Autenticação e segurança, incluindo SSO

De origem, toda a gente inicia sessão com um nome de utilizador e uma palavra-passe. O endereço de e-mail serve em vez do nome de utilizador. Se o envio de e-mail estiver configurado, aparece por baixo do formulário a ligação «Do you need a password reset?». O envio de e-mail faz parte do Professional.

Depois do início de sessão, o navegador recebe um passe válido durante um tempo definido. O cartão «JWT token timer» decide quanto tempo. São permitidos valores de 1 a 24 horas, sendo 12 a recomendação. Passado esse tempo, a pessoa tem de iniciar sessão outra vez.

O cartão «Password policy» aplica-se a todas as palavras-passe definidas no sistema. É imposto quando se cria uma conta, quando uma pessoa muda a sua palavra-passe e quando um administrador repõe uma.

Defines o comprimento mínimo, que tipos de caracteres têm de aparecer, ao fim de quantos dias uma palavra-passe expira e quantas palavras-passe antigas ficam bloqueadas. Nos dias e na lista de bloqueio, 0 significa «desligado».

As regras sobre maiúsculas e minúsculas não deixam nenhuma língua de fora. Muitos sistemas de escrita não têm essa distinção, e um carácter de um deles satisfaz sozinho as duas regras.

As contas que só iniciam sessão por SSO ou por um diretório não têm palavra-passe local, por isso a expiração não se lhes aplica. As regras delas estão no fornecedor. Se uma conta existente foi associada ao SSO e ainda tem palavra-passe própria, a expiração e a política de palavras-passe continuam a aplicar-se a essa palavra-passe.

O cartão «2FA Settings» decide quem tem de usar o início de sessão em dois passos. Em «Two-factor requirement» escolhes um de quatro níveis: «Off», «Administrators only», «Administrators and agents» ou «Everyone». «Everyone» inclui os clientes. Uma instalação nova começa com «Administrators only». Uma instalação que já existia mantém a definição anterior depois de uma atualização.

Quem iniciar sessão a seguir sem um segundo fator configura-o. O sistema mostra um código QR para uma aplicação de autenticação e a mesma chave para escrever à mão. Depois do primeiro código, o fator fica ativo. Com «Set up later» a configuração pode ser adiada, e o início de sessão continua sem ela. Isso funciona no máximo 7 dias, contados a partir do primeiro adiamento. A linha por baixo do botão mostra os dias que faltam. Depois disso, a configuração é obrigatória.

Logo a seguir aparecem dez códigos de recuperação. Cada um deles substitui uma vez o código da aplicação. São mostrados exatamente uma vez. Guardas-os com «Copy» ou «Download». «Download» funciona sempre. «Copy» normalmente também funciona.

Se alguém perder o aparelho e os códigos, o administrador ajuda. Na lista de utilizadores, o botão com o escudo riscado repõe o início de sessão em dois passos dessa pessoa. Ela volta a configurá-lo no próximo início de sessão.

Os códigos dependem do relógio do servidor. Se ele estiver errado, nenhum código é aceite. O botão «Check now» do mesmo cartão compara a hora do servidor com uma fonte de tempo pública.

Se alguém iniciar sessão através de um serviço externo, o sistema não pede código nenhum. O fornecedor já verificou o segundo fator. Com o início de sessão por diretório é diferente: aí continua a valer a regra acima.

Cada utilizador pode ligar o início de sessão em dois passos para a sua própria conta. Isto vale para cada função, também quando o cartão «2FA Settings» não o exige. Abre o menu de utilizador no canto inferior esquerdo da barra lateral e escolhe «Profile picture». A mesma página contém a área «Two-factor authentication».

A área mostra se o início de sessão em dois passos está ligado. Enquanto está desligado, lá está o botão «Turn on». Primeiro pede a tua palavra-passe. Depois aparece um código QR para a aplicação de autenticação, com a mesma chave para escrever à mão. Depois do primeiro código da aplicação, o fator fica ativo.

Logo a seguir aparecem dez códigos de recuperação. Guarda-os com «Copy» ou «Download». «I have saved my codes» fecha a lista. Só é mostrada esta única vez.

