Aanmelden en beveiliging, inclusief SSO

Standaard meldt iedereen zich aan met een gebruikersnaam en een wachtwoord. Het e-mailadres werkt in plaats van de gebruikersnaam. Is mailverzending ingericht, dan verschijnt onder het formulier de link “Do you need a password reset?”. Mailverzending hoort bij Professional.

Na het aanmelden krijgt de browser een pas die een bepaalde tijd geldig is. De kaart “JWT token timer” bepaalt hoe lang. Waarden van 1 tot 24 uur zijn toegestaan, 12 is de aanbeveling. Daarna moet de persoon zich opnieuw aanmelden.

De kaart “Password policy” geldt voor elk wachtwoord dat in het systeem wordt ingesteld. Ze wordt afgedwongen bij het aanmaken van een account, wanneer iemand zijn eigen wachtwoord wijzigt en wanneer een beheerder er een terugzet.

Je stelt in wat de minimale lengte is, welke soorten tekens moeten voorkomen, na hoeveel dagen een wachtwoord verloopt en hoeveel oude wachtwoorden geblokkeerd blijven. Bij de dagen en de blokkeerlijst betekent 0 “uit”.

De regels over hoofd- en kleine letters sluiten geen taal buiten. Veel schriftsystemen kennen dat onderscheid helemaal niet, en een teken uit zo'n schrift voldoet in zijn eentje aan beide regels.

Accounts die zich alleen via SSO of een directory aanmelden, hebben geen lokaal wachtwoord, dus geldt het verlopen niet voor hen. Hun regels staan bij de aanbieder. Is een bestaand account aan SSO gekoppeld en heeft het nog een eigen wachtwoord, dan blijven het verlopen en het wachtwoordbeleid voor dat wachtwoord gelden.

De kaart “2FA Settings” bepaalt wie aanmelden met twee factoren moet gebruiken. Onder “Two-factor requirement” kies je een van vier niveaus: “Off”, “Administrators only”, “Administrators and agents” of “Everyone”. “Everyone” omvat ook de klanten. Een nieuwe installatie begint met “Administrators only”. Een installatie die al bestond, houdt na een update haar eerdere instelling.

Wie zich daarna zonder tweede factor aanmeldt, richt er een in. Het systeem toont een QR-code voor een authenticator-app en dezelfde sleutel om met de hand in te typen. Na de eerste code is de factor actief. Met “Set up later” kan het inrichten worden uitgesteld, en de aanmelding gaat zonder door. Dat kan hoogstens 7 dagen, gerekend vanaf de eerste keer uitstellen. De regel onder de knop toont de resterende dagen. Daarna is het inrichten verplicht.

Direct daarna verschijnen er tien herstelcodes. Elk daarvan vervangt de code uit de app één keer. Ze worden precies één keer getoond. Je bewaart ze met “Copy” of “Download”. “Download” werkt altijd. “Copy” werkt meestal ook.

Raakt iemand het apparaat en de codes kwijt, dan helpt de beheerder. In de gebruikerslijst zet de knop met het doorgestreepte schild de aanmelding met twee factoren van die persoon terug. Bij de volgende aanmelding richt die persoon haar opnieuw in.

De codes hangen aan de serverklok. Loopt die verkeerd, dan wordt geen enkele code geaccepteerd. De knop “Check now” op dezelfde kaart vergelijkt de servertijd met een openbare tijdbron.

Meldt iemand zich via een externe aanmelddienst aan, dan vraagt het systeem niet om een code. De aanbieder heeft de tweede factor al gecontroleerd. Bij aanmelden via een directory ligt dat anders: daar geldt de regel hierboven gewoon.

Elke gebruiker kan aanmelden met twee factoren voor zijn eigen account aanzetten. Dat geldt voor elke rol, ook als de kaart “2FA Settings” het niet verplicht. Open het gebruikersmenu linksonder in de zijbalk en kies “Profile picture”. Dezelfde pagina bevat het gedeelte “Two-factor authentication”.

