβασης σε δεδομένα, το πρόσωπο λαμβάνει κάθε εγγραφή στην οποία ενήργησε ή επηρεάστηκε. Η διεύθυνση IP και το πρόγραμμα περιήγησης περιλαμβάνονται μόνο σε εγγραφές που προκάλεσε το ίδιο, για παράδειγμα τη δική του σύνδεση. Αν το πρόσωπο ανωνυμοποιηθεί, το σύστημα διαγράφει τα συμβάντα σύνδεσής του. Οι διαχειριστικές του ενέργειες παραμένουν. Το όνομά του εκεί αντικαθίσταται από το σύμβολο κράτησης θέσης.

Μια σημείωση για σένα ως φορέα λειτουργίας: οι επιτυχείς συνδέσεις βρίσκονται στην καταγραφή μόνο για διαχειριστές και μετά από αποτυχημένες προσπάθειες. Παρ’ όλα αυτά, η καταγραφή δείχνει ποιος έκανε τι και πότε. Σε μια εταιρεία με συμβούλιο εργαζομένων είναι επομένως θέμα συναπόφασης.

Στην κορυφή βρίσκεται ο κεντρικός διακόπτης «Enable single sign-on». Όσο είναι κλειστός, μένει το όνομα χρήστη και ο κωδικός πρόσβασης. Ό,τι ρυθμίζετε από κάτω αποθηκεύεται και ισχύει μόνο μόλις τον ανοίξετε.

Η κάρτα «Active Directory / LDAP» συνδέει έναν τοπικό κατάλογο. Καταχωρίζετε τον διακομιστή, τη βάση αναζήτησης, το φίλτρο που βρίσκει ένα πρόσωπο, και τα πεδία για τη διεύθυνση email και τα ονόματα.

Ο λογαριασμός που χρησιμοποιείται για τις αναζητήσεις είναι προαιρετικός. Χωρίς αυτόν το σύστημα ρωτά ανώνυμα. Ο κωδικός πρόσβασης ενός προσώπου χρησιμοποιείται μόνο για τη σύνδεση με τον κατάλογο και δεν αποθηκεύεται ποτέ.

Ένας κατάλογος δεν φέρνει δικό του δεύτερο παράγοντα. Αν η σελίδα ασφαλείας απαιτεί σύνδεση δύο παραγόντων, ζητείται και από αυτά τα πρόσωπα.

Η κάρτα «Identity providers» περιέχει τις εξωτερικές υπηρεσίες σύνδεσης. Καθεμία παίρνει το δικό της πλακίδιο και το δικό της κουμπί στη σελίδα σύνδεσης. Το «Add provider» δημιουργεί μια νέα.

Κάτω από το «Provider type» επιλέγετε το είδος. Το «Generic OIDC Provider» ταιριάζει σε υπηρεσίες όπως το Google Workspace, το Microsoft Entra ID, το Okta, το Keycloak, το Auth0 ή το Ping Identity. Το «SAML 2.0 Provider» ταιριάζει στους ίδιους οίκους όταν πρόκειται να συνδεθούν μέσω SAML.

Δίπλα τους υπάρχουν έξι περιφερειακές υπηρεσίες: LINE, Kakao, Naver, WeChat, WeCom και DingTalk. Οι διευθύνσεις τους είναι προσυμπληρωμένες και εμφανίζονται ως γκρι κείμενο μέσα στο πεδίο.

Το όνομα κάτω από το «Display name» εμφανίζεται αργότερα πάνω στο κουμπί. Ο διακόπτης δίπλα του ισχύει μόνο γι' αυτόν τον έναν πάροχο.

Για τη διεύθυνση επιστροφής δουλέψτε με αυτή τη σειρά. Καταχωρίστε πρώτα μόνο ένα όνομα και πατήστε «Save provider». Μόνο τότε γνωρίζει το σύστημα τον αριθμό του παρόχου και δείχνει την έτοιμη διεύθυνση κάτω από το «Redirect URI». Σχηματίζεται από τη δημόσια διεύθυνση αυτής της εγκατάστασης, αυτήν που είναι αποθηκευμένη κάτω από τις «Settings → Security». Αυτή είναι ακριβώς η διεύθυνση που χρησιμοποιεί το σύστημα όταν κάποιος συνδέεται.

Αντιγράφετε αυτή τη διεύθυνση και την καταχωρίζετε στον πάροχο. Εκεί πρέπει να ταιριάζει χαρακτήρα προς χαρακτήρα. Σε αντάλλαγμα ο πάροχος σάς δίνει ένα αναγνωριστικό και ένα μυστικό, και αυτά τα καταχωρίζετε εδώ μέσω του «Edit».

