Overovanie a bezpečnosť vrátane SSO

Od začiatku sa každý prihlasuje používateľským menom a heslom. Namiesto používateľského mena funguje aj e-mailová adresa. Ak je nastavené doručovanie pošty, pod formulárom sa objaví odkaz „Do you need a password reset?“. Doručovanie pošty patrí do edície Professional.

Po prihlásení dostane prehliadač preukaz, ktorý platí určený čas. Ako dlho, rozhoduje karta „JWT token timer“. Povolené sú hodnoty od 1 do 24 hodín, odporúčame 12. Potom sa musí človek prihlásiť znova.

Karta „Password policy“ platí pre každé heslo nastavené v systéme. Vynucuje sa pri vytvorení účtu, keď si človek mení vlastné heslo, aj keď ho obnovuje administrátor.

Nastavíte minimálnu dĺžku, ktoré druhy znakov sa musia vyskytnúť, po koľkých dňoch heslo vyprší a koľko starých hesiel zostane zablokovaných. Pri dňoch a pri zozname blokovaných znamená 0 „vypnuté“.

Pravidlá o veľkých a malých písmenách nevylučujú žiadny jazyk. Mnohé písma taký rozdiel vôbec nemajú a znak z niektorého z nich splní obidve pravidlá sám.

Účty, ktoré sa prihlasujú iba cez SSO alebo cez adresár, nemajú lokálne heslo, takže sa ich vypršanie netýka. Ich pravidlá sú u poskytovateľa. Ak bol existujúci účet prepojený so SSO a stále má vlastné heslo, platí pre toto heslo naďalej vypršanie aj pravidlá pre heslá.

Karta „2FA Settings“ určuje, kto musí používať dvojfaktorové prihlásenie. V časti „Two-factor requirement“ vyberiete jednu zo štyroch úrovní: „Off“, „Administrators only“, „Administrators and agents“ alebo „Everyone“. „Everyone“ zahŕňa aj zákazníkov. Nová inštalácia začína úrovňou „Administrators only“. Inštalácia, ktorá existovala už predtým, si po aktualizácii ponechá doterajšie nastavenie.

Kto sa nabudúce prihlási bez druhého faktora, nastaví si ho. Systém ukáže kód QR pre autentifikačnú aplikáciu a ten istý kľúč na ručné zadanie. Po prvom kóde je faktor aktívny. Tlačidlom „Set up later“ sa nastavenie dá odložiť a prihlásenie pokračuje bez neho. Ide to najviac 7 dní, počítané od prvého odloženia. Riadok pod tlačidlom ukazuje zostávajúce dni. Potom je nastavenie povinné.

Hneď potom sa zobrazí desať záložných kódov. Každý z nich raz nahradí kód z aplikácie. Zobrazia sa presne raz. Uložíte ich tlačidlom „Copy“ alebo „Download“. „Download“ funguje vždy. „Copy“ väčšinou tiež.

Ak niekto stratí zariadenie aj kódy, pomôže administrátor. V zozname používateľov obnoví tlačidlo s prečiarknutým štítom dvojfaktorové prihlásenie tejto osoby. Pri ďalšom prihlásení si ho nastaví nanovo.

Kódy závisia od hodín servera. Ak idú zle, žiadny kód sa neprijme. Tlačidlo „Check now“ na tej istej karte porovná čas servera s verejným zdrojom času.

Ak sa niekto prihlási cez externú prihlasovaciu službu, systém kód nepýta. Poskytovateľ druhý faktor už overil. Pri prihlásení cez adresár je to inak: tam platí pravidlo uvedené vyššie.

Každý používateľ si môže zapnúť dvojfaktorové prihlásenie pre vlastné konto. Platí to pre každú rolu, aj keď ho karta „2FA Settings“ nevyžaduje. Otvorte používateľskú ponuku vľavo dole v bočnom paneli a zvoľte „Profile picture“. Na tej istej stránke je aj oblasť „Two-factor authentication“.