Het gedeelte toont of aanmelden met twee factoren aan staat. Zolang het uit staat, staat daar de knop “Turn on”. Die vraagt eerst om je wachtwoord. Daarna verschijnt een QR-code voor de authenticator-app, met dezelfde sleutel om met de hand in te typen. Na de eerste code uit de app is de factor actief.

Direct daarna verschijnen er tien herstelcodes. Bewaar ze met “Copy” of “Download”. “I have saved my codes” sluit de lijst. Die wordt alleen deze ene keer getoond.

Zolang aanmelden met twee factoren aan staat, toont het gedeelte hoeveel herstelcodes er nog over zijn. “New recovery codes” maakt er tien nieuwe. De oude codes werken dan niet meer. “Turn off” zet aanmelden met twee factoren weer uit. Beide knoppen vragen om de huidige code uit de app. Een herstelcode wordt daar niet geaccepteerd.

Verplicht de kaart “2FA Settings” aanmelden met twee factoren voor jouw rol, dan ontbreekt “Turn off”. Een regel in het gedeelte zegt dat.

Een verkeerd wachtwoord of een verkeerde code telt als een mislukte aanmelding. De bescherming tegen het raden van wachtwoorden geldt hier dus ook. Aan- en uitzetten wordt vastgelegd in het beveiligingslogboek. Zet een beheerder zijn eigen aanmelden met twee factoren uit, dan geeft het logboek een alarm.

Accounts die zich alleen via een externe aanmelddienst aanmelden, zien een zin in plaats van de knoppen. Hun aanbieder regelt de tweede factor. Accounts uit een directory geven in de eerste stap hun wachtwoord uit de directory in.

De bescherming loopt zonder enige instelling. Er valt niets aan te zetten. De opmerking erover staat in de kaart “2FA Settings”.

Ze werkt in twee stappen. Na vijf mislukte pogingen voor hetzelfde account wordt het adres waar ze vandaan kwamen gepauzeerd. De pauze eindigt uiterlijk 15 minuten na de eerste van die pogingen. Vanaf elk ander adres blijft het account meteen bruikbaar.

Dat is het belangrijke deel. Anders zou iedereen die een aanmeldnaam kent, een collega met vijf verkeerde wachtwoorden buiten kunnen sluiten. Daar zou nooit een wachtwoord voor nodig zijn.

De tweede stap is het account zelf. Dat wordt na 20 mislukte pogingen 15 minuten vergrendeld. Omdat één adres daar hoogstens vijf van kan bijdragen, zijn daar meerdere adressen voor nodig.

Een geslaagde aanmelding zet beide tellers terug. Na een herstart van de server is de pauze op het adres weg, de vergrendeling van het account blijft. Dezelfde tellers gelden voor de aanmelding via een directory. Een onbereikbare directory telt niet als mislukte poging. Bestaat er voor de naam nog geen account in het ticketsysteem, dan geldt alleen de pauze op het adres.

In de gebruikerslijst draagt een zo vergrendeld account het label “temporarily locked”. Het blijft in de lijst staan. Na 15 minuten verdwijnt het label vanzelf.

Je hoeft niet te wachten. In dezelfde regel staat een knop met een open hangslot. Die heft de vergrendeling meteen op en wist beide tellers.

Dit is niet hetzelfde als “Archive”. Die knop zet een account definitief stil, en alleen die neemt of geeft een medewerkersplaats.

Het beveiligingslogboek legt twee soorten gebeurtenissen vast. Het onderdeel “Sign-in” bevat mislukte aanmeldingen, vergrendelde accounts, aanmeldpogingen tijdens een vergrendeling, geweigerde tweefactorcodes en wachtwoordwijzigingen. Dat geldt voor aanmelden met een wachtwoord, via een directory en via SSO.

