Autenticazione e sicurezza, SSO compreso

Di serie tutti accedono con un nome utente e una password. L'indirizzo e-mail va bene al posto del nome utente. Se l'invio di posta è configurato, sotto il modulo compare il collegamento «Do you need a password reset?». L'invio di posta fa parte di Professional.

Dopo l'accesso il browser riceve un lasciapassare valido per un tempo stabilito. Quanto duri lo decide la scheda «JWT token timer». Sono ammessi valori da 1 a 24 ore, 12 è il consiglio. Passato quel tempo, la persona deve accedere di nuovo.

La scheda «Password policy» vale per ogni password impostata nel sistema. Viene applicata quando si crea un account, quando una persona cambia la propria password e quando un amministratore ne reimposta una.

Imposti la lunghezza minima, quali tipi di carattere devono comparire, dopo quanti giorni una password scade e quante password vecchie restano bloccate. Per i giorni e per l'elenco di blocco, 0 significa «spento».

Le regole su maiuscole e minuscole non lasciano fuori nessuna lingua. Molti sistemi di scrittura non hanno questa distinzione, e un carattere di uno di essi soddisfa da solo entrambe le regole.

Gli account che accedono solo tramite SSO o una directory non hanno una password locale, quindi la scadenza non li riguarda. Le loro regole stanno presso il provider. Se un account esistente è stato collegato a SSO e ha ancora una password propria, la scadenza e le regole per le password continuano a valere per quella password.

La scheda «2FA Settings» decide chi deve usare l'accesso a due fattori. In «Two-factor requirement» scegli uno di quattro livelli: «Off», «Administrators only», «Administrators and agents» oppure «Everyone». «Everyone» comprende i clienti. Una nuova installazione parte con «Administrators only». Un'installazione che esisteva già mantiene la sua impostazione precedente dopo un aggiornamento.

Chi accede subito dopo senza un secondo fattore lo configura. Il sistema mostra un codice QR per un'app di autenticazione e la stessa chiave da scrivere a mano. Dopo il primo codice il fattore è attivo. Con «Set up later» la configurazione si può rimandare, e l'accesso prosegue senza. Questo vale per al massimo 7 giorni, contati dal primo rinvio. La riga sotto il pulsante mostra i giorni rimasti. Dopo, la configurazione è obbligatoria.

Subito dopo compaiono dieci codici di ripristino. Ognuno di essi sostituisce una volta il codice dell'app. Vengono mostrati esattamente una volta. Li salvi con «Copy» o «Download». «Download» funziona sempre. «Copy» di solito funziona anche.

Se qualcuno perde il dispositivo e i codici, l'amministratore aiuta. Nell'elenco degli utenti, il pulsante con lo scudo sbarrato reimposta l'accesso a due fattori di quella persona. Lo riconfigurerà al prossimo accesso.

I codici dipendono dall'orologio del server. Se è sbagliato, nessun codice viene accettato. Il pulsante «Check now» della stessa scheda confronta l'ora del server con una fonte di tempo pubblica.

Se qualcuno accede tramite un servizio esterno, il sistema non chiede nessun codice. Il provider ha già verificato il secondo fattore. Con l'accesso tramite directory è diverso: lì vale ancora la regola qui sopra.

Ogni utente può attivare l'accesso a due fattori per il proprio account. Vale per ogni ruolo, anche quando la scheda «2FA Settings» non lo richiede. Apri il menu utente in basso a sinistra nella barra laterale e scegli «Profile picture». La stessa pagina contiene l'area «Two-factor authentication».

L'area mostra se l'accesso a due fattori è attivo. Finché è disattivato, lì c'è il pulsante «Turn on». Chiede prima la tua password. Poi compare un codice QR per l'app di autenticazione, con la stessa chiave da scrivere a mano. Dopo il primo codice dell'app il fattore è attivo.

Subito dopo compaiono dieci codici di ripristino. Salvali con «Copy» o «Download». «I have saved my codes» chiude l'elenco. Viene mostrato solo questa volta.

Finché l'accesso a due fattori è attivo, l'area mostra quanti codici di ripristino restano. «New recovery codes» ne crea dieci nuovi. I vecchi codici smettono allora di funzionare. «Turn off» disattiva di nuovo l'accesso a due fattori. Entrambi i pulsanti chiedono il codice attuale dell'app. Lì un codice di ripristino non viene accettato.

