Autentikasi & keamanan termasuk SSO

Secara bawaan, setiap orang masuk dengan nama pengguna dan kata sandi. Alamat email berlaku sebagai ganti nama pengguna. Bila pengiriman surat sudah disiapkan, tautan “Do you need a password reset?” muncul di bawah formulirnya. Pengiriman surat termasuk dalam Professional.

Setelah masuk, peramban diberi sebuah izin yang berlaku untuk jangka waktu tertentu. Kartu “JWT token timer” menentukan berapa lama. Nilai dari 1 sampai 24 jam diizinkan, 12 adalah yang disarankan. Setelah itu orangnya harus masuk lagi.

Kartu “Password policy” berlaku untuk setiap kata sandi yang disetel di sistem. Kartu itu ditegakkan ketika sebuah akun dibuat, ketika seseorang mengubah kata sandinya sendiri, dan ketika seorang administrator menyetel ulang satu kata sandi.

Anda menyetel panjang minimumnya, jenis karakter apa yang harus muncul, setelah berapa hari sebuah kata sandi kedaluwarsa, dan berapa banyak kata sandi lama yang tetap terblokir. Untuk jumlah hari dan daftar blokirnya, 0 berarti “mati”.

Aturan tentang huruf besar dan huruf kecil tidak mengunci bahasa mana pun. Banyak sistem tulisan sama sekali tidak mengenal pembedaan itu, dan sebuah karakter dari salah satunya memenuhi kedua aturan itu sekaligus.

Akun yang hanya masuk melalui SSO atau sebuah direktori tidak memiliki kata sandi lokal, jadi kedaluwarsa tidak berlaku bagi mereka. Aturannya berada di sisi penyedianya. Bila sebuah akun yang sudah ada ditautkan ke SSO dan masih memiliki kata sandinya sendiri, kedaluwarsa dan kebijakan kata sandi tetap berlaku untuk kata sandi itu.

Kartu “2FA Settings” menentukan siapa yang harus memakai masuk dua faktor. Di bawah “Two-factor requirement”, Anda memilih salah satu dari empat tingkat: “Off”, “Administrators only”, “Administrators and agents”, atau “Everyone”. “Everyone” mencakup pelanggan juga. Instalasi baru dimulai dengan “Administrators only”. Instalasi yang sudah ada sebelumnya tetap memakai pengaturan lamanya setelah pembaruan.

Siapa pun yang berikutnya masuk tanpa faktor kedua akan menyiapkannya. Sistem menampilkan kode QR untuk aplikasi autentikator dan kunci yang sama untuk diketik dengan tangan. Setelah kode pertama, faktornya aktif. Dengan “Set up later”, penyiapan bisa ditunda, dan proses masuk berlanjut tanpanya. Itu bisa paling lama 7 hari, dihitung sejak penundaan pertama. Baris di bawah tombol menunjukkan sisa harinya. Setelah itu, penyiapan wajib.

Tepat setelah itu, sepuluh kode pemulihan muncul. Masing-masing menggantikan kode dari aplikasinya satu kali. Kode itu ditampilkan tepat satu kali. Anda menyimpannya dengan “Copy” atau “Download”. “Download” selalu berfungsi. “Copy” biasanya juga berfungsi.

Bila seseorang kehilangan perangkatnya dan kodenya, administratornya membantu. Di daftar pengguna, tombol dengan lambang perisai bersilang menyetel ulang masuk dua faktor orang itu. Ia menyiapkannya lagi pada saat masuk berikutnya.

Kodenya bergantung pada jam server. Bila jamnya keliru, tidak ada kode yang diterima. Tombol “Check now” pada kartu yang sama membandingkan waktu server dengan sumber waktu publik.

Bila seseorang masuk melalui layanan masuk dari luar, sistem tidak meminta kode. Penyedianya sudah memeriksa faktor keduanya. Masuk melalui direktori berbeda: di sana aturan di atas tetap berlaku.

Setiap pengguna bisa mengaktifkan masuk dua faktor untuk akunnya sendiri. Ini berlaku untuk setiap peran, juga saat kartu “2FA Settings” tidak mewajibkannya. Buka menu pengguna di kiri bawah bilah sisi dan pilih “Profile picture”. Halaman yang sama memuat area “Two-factor authentication”.