Het onderdeel “Administration” laat zien wie wat heeft gewijzigd. Dat omvat accounts, rollen, rechten, beveiligingsinstellingen en archieven. Ook elke export van het logboek wordt daar vastgelegd.

Geslaagde aanmeldingen worden maar in twee gevallen vastgelegd. Het eerste geval is een beheerder. Het tweede geval is een aanmelding na mislukte pogingen op hetzelfde account. De gewone aanmelding van een medewerker of een klant staat niet in het logboek. Het logboek is geen presentielijst.

Meldt iemand zich aan met een naam die niet bestaat, dan staat in de vermelding “unknown account”. Het systeem slaat de getypte naam niet op. Soms is het een wachtwoord dat in het verkeerde veld terechtkwam.

Aanmeldgebeurtenissen slaan het IP-adres en de browser op. Beheeracties slaan op wie ze heeft uitgevoerd, maar geen IP-adres. Wachtwoorden, codes en de inhoud van tickets of e-mails staan nooit in het logboek.

De pagina toont de nieuwste vermeldingen eerst, 50 per pagina. De kaart “Filters” beperkt de lijst. “Area” kiest aanmeldingen of beheer, “Event” één soort gebeurtenis. “Person” zoekt in de naam van wie handelde en van wie betrokken was. “From” en “To” begrenzen de dagen. “Failures only” verbergt alles wat gelukt is.

De filters werken pas na een klik op “Apply”. “Reset” haalt ze weer weg.

“Export CSV” en “Export PDF” downloaden precies wat de filters tonen. Elk bestand bevat hoogstens 10.000 vermeldingen. Passen er meer vermeldingen bij de filters, dan meldt een opmerking bij de exportknoppen dat. De pdf is in jouw taal en noemt bovenaan de filters en de periode. Datum en tijd volgen de notatie die onder “Settings → General Settings” is ingesteld.

Het CSV-bestand blijft altijd Engels, en de tijden staan in UTC. Zo kan een programma het lezen, ongeacht de taal. Elke export staat zelf in het logboek, als “Security log exported”.

Zes gebeurtenissen geven een alarm. Dat zijn een account dat na mislukte pogingen is vergrendeld, een rol die naar “Admin” is gewijzigd, een account dat meteen met de rol “Admin” is aangemaakt en een gereset tweefactoraanmelding van een beheerder. Daarbij komen gearchiveerde tickets die uit de lopende gegevens zijn verwijderd, en de aanmelding van een beheerder na mislukte pogingen.

Na een alarm ziet iedereen met het recht bovenaan elke pagina een gele banner. Die noemt het aantal alarmen sinds het laatste bezoek aan het logboek. De link “Open security log” leidt erheen. Met het openen van het logboek verdwijnt de banner. Vóór het eerste bezoek telt hij de alarmen van de laatste zeven dagen.

Daarnaast krijgt elk actief account met het recht en een e-mailadres een alarmmail. Het systeem verzamelt de alarmen elke 15 minuten en stuurt één mail per persoon, niet één per gebeurtenis. De mail noemt de gebeurtenis, de betrokken persoon en de tijd. Er staat geen IP-adres in. De alarmmail hoort bij Professional.

De nachtelijke run verwijdert oude vermeldingen. De termijnen staan onder “Settings → Security” in de kaart “Data protection”, in het blok “Security log retention”. Aanmeldgebeurtenissen blijven standaard 90 dagen staan, 7 tot 365 dagen zijn toegestaan. Beheeracties blijven standaard 12 maanden staan, 1 tot 120 maanden zijn toegestaan.

Elke termijn heeft een eigen schakelaar: “Delete old sign-in events” en “Delete old administrator actions”. Staat een schakelaar uit, dan blijven die vermeldingen staan. De kaart “Bewaartermijnen” legt de nachtelijke run uit.

