Hitelesítés és biztonság, SSO-val együtt

Alapból mindenki felhasználónévvel és jelszóval jelentkezik be. A felhasználónév helyett az e-mail-cím is működik. Ha a levélküldés be van állítva, az űrlap alatt megjelenik a „Do you need a password reset?” hivatkozás. A levélküldés a Professional része.

A bejelentkezés után a böngésző meghatározott ideig érvényes belépőt kap. Hogy meddig, azt a „JWT token timer” kártya dönti el. 1 és 24 óra közötti érték megengedett, az ajánlás 12. Ezután az illetőnek újra be kell jelentkeznie.

A „Password policy” kártya minden, a rendszerben beállított jelszóra érvényes. A rendszer betartatja fiók létrehozásakor, amikor valaki a saját jelszavát változtatja meg, és amikor egy rendszergazda visszaállít egyet.

Beállítja a minimális hosszt, azt, milyen karakterfajtáknak kell szerepelniük, hány nap után jár le egy jelszó, és hány régi jelszó marad tiltva. A napoknál és a tiltólistánál a 0 azt jelenti: „kikapcsolva”.

A kis- és nagybetűkre vonatkozó szabályok egyetlen nyelvet sem zárnak ki. Sok írásrendszer egyáltalán nem tesz ilyen különbséget, és onnan egyetlen karakter magában teljesíti mindkét szabályt.

Azoknak a fiókoknak, amelyek csak SSO-n vagy címtáron át jelentkeznek be, nincs helyi jelszavuk, így a lejárat rájuk nem vonatkozik. Az ő szabályaik a szolgáltatónál laknak. Ha egy meglévő fiókot SSO-hoz kapcsoltak, és még van saját jelszava, arra a jelszóra továbbra is érvényes a lejárat és a jelszószabályzat.

A „2FA Settings” kártya határozza meg, kinek kell kétlépcsős bejelentkezést használnia. A „Two-factor requirement” alatt négy szint közül választ: „Off”, „Administrators only”, „Administrators and agents” vagy „Everyone”. Az „Everyone” az ügyfeleket is magában foglalja. Egy új telepítés az „Administrators only” szinttel indul. Egy korábban is létező telepítés frissítés után megtartja eddigi beállítását.

Aki legközelebb második tényező nélkül jelentkezik be, beállít egyet. A rendszer QR-kódot mutat egy hitelesítő alkalmazáshoz, és ugyanazt a kulcsot kézzel begépelhető alakban is. Az első kód után a tényező aktív. A „Set up later” gombbal a beállítás elhalasztható, és a bejelentkezés nélküle folytatódik. Ez legfeljebb 7 napig lehetséges, az első halasztástól számítva. A gomb alatti sor mutatja a hátralévő napokat. Ezután a beállítás kötelező.

Közvetlenül ezután tíz helyreállítási kód jelenik meg. Mindegyikük egyszer helyettesíti az alkalmazásból származó kódot. Pontosan egyszer jelennek meg. A „Copy” vagy a „Download” gombbal mentheti őket. A „Download” mindig működik. A „Copy” többnyire szintén.

Ha valaki elveszíti az eszközét és a kódjait, a rendszergazda segít. A felhasználólistában az áthúzott pajzsot ábrázoló gomb visszaállítja az illető kétlépcsős bejelentkezését. A következő bejelentkezéskor újra beállítja.

A kódok a kiszolgáló órájától függenek. Ha az rosszul jár, egyetlen kódot sem fogad el a rendszer. Az ugyanezen a kártyán lévő „Check now” gomb egy nyilvános időforráshoz hasonlítja a kiszolgáló idejét.

Ha valaki külső bejelentkezési szolgáltatáson át jelentkezik be, a rendszer nem kér kódot. A szolgáltató a második tényezőt már ellenőrizte. A címtáras bejelentkezés más: ott a fenti szabály továbbra is érvényes.

Minden felhasználó bekapcsolhatja a kétlépcsős bejelentkezést a saját fiókjára. Ez minden szerepkörre érvényes, akkor is, ha a „2FA Settings” kártya nem követeli meg. Nyissa meg az oldalsáv bal alsó sarkában lévő felhasználói menüt, és válassza a „Profile picture” pontot. Ugyanezen az oldalon van a „Two-factor authentication” terület.