Area itu menunjukkan apakah masuk dua faktor aktif. Selama nonaktif, di sana ada tombol “Turn on”. Tombol itu pertama-tama meminta kata sandi Anda. Lalu muncul kode QR untuk aplikasi autentikator, dengan kunci yang sama untuk diketik dengan tangan. Setelah kode pertama dari aplikasi, faktornya aktif.

Tepat setelah itu, sepuluh kode pemulihan muncul. Simpan dengan “Copy” atau “Download”. “I have saved my codes” menutup daftarnya. Daftar itu hanya ditampilkan satu kali ini.

Selama masuk dua faktor aktif, area itu menunjukkan berapa kode pemulihan yang tersisa. “New recovery codes” membuat sepuluh kode baru. Kode lama lalu tidak berlaku lagi. “Turn off” menonaktifkan masuk dua faktor lagi. Kedua tombol meminta kode terkini dari aplikasi. Kode pemulihan tidak diterima di sana.

Jika kartu “2FA Settings” mewajibkan masuk dua faktor untuk peran Anda, “Turn off” tidak ada. Sebuah baris di area itu menyatakannya.

Kata sandi atau kode yang salah dihitung sebagai upaya masuk yang gagal. Jadi perlindungan terhadap tebakan kata sandi juga berlaku di sini. Mengaktifkan dan menonaktifkan dicatat di log keamanan. Jika seorang administrator menonaktifkan masuk dua faktornya sendiri, log memberi peringatan bahaya.

Akun yang hanya masuk melalui layanan masuk eksternal melihat sebuah kalimat, bukan tombol. Faktor kedua mereka diurus penyedianya. Akun dari direktori memasukkan kata sandi direktorinya pada langkah pertama.

Perlindungan ini berjalan tanpa pengaturan apa pun. Tidak ada yang perlu diaktifkan. Catatan tentangnya berada di kartu “2FA Settings”.

Perlindungan itu bekerja dalam dua tahap. Setelah lima percobaan gagal untuk akun yang sama, alamat asalnya dijeda. Jeda itu berakhir paling lambat 15 menit setelah percobaan pertama dari rangkaian itu. Dari setiap alamat lain, akunnya tetap dapat dipakai seketika.

Itulah bagian yang penting. Bila tidak, siapa pun yang tahu sebuah nama masuk dapat mengunci rekannya di luar dengan lima kata sandi yang salah. Ia sama sekali tidak memerlukan kata sandi untuk itu.

Tahap kedua adalah akunnya sendiri. Akun itu dikunci selama 15 menit setelah 20 percobaan gagal. Karena satu alamat paling banyak menyumbang lima di antaranya, hal itu memerlukan beberapa alamat.

Masuk yang berhasil menyetel ulang kedua penghitungnya. Setelah server dimulai ulang, jeda alamatnya hilang, kunci akunnya tetap. Penghitung yang sama berlaku untuk masuk melalui sebuah direktori. Direktori yang tidak dapat dijangkau tidak dihitung sebagai percobaan gagal. Bila belum ada akun untuk nama itu di sistem tiket, hanya jeda alamat yang berlaku.

Di daftar pengguna, akun yang terkunci dengan cara ini membawa lencana “temporarily locked”. Akun itu tetap ada di daftar. Setelah 15 menit lencananya hilang dengan sendirinya.

Anda tidak harus menunggu. Di baris yang sama ada tombol dengan gembok terbuka. Tombol itu mencabut kuncinya seketika dan membersihkan kedua penghitungnya.

Ini tidak sama dengan “Archive”. Tombol itu menutup sebuah akun untuk selamanya, dan hanya tombol itu yang mengambil atau membebaskan kursi staf.

Log keamanan mencatat dua jenis peristiwa. Area “Sign-in” berisi proses masuk yang gagal, akun yang terkunci, percobaan masuk selama penguncian, kode dua faktor yang ditolak, dan perubahan kata sandi. Ini berlaku untuk masuk dengan kata sandi, lewat direktori, dan lewat SSO.