Bij een inzageverzoek krijgt de persoon elke vermelding waarin hij handelde of betrokken was. IP-adres en browser komen alleen mee bij vermeldingen die hij zelf heeft veroorzaakt, bijvoorbeeld zijn eigen aanmelding. Wordt de persoon geanonimiseerd, dan verwijdert het systeem zijn aanmeldgebeurtenissen. Zijn beheeracties blijven staan. De naam wordt daar vervangen door de plaatshouder.

Een opmerking voor jou als beheerder van de installatie: geslaagde aanmeldingen staan alleen voor beheerders en na mislukte pogingen in het logboek. Het logboek laat toch zien wie wat wanneer deed. In een bedrijf met een ondernemingsraad is het daarom een onderwerp van medezeggenschap.

Helemaal bovenaan staat de hoofdschakelaar “Enable single sign-on”. Zolang die uit staat, blijft het bij gebruikersnaam en wachtwoord. Alles wat je eronder instelt, wordt opgeslagen en werkt pas zodra je hem aanzet.

De kaart “Active Directory / LDAP” koppelt een directory op locatie. Je vult de server in, de zoekbasis, het filter dat een persoon vindt, en de velden voor het e-mailadres en de namen.

Het account voor de zoekopdrachten is optioneel. Zonder dat vraagt het systeem anoniem. Het wachtwoord van een persoon wordt alleen gebruikt om tegen de directory te binden en wordt nooit opgeslagen.

Een directory brengt geen eigen tweede factor mee. Verplicht de beveiligingspagina aanmelden met twee factoren, dan wordt daar ook aan deze mensen om gevraagd.

De kaart “Identity providers” bevat de externe aanmelddiensten. Elke dienst krijgt een eigen tegel en een eigen knop op de aanmeldpagina. “Add provider” maakt er een nieuwe aan.

Onder “Provider type” kies je de soort. “Generic OIDC Provider” past bij diensten als Google Workspace, Microsoft Entra ID, Okta, Keycloak, Auth0 of Ping Identity. “SAML 2.0 Provider” past bij dezelfde huizen wanneer ze via SAML gekoppeld moeten worden.

Daarnaast staan er zes regionale diensten: LINE, Kakao, Naver, WeChat, WeCom en DingTalk. Hun adressen zijn vooraf ingevuld en verschijnen als grijze tekst in het veld.

De naam onder “Display name” komt later op de knop te staan. De schakelaar ernaast geldt alleen voor deze ene aanbieder.

Werk voor het antwoordadres in deze volgorde. Vul eerst alleen een naam in en klik op “Save provider”. Pas dan kent het systeem het nummer van de aanbieder en toont het het volledige adres onder “Redirect URI”. Het wordt opgebouwd uit het openbare adres van deze installatie, het adres dat onder “Settings → Security” is opgeslagen. Dat is precies het adres dat het systeem gebruikt wanneer iemand zich aanmeldt.

Dat adres kopieer je en registreer je bij de aanbieder. Het moet daar teken voor teken kloppen. In ruil geeft de aanbieder je een ID en een geheim, en die vul je hier in via “Edit”.

Het veld “Allowed e-mail domains” beperkt wie er via deze aanbieder binnen mag. Laat je het leeg, dan is elk domein toegestaan.

Ontbreekt er bij een aanbieder nog iets, dan draagt de tegel het rode label “Incomplete”. Ze verschijnt dan niet op de aanmeldpagina. De tekst ernaast zegt welke velden dit type nodig heeft.

Volledig ingestelde aanbieders verschijnen nog steeds niet zolang de hoofdschakelaar uit staat. De tegel zegt dat in een gele regel.

Valt je licentie terug naar Basic, dan blijft de aanmelding via SSO en de directory werken. Op deze pagina kun je dan alleen nog aanbieders en de directory uitschakelen. Het logboek van de aanmeldpogingen blijft leesbaar.

De schakelaar “Automatically create accounts on first sign-in” staat in dezelfde kaart als de hoofdschakelaar. Hij staat standaard aan.