Το πεδίο «Allowed e-mail domains» περιορίζει ποιος μπορεί να μπει μέσω αυτού του παρόχου. Αν μείνει κενό, επιτρέπεται κάθε τομέας.

Αν σε έναν πάροχο λείπει ακόμη κάτι, το πλακίδιό του φέρει την κόκκινη ένδειξη «Incomplete». Δεν εμφανίζεται τότε στη σελίδα σύνδεσης. Το κείμενο δίπλα του λέει ποια πεδία χρειάζεται ο τύπος του.

Οι πλήρως ρυθμισμένοι πάροχοι δεν εμφανίζονται ούτε αυτοί όσο ο κεντρικός διακόπτης είναι κλειστός. Το πλακίδιο το λέει σε μια κίτρινη γραμμή.

Αν η άδεια χρήσης σας επιστρέψει στο Basic, η σύνδεση μέσω SSO και του καταλόγου συνεχίζει να λειτουργεί. Σε αυτή τη σελίδα μπορείτε τότε μόνο να απενεργοποιήσετε παρόχους και τον κατάλογο. Η καταγραφή των προσπαθειών σύνδεσης παραμένει αναγνώσιμη.

Ο διακόπτης «Automatically create accounts on first sign-in» βρίσκεται στην ίδια κάρτα με τον κεντρικό διακόπτη. Είναι από προεπιλογή ανοιχτός.

Όταν κάποιος συνδέεται για πρώτη φορά μέσω ενός παρόχου, το σύστημα ψάχνει πρώτα λογαριασμό που ανήκει ήδη σε αυτόν τον πάροχο. Αν δεν βρει κανέναν, δημιουργείται νέος.

Ο νέος λογαριασμός παίρνει τον ρόλο «Customer» και καμία ομάδα. Ένας πελάτης δεν χρειάζεται συμμετοχή για να δημιουργήσει αίτημα και επομένως μπορεί να εργαστεί αμέσως.

Οι πελάτες είναι απεριόριστοι και στις δύο εκδόσεις, οπότε ένας λογαριασμός που δημιουργείται έτσι δεν πιάνει θέση προσωπικού. Όποιος πρόκειται να γίνει χειριστής παίρνει τον ρόλο στη συνέχεια στη διαχείριση χρηστών.

Αν υπάρχει ήδη λογαριασμός με την ίδια διεύθυνση email, οι δύο συνδέονται. Αυτό γίνεται μόνο όταν ο πάροχος αναφέρει τη διεύθυνση ως επαληθευμένη. Αν δεν το κάνει, η σύνδεση απορρίπτεται.

Αν τον κλείσετε, μπαίνουν μόνο όσοι έχουν ήδη λογαριασμό. Όλοι οι άλλοι γυρίζουν πίσω.

Η κάρτα «Recent sign-in attempts» τελείως κάτω δείχνει τα τελευταία 100 συμβάντα σύνδεσης μέσω SSO και του καταλόγου. Προέρχονται από την καταγραφή ασφαλείας. Οι αποτυχημένες προσπάθειες βρίσκονται πάντα εκεί. Μια επιτυχής σύνδεση βρίσκεται εκεί μόνο για διαχειριστές και μετά από αποτυχημένες προσπάθειες στον ίδιο λογαριασμό. Γι’ αυτό δεν εμφανίζεται κάθε σύνδεση στη λίστα.

Κάθε γραμμή ονομάζει την ώρα, τον πάροχο, το αποτέλεσμα και τη διεύθυνση προέλευσης. Σε αποτυχημένη προσπάθεια στέκεται δίπλα ο λόγος. Η στήλη «User» δείχνει το όνομα του λογαριασμού. Αν δεν υπάρχει λογαριασμός, δείχνει τη διεύθυνση που ανέφερε ο πάροχος, αλλιώς «unknown account». Το σύστημα δεν αποθηκεύει το όνομα που καταχωρίστηκε.

Η σύνδεση με όνομα χρήστη και κωδικό πρόσβασης δεν εμφανίζεται σε αυτόν τον πίνακα. Δεν είναι SSO. Τη βρίσκεις στην καταγραφή ασφαλείας.

Από προεπιλογή οι εγγραφές διαγράφονται μετά από 90 ημέρες. Η πρόταση κάτω από τον τίτλο της κάρτας αναφέρει το χρονικό όριο που έχει οριστεί. Η κάρτα «Χρόνοι διατήρησης» εξηγεί τη ρύθμιση.