Area “Administration” menunjukkan siapa mengubah apa. Ini mencakup akun, peran, izin, pengaturan keamanan, dan arsip. Setiap ekspor log juga tercatat di sana.

Proses masuk yang berhasil hanya dicatat dalam dua kasus. Kasus pertama adalah administrator. Kasus kedua adalah proses masuk setelah percobaan gagal pada akun yang sama. Proses masuk biasa seorang agen atau pelanggan tidak ada di log. Log ini bukan daftar hadir.

Jika seseorang masuk dengan nama yang tidak ada, entri berisi “unknown account”. Sistem tidak menyimpan nama yang diketik. Kadang nama itu adalah kata sandi yang tertulis di kolom yang salah.

Peristiwa masuk menyimpan alamat IP dan browser. Tindakan administrasi menyimpan siapa yang melakukannya, tetapi tanpa alamat IP. Kata sandi, kode, dan isi tiket atau email tidak pernah ada di log.

Halaman menampilkan entri terbaru lebih dulu, 50 per halaman. Kartu “Filters” mempersempit daftar. “Area” memilih proses masuk atau administrasi, “Event” satu jenis peristiwa. “Person” mencari di nama orang yang bertindak dan orang yang terdampak. “From” dan “To” membatasi hari. “Failures only” menyembunyikan semua yang berhasil.

Filter baru berlaku setelah klik “Apply”. “Reset” menghapusnya lagi.

“Export CSV” dan “Export PDF” mengunduh persis apa yang ditampilkan filter. Setiap berkas berisi paling banyak 10.000 entri. Jika lebih banyak entri cocok dengan filter, sebuah catatan di dekat tombol ekspor menyebutkannya. PDF dibuat dalam bahasamu dan menyebutkan filter serta periode di bagian atas. Tanggal dan waktu mengikuti format yang diatur di “Settings → General Settings”.

Berkas CSV selalu tetap dalam bahasa Inggris, dan waktunya dalam UTC. Dengan begitu program dapat membacanya tanpa bergantung pada bahasa. Setiap ekspor juga tercatat di log sebagai “Security log exported”.

Enam peristiwa memicu peringatan. Itu adalah akun yang terkunci setelah percobaan gagal, peran yang diubah menjadi “Admin”, akun yang langsung dibuat dengan peran “Admin”, dan masuk dua faktor seorang administrator yang direset. Ditambah tiket terarsip yang dihapus dari data berjalan dan proses masuk seorang administrator setelah percobaan gagal.

Setelah ada peringatan, setiap orang dengan izin itu melihat spanduk kuning di bagian atas setiap halaman. Spanduk itu menyebut jumlah peringatan sejak kunjungan terakhirnya ke log. Tautan “Open security log” membawa ke sana. Saat log dibuka, spanduk hilang. Sebelum kunjungan pertama, spanduk menghitung peringatan tujuh hari terakhir.

Selain itu, setiap akun aktif yang punya izin itu dan alamat email menerima email peringatan. Sistem mengumpulkan peringatan setiap 15 menit dan mengirim satu email per orang, bukan satu per peristiwa. Email menyebut peristiwa, orang yang terdampak, dan waktunya. Email itu tidak memuat alamat IP. Email peringatan termasuk dalam Professional.

Proses malam menghapus entri lama. Batas waktunya ada di “Settings → Security” pada kartu “Data protection”, di blok “Security log retention”. Peristiwa masuk secara bawaan disimpan 90 hari, yang diizinkan 7 sampai 365 hari. Tindakan administrasi secara bawaan disimpan 12 bulan, yang diizinkan 1 sampai 120 bulan.

Setiap batas waktu punya sakelarnya sendiri: “Delete old sign-in events” dan “Delete old administrator actions”. Jika sebuah sakelar mati, entri itu tetap ada. Kartu “Masa penyimpanan” menjelaskan proses malam.

Pada permintaan akses data, orang itu menerima setiap entri tempat ia bertindak atau terdampak. Alamat IP dan browser hanya disertakan pada entri yang ia picu sendiri, misalnya proses masuknya sendiri. Jika orang itu dianonimkan, sistem menghapus peristiwa masuknya. Tindakan administrasinya tetap ada. Namanya di sana diganti dengan placeholder.