A terület mutatja, be van-e kapcsolva a kétlépcsős bejelentkezés. Amíg ki van kapcsolva, ott a „Turn on” gomb. Ez először a jelszavát kéri. Ezután megjelenik egy QR-kód a hitelesítő alkalmazáshoz, és ugyanaz a kulcs kézzel begépelhető alakban. Az alkalmazás első kódja után a tényező aktív.

Közvetlenül ezután tíz helyreállítási kód jelenik meg. Mentse őket a „Copy” vagy a „Download” gombbal. Az „I have saved my codes” bezárja a listát. Csak ez az egyetlen alkalommal jelenik meg.

Amíg a kétlépcsős bejelentkezés be van kapcsolva, a terület mutatja, hány helyreállítási kód maradt. A „New recovery codes” tíz újat hoz létre. A régi kódok ekkor már nem működnek. A „Turn off” újra kikapcsolja a kétlépcsős bejelentkezést. Mindkét gomb az alkalmazás aktuális kódját kéri. Helyreállítási kódot ott nem fogad el.

Ha a „2FA Settings” kártya az Ön szerepköréhez kétlépcsős bejelentkezést követel meg, a „Turn off” gomb hiányzik. Ezt egy sor jelzi a területen.

A hibás jelszó vagy a hibás kód sikertelen bejelentkezésnek számít. A jelszókitalálás elleni védelem tehát itt is érvényes. A be- és kikapcsolás bekerül a biztonsági naplóba. Ha egy rendszergazda kikapcsolja a saját kétlépcsős bejelentkezését, a napló riasztást ad.

Azok a fiókok, amelyek csak külső bejelentkezési szolgáltatáson keresztül lépnek be, a gombok helyett egy mondatot látnak. A második tényezőt náluk a szolgáltatójuk kezeli. A címtárból származó fiókok az első lépésben a címtárbeli jelszavukat adják meg.

A védelem beállítás nélkül fut. Nincs mit bekapcsolni. Az erről szóló megjegyzés a „2FA Settings” kártyán áll.

Két fokozatban működik. Ugyanarra a fiókra vonatkozó öt sikertelen próbálkozás után az a cím, ahonnan érkeztek, szünetel. A szünet legkésőbb 15 perccel az első ilyen próbálkozás után véget ér. Minden más címről a fiók azonnal használható marad.

Ez a fontos rész. Különben bárki, aki ismer egy bejelentkezési nevet, öt rossz jelszóval kizárhatna egy kollégát. Ehhez soha nem kellene jelszó.

A második fokozat maga a fiók. 20 sikertelen próbálkozás után 15 percre zárolásra kerül. Mivel egyetlen cím legfeljebb ötöt tehet hozzá, ehhez több cím kell.

A sikeres bejelentkezés mindkét számlálót nullázza. A kiszolgáló újraindítása után a címszünet eltűnik, a fiókzárolás megmarad. Ugyanezek a számlálók érvényesek a címtáron keresztüli bejelentkezésre is. Az elérhetetlen címtár nem számít sikertelen próbálkozásnak. Ha a névhez még nincs fiók a hibajegyrendszerben, csak a címszünet érvényes.

A felhasználólistában az így zárolt fiók a „temporarily locked” jelölést viseli. A listában marad. 15 perc után a jelölés magától eltűnik.

Nem kell megvárnia. Ugyanabban a sorban van egy nyitott lakatot ábrázoló gomb. Az azonnal feloldja a zárolást, és mindkét számlálót nullázza.

Ez nem ugyanaz, mint az „Archive”. Az a gomb véglegesen leállít egy fiókot, és csak az foglal vagy szabadít fel munkatársi férőhelyet.

A biztonsági napló kétféle eseményt rögzít. A „Sign-in” területen a sikertelen bejelentkezések, a zárolt fiókok, a zárolás alatti bejelentkezési kísérletek, az elutasított kétlépcsős kódok és a jelszómódosítások szerepelnek. Ez érvényes a jelszavas, a címtáron keresztüli és az SSO-n keresztüli bejelentkezésre.

Az „Administration” terület mutatja, ki mit módosított. Ide tartoznak a fiókok, a szerepkörök, a jogosultságok, a biztonsági beállítások és az archívumok. A napló minden exportja is ide kerül.