Μετά την εγκατάσταση η ομάδα σας χρησιμοποιεί το σύστημα σε κάθε πρόγραμμα περιήγησης ιστού. Το πρόγραμμα εγκατάστασης ρωτά πώς θα είναι προσβάσιμο το σύστημα. Στο πρόγραμμα εγκατάστασης για Windows το επιλέγετε στη σελίδα «Προσβασιμότητα». Στο Linux το install.sh κάνει την ίδια ερώτηση και αριθμεί τις επιλογές από 1 έως 5. Αργότερα το αλλάζετε με το «Αλλαγή του τρόπου πρόσβασης στο SMITEY». Τα δεδομένα σας μένουν εκεί που είναι.

Η επιλογή «Μόνο στο τοπικό δίκτυο, μέσω της διεύθυνσης IP (HTTP) - η απλούστερη επιλογή» είναι η προεπιλεγμένη ρύθμιση. Η ομάδα σας ανοίγει το σύστημα στο http:// ακολουθούμενο από τη διεύθυνση IP του διακομιστή και τη θύρα, για παράδειγμα http://192.168.1.20:8088. Η θύρα είναι η 8088, εκτός αν επιλέξετε άλλη. Λειτουργεί και η θύρα 80. Τότε η διεύθυνση δεν χρειάζεται θύρα. Αυτή η επιλογή δεν χρειάζεται ούτε όνομα ούτε πιστοποιητικό.

Η επιλογή «Στο τοπικό δίκτυο με δικό του όνομα (HTTP, HTTPS δυνατό αργότερα) - διαθέτετε εσωτερικό DNS» λειτουργεί όπως η πρώτη, αλλά με ένα όνομα όπως ticket.company.local. Το όνομα το δημιουργείτε εσείς στο εσωτερικό σας DNS. Δείχνει στη διεύθυνση IP του διακομιστή. Τότε η ομάδα σας φτάνει στο σύστημα με το όνομα και εξακολουθεί να φτάνει και με τη διεύθυνση IP. Στη συνέχεια το πρόγραμμα εγκατάστασης δείχνει τη διεύθυνση με αυτό το όνομα.

Και στις δύο επιλογές HTTP οι κωδικοί πρόσβασης και τα αιτήματα περνούν από το δίκτυό σας ως απλό κείμενο. Οι διαχειριστές βλέπουν τότε μια ειδοποίηση στο πάνω μέρος της σελίδας.

Οι άλλες τρεις επιλογές χρησιμοποιούν HTTPS: «Μέσω δημόσιου ονόματος τομέα με HTTPS (αυτόματα, με Let's Encrypt)», «Στο τοπικό δίκτυο με HTTPS και δικό σας πιστοποιητικό» και «Στο τοπικό δίκτυο με HTTPS, πιστοποιητικό που δημιουργεί το SMITEY». Χρειάζονται στον διακομιστή τις θύρες 80 και 443. Η επόμενη κάρτα τις περιγράφει.

Για μια πρώτη δοκιμή αρκεί η πρώτη επιλογή. Αν το δίκτυό σας έχει εσωτερικό DNS, επιλέξτε τη δεύτερη. Αν το σύστημα πρέπει να είναι προσβάσιμο από το διαδίκτυο, επιλέξτε τον δημόσιο τομέα. Αν η εταιρεία σας έχει δική της αρχή πιστοποίησης, επιλέξτε το δικό σας πιστοποιητικό στο τοπικό δίκτυο. Διαφορετικά αφήστε το SMITEY να δημιουργήσει το πιστοποιητικό.

Χωρίς HTTPS οι κωδικοί πρόσβασης και τα αιτήματα περνούν από το δίκτυό σας ως απλό κείμενο. Μια νέα εγκατάσταση ξεκινά με απλό HTTP, ώστε να λειτουργεί αμέσως σε οποιοδήποτε πρόγραμμα περιήγησης. Όσο ένας διαχειριστής ανοίγει το σύστημα μέσω απλού HTTP, εμφανίζεται στο πάνω μέρος της σελίδας μια ειδοποίηση: «This connection is not encrypted.» Αν το σύστημα ανοίξει στον ίδιο τον διακομιστή ως «localhost», η ειδοποίηση δεν εμφανίζεται. Οι χειριστές και οι πελάτες δεν τη βλέπουν ποτέ.