Catatan untukmu sebagai operator: proses masuk yang berhasil hanya ada di log untuk administrator dan setelah percobaan gagal. Meski begitu, log menunjukkan siapa melakukan apa dan kapan. Di perusahaan yang memiliki dewan pekerja, log ini karena itu menjadi urusan keputusan bersama.

Di bagian paling atas berada sakelar induk “Enable single sign-on”. Selama sakelar itu mati, sistem tetap memakai nama pengguna dan kata sandi. Segala yang Anda siapkan di bawahnya tersimpan dan baru berlaku begitu Anda mengaktifkannya.

Kartu “Active Directory / LDAP” menghubungkan direktori lokal. Anda memasukkan servernya, basis pencariannya, saringan yang menemukan seseorang, serta bidang untuk alamat email dan namanya.

Akun yang dipakai untuk pencarian bersifat opsional. Tanpa akun itu, sistem bertanya secara anonim. Kata sandi seseorang hanya dipakai untuk mengikat ke direktorinya dan tidak pernah disimpan.

Sebuah direktori tidak membawa faktor kedua sendiri. Bila halaman keamanan mewajibkan masuk dua faktor, orang-orang ini pun akan dimintainya.

Kartu “Identity providers” memuat layanan masuk dari luar. Masing-masing mendapat ubinnya sendiri dan tombolnya sendiri di halaman masuk. “Add provider” membuat yang baru.

Di bawah “Provider type” Anda memilih jenisnya. “Generic OIDC Provider” cocok untuk layanan seperti Google Workspace, Microsoft Entra ID, Okta, Keycloak, Auth0, atau Ping Identity. “SAML 2.0 Provider” cocok untuk rumah yang sama bila hendak dihubungkan melalui SAML.

Di samping itu ada enam layanan regional: LINE, Kakao, Naver, WeChat, WeCom, dan DingTalk. Alamatnya sudah terisi lebih dulu dan tampil sebagai teks abu-abu di bidangnya.

Nama di bawah “Display name” kelak muncul pada tombolnya. Sakelar di sebelahnya hanya berlaku untuk penyedia yang satu ini.

Untuk alamat panggilan baliknya, kerjakan dengan urutan ini. Masukkan dulu hanya sebuah nama lalu klik “Save provider”. Baru setelah itu sistem mengetahui nomor penyedianya dan menampilkan alamat jadinya di bawah “Redirect URI”. Alamat itu disusun dari alamat publik instalasi ini, yaitu yang tersimpan di bawah “Settings → Security”. Itulah tepat alamat yang dipakai sistem ketika seseorang masuk.

Alamat itu Anda salin lalu Anda daftarkan pada penyedianya. Alamat itu harus sama persis karakter demi karakter di sana. Sebagai gantinya penyedianya memberi Anda sebuah ID dan sebuah rahasia, dan keduanya Anda masukkan di sini melalui “Edit”.

Bidang “Allowed e-mail domains” membatasi siapa yang boleh masuk melalui penyedia ini. Bila dibiarkan kosong, setiap domain diizinkan.

Bila sebuah penyedia masih kekurangan sesuatu, ubinnya membawa lencana merah “Incomplete”. Penyedia itu lalu tidak muncul di halaman masuk. Teks di sebelahnya menyebut bidang apa saja yang diperlukan jenisnya.

Penyedia yang sudah terkonfigurasi penuh pun tetap tidak muncul selama sakelar induknya mati. Ubinnya mengatakan hal itu dalam sebuah baris kuning.

Bila lisensi Anda kembali ke Basic, masuk melalui SSO dan direktori tetap berjalan. Di halaman ini Anda lalu hanya dapat mematikan penyedia dan direktorinya. Log percobaan masuk tetap dapat dibaca.

Sakelar “Automatically create accounts on first sign-in” berada di kartu yang sama dengan sakelar induknya. Sakelar itu aktif secara bawaan.

Ketika seseorang masuk melalui sebuah penyedia untuk pertama kalinya, sistem lebih dulu mencari akun yang sudah menjadi milik penyedia itu. Bila tidak menemukan satu pun, akun baru dibuat.