Enquanto o início de sessão em dois passos está ligado, a área mostra quantos códigos de recuperação restam. «New recovery codes» cria dez novos. Os códigos antigos deixam então de funcionar. «Turn off» volta a desligar o início de sessão em dois passos. Os dois botões pedem o código atual da aplicação. Aí não é aceite um código de recuperação.

Se o cartão «2FA Settings» exigir o início de sessão em dois passos para a tua função, falta «Turn off». Uma linha na área indica isso.

Uma palavra-passe ou um código errados contam como um início de sessão falhado. A proteção contra a adivinhação de palavras-passe também se aplica aqui. Ligar e desligar fica registado no registo de segurança. Se um administrador desligar o seu próprio início de sessão em dois passos, o registo dá um alerta.

As contas que só iniciam sessão através de um serviço de início de sessão externo veem uma frase em vez dos botões. O fornecedor delas trata do segundo fator. As contas de um diretório introduzem no primeiro passo a sua palavra-passe do diretório.

A proteção funciona sem qualquer definição. Não há nada para ligar. A nota sobre ela está no cartão «2FA Settings».

Funciona em duas fases. Ao fim de cinco tentativas falhadas na mesma conta, o endereço de onde vieram fica em pausa. A pausa termina, o mais tardar, 15 minutos depois da primeira dessas tentativas. A partir de qualquer outro endereço, a conta continua utilizável de imediato.

Essa é a parte importante. Caso contrário, quem soubesse um nome de início de sessão podia trancar um colega cá fora com cinco palavras-passe erradas. Nunca precisaria de uma palavra-passe para isso.

A segunda fase é a própria conta. Fica bloqueada durante 15 minutos ao fim de 20 tentativas falhadas. Como um único endereço só pode contribuir com cinco delas, isso exige vários endereços.

Um início de sessão bem-sucedido repõe os dois contadores. Depois de reiniciar o servidor, a pausa do endereço desaparece, o bloqueio da conta mantém-se. Os mesmos contadores aplicam-se ao início de sessão por um diretório. Um diretório inacessível não conta como tentativa falhada. Se ainda não houver conta para esse nome no sistema de tickets, aplica-se só a pausa do endereço.

Na lista de utilizadores, uma conta bloqueada desta forma leva o selo «temporarily locked». Continua na lista. Ao fim de 15 minutos o selo desaparece sozinho.

Não tens de esperar. Na mesma linha há um botão com um cadeado aberto. Levanta o bloqueio de imediato e limpa os dois contadores.

Isto não é o mesmo que «Archive». Esse botão encerra uma conta de forma definitiva, e só ele ocupa ou liberta um lugar de pessoal interno.

O registo de segurança regista dois tipos de eventos. A área «Sign-in» contém inícios de sessão falhados, contas bloqueadas, tentativas de início de sessão durante um bloqueio, códigos de dois fatores rejeitados e alterações de palavra-passe. Isto vale para o início de sessão com palavra-passe, através de um diretório e através de SSO.

A área «Administration» mostra quem alterou o quê. Abrange contas, funções, permissões, definições de segurança e arquivos. Cada exportação do registo também fica lá registada.

Os inícios de sessão bem-sucedidos só são registados em dois casos. O primeiro caso é um administrador. O segundo caso é um início de sessão depois de tentativas falhadas na mesma conta. O início de sessão normal de um agente ou de um cliente não consta do registo. O registo não é uma lista de presenças.

Se alguém iniciar sessão com um nome que não existe, a entrada diz «unknown account». O sistema não guarda o nome escrito. Por vezes é uma palavra-passe que foi parar ao campo errado.

Os eventos de início de sessão guardam o endereço IP e o navegador. As ações de administração guardam quem as executou, mas nenhum endereço IP. Palavras-passe, códigos e conteúdos de tickets ou e-mails nunca constam do registo.

A página mostra primeiro as entradas mais recentes, 50 por página. O cartão «Filters» restringe a lista. «Area» escolhe inícios de sessão ou administração, «Event» um único tipo de evento. «Person» procura no nome de quem agiu e de quem foi afetado. «From» e «To» limitam os dias. «Failures only» oculta tudo o que correu bem.

Os filtros só fazem efeito depois de um clique em «Apply». «Reset» volta a retirá-los.