Το «How to switch on HTTPS» οδηγεί σε αυτή την κάρτα. Το «Hide for 30 days» κρύβει την ειδοποίηση για εσάς. Η ρύθμιση ανήκει στον λογαριασμό σας και ισχύει επομένως και σε άλλο πρόγραμμα περιήγησης. Μετά από 30 ημέρες η ειδοποίηση επιστρέφει, όσο η σύνδεση δεν είναι ακόμη κρυπτογραφημένη.

Το πρόγραμμα εγκατάστασης του SMITEY ρυθμίζει το HTTPS με τρεις τρόπους. Στο πρόγραμμα εγκατάστασης για Windows το επιλέγετε στη σελίδα «Προσβασιμότητα», και στο Linux το install.sh κάνει την ίδια ερώτηση. Σε ένα σύστημα που ήδη λειτουργεί, ανοίξτε το «Αλλαγή του τρόπου πρόσβασης στο SMITEY» στην επιφάνεια εργασίας των Windows ή στο μενού Έναρξη. Στο Linux κάνει το ίδιο η παρακάτω εντολή. Τα δεδομένα σας μένουν εκεί που είναι.

Η επιλογή «Στο τοπικό δίκτυο με HTTPS και δικό σας πιστοποιητικό» χρησιμοποιεί το δικό σας πιστοποιητικό, για παράδειγμα από την αρχή πιστοποίησης της εταιρείας σας. Το πρόγραμμα εγκατάστασης ζητά το όνομα του συστήματος και το αρχείο του πιστοποιητικού με το κλειδί του. Ένα αρχείο PFX με τον κωδικό του κάνει επίσης. Πριν αλλάξει οτιδήποτε, ελέγχει το πιστοποιητικό. Το κλειδί πρέπει να ταιριάζει, το πιστοποιητικό πρέπει να είναι έγκυρο και το όνομα πρέπει να υπάρχει στο πιστοποιητικό.

Η επιλογή «Στο τοπικό δίκτυο με HTTPS, πιστοποιητικό που δημιουργεί το SMITEY» δεν χρειάζεται δικό σας πιστοποιητικό. Το SMITEY δημιουργεί ένα μόνο του και το ανανεώνει επίσης μόνο του. Το πρόγραμμα εγκατάστασης αποθηκεύει το βασικό πιστοποιητικό ως SMITEY-root-ca.crt στον φάκελο εγκατάστασης. Εγκαταστήστε αυτό το αρχείο σε κάθε υπολογιστή ως αξιόπιστο βασικό πιστοποιητικό, για παράδειγμα με πολιτική ομάδας. Μέχρι τότε τα προγράμματα περιήγησης δείχνουν μια προειδοποίηση.

Η επιλογή «Μέσω δημόσιου ονόματος τομέα με HTTPS (αυτόματα, με Let's Encrypt)» παίρνει το πιστοποιητικό της από το Let’s Encrypt. Χρειάζεται έναν δημόσιο τομέα που δείχνει στον διακομιστή. Γι’ αυτό ο διακομιστής πρέπει να είναι προσβάσιμος από το διαδίκτυο.

Και στις δύο επιλογές για το τοπικό δίκτυο το όνομα μπορεί να είναι ένα όνομα όπως ticket.company.local, μία λέξη όπως helpdesk ή μια διεύθυνση IPv4. Και οι τρεις δρόμοι χρειάζονται στον διακομιστή τις θύρες 80 και 443. Αν τις χρησιμοποιεί άλλο πρόγραμμα, το πρόγραμμα εγκατάστασης σταματά και δεν αλλάζει τίποτα. Μετά το σύστημα είναι προσβάσιμο στο https:// και το όνομα, χωρίς θύρα.

Το δικό σας πιστοποιητικό κάποτε λήγει. Από 30 ημέρες πριν, οι διαχειριστές βλέπουν στο πάνω μέρος της σελίδας μια ειδοποίηση με την ημερομηνία. Από 7 ημέρες πριν είναι κόκκινη. Στην έκδοση Professional όλοι οι διαχειριστές με διεύθυνση email λαμβάνουν επιπλέον ένα email 30 και 7 ημέρες πριν. Για ανανέωση, ανοίξτε ξανά το «Αλλαγή του τρόπου πρόσβασης στο SMITEY», επιλέξτε την επιλογή με το δικό σας πιστοποιητικό και δώστε τα νέα αρχεία.

Το αρχείο HTTPS-GUIDE.txt που συνοδεύει την εγκατάσταση περιγράφει κάθε βήμα. Σε αυτά ανήκουν η διανομή του βασικού πιστοποιητικού και τα βήματα με το χέρι.