Akun baru itu mendapat peran “Customer” dan tidak mendapat tim. Seorang pelanggan tidak memerlukan keanggotaan untuk membuat tiket dan karena itu langsung dapat bekerja.

Pelanggan tanpa batas di kedua edisi, jadi akun yang dibuat dengan cara ini tidak memakai kursi staf. Siapa pun yang dimaksudkan menjadi agen mendapat perannya sesudahnya di pengelolaan pengguna.

Bila akun dengan alamat email yang sama sudah ada, keduanya ditautkan. Hal ini hanya terjadi bila penyedianya melaporkan alamat itu sebagai terverifikasi. Bila tidak, masuknya ditolak.

Bila Anda mematikannya, hanya orang yang sudah memiliki akun yang dapat masuk. Semua orang lain ditolak.

Kartu “Recent sign-in attempts” paling bawah menampilkan 100 peristiwa masuk terakhir lewat SSO dan direktori. Peristiwa itu berasal dari log keamanan. Percobaan gagal selalu ada di sana. Masuk yang berhasil hanya ada di sana untuk administrator dan setelah ada percobaan gagal pada akun yang sama. Karena itu tidak setiap proses masuk muncul di daftar.

Setiap baris menyebut waktunya, penyedianya, hasilnya, dan alamat asalnya. Pada percobaan yang gagal, alasannya tertulis di sebelahnya. Kolom “User” menampilkan nama akun. Jika tidak ada akun, kolom itu menampilkan alamat yang dilaporkan penyedia, jika tidak “unknown account”. Sistem tidak menyimpan nama yang dimasukkan.

Masuk dengan nama pengguna dan kata sandi tidak muncul di tabel ini. Itu bukan SSO. Kamu menemukannya di log keamanan.

Secara bawaan entri dihapus setelah 90 hari. Kalimat di bawah judul kartu menyebut batas waktu yang disetel. Kartu “Masa penyimpanan” menjelaskan pengaturannya.

Setelah instalasi, tim Anda memakai sistem di peramban web apa pun. Program instalasi menanyakan bagaimana sistem harus dijangkau. Di program instalasi Windows Anda memilihnya di halaman “Cara akses”. Di Linux, install.sh mengajukan pertanyaan yang sama dan memberi nomor 1 sampai 5 pada pilihannya. Nanti Anda mengubahnya dengan “Ubah cara SMITEY dijangkau”. Data Anda tetap di tempatnya.

Pilihan “Hanya jaringan lokal, melalui alamat IP (HTTP) - opsi paling sederhana” adalah pengaturan bawaan. Tim Anda membuka sistem di http:// diikuti alamat IP server dan port, misalnya http://192.168.1.20:8088. Port-nya 8088, kecuali Anda memilih port lain. Port 80 juga bisa. Alamatnya lalu tidak memerlukan port. Pilihan ini tidak memerlukan nama dan tidak memerlukan sertifikat.

Pilihan “Di jaringan lokal dengan nama sendiri (HTTP, HTTPS bisa ditambahkan nanti) - Anda memiliki DNS internal” bekerja seperti pilihan pertama, tetapi dengan nama seperti ticket.company.local. Anda membuat nama itu sendiri di DNS internal Anda. Nama itu mengarah ke alamat IP server. Setelah itu tim Anda menjangkau sistem lewat nama itu dan tetap juga lewat alamat IP. Program instalasi lalu menampilkan alamat dengan nama ini.

Pada kedua pilihan HTTP, kata sandi dan tiket melintasi jaringan Anda sebagai teks biasa. Administrator lalu melihat pemberitahuan di bagian atas halaman.

Tiga pilihan lainnya memakai HTTPS: “Melalui domain publik dengan HTTPS (otomatis, memakai Let's Encrypt)”, “Di jaringan lokal dengan HTTPS dan sertifikat Anda sendiri”, dan “Di jaringan lokal dengan HTTPS, sertifikat dibuat oleh SMITEY”. Ketiganya memerlukan port 80 dan 443 di server. Kartu berikutnya menjelaskannya.

