Autentifikacija i sigurnost, uključujući SSO

Kao zadana postavka svi se prijavljuju korisničkim imenom i lozinkom. Umjesto korisničkog imena radi i adresa e-pošte. Ako je slanje pošte postavljeno, ispod obrasca pojavljuje se poveznica „Do you need a password reset?“. Slanje pošte dio je izdanja Professional.

Nakon prijave preglednik dobiva propusnicu koja vrijedi određeno vrijeme. Koliko dugo, odlučuje kartica „JWT token timer“. Dopuštene su vrijednosti od 1 do 24 sata, preporučuje se 12. Nakon toga se osoba mora ponovno prijaviti.

Kartica „Password policy“ vrijedi za svaku lozinku postavljenu u sustavu. Provodi se pri stvaranju računa, kada osoba mijenja vlastitu lozinku i kada je administrator ponovno postavlja.

Postavljate najmanju duljinu, koje se vrste znakova moraju pojaviti, nakon koliko dana lozinka istječe i koliko starih lozinki ostaje blokirano. Za dane i za popis blokiranih 0 znači „isključeno“.

Pravila o velikim i malim slovima ne isključuju nijedan jezik. Mnogi pisani sustavi tu razliku uopće nemaju, a znak iz jednog od njih sam zadovoljava oba pravila.

Računi koji se prijavljuju samo putem SSO-a ili imenika nemaju lokalnu lozinku, pa se istek na njih ne odnosi. Njihova pravila žive kod pružatelja. Ako je postojeći račun povezan sa SSO-om i još ima vlastitu lozinku, na tu se lozinku i dalje odnose istek i pravila za lozinke.

Kartica „2FA Settings“ određuje tko mora koristiti dvofaktorsku prijavu. Pod „Two-factor requirement“ birate jednu od četiri razine: „Off“, „Administrators only“, „Administrators and agents“ ili „Everyone“. „Everyone“ obuhvaća i klijente. Nova instalacija počinje s „Administrators only“. Instalacija koja je postojala i prije zadržava nakon ažuriranja svoju dosadašnju postavku.

Tko se sljedeći put prijavi bez drugog faktora, postavlja ga. Sustav prikazuje QR kod za aplikaciju za autentifikaciju i isti ključ za ručni upis. Nakon prvog koda faktor je aktivan. Gumbom „Set up later“ postavljanje se može odgoditi, a prijava se nastavlja bez njega. To ide najviše 7 dana, računajući od prve odgode. Redak ispod gumba prikazuje preostale dane. Nakon toga postavljanje je obavezno.

Odmah nakon toga pojavljuje se deset kodova za oporavak. Svaki od njih jednom zamjenjuje kod iz aplikacije. Prikazuju se točno jedanput. Spremate ih gumbom „Copy“ ili „Download“. „Download“ radi uvijek. „Copy“ uglavnom također.

Ako netko izgubi svoj uređaj i svoje kodove, pomaže administrator. U popisu korisnika gumb s prekriženim štitom ponovno postavlja dvofaktorsku prijavu te osobe. Ona je pri sljedećoj prijavi postavlja iznova.

Kodovi ovise o satu poslužitelja. Ako je pogrešan, nijedan kod nije prihvaćen. Gumb „Check now“ na istoj kartici uspoređuje vrijeme poslužitelja s javnim izvorom vremena.

Ako se netko prijavi putem vanjske usluge prijave, sustav kod ne traži. Pružatelj je drugi faktor već provjerio. Kod prijave putem imenika je drukčije: ondje i dalje vrijedi pravilo iznad.

Svaki korisnik može za svoj račun uključiti dvofaktorsku prijavu. To vrijedi za svaku ulogu, i kad je kartica „2FA Settings“ ne traži. Otvorite korisnički izbornik dolje lijevo u bočnoj traci i odaberite „Profile picture“. Na istoj stranici nalazi se i područje „Two-factor authentication“.

Područje pokazuje je li dvofaktorska prijava uključena. Dok je isključena, ondje stoji gumb „Turn on“. On najprije traži vašu lozinku. Zatim se pojavljuje QR kod za aplikaciju za autentifikaciju i isti ključ za ručni upis. Nakon prvog koda iz aplikacije faktor je aktivan.

Odmah nakon toga pojavljuje se deset kodova za oporavak. Spremite ih gumbom „Copy“ ili „Download“. „I have saved my codes“ zatvara popis. Prikazuje se samo ovaj jedan put.