Se la scheda «2FA Settings» richiede l'accesso a due fattori per il tuo ruolo, «Turn off» manca. Una riga nell'area lo dice.

Una password o un codice sbagliati contano come un accesso fallito. Anche qui vale quindi la protezione contro chi indovina le password. L'attivazione e la disattivazione sono registrate nel registro di sicurezza. Se un amministratore disattiva il proprio accesso a due fattori, il registro dà un allarme.

Gli account che accedono solo tramite un servizio di accesso esterno vedono una frase al posto dei pulsanti. Il secondo fattore lo gestisce il loro fornitore. Gli account di una directory inseriscono nel primo passo la loro password della directory.

La protezione funziona senza nessuna impostazione. Non c'è niente da accendere. La nota che la riguarda sta nella scheda «2FA Settings».

Funziona in due livelli. Dopo cinque tentativi falliti sullo stesso account, l'indirizzo da cui arrivavano viene messo in pausa. La pausa finisce al più tardi 15 minuti dopo il primo di quei tentativi. Da qualsiasi altro indirizzo l'account resta subito utilizzabile.

È questa la parte importante. Altrimenti chi conosce un nome di accesso potrebbe chiudere fuori un collega con cinque password sbagliate. Per farlo non gli servirebbe mai una password.

Il secondo livello è l'account stesso. Viene bloccato per 15 minuti dopo 20 tentativi falliti. Poiché un singolo indirizzo può contribuirne al massimo cinque, servono più indirizzi.

Un accesso riuscito azzera entrambi i contatori. Dopo un riavvio del server la pausa dell'indirizzo sparisce, il blocco dell'account resta. Gli stessi contatori valgono per l'accesso tramite una directory. Una directory irraggiungibile non conta come tentativo fallito. Se nel sistema di ticket non c'è ancora un account per quel nome, vale solo la pausa dell'indirizzo.

Nell'elenco degli utenti un account bloccato così porta l'etichetta «temporarily locked». Resta nell'elenco. Dopo 15 minuti l'etichetta sparisce da sola.

Non devi aspettare. Nella stessa riga c'è un pulsante con un lucchetto aperto. Toglie il blocco all'istante e azzera entrambi i contatori.

Non è la stessa cosa di «Archive». Quel pulsante chiude un account in modo definitivo, ed è solo lui a occupare o liberare una postazione interna.

Il registro di sicurezza registra due tipi di eventi. L’area «Sign-in» contiene gli accessi falliti, gli account bloccati, i tentativi di accesso durante un blocco, i codici a due fattori rifiutati e le modifiche della password. Questo vale per l’accesso con password, tramite una directory e tramite SSO.

L’area «Administration» mostra chi ha cambiato che cosa. Riguarda account, ruoli, permessi, impostazioni di sicurezza e archivi. Anche ogni esportazione del registro vi viene registrata.

Gli accessi riusciti vengono registrati solo in due casi. Il primo caso è un amministratore. Il secondo caso è un accesso dopo tentativi falliti sullo stesso account. L’accesso normale di un agente o di un cliente non compare nel registro. Il registro non è un foglio presenze.

Se qualcuno accede con un nome che non esiste, la voce riporta «unknown account». Il sistema non salva il nome digitato. A volte è una password finita nel campo sbagliato.

Gli eventi di accesso salvano l’indirizzo IP e il browser. Le azioni amministrative salvano chi le ha eseguite, ma nessun indirizzo IP. Password, codici e contenuti di ticket o e-mail non sono mai nel registro.

La pagina mostra prima le voci più recenti, 50 per pagina. La scheda «Filters» restringe l’elenco. «Area» sceglie accessi o amministrazione, «Event» un singolo tipo di evento. «Person» cerca nel nome di chi ha agito e di chi è interessato. «From» e «To» limitano i giorni. «Failures only» nasconde tutto ciò che è riuscito.

I filtri hanno effetto solo dopo un clic su «Apply». «Reset» li toglie di nuovo.

«Export CSV» ed «Export PDF» scaricano esattamente ciò che mostrano i filtri. Ogni file contiene al massimo 10.000 voci. Se ai filtri corrispondono più voci, lo segnala una nota accanto ai pulsanti di esportazione. Il PDF è nella tua lingua e riporta in alto filtri e periodo. Data e ora usano il formato impostato in «Settings → General Settings».