Untuk uji coba pertama, pilihan pertama sudah cukup. Jika jaringan Anda memiliki DNS internal, pilih yang kedua. Jika sistem harus bisa dijangkau dari internet, pilih domain publik. Jika perusahaan Anda memiliki CA sendiri, pilih sertifikat Anda sendiri di jaringan lokal. Selain itu, biarkan SMITEY membuat sertifikatnya.

Tanpa HTTPS, kata sandi dan tiket melintasi jaringan Anda sebagai teks biasa. Instalasi baru dimulai dengan HTTP biasa, supaya langsung berjalan di peramban web apa pun. Selama administrator membuka sistem lewat HTTP biasa, sebuah pemberitahuan muncul di bagian atas halaman: “This connection is not encrypted.” Jika sistem dibuka di server itu sendiri sebagai “localhost”, pemberitahuan itu tidak muncul. Agen dan pelanggan tidak pernah melihatnya.

“How to switch on HTTPS” mengarah ke kartu ini. “Hide for 30 days” menyembunyikan pemberitahuan untuk Anda. Pengaturan itu milik akun Anda, jadi juga berlaku di peramban lain. Setelah 30 hari, pemberitahuan kembali selama koneksinya masih belum terenkripsi.

Program instalasi SMITEY menyiapkan HTTPS dengan tiga cara. Di program instalasi Windows Anda memilihnya di halaman “Cara akses”, dan di Linux install.sh mengajukan pertanyaan yang sama. Pada sistem yang sudah berjalan, buka “Ubah cara SMITEY dijangkau” di desktop Windows atau di menu Start. Di Linux, perintah di bawah melakukan hal yang sama. Data Anda tetap di tempatnya.

Pilihan “Di jaringan lokal dengan HTTPS dan sertifikat Anda sendiri” memakai sertifikat Anda sendiri, misalnya dari CA perusahaan Anda. Program instalasi menanyakan nama sistem dan berkas sertifikat beserta kuncinya. Berkas PFX dengan kata sandinya juga bisa. Sebelum mengubah apa pun, program itu memeriksa sertifikatnya. Kuncinya harus cocok, sertifikatnya harus berlaku, dan namanya harus tercantum di sertifikat.

Pilihan “Di jaringan lokal dengan HTTPS, sertifikat dibuat oleh SMITEY” tidak memerlukan sertifikat sendiri. SMITEY membuatnya sendiri dan juga memperbaruinya sendiri. Program instalasi menyimpan sertifikat akar sebagai SMITEY-root-ca.crt di folder instalasi. Pasang berkas ini di setiap komputer sebagai sertifikat akar tepercaya, misalnya lewat kebijakan grup. Sampai saat itu, peramban menampilkan peringatan.

Pilihan “Melalui domain publik dengan HTTPS (otomatis, memakai Let's Encrypt)” mengambil sertifikatnya dari Let’s Encrypt. Pilihan ini memerlukan domain publik yang mengarah ke server. Karena itu, server harus bisa dijangkau dari internet.

Untuk kedua pilihan di jaringan lokal, namanya boleh berupa nama seperti ticket.company.local, satu kata seperti helpdesk, atau alamat IPv4. Ketiga jalan memerlukan port 80 dan 443 di server. Jika program lain memakainya, program instalasi berhenti dan tidak mengubah apa pun. Setelah itu, sistem dijangkau di https:// diikuti nama, tanpa port.

Sertifikat Anda sendiri suatu saat kedaluwarsa. Mulai 30 hari sebelumnya, administrator melihat pemberitahuan dengan tanggalnya di bagian atas halaman. Mulai 7 hari sebelumnya, pemberitahuan itu merah. Di Professional, semua administrator yang punya alamat email juga mendapat email 30 dan 7 hari sebelumnya. Untuk memperbaruinya, buka lagi “Ubah cara SMITEY dijangkau”, pilih opsi dengan sertifikat Anda sendiri, lalu tentukan berkas barunya.

Berkas HTTPS-GUIDE.txt yang disertakan dengan instalasi menjelaskan setiap langkah. Termasuk di dalamnya pembagian sertifikat akar dan langkah-langkah manual.