Dok je dvofaktorska prijava uključena, područje pokazuje koliko je kodova za oporavak preostalo. „New recovery codes“ stvara deset novih. Stari kodovi tada više ne rade. „Turn off“ ponovno isključuje dvofaktorsku prijavu. Oba gumba traže trenutačni kod iz aplikacije. Kod za oporavak ondje se ne prihvaća.

Ako kartica „2FA Settings“ za vašu ulogu traži dvofaktorsku prijavu, gumba „Turn off“ nema. Redak u području to kaže.

Pogrešna lozinka ili pogrešan kod broji se kao neuspjela prijava. Zaštita od pogađanja lozinke dakle vrijedi i ovdje. Uključivanje i isključivanje bilježi se u sigurnosnom zapisniku. Ako administrator isključi vlastitu dvofaktorsku prijavu, zapisnik javlja uzbunu.

Računi koji se prijavljuju samo preko vanjske usluge za prijavu vide rečenicu umjesto gumba. Drugi faktor kod njih rješava njihov pružatelj. Računi iz imenika u prvom koraku upisuju svoju lozinku iz imenika.

Zaštita radi bez ijedne postavke. Nema se što uključivati. Napomena o njoj stoji na kartici „2FA Settings“.

Radi u dva stupnja. Nakon pet neuspjelih pokušaja za isti račun, adresa s koje su došli se pauzira. Pauza završava najkasnije 15 minuta nakon prvog od tih pokušaja. Sa svake druge adrese račun odmah ostaje upotrebljiv.

To je važan dio. Inače bi svatko tko zna ime za prijavu mogao kolegu zaključati s pet krivih lozinki. Za to mu lozinka uopće ne bi trebala.

Drugi je stupanj sam račun. Zaključava se na 15 minuta nakon 20 neuspjelih pokušaja. Budući da pojedina adresa može pridonijeti najviše pet, za to treba više adresa.

Uspješna prijava poništava oba brojača. Nakon ponovnog pokretanja poslužitelja pauza adrese je gotova, zaključavanje računa ostaje. Isti brojači vrijede i za prijavu putem imenika. Nedostupan imenik ne broji se kao neuspio pokušaj. Ako za to ime u sustavu za tikete još nema računa, vrijedi samo pauza adrese.

U popisu korisnika ovako zaključan račun nosi oznaku „temporarily locked“. Ostaje u popisu. Nakon 15 minuta oznaka nestaje sama od sebe.

Ne morate čekati. U istom retku stoji gumb s otvorenim lokotom. On zaključavanje ukida odmah i briše oba brojača.

To nije isto što i „Archive“. Taj gumb račun trajno gasi, i samo on zauzima ili oslobađa mjesto zaposlenog korisnika.

Sigurnosni zapisnik bilježi dvije vrste događaja. Područje „Sign-in“ sadrži neuspjele prijave, zaključane račune, pokušaje prijave tijekom zaključavanja, odbijene dvofaktorske kodove i promjene lozinke. To vrijedi za prijavu lozinkom, putem imenika i putem SSO-a.

Područje „Administration“ pokazuje tko je što promijenio. To obuhvaća račune, uloge, ovlasti, sigurnosne postavke i arhive. Ondje se bilježi i svaki izvoz zapisnika.

Uspješne prijave bilježe se samo u dva slučaja. Prvi slučaj je administrator. Drugi slučaj je prijava nakon neuspjelih pokušaja za isti račun. Obična prijava agenta ili klijenta nije u zapisniku. Zapisnik nije popis prisutnosti.

Ako se netko prijavi imenom koje ne postoji, u unosu piše „unknown account“. Sustav ne sprema upisano ime. Ponekad je to lozinka koja je završila u pogrešnom polju.

Događaji prijave spremaju IP adresu i preglednik. Administratorske radnje spremaju tko ih je izvršio, ali ne i IP adresu. Lozinke, kodovi i sadržaj tiketa ili e-poruka nikada nisu u zapisniku.

Stranica prvo prikazuje najnovije unose, 50 po stranici. Kartica „Filters“ sužava popis. „Area“ bira prijave ili administraciju, „Event“ jednu vrstu događaja. „Person“ traži u imenu onoga tko je djelovao i onoga koga se to tiče. „From“ i „To“ ograničavaju dane. „Failures only“ skriva sve što je uspjelo.

Filtri djeluju tek nakon klika na „Apply“. „Reset“ ih ponovno uklanja.

„Export CSV“ i „Export PDF“ preuzimaju točno ono što filtri prikazuju. Svaka datoteka sadrži najviše 10.000 unosa. Ako filtrima odgovara više unosa, to javlja napomena uz gumbe za izvoz. PDF je na tvojem jeziku i na vrhu navodi filtre i razdoblje. Datum i vrijeme imaju format postavljen pod „Settings → General Settings“.