Il file CSV resta sempre in inglese e gli orari sono in UTC. Così un programma può leggerlo indipendentemente dalla lingua. Ogni esportazione compare a sua volta nel registro, come «Security log exported».

Sei eventi fanno scattare un allarme. Sono un account bloccato dopo tentativi falliti, un ruolo cambiato in «Admin», un account creato subito con il ruolo «Admin» e un accesso a due fattori reimpostato di un amministratore. A questi si aggiungono i ticket archiviati rimossi dai dati correnti e l’accesso di un amministratore dopo tentativi falliti.

Dopo un allarme, chiunque abbia il permesso vede un banner giallo in cima a ogni pagina. Indica il numero di allarmi dalla sua ultima visita al registro. Il link «Open security log» porta lì. Aprendo il registro, il banner scompare. Prima della prima visita conta gli allarmi degli ultimi sette giorni.

Inoltre ogni account attivo con il permesso e un indirizzo e-mail riceve un’e-mail di allarme. Il sistema raccoglie gli allarmi ogni 15 minuti e invia un’e-mail per persona, non una per evento. L’e-mail indica l’evento, la persona interessata e l’ora. Non contiene alcun indirizzo IP. L’e-mail di allarme fa parte di Professional.

L’esecuzione notturna elimina le voci vecchie. I limiti di tempo si trovano in «Settings → Security», nella scheda «Data protection», nel blocco «Security log retention». Per impostazione predefinita gli eventi di accesso restano 90 giorni; sono consentiti da 7 a 365 giorni. Per impostazione predefinita le azioni amministrative restano 12 mesi; sono consentiti da 1 a 120 mesi.

Ogni limite di tempo ha il suo interruttore: «Delete old sign-in events» e «Delete old administrator actions». Se un interruttore è spento, quelle voci restano. La scheda «Periodi di conservazione» spiega l’esecuzione notturna.

In una richiesta di accesso ai dati la persona riceve ogni voce in cui ha agito o è stata interessata. Indirizzo IP e browser sono inclusi solo nelle voci che ha causato lei stessa, per esempio il suo accesso. Se la persona viene anonimizzata, il sistema elimina i suoi eventi di accesso. Le sue azioni amministrative restano. Lì il suo nome viene sostituito dal segnaposto.

Una nota per te come gestore: gli accessi riusciti compaiono nel registro solo per gli amministratori e dopo tentativi falliti. Il registro mostra comunque chi ha fatto che cosa e quando. In un’azienda con una rappresentanza dei lavoratori è quindi un tema di codecisione.

In cima c'è l'interruttore generale «Enable single sign-on». Finché è spento resta tutto a nome utente e password. Tutto ciò che configuri sotto viene salvato e ha effetto solo quando lo accendi.

La scheda «Active Directory / LDAP» collega una directory in sede. Inserisci il server, la base di ricerca, il filtro che trova una persona e i campi per l'indirizzo e-mail e per i nomi.

L'account usato per le interrogazioni è facoltativo. Senza, il sistema chiede in modo anonimo. La password di una persona viene usata solo per autenticarsi presso la directory e non viene mai salvata.

Una directory non porta con sé un secondo fattore. Se la pagina della sicurezza richiede l'accesso a due fattori, viene chiesto anche a queste persone.

La scheda «Identity providers» contiene i servizi di accesso esterni. Ognuno riceve il proprio riquadro e il proprio pulsante nella pagina di accesso. «Add provider» ne crea uno nuovo.

In «Provider type» scegli il tipo. «Generic OIDC Provider» va bene per servizi come Google Workspace, Microsoft Entra ID, Okta, Keycloak, Auth0 o Ping Identity. «SAML 2.0 Provider» va bene per le stesse case quando il collegamento deve avvenire via SAML.

Accanto ci sono sei servizi regionali: LINE, Kakao, Naver, WeChat, WeCom e DingTalk. I loro indirizzi sono già compilati e compaiono come testo grigio nel campo.

Il nome in «Display name» compare poi sul pulsante. L'interruttore accanto vale solo per questo provider.