«Export CSV» e «Export PDF» descarregam exatamente o que os filtros mostram. Cada ficheiro contém no máximo 10 000 entradas. Se mais entradas corresponderem aos filtros, um aviso junto aos botões de exportação indica-o. O PDF está no teu idioma e indica no topo os filtros e o período. A data e a hora usam o formato definido em «Settings → General Settings».

O ficheiro CSV fica sempre em inglês e as horas estão em UTC. Assim, um programa pode lê-lo independentemente do idioma. Cada exportação consta ela própria do registo, como «Security log exported».

Seis eventos desencadeiam um alerta. São uma conta bloqueada após tentativas falhadas, uma função alterada para «Admin», uma conta criada logo com a função «Admin» e um início de sessão de dois fatores reposto de um administrador. A isso juntam-se tickets arquivados retirados dos dados em curso e o início de sessão de um administrador depois de tentativas falhadas.

Depois de um alerta, quem tiver a permissão vê uma faixa amarela no topo de cada página. Indica o número de alertas desde a última visita ao registo. A ligação «Open security log» leva até lá. Ao abrir o registo, a faixa desaparece. Antes da primeira visita, conta os alertas dos últimos sete dias.

Além disso, cada conta ativa com a permissão e um endereço de e-mail recebe um e-mail de alerta. O sistema junta os alertas a cada 15 minutos e envia um e-mail por pessoa, não um por evento. O e-mail indica o evento, a pessoa afetada e a hora. Não contém nenhum endereço IP. O e-mail de alerta faz parte do Professional.

A execução noturna elimina as entradas antigas. Os prazos estão em «Settings → Security», no cartão «Data protection», no bloco «Security log retention». Por predefinição, os eventos de início de sessão mantêm-se 90 dias; são permitidos de 7 a 365 dias. Por predefinição, as ações de administração mantêm-se 12 meses; são permitidos de 1 a 120 meses.

Cada prazo tem o seu próprio interruptor: «Delete old sign-in events» e «Delete old administrator actions». Se um interruptor estiver desligado, essas entradas mantêm-se. O cartão «Prazos de conservação» explica a execução noturna.

Num pedido de acesso aos dados, a pessoa recebe cada entrada em que agiu ou foi afetada. O endereço IP e o navegador só vêm nas entradas que ela própria desencadeou, por exemplo o seu próprio início de sessão. Se a pessoa for anonimizada, o sistema elimina os seus eventos de início de sessão. As suas ações de administração mantêm-se. Aí o nome dela é substituído pelo marcador de posição.

Uma nota para ti como operador: os inícios de sessão bem-sucedidos só constam do registo para administradores e depois de tentativas falhadas. Mesmo assim, o registo mostra quem fez o quê e quando. Numa empresa com comissão de trabalhadores é, por isso, um tema de codecisão.

Logo no topo está o interruptor principal «Enable single sign-on». Enquanto estiver desligado, continua a valer o nome de utilizador e a palavra-passe. Tudo o que configurares por baixo é guardado e só passa a valer quando o ligares.

O cartão «Active Directory / LDAP» liga um diretório local. Introduzes o servidor, a base de pesquisa, o filtro que encontra uma pessoa e os campos do endereço de e-mail e dos nomes.

A conta usada para as consultas é opcional. Sem ela, o sistema pergunta de forma anónima. A palavra-passe de uma pessoa só é usada para a autenticação junto do diretório e nunca é guardada.

Um diretório não traz um segundo fator próprio. Se a página de segurança exigir o início de sessão em dois passos, também é pedido a estas pessoas.

O cartão «Identity providers» contém os serviços externos de início de sessão. Cada um recebe o seu mosaico e o seu botão na página de início de sessão. «Add provider» cria um novo.

Em «Provider type» escolhes o tipo. «Generic OIDC Provider» serve para serviços como o Google Workspace, o Microsoft Entra ID, o Okta, o Keycloak, o Auth0 ou o Ping Identity. «SAML 2.0 Provider» serve para as mesmas casas quando a ligação for por SAML.

Ao lado deles estão seis serviços regionais: LINE, Kakao, Naver, WeChat, WeCom e DingTalk. Os endereços deles vêm preenchidos e aparecem como texto cinzento no campo.