CSV datoteka uvijek ostaje na engleskom, a vremena su u UTC-u. Tako je program može pročitati neovisno o jeziku. Svaki izvoz i sam je u zapisniku, kao „Security log exported“.

Šest događaja pokreće upozorenje. To su račun zaključan nakon neuspjelih pokušaja, uloga promijenjena u „Admin“, račun odmah stvoren s ulogom „Admin“ i poništena dvofaktorska prijava administratora. Uz to dolaze arhivirani tiketi uklonjeni iz tekućih podataka i prijava administratora nakon neuspjelih pokušaja.

Nakon upozorenja svatko s ovlašću vidi žuti natpis na vrhu svake stranice. On navodi broj upozorenja od posljednjeg posjeta zapisniku. Poveznica „Open security log“ vodi onamo. Otvaranjem zapisnika natpis nestaje. Prije prvog posjeta broji upozorenja iz posljednjih sedam dana.

Osim toga svaki aktivni račun s ovlašću i adresom e-pošte dobiva e-poruku s upozorenjem. Sustav skuplja upozorenja svakih 15 minuta i šalje jednu poruku po osobi, a ne jednu po događaju. Poruka navodi događaj, pogođenu osobu i vrijeme. Ne sadrži IP adresu. E-poruka s upozorenjem dio je izdanja Professional.

Noćno pokretanje briše stare unose. Rokovi se nalaze pod „Settings → Security“ na kartici „Data protection“ u bloku „Security log retention“. Događaji prijave prema zadanim postavkama ostaju 90 dana, dopušteno je od 7 do 365 dana. Administratorske radnje prema zadanim postavkama ostaju 12 mjeseci, dopušteno je od 1 do 120 mjeseci.

Svaki rok ima vlastiti prekidač: „Delete old sign-in events“ i „Delete old administrator actions“. Ako je prekidač isključen, ti unosi ostaju. Kartica „Rokovi čuvanja“ objašnjava noćno pokretanje.

Kod zahtjeva za pristup podacima osoba dobiva svaki unos u kojem je djelovala ili koji je se tiče. IP adresa i preglednik prilažu se samo uz unose koje je sama pokrenula, na primjer uz vlastitu prijavu. Ako se osoba anonimizira, sustav briše njezine događaje prijave. Njezine administratorske radnje ostaju. Njezino ime ondje se zamjenjuje rezerviranim imenom.

Napomena za tebe kao operatera: uspješne prijave u zapisniku su samo za administratore i nakon neuspjelih pokušaja. Zapisnik ipak pokazuje tko je što i kada učinio. U tvrtki s radničkim vijećem to je stoga pitanje suodlučivanja.

Sasvim gore stoji glavni prekidač „Enable single sign-on“. Dok je isključen, ostaje se pri korisničkom imenu i lozinki. Sve što ispod njega postavite biva spremljeno i počinje vrijediti tek kada ga uključite.

Kartica „Active Directory / LDAP“ povezuje imenik u vlastitoj kući. Unosite poslužitelj, bazu pretraživanja, filtar koji pronalazi osobu te polja za adresu e-pošte i imena.

Račun za pretraživanje je neobavezan. Bez njega sustav pita anonimno. Lozinka osobe koristi se samo za povezivanje s imenikom i nikada se ne pohranjuje.

Imenik ne donosi vlastiti drugi faktor. Ako stranica za sigurnost traži dvofaktorsku prijavu, i te se osobe za nju pita.

Kartica „Identity providers“ sadrži vanjske usluge prijave. Svaka dobiva vlastitu pločicu i vlastiti gumb na stranici za prijavu. „Add provider“ stvara novu.

Pod „Provider type“ birate vrstu. „Generic OIDC Provider“ odgovara uslugama poput Google Workspacea, Microsoft Entra ID-a, Okte, Keycloaka, Auth0 ili Ping Identityja. „SAML 2.0 Provider“ odgovara istim kućama kada ih treba povezati preko SAML-a.

Uz njih stoji šest regionalnih usluga: LINE, Kakao, Naver, WeChat, WeCom i DingTalk. Njihove su adrese unaprijed ispunjene i pojavljuju se kao sivi tekst u polju.

Naziv pod „Display name“ poslije se pojavljuje na gumbu. Prekidač pokraj njega odnosi se samo na ovog jednog pružatelja.