Per l'indirizzo di ritorno procedi in quest'ordine. Prima inserisci solo un nome e premi «Save provider». Solo allora il sistema conosce il numero del provider e mostra l'indirizzo completo in «Redirect URI». Si compone a partire dall'indirizzo pubblico di questa installazione, quello salvato in «Settings → Security». È esattamente l'indirizzo che il sistema usa quando qualcuno accede.

Copi quell'indirizzo e lo registri presso il provider. Lì deve corrispondere carattere per carattere. In cambio il provider ti dà un ID e un segreto, e li inserisci qui tramite «Edit».

Il campo «Allowed e-mail domains» limita chi può entrare tramite questo provider. Lasciato vuoto, tutti i domini sono ammessi.

Se a un provider manca ancora qualcosa, il suo riquadro porta l'etichetta rossa «Incomplete». In quel caso non compare nella pagina di accesso. Il testo accanto dice di quali campi ha bisogno il suo tipo.

I provider configurati per intero continuano a non comparire finché l'interruttore generale è spento. Il riquadro lo dice in una riga gialla.

Se la tua licenza torna a Basic, l'accesso tramite SSO e la directory continua a funzionare. In questa pagina puoi allora solo spegnere i provider e la directory. Il registro dei tentativi di accesso resta leggibile.

L'interruttore «Automatically create accounts on first sign-in» sta nella stessa scheda dell'interruttore generale. È acceso di serie.

Quando qualcuno accede per la prima volta tramite un provider, il sistema cerca prima un account che appartenga già a quel provider. Se non ne trova nessuno, ne viene creato uno nuovo.

Il nuovo account riceve il ruolo «Customer» e nessun team. Un cliente non ha bisogno di appartenere a un team per creare un ticket e può quindi lavorare subito.

I clienti sono illimitati in entrambe le edizioni, quindi un account creato così non occupa nessuna postazione interna. Chi deve diventare agente riceve il ruolo dopo, nella gestione degli utenti.

Se esiste già un account con lo stesso indirizzo e-mail, i due vengono collegati. Questo succede solo quando il provider comunica l'indirizzo come verificato. Se non lo fa, l'accesso viene rifiutato.

Se lo spegni, entrano solo le persone che hanno già un account. Tutte le altre vengono respinte.

La scheda «Recent sign-in attempts» in fondo mostra gli ultimi 100 eventi di accesso tramite SSO e la directory. Provengono dal registro di sicurezza. I tentativi falliti vi compaiono sempre. Un accesso riuscito vi compare solo per gli amministratori e dopo tentativi falliti sullo stesso account. Quindi non tutti gli accessi compaiono nell’elenco.

Ogni riga indica l'ora, il provider, l'esito e l'indirizzo di provenienza. In un tentativo fallito il motivo compare accanto. La colonna «User» mostra il nome dell’account. Se non c’è un account, mostra l’indirizzo comunicato dal provider, altrimenti «unknown account». Il sistema non salva il nome inserito.

L'accesso con nome utente e password non compare in questa tabella. Non è SSO. Lo trovi nel registro di sicurezza.

Come impostazione di fabbrica, le voci vengono eliminate dopo 90 giorni. La frase sotto il titolo della scheda indica il limite di tempo impostato. La scheda «Periodi di conservazione» spiega l’impostazione.

Dopo l'installazione il tuo team usa il sistema in qualsiasi browser web. Il programma di installazione chiede come si deve raggiungere il sistema. Nel programma di installazione per Windows lo scegli nella pagina «Raggiungibilità». Su Linux install.sh fa la stessa domanda e numera le opzioni da 1 a 5. In seguito lo cambi con «Modificare come si raggiunge SMITEY». I tuoi dati restano dove sono.

L'opzione «Solo rete locale, tramite l'indirizzo IP (HTTP) - l'opzione più semplice» è l'impostazione predefinita. Il tuo team apre il sistema a http:// seguito dall'indirizzo IP del server e dalla porta, per esempio http://192.168.1.20:8088. La porta è 8088, a meno che tu non ne scelga un'altra. Funziona anche la porta 80. Allora l'indirizzo non ha bisogno della porta. Questa opzione non ha bisogno né di un nome né di un certificato.