O nome em «Display name» aparece depois no botão. O interruptor ao lado aplica-se apenas a este fornecedor.

Para o endereço de retorno, trabalha por esta ordem. Introduz primeiro só um nome e carrega em «Save provider». Só então o sistema conhece o número do fornecedor e mostra o endereço completo em «Redirect URI». É formado a partir do endereço público desta instalação, o que está guardado em «Settings → Security». É exatamente o endereço que o sistema usa quando alguém inicia sessão.

Copias esse endereço e registas o mesmo no fornecedor. Aí tem de coincidir carácter a carácter. Em troca, o fornecedor dá-te um ID e um segredo, e introduzes os dois aqui através de «Edit».

O campo «Allowed e-mail domains» limita quem pode entrar por este fornecedor. Deixado vazio, todos os domínios são permitidos.

Se faltar alguma coisa a um fornecedor, o mosaico dele leva o selo vermelho «Incomplete». Não aparece então na página de início de sessão. O texto ao lado diz que campos o tipo dele precisa.

Os fornecedores totalmente configurados continuam a não aparecer enquanto o interruptor principal estiver desligado. O mosaico diz isso numa linha amarela.

Se a tua licença voltar ao Basic, o início de sessão por SSO e pelo diretório continua a funcionar. Nesta página só podes então desligar os fornecedores e o diretório. O registo das tentativas de início de sessão continua legível.

O interruptor «Automatically create accounts on first sign-in» está no mesmo cartão que o interruptor principal. Está ligado de origem.

Quando alguém inicia sessão pela primeira vez através de um fornecedor, o sistema procura primeiro uma conta que já pertença a esse fornecedor. Se não encontrar nenhuma, é criada uma nova.

A conta nova recebe a função «Customer» e nenhuma equipa. Um cliente não precisa de pertencer a uma equipa para criar um ticket e pode, por isso, trabalhar de imediato.

Os clientes são ilimitados nas duas edições, por isso uma conta criada assim não ocupa nenhum lugar de pessoal interno. Quem deva tornar-se agente recebe a função depois, na gestão de utilizadores.

Se já existir uma conta com o mesmo endereço de e-mail, as duas são ligadas. Isso só acontece quando o fornecedor comunica o endereço como verificado. Se não o fizer, o início de sessão é recusado.

Se o desligares, só entram as pessoas que já têm uma conta. Todas as outras são recusadas.

O cartão «Recent sign-in attempts», mesmo em baixo, mostra os últimos 100 eventos de início de sessão através de SSO e do diretório. Provêm do registo de segurança. As tentativas falhadas constam sempre. Um início de sessão bem-sucedido só consta para administradores e depois de tentativas falhadas na mesma conta. Por isso, nem todos os inícios de sessão aparecem na lista.

Cada linha indica a hora, o fornecedor, o resultado e o endereço de origem. Numa tentativa falhada, o motivo aparece ao lado. A coluna «User» mostra o nome da conta. Se não houver conta, mostra o endereço comunicado pelo fornecedor e, caso contrário, «unknown account». O sistema não guarda o nome introduzido.

O início de sessão com nome de utilizador e palavra-passe não aparece nesta tabela. Não é SSO. Encontra-lo no registo de segurança.

De fábrica, as entradas são eliminadas ao fim de 90 dias. A frase sob o título do cartão indica o prazo definido. O cartão «Prazos de conservação» explica esta definição.

Depois da instalação, a tua equipa usa o sistema em qualquer navegador web. O instalador pergunta como se deve chegar ao sistema. No instalador para Windows escolhes isto na página «Acessibilidade». No Linux, o install.sh faz a mesma pergunta e numera as opções de 1 a 5. Mais tarde alteras isto com «Alterar a forma de aceder ao SMITEY». Os teus dados ficam onde estão.

A opção «Apenas na rede local, através do endereço IP (HTTP) - a opção mais simples» é a predefinição. A tua equipa abre o sistema em http:// seguido do endereço IP do servidor e da porta, por exemplo http://192.168.1.20:8088. A porta é 8088, a não ser que escolhas outra. A porta 80 também funciona. Nesse caso, o endereço não precisa de porta. Esta opção não precisa de nome nem de certificado.