A sikeres bejelentkezéseket a rendszer csak két esetben rögzíti. Az első eset egy adminisztrátor. A második eset egy bejelentkezés ugyanazon fiók sikertelen próbálkozásai után. Egy ügyintéző vagy ügyfél szokásos bejelentkezése nem kerül a naplóba. A napló nem jelenléti ív.

Ha valaki nem létező névvel jelentkezik be, a bejegyzésben „unknown account” áll. A rendszer nem menti a beírt nevet. Néha ez egy jelszó, amely rossz mezőbe került.

A bejelentkezési események az IP-címet és a böngészőt mentik. Az adminisztrátori műveletek azt mentik, ki hajtotta végre őket, IP-címet viszont nem. Jelszavak, kódok, valamint hibajegyek vagy e-mailek tartalma soha nem kerül a naplóba.

Az oldal a legújabb bejegyzéseket mutatja elöl, oldalanként 50-et. A „Filters” kártya szűkíti a listát. Az „Area” a bejelentkezéseket vagy az adminisztrációt választja, az „Event” egyetlen eseménytípust. A „Person” abban keres, aki cselekedett, és abban, akit érintett. A „From” és a „To” a napokat korlátozza. A „Failures only” elrejt mindent, ami sikerült.

A szűrők csak az „Apply” gombra kattintás után lépnek életbe. A „Reset” ismét eltávolítja őket.

Az „Export CSV” és az „Export PDF” pontosan azt tölti le, amit a szűrők mutatnak. Minden fájl legfeljebb 10 000 bejegyzést tartalmaz. Ha több bejegyzés felel meg a szűrőknek, az exportgomboknál egy megjegyzés jelzi ezt. A PDF a te nyelveden készül, és felül megnevezi a szűrőket és az időszakot. A dátum és az idő a „Settings → General Settings” alatt beállított formátumot követi.

A CSV-fájl mindig angol marad, az időpontok UTC-ben szerepelnek. Így egy program a nyelvtől függetlenül be tudja olvasni. Minden export maga is bekerül a naplóba „Security log exported” néven.

Hat esemény vált ki riasztást. Ezek a sikertelen próbálkozások után zárolt fiók, az „Admin” szerepkörre módosított szerepkör, egy rögtön „Admin” szerepkörrel létrehozott fiók és egy adminisztrátor visszaállított kétlépcsős bejelentkezése. Ehhez jönnek még a folyó adatokból eltávolított archivált hibajegyek és egy adminisztrátor bejelentkezése sikertelen próbálkozások után.

Riasztás után a jogosultsággal rendelkezők minden oldal tetején sárga sávot látnak. Ez a naplóban tett utolsó látogatásuk óta történt riasztások számát mutatja. Az „Open security log” hivatkozás odavezet. A napló megnyitásával a sáv eltűnik. Az első látogatás előtt az utolsó hét nap riasztásait számolja.

Emellett minden aktív fiók, amely rendelkezik a jogosultsággal és e-mail-címmel, riasztó e-mailt kap. A rendszer 15 percenként összegyűjti a riasztásokat, és személyenként egy e-mailt küld, nem eseményenként egyet. Az e-mail megnevezi az eseményt, az érintett személyt és az időpontot. IP-címet nem tartalmaz. A riasztó e-mail a Professional része.

Az éjszakai futás törli a régi bejegyzéseket. A határidők a „Settings → Security” alatt, a „Data protection” kártyán, a „Security log retention” blokkban találhatók. A bejelentkezési események alapértelmezés szerint 90 napig maradnak meg, 7 és 365 nap között állítható. Az adminisztrátori műveletek alapértelmezés szerint 12 hónapig maradnak meg, 1 és 120 hónap között állítható.

Minden határidőnek saját kapcsolója van: „Delete old sign-in events” és „Delete old administrator actions”. Ha egy kapcsoló ki van kapcsolva, ezek a bejegyzések megmaradnak. Az „Adatmegőrzési határidők” kártya elmagyarázza az éjszakai futást.