Meldt iemand zich voor het eerst via een aanbieder aan, dan zoekt het systeem eerst een account dat al bij die aanbieder hoort. Vindt het er geen, dan wordt er een nieuw aangemaakt.

Het nieuwe account krijgt de rol “Customer” en geen team. Een klant heeft geen lidmaatschap nodig om een ticket aan te maken en kan dus meteen aan de slag.

Klanten zijn in beide edities onbeperkt, dus een zo aangemaakt account gebruikt geen medewerkersplaats. Wie agent moet worden, krijgt die rol daarna in het gebruikersbeheer.

Bestaat er al een account met hetzelfde e-mailadres, dan worden de twee gekoppeld. Dat gebeurt alleen wanneer de aanbieder het adres als geverifieerd meldt. Zo niet, dan wordt de aanmelding geweigerd.

Zet je hem uit, dan komen alleen mensen binnen die al een account hebben. Alle anderen worden geweigerd.

De kaart “Recent sign-in attempts” helemaal onderaan toont de laatste 100 aanmeldgebeurtenissen via SSO en de directory. Ze komen uit het beveiligingslogboek. Mislukte pogingen staan er altijd in. Een geslaagde aanmelding staat er alleen in voor beheerders en na mislukte pogingen op hetzelfde account. Daarom staat niet elke aanmelding in de lijst.

Elke regel noemt het tijdstip, de aanbieder, het resultaat en het bronadres. Bij een mislukte poging staat de reden ernaast. De kolom “User” toont de naam van het account. Is er geen account, dan toont ze het adres dat de aanbieder meldde, anders “unknown account”. Het systeem slaat de ingevoerde naam niet op.

Aanmelden met gebruikersnaam en wachtwoord staat niet in deze tabel. Dat is geen SSO. Je vindt het in het beveiligingslogboek.

Standaard worden de vermeldingen na 90 dagen verwijderd. De zin onder de kaarttitel noemt de ingestelde termijn. De kaart “Bewaartermijnen” legt de instelling uit.

Na de installatie gebruikt je team het systeem in elke webbrowser. Het installatieprogramma vraagt hoe het systeem bereikbaar moet zijn. In het Windows-installatieprogramma kies je dat op de pagina “Bereikbaarheid”. Onder Linux stelt install.sh dezelfde vraag en nummert de opties van 1 tot 5. Later wijzig je het met “Wijzigen hoe SMITEY bereikbaar is”. Je gegevens blijven waar ze zijn.

De optie “Alleen lokaal netwerk, via het IP-adres (HTTP) - eenvoudigste optie” is de standaardinstelling. Je team opent het systeem op http:// gevolgd door het IP-adres van de server en de poort, bijvoorbeeld http://192.168.1.20:8088. De poort is 8088, tenzij je een andere kiest. Poort 80 werkt ook. Dan heeft het adres geen poort nodig. Deze optie heeft geen naam en geen certificaat nodig.

De optie “In het lokale netwerk onder een eigen naam (HTTP, HTTPS later mogelijk) - u hebt interne DNS” werkt zoals de eerste, maar onder een naam zoals ticket.company.local. De naam maak je zelf aan in je interne DNS. Hij wijst naar het IP-adres van de server. Daarna bereikt je team het systeem via de naam en nog steeds via het IP-adres. Het installatieprogramma toont dan het adres met deze naam.

Bij beide HTTP-opties gaan wachtwoorden en tickets als leesbare tekst door je netwerk. Beheerders zien dan bovenaan de pagina een melding.

De andere drie opties gebruiken HTTPS: “Via een openbaar domein met HTTPS (automatisch, met Let's Encrypt)”, “In het lokale netwerk met HTTPS en een eigen certificaat” en “In het lokale netwerk met HTTPS, certificaat gemaakt door SMITEY”. Ze hebben op de server de poorten 80 en 443 nodig. De volgende kaart beschrijft ze.