A opção «Na rede local com um nome próprio (HTTP, HTTPS possível mais tarde) - dispõe de DNS interno» funciona como a primeira, mas com um nome como ticket.company.local. Crias tu o nome no teu DNS interno. Ele aponta para o endereço IP do servidor. Assim, a tua equipa chega ao sistema pelo nome e continua a chegar pelo endereço IP. O instalador mostra depois o endereço com esse nome.

Com as duas opções HTTP, as palavras-passe e os tickets atravessam a tua rede em texto simples. Os administradores veem então um aviso no topo da página.

As outras três opções usam HTTPS: «Através de um domínio público com HTTPS (automático, com Let's Encrypt)», «Na rede local com HTTPS e um certificado próprio» e «Na rede local com HTTPS, certificado criado pelo SMITEY». Precisam das portas 80 e 443 no servidor. O cartão seguinte descreve-as.

Para um primeiro teste, basta a primeira opção. Se a tua rede tiver DNS interno, escolhe a segunda. Se o sistema tiver de estar acessível a partir da internet, escolhe o domínio público. Se a tua empresa tiver a sua própria autoridade de certificação, escolhe o certificado próprio na rede local. Caso contrário, deixa o SMITEY criar o certificado.

Sem HTTPS, as palavras-passe e os tickets atravessam a tua rede em texto simples. Uma instalação nova começa com HTTP simples, para funcionar logo em qualquer navegador web. Enquanto um administrador abrir o sistema por HTTP simples, aparece um aviso no topo da página: «This connection is not encrypted.» Se o sistema for aberto no próprio servidor como «localhost», o aviso não aparece. Os agentes e os clientes nunca o veem.

«How to switch on HTTPS» leva a este cartão. «Hide for 30 days» esconde o aviso para ti. A definição pertence à tua conta e vale por isso também noutro navegador. Passados 30 dias, o aviso volta enquanto a ligação continuar sem cifra.

O instalador do SMITEY configura HTTPS de três formas. No instalador para Windows escolhes na página «Acessibilidade», e no Linux o install.sh faz a mesma pergunta. Num sistema que já está a funcionar, abre «Alterar a forma de aceder ao SMITEY» no ambiente de trabalho do Windows ou no menu Iniciar. No Linux, o comando abaixo faz o mesmo. Os teus dados ficam onde estão.

A opção «Na rede local com HTTPS e um certificado próprio» usa o teu próprio certificado, por exemplo da CA da tua empresa. O instalador pede o nome do sistema e o ficheiro do certificado com a sua chave. Também serve um ficheiro PFX com a sua palavra-passe. Antes de alterar alguma coisa, verifica o certificado. A chave tem de corresponder, o certificado tem de ser válido e o nome tem de constar do certificado.

A opção «Na rede local com HTTPS, certificado criado pelo SMITEY» não precisa de um certificado próprio. O SMITEY cria um ele próprio e também o renova ele próprio. O instalador guarda o certificado raiz como SMITEY-root-ca.crt na pasta de instalação. Instala este ficheiro em cada computador como certificado raiz fidedigno, por exemplo com uma política de grupo. Até lá, os navegadores mostram um aviso.

A opção «Através de um domínio público com HTTPS (automático, com Let's Encrypt)» obtém o seu certificado da Let’s Encrypt. Precisa de um domínio público que aponte para o servidor. Para isso, o servidor tem de estar acessível a partir da internet.

Nas duas opções da rede local, o nome pode ser um nome como ticket.company.local, uma só palavra como helpdesk ou um endereço IPv4. Os três caminhos precisam das portas 80 e 443 no servidor. Se outro programa as usar, o instalador para e não altera nada. Depois, o sistema é acedido em https:// seguido do nome, sem porta.

O teu próprio certificado expira um dia. A partir de 30 dias antes, os administradores veem no topo da página um aviso com a data. A partir de 7 dias antes, fica vermelho. No Professional, todos os administradores com endereço de e-mail recebem além disso um e-mail 30 e 7 dias antes. Para o renovar, abre de novo «Alterar a forma de aceder ao SMITEY», escolhe a opção com o teu próprio certificado e indica os ficheiros novos.

O ficheiro HTTPS-GUIDE.txt que vem com a instalação descreve cada passo. Isso inclui distribuir o certificado raiz e os passos à mão.