Adatkérésnél a személy minden olyan bejegyzést megkap, amelyben cselekedett vagy amely érintette. Az IP-cím és a böngésző csak azoknál a bejegyzéseknél szerepel, amelyeket ő maga váltott ki, például a saját bejelentkezésénél. Ha a személyt anonimizálják, a rendszer törli a bejelentkezési eseményeit. Az adminisztrátori műveletei megmaradnak. A neve ott a helyőrzőre cserélődik.

Megjegyzés neked mint üzemeltetőnek: a sikeres bejelentkezések csak adminisztrátoroknál és sikertelen próbálkozások után szerepelnek a naplóban. A napló ennek ellenére megmutatja, ki mit és mikor tett. Üzemi tanáccsal rendelkező cégnél ezért ez együttdöntési kérdés.

Legfelül áll az „Enable single sign-on” főkapcsoló. Amíg ki van kapcsolva, marad a felhasználónév és a jelszó. Minden, amit alatta beállít, mentésre kerül, és csak akkor lép életbe, ha bekapcsolja.

Az „Active Directory / LDAP” kártya egy helyben üzemeltetett címtárat köt be. Megadja a kiszolgálót, a keresési alapot, a személyt megtaláló szűrőt, valamint az e-mail-cím és a nevek mezőit.

A keresésekhez használt fiók nem kötelező. Enélkül a rendszer névtelenül kérdez. Egy személy jelszavát a rendszer csak a címtárhoz való hitelesítésre használja, és soha nem tárolja.

A címtár nem hoz saját második tényezőt. Ha a biztonsági oldal megköveteli a kétlépcsős bejelentkezést, ezeket az embereket is megkérdezi.

Az „Identity providers” kártya tartalmazza a külső bejelentkezési szolgáltatásokat. Mindegyik saját csempét és saját gombot kap a bejelentkezési oldalon. Az „Add provider” hoz létre újat.

A „Provider type” alatt választja ki a fajtát. A „Generic OIDC Provider” olyan szolgáltatásokhoz illik, mint a Google Workspace, a Microsoft Entra ID, az Okta, a Keycloak, az Auth0 vagy a Ping Identity. A „SAML 2.0 Provider” ugyanezekhez a házakhoz illik, ha SAML-en át kell bekötni őket.

Mellettük hat regionális szolgáltatás áll: LINE, Kakao, Naver, WeChat, WeCom és DingTalk. A címeik előre ki vannak töltve, és szürke szövegként jelennek meg a mezőben.

A „Display name” alatt megadott név később a gombon jelenik meg. A mellette lévő kapcsoló csak erre az egy szolgáltatóra vonatkozik.

A visszahívási címnél ebben a sorrendben járjon el. Először csak egy nevet adjon meg, és kattintson a „Save provider” gombra. A rendszer csak ezután ismeri a szolgáltató számát, és mutatja meg a kész címet a „Redirect URI” alatt. A cím ennek a telepítésnek a nyilvános címéből áll össze, abból, amelyik a „Settings → Security” alatt van eltárolva. A rendszer pontosan ezt a címet használja, amikor valaki bejelentkezik.

Ezt a címet lemásolja, és bejegyzi a szolgáltatónál. Ott karakterről karakterre egyeznie kell. Cserébe a szolgáltató ad Önnek egy azonosítót és egy titkos kulcsot, ezeket pedig itt viszi be az „Edit” gombbal.

Az „Allowed e-mail domains” mező korlátozza, ki jöhet be ezen a szolgáltatón át. Üresen hagyva minden tartománynév megengedett.

Ha egy szolgáltatónál még hiányzik valami, a csempéje a piros „Incomplete” jelölést viseli. Ekkor nem jelenik meg a bejelentkezési oldalon. A mellette lévő szöveg megmondja, mely mezőkre van szüksége az adott fajtának.

A teljesen beállított szolgáltatók sem jelennek meg, amíg a főkapcsoló ki van kapcsolva. A csempe ezt sárga sorban kiírja.

Ha a licence visszaesik Basicre, az SSO-n és a címtáron keresztüli bejelentkezés tovább működik. Ezen az oldalon ekkor már csak kikapcsolni tudja a szolgáltatókat és a címtárat. A bejelentkezési kísérletek naplója olvasható marad.

Az „Automatically create accounts on first sign-in” kapcsoló ugyanazon a kártyán van, mint a főkapcsoló. Alapból be van kapcsolva.