L'opzione «Nella rete locale con un nome proprio (HTTP, HTTPS possibile in seguito) - disponete di un DNS interno» funziona come la prima, ma con un nome come ticket.company.local. Il nome lo crei tu nel tuo DNS interno. Punta all'indirizzo IP del server. Poi il tuo team raggiunge il sistema con il nome e anche ancora con l'indirizzo IP. Il programma di installazione mostra poi l'indirizzo con questo nome.

Con entrambe le opzioni HTTP, password e ticket attraversano la tua rete in chiaro. Gli amministratori vedono allora un avviso in cima alla pagina.

Le altre tre opzioni usano HTTPS: «Tramite un dominio pubblico con HTTPS (automatico, con Let's Encrypt)», «Nella rete locale con HTTPS e un certificato proprio» e «Nella rete locale con HTTPS, certificato creato da SMITEY». Hanno bisogno delle porte 80 e 443 sul server. La scheda successiva le descrive.

Per un primo test basta la prima opzione. Se la tua rete ha un DNS interno, scegli la seconda. Se il sistema deve essere raggiungibile da internet, scegli il dominio pubblico. Se la tua azienda ha una propria CA, scegli il certificato proprio nella rete locale. Altrimenti lascia che SMITEY crei il certificato.

Senza HTTPS, password e ticket attraversano la tua rete in chiaro. Una nuova installazione parte con il semplice HTTP, così funziona subito in qualsiasi browser web. Finché un amministratore apre il sistema con il semplice HTTP, in cima alla pagina compare un avviso: «This connection is not encrypted.» Se il sistema viene aperto sul server stesso come «localhost», l'avviso non compare. Agenti e clienti non lo vedono mai.

«How to switch on HTTPS» porta a questa scheda. «Hide for 30 days» nasconde l'avviso per te. L'impostazione appartiene al tuo account e vale quindi anche in un altro browser. Dopo 30 giorni l'avviso torna, finché la connessione non è ancora cifrata.

Il programma di installazione di SMITEY configura HTTPS in tre modi. Nel programma di installazione per Windows lo scegli nella pagina «Raggiungibilità», e su Linux install.sh fa la stessa domanda. Su un sistema già in funzione, apri «Modificare come si raggiunge SMITEY» sul desktop di Windows o nel menu Start. Su Linux il comando qui sotto fa lo stesso. I tuoi dati restano dove sono.

L'opzione «Nella rete locale con HTTPS e un certificato proprio» usa il tuo certificato, per esempio quello della CA della tua azienda. Il programma di installazione chiede il nome del sistema e il file del certificato con la sua chiave. Va bene anche un file PFX con la sua password. Prima di cambiare qualcosa, controlla il certificato. La chiave deve corrispondere, il certificato deve essere valido e il nome deve comparire nel certificato.

L'opzione «Nella rete locale con HTTPS, certificato creato da SMITEY» non ha bisogno di un certificato tuo. SMITEY ne crea uno da sé e lo rinnova anche da sé. Il programma di installazione salva il certificato radice come SMITEY-root-ca.crt nella cartella di installazione. Installa questo file su ogni computer come certificato radice attendibile, per esempio con un criterio di gruppo. Fino ad allora i browser mostrano un avviso.

L'opzione «Tramite un dominio pubblico con HTTPS (automatico, con Let's Encrypt)» ottiene il suo certificato da Let’s Encrypt. Ha bisogno di un dominio pubblico che punti al server. Per questo il server deve essere raggiungibile da internet.

Per le due opzioni nella rete locale il nome può essere un nome come ticket.company.local, una sola parola come helpdesk oppure un indirizzo IPv4. Tutte e tre le vie hanno bisogno delle porte 80 e 443 sul server. Se le usa un altro programma, il programma di installazione si ferma e non cambia nulla. Poi il sistema si raggiunge a https:// seguito dal nome, senza porta.

Il tuo certificato prima o poi scade. Da 30 giorni prima, gli amministratori vedono in cima alla pagina un avviso con la data. Da 7 giorni prima è rosso. In Professional, tutti gli amministratori con un indirizzo e-mail ricevono inoltre una mail 30 e 7 giorni prima. Per rinnovarlo, apri di nuovo «Modificare come si raggiunge SMITEY», scegli l'opzione con il tuo certificato e indica i file nuovi.

Il file HTTPS-GUIDE.txt fornito con l'installazione descrive ogni passo. Ne fanno parte la distribuzione del certificato radice e i passi a mano.