Voor een eerste test is de eerste optie genoeg. Heeft je netwerk interne DNS, kies dan de tweede. Moet het systeem vanaf internet bereikbaar zijn, kies dan het openbare domein. Heeft je bedrijf een eigen CA, kies dan je eigen certificaat in het lokale netwerk. Laat anders SMITEY het certificaat maken.

Zonder HTTPS gaan wachtwoorden en tickets als leesbare tekst door je netwerk. Een nieuwe installatie begint met gewoon HTTP, zodat ze meteen in elke webbrowser werkt. Zolang een beheerder het systeem via gewoon HTTP opent, verschijnt bovenaan de pagina een melding: “This connection is not encrypted.” Wordt het systeem op de server zelf als “localhost” geopend, dan verschijnt de melding niet. Agenten en klanten zien haar nooit.

“How to switch on HTTPS” leidt naar deze kaart. “Hide for 30 days” verbergt de melding voor jou. De instelling hoort bij je account en geldt daarom ook in een andere browser. Na 30 dagen komt de melding terug, zolang de verbinding nog niet versleuteld is.

Het installatieprogramma van SMITEY richt HTTPS op drie manieren in. In het Windows-installatieprogramma kies je op de pagina “Bereikbaarheid”, en onder Linux stelt install.sh dezelfde vraag. Op een systeem dat al draait, open je “Wijzigen hoe SMITEY bereikbaar is” op het Windows-bureaublad of in het startmenu. Onder Linux doet de opdracht hieronder hetzelfde. Je gegevens blijven waar ze zijn.

De optie “In het lokale netwerk met HTTPS en een eigen certificaat” gebruikt je eigen certificaat, bijvoorbeeld van de CA van je bedrijf. Het installatieprogramma vraagt om de naam van het systeem en het certificaatbestand met zijn sleutel. Een PFX-bestand met zijn wachtwoord kan ook. Voordat het iets verandert, controleert het het certificaat. De sleutel moet passen, het certificaat moet geldig zijn en de naam moet in het certificaat staan.

De optie “In het lokale netwerk met HTTPS, certificaat gemaakt door SMITEY” heeft geen eigen certificaat nodig. SMITEY maakt er zelf een en vernieuwt het ook zelf. Het installatieprogramma slaat het basiscertificaat op als SMITEY-root-ca.crt in de installatiemap. Installeer dit bestand op elke computer als vertrouwd basiscertificaat, bijvoorbeeld met een groepsbeleid. Tot dan tonen browsers een waarschuwing.

De optie “Via een openbaar domein met HTTPS (automatisch, met Let's Encrypt)” haalt haar certificaat bij Let’s Encrypt. Daarvoor is een openbaar domein nodig dat naar de server wijst. De server moet daarvoor vanaf internet bereikbaar zijn.

Bij beide opties in het lokale netwerk mag de naam een naam zijn zoals ticket.company.local, één woord zoals helpdesk of een IPv4-adres. Alle drie de wegen hebben op de server de poorten 80 en 443 nodig. Gebruikt een ander programma die, dan stopt het installatieprogramma en verandert het niets. Het systeem is daarna bereikbaar op https:// gevolgd door de naam, zonder poort.

Je eigen certificaat verloopt op een dag. Vanaf 30 dagen vooraf zien beheerders bovenaan de pagina een melding met de datum. Vanaf 7 dagen vooraf is die rood. In Professional krijgen alle beheerders met een e-mailadres daarnaast 30 en 7 dagen vooraf een mail. Om te vernieuwen open je opnieuw “Wijzigen hoe SMITEY bereikbaar is”, kies je de optie met je eigen certificaat en geef je de nieuwe bestanden op.

Het bestand HTTPS-GUIDE.txt dat bij de installatie hoort, beschrijft elke stap. Daar horen het verspreiden van het basiscertificaat en de stappen met de hand bij.