Za povratnu adresu radite ovim redoslijedom. Prvo unesite samo naziv i kliknite „Save provider“. Tek tada sustav zna broj pružatelja i prikazuje gotovu adresu pod „Redirect URI“. Ona se sastavlja od javne adrese ove instalacije, one spremljene pod „Settings → Security“. Upravo tu adresu sustav koristi kada se netko prijavljuje.

Tu adresu kopirate i registrirate kod pružatelja. Ondje se mora podudarati znak po znak. Zauzvrat vam pružatelj daje ID i tajnu, a njih ovdje unosite putem „Edit“.

Polje „Allowed e-mail domains“ ograničava tko smije ući preko ovog pružatelja. Ostavljeno prazno, dopuštena je svaka domena.

Ako pružatelju još nešto nedostaje, njegova pločica nosi crvenu oznaku „Incomplete“. Tada se ne pojavljuje na stranici za prijavu. Tekst pokraj nje kaže koja polja njegova vrsta traži.

Potpuno postavljeni pružatelji ipak se ne pojavljuju dok je glavni prekidač isključen. Pločica to kaže u žutom retku.

Ako vaša licenca padne natrag na Basic, prijava putem SSO-a i imenika i dalje radi. Na ovoj stranici tada možete samo isključiti pružatelje i imenik. Zapisnik pokušaja prijave ostaje čitljiv.

Prekidač „Automatically create accounts on first sign-in“ nalazi se na istoj kartici kao i glavni prekidač. Kao zadana postavka je uključen.

Kada se netko prvi put prijavi preko pružatelja, sustav prvo traži račun koji tom pružatelju već pripada. Ako ga ne nađe, stvara novi.

Novi račun dobiva ulogu „Customer“ i nijedan tim. Klijentu za otvaranje tiketa članstvo ne treba, pa može odmah raditi.

Klijenti su u oba izdanja neograničeni, pa ovako stvoren račun ne troši mjesto zaposlenog korisnika. Tko treba postati agent, ulogu dobiva poslije u upravljanju korisnicima.

Ako račun s istom adresom e-pošte već postoji, to se dvoje povezuje. To se događa samo kada pružatelj adresu prijavi kao provjerenu. Ako ne, prijava se odbija.

Ako ga isključite, ulaze samo ljudi koji već imaju račun. Svi se ostali odbijaju.

Kartica „Recent sign-in attempts“ sasvim dolje prikazuje posljednjih 100 događaja prijave putem SSO-a i imenika. Potječu iz sigurnosnog zapisnika. Neuspjeli pokušaji uvijek su u njoj. Uspješna prijava u njoj je samo za administratore i nakon neuspjelih pokušaja za isti račun. Zato na popisu nije svaka prijava.

Svaki redak imenuje vrijeme, pružatelja, ishod i izvornu adresu. Kod neuspjelog pokušaja pokraj stoji razlog. Stupac „User“ prikazuje ime računa. Ako nema računa, prikazuje adresu koju je javio pružatelj, inače „unknown account“. Sustav ne sprema uneseno ime.

Prijava korisničkim imenom i lozinkom u ovoj se tablici ne pojavljuje. Ona nije SSO. Nalaziš je u sigurnosnom zapisniku.

Zadano se unosi brišu nakon 90 dana. Rečenica ispod naslova kartice navodi postavljeni rok. Postavku objašnjava kartica „Rokovi čuvanja“.

Nakon instalacije vaš tim koristi sustav u bilo kojem web-pregledniku. Instalacijski program pita kako sustav treba biti dostupan. U instalacijskom programu za Windows to birate na stranici „Dostupnost“. U Linuxu install.sh postavlja isto pitanje i numerira mogućnosti od 1 do 5. Kasnije to mijenjate pomoću „Promijeni način pristupa SMITEY-u“. Vaši podaci ostaju gdje jesu.

Mogućnost „Samo u lokalnoj mreži, putem IP adrese (HTTP) - najjednostavnija opcija“ zadana je postavka. Vaš tim otvara sustav na http:// nakon čega slijede IP adresa poslužitelja i port, na primjer http://192.168.1.20:8088. Port je 8088, osim ako odaberete neki drugi. Radi i port 80. Tada adresi ne treba port. Ova mogućnost ne treba naziv ni certifikat.

Mogućnost „U lokalnoj mreži pod vlastitim nazivom (HTTP, HTTPS moguć kasnije) - imate interni DNS“ radi kao prva, ali pod nazivom poput ticket.company.local. Naziv sami stvarate u svom internom DNS-u. On pokazuje na IP adresu poslužitelja. Tada vaš tim dolazi do sustava preko naziva, a i dalje i preko IP adrese. Instalacijski program zatim prikazuje adresu s tim nazivom.

Kod obje mogućnosti s HTTP-om lozinke i tiketi idu kroz vašu mrežu kao čitljiv tekst. Administratori tada vide obavijest na vrhu stranice.

Ostale tri mogućnosti koriste HTTPS: „Putem javne domene s HTTPS-om (automatski, uz Let's Encrypt)“, „U lokalnoj mreži s HTTPS-om i vlastitim certifikatom“ i „U lokalnoj mreži s HTTPS-om, certifikat izrađuje SMITEY“. Trebaju portove 80 i 443 na poslužitelju. Sljedeća kartica ih opisuje.

Za prvi test dovoljna je prva mogućnost. Ako vaša mreža ima interni DNS, odaberite drugu. Ako sustav treba biti dostupan s interneta, odaberite javnu domenu. Ako vaša tvrtka ima vlastito certifikacijsko tijelo, odaberite vlastiti certifikat u lokalnoj mreži. Inače neka SMITEY izradi certifikat.

Bez HTTPS-a lozinke i tiketi idu kroz vašu mrežu kao čitljiv tekst. Nova instalacija počinje s običnim HTTP-om, kako bi odmah radila u bilo kojem web-pregledniku. Dok administrator otvara sustav preko običnog HTTP-a, na vrhu stranice pojavljuje se obavijest: „This connection is not encrypted.“ Ako se sustav otvori na samom poslužitelju kao „localhost“, obavijest se ne pojavljuje. Agenti i klijenti je nikad ne vide.

„How to switch on HTTPS“ vodi do ove kartice. „Hide for 30 days“ skriva obavijest za vas. Postavka pripada vašem računu i zato vrijedi i u drugom pregledniku. Nakon 30 dana obavijest se vraća, dok veza još nije šifrirana.

Instalacijski program SMITEY postavlja HTTPS na tri načina. U instalacijskom programu za Windows birate ga na stranici „Dostupnost“, a u Linuxu install.sh postavlja isto pitanje. Na sustavu koji već radi otvorite „Promijeni način pristupa SMITEY-u“ na radnoj površini Windowsa ili u izborniku Start. U Linuxu isto radi naredba ispod. Vaši podaci ostaju gdje jesu.

Mogućnost „U lokalnoj mreži s HTTPS-om i vlastitim certifikatom“ koristi vaš vlastiti certifikat, na primjer od certifikacijskog tijela vaše tvrtke. Instalacijski program traži naziv sustava i datoteku certifikata s njezinim ključem. Radi i PFX datoteka s njezinom lozinkom. Prije nego što išta promijeni, provjerava certifikat. Ključ mora odgovarati, certifikat mora biti valjan, a naziv mora stajati u certifikatu.

Mogućnost „U lokalnoj mreži s HTTPS-om, certifikat izrađuje SMITEY“ ne treba vlastiti certifikat. SMITEY ga sam stvara i sam ga obnavlja. Korijenski certifikat instalacijski program sprema kao SMITEY-root-ca.crt u instalacijsku mapu. Instalirajte tu datoteku na svako računalo kao pouzdani korijenski certifikat, na primjer pravilima grupe. Do tada preglednici prikazuju upozorenje.

Mogućnost „Putem javne domene s HTTPS-om (automatski, uz Let's Encrypt)“ dohvaća svoj certifikat od Let’s Encrypt. Treba javnu domenu koja pokazuje na poslužitelj. Poslužitelj zato mora biti dostupan s interneta.

Kod obje mogućnosti za lokalnu mrežu naziv može biti naziv poput ticket.company.local, jedna riječ poput helpdesk ili IPv4 adresa. Sva tri puta trebaju na poslužitelju portove 80 i 443. Ako ih koristi drugi program, instalacijski program prekida i ništa ne mijenja. Sustav je zatim dostupan na https:// i nazivu, bez porta.

Vaš vlastiti certifikat jednom istječe. Od 30 dana prije administratori na vrhu stranice vide obavijest s datumom. Od 7 dana prije ona je crvena. U izdanju Professional svi administratori s adresom e-pošte dobivaju još i poruku 30 i 7 dana prije. Za obnovu ponovno otvorite „Promijeni način pristupa SMITEY-u“, odaberite mogućnost s vlastitim certifikatom i navedite nove datoteke.

Datoteka HTTPS-GUIDE.txt koja dolazi s instalacijom opisuje svaki korak. Tu spadaju raspodjela korijenskog certifikata i ručni koraci.