Oblasť ukazuje, či je dvojfaktorové prihlásenie zapnuté. Kým je vypnuté, je tam tlačidlo „Turn on“. To sa najprv opýta na vaše heslo. Potom sa zobrazí kód QR pre autentifikačnú aplikáciu a ten istý kľúč na ručné zadanie. Po prvom kóde z aplikácie je faktor aktívny.

Hneď potom sa zobrazí desať záložných kódov. Uložte ich tlačidlom „Copy“ alebo „Download“. „I have saved my codes“ zoznam zatvorí. Zobrazí sa len tento jediný raz.

Kým je dvojfaktorové prihlásenie zapnuté, oblasť ukazuje, koľko záložných kódov zostáva. „New recovery codes“ vytvorí desať nových. Staré kódy potom prestanú platiť. „Turn off“ dvojfaktorové prihlásenie znova vypne. Obe tlačidlá vyžadujú aktuálny kód z aplikácie. Záložný kód sa tam neprijíma.

Ak karta „2FA Settings“ vyžaduje dvojfaktorové prihlásenie pre vašu rolu, tlačidlo „Turn off“ chýba. Hovorí to riadok v oblasti.

Nesprávne heslo alebo nesprávny kód sa počíta ako neúspešné prihlásenie. Ochrana proti hádaniu hesiel teda platí aj tu. Zapnutie a vypnutie sa zapíše do protokolu zabezpečenia. Ak administrátor vypne vlastné dvojfaktorové prihlásenie, protokol vyhlási poplach.

Kontá, ktoré sa prihlasujú len cez externú prihlasovaciu službu, vidia namiesto tlačidiel vetu. Druhý faktor u nich rieši ich poskytovateľ. Kontá z adresára zadajú v prvom kroku svoje heslo z adresára.

Ochrana beží bez akéhokoľvek nastavenia. Nie je čo zapínať. Poznámka o nej je na karte „2FA Settings“.

Funguje v dvoch stupňoch. Po piatich neúspešných pokusoch pri tom istom účte sa adresa, z ktorej prišli, pozastaví. Pozastavenie skončí najneskôr 15 minút po prvom z týchto pokusov. Z ktorejkoľvek inej adresy zostáva účet použiteľný hneď.

To je tá dôležitá časť. Inak by ktokoľvek, kto pozná prihlasovacie meno, mohol kolegu vyzamknúť piatimi nesprávnymi heslami. Heslo by na to nikdy nepotreboval.

Druhým stupňom je samotný účet. Po 20 neúspešných pokusoch sa na 15 minút zamkne. Keďže jedna adresa k nim môže prispieť najviac piatimi, treba na to viac adries.

Úspešné prihlásenie vynuluje obidve počítadlá. Po reštarte servera je pozastavenie adresy preč, zamknutie účtu zostáva. Rovnaké počítadlá platia aj pre prihlásenie cez adresár. Nedostupný adresár sa za neúspešný pokus nepočíta. Ak pre dané meno ešte v ticketovacom systéme nie je žiadny účet, platí iba pozastavenie adresy.

V zozname používateľov nesie takto zamknutý účet označenie „temporarily locked“. Zo zoznamu nezmizne. Po 15 minútach označenie zmizne samo.

Čakať nemusíte. V tom istom riadku je tlačidlo s otvoreným zámkom. Zamknutie zruší okamžite a vynuluje obidve počítadlá.

Nie je to to isté ako „Archive“. To tlačidlo účet zavrie natrvalo a iba ono zaberá alebo uvoľňuje zamestnanecké miesto.

Protokol zabezpečenia zaznamenáva dva druhy udalostí. Oblasť „Sign-in“ obsahuje neúspešné prihlásenia, zamknuté účty, pokusy o prihlásenie počas zámku, odmietnuté dvojfaktorové kódy a zmeny hesiel. Platí to pre prihlásenie heslom, cez adresár aj cez SSO.

Oblasť „Administration“ ukazuje, kto čo zmenil. Patria sem účty, role, oprávnenia, nastavenia zabezpečenia a archívy. Zaznamená sa tam