Ha valaki először jelentkezik be egy szolgáltatón át, a rendszer először olyan fiókot keres, amely már ahhoz a szolgáltatóhoz tartozik. Ha nem talál, újat hoz létre.

Az új fiók a „Customer” szerepkört kapja, és nem kerül csapatba. Egy ügyfélnek nem kell tagság ahhoz, hogy hibajegyet hozzon létre, tehát azonnal tud dolgozni.

Az ügyfelek száma mindkét kiadásban korlátlan, így az így létrejött fiók nem foglal munkatársi férőhelyet. Aki ügyintéző lesz, a szerepkört utólag kapja meg a felhasználókezelésben.

Ha már létezik fiók ugyanazzal az e-mail-címmel, a kettő összekapcsolódik. Ez csak akkor történik meg, ha a szolgáltató ellenőrzöttként jelenti a címet. Ha nem, a rendszer visszautasítja a bejelentkezést.

Ha kikapcsolja, csak azok jutnak be, akiknek már van fiókjuk. Mindenki mást elutasít a rendszer.

A legalul lévő „Recent sign-in attempts” kártya az SSO-n és a címtáron keresztüli utolsó 100 bejelentkezési eseményt mutatja. Ezek a biztonsági naplóból származnak. A sikertelen próbálkozások mindig benne vannak. Sikeres bejelentkezés csak adminisztrátoroknál és ugyanazon fiók sikertelen próbálkozásai után szerepel benne. Ezért nem minden bejelentkezés jelenik meg a listában.

Minden sor megnevezi az időpontot, a szolgáltatót, az eredményt és a forráscímet. Sikertelen próbálkozásnál mellette az ok áll. A „User” oszlop a fiók nevét mutatja. Ha nincs fiók, a szolgáltató által jelentett címet mutatja, egyébként „unknown account” áll ott. A megadott nevet a rendszer nem menti.

A felhasználónévvel és jelszóval való bejelentkezés nem jelenik meg ebben a táblázatban. Az nem SSO. A biztonsági naplóban találod.

Alapértelmezetten a bejegyzések 90 nap után törlődnek. A kártya címe alatti mondat megnevezi a beállított határidőt. A beállítást az „Adatmegőrzési határidők” kártya magyarázza el.

A telepítés után a csapata bármely webböngészőben használja a rendszert. A telepítő megkérdezi, hogyan legyen elérhető a rendszer. A Windows-telepítőben ezt az „Elérhetőség” oldalon választja ki. Linuxon az install.sh ugyanezt kérdezi, és 1-től 5-ig számozza a lehetőségeket. Később ezt „A SMITEY elérési módjának módosítása” elemmel változtatja meg. Az adatai a helyükön maradnak.

A „Csak a helyi hálózaton, IP-cím alapján (HTTP) - a legegyszerűbb megoldás” lehetőség az alapbeállítás. A csapata a http:// után a szerver IP-címével és a porttal nyitja meg a rendszert, például: http://192.168.1.20:8088. A port 8088, hacsak nem választ másikat. A 80-as port is működik. Ekkor a címhez nem kell port. Ehhez a lehetőséghez nem kell sem név, sem tanúsítvány.

Az „A helyi hálózaton saját néven (HTTP, HTTPS később lehetséges) - van belső DNS-e” lehetőség úgy működik, mint az első, de egy olyan név alatt, mint a ticket.company.local. A nevet Ön hozza létre a belső DNS-ében. A név a szerver IP-címére mutat. Ezután a csapata a néven és továbbra is az IP-címen is eléri a rendszert. A telepítő ezután ezzel a névvel mutatja a címet.

Mindkét HTTP-s lehetőségnél a jelszavak és a hibajegyek olvasható szövegként haladnak át a hálózatán. A rendszergazdák ekkor értesítést látnak az oldal tetején.

A másik három lehetőség HTTPS-t használ: „Nyilvános tartományon keresztül HTTPS-sel (automatikusan, Let's Encrypt használatával)”, „A helyi hálózaton HTTPS-sel és saját tanúsítvánnyal” és „A helyi hálózaton HTTPS-sel, a SMITEY által létrehozott tanúsítvánnyal”. Ezekhez a szerveren a 80-as és a 443-as port kell. A következő kártya írja le őket.

Egy első teszthez elég az első lehetőség. Ha a hálózatában van belső DNS, válassza a másodikat. Ha a rendszernek az internetről is elérhetőnek kell lennie, válassza a nyilvános tartományt. Ha a cégének saját hitelesítésszolgáltatója van, válassza a helyi hálózaton a saját tanúsítványt. Egyébként hagyja, hogy a SMITEY hozza létre a tanúsítványt.

HTTPS nélkül a jelszavak és a hibajegyek olvasható szövegként haladnak át a hálózatán. Egy új telepítés egyszerű HTTP-vel indul, hogy azonnal működjön bármely webböngészőben. Amíg egy rendszergazda egyszerű HTTP-n nyitja meg a rendszert, az oldal tetején értesítés jelenik meg: „This connection is not encrypted.” Ha a rendszert magán a szerveren, „localhost” címen nyitják meg, az értesítés nem jelenik meg. Az ügyintézők és az ügyfelek soha nem látják.

A „How to switch on HTTPS” ehhez a kártyához vezet. A „Hide for 30 days” elrejti az értesítést az Ön számára. A beállítás az Ön fiókjához tartozik, ezért egy másik böngészőben is érvényes. 30 nap után az értesítés visszatér, amíg a kapcsolat még mindig nincs titkosítva.

A SMITEY telepítője háromféleképpen állítja be a HTTPS-t. A Windows-telepítőben az „Elérhetőség” oldalon választ, Linuxon pedig az install.sh ugyanezt kérdezi. Egy már futó rendszeren nyissa meg az „A SMITEY elérési módjának módosítása” elemet a Windows asztalán vagy a Start menüben. Linuxon az alábbi parancs ugyanezt teszi. Az adatai a helyükön maradnak.

Az „A helyi hálózaton HTTPS-sel és saját tanúsítvánnyal” lehetőség a saját tanúsítványát használja, például a cége hitelesítésszolgáltatójától. A telepítő a rendszer nevét és a tanúsítványfájlt kéri a kulcsával. Egy PFX-fájl a jelszavával szintén megfelel. Mielőtt bármit megváltoztatna, ellenőrzi a tanúsítványt. A kulcsnak illenie kell, a tanúsítványnak érvényesnek kell lennie, és a névnek szerepelnie kell a tanúsítványban.

Az „A helyi hálózaton HTTPS-sel, a SMITEY által létrehozott tanúsítvánnyal” lehetőséghez nem kell saját tanúsítvány. A SMITEY maga hoz létre egyet, és meg is újítja. A főtanúsítványt a telepítő SMITEY-root-ca.crt néven menti a telepítési mappába. Telepítse ezt a fájlt minden számítógépre megbízható főtanúsítványként, például csoportházirenddel. Addig a böngészők figyelmeztetést mutatnak.

A „Nyilvános tartományon keresztül HTTPS-sel (automatikusan, Let's Encrypt használatával)” lehetőség a Let’s Encrypttől szerzi a tanúsítványát. Ehhez olyan nyilvános tartomány kell, amely a szerverre mutat. A szervernek ezért elérhetőnek kell lennie az internetről.

A két helyi hálózati lehetőségnél a név lehet olyan név, mint ticket.company.local, egyetlen szó, mint helpdesk, vagy egy IPv4-cím. Mindhárom útnak szüksége van a szerveren a 80-as és a 443-as portra. Ha egy másik program használja őket, a telepítő leáll, és semmit sem változtat. A rendszer ezután a https:// és a név alatt érhető el, port nélkül.

A saját tanúsítványa egyszer lejár. 30 nappal előtte a rendszergazdák az oldal tetején értesítést látnak a dátummal. 7 nappal előtte ez piros. A Professional kiadásban minden e-mail-címmel rendelkező rendszergazda ezenfelül 30 és 7 nappal előtte e-mailt kap. A megújításhoz nyissa meg újra az „A SMITEY elérési módjának módosítása” elemet, válassza a saját tanúsítványos lehetőséget, és adja meg az új fájlokat.

A telepítéssel érkező HTTPS-GUIDE.txt fájl minden lépést leír. Ide tartozik a főtanúsítvány szétosztása és a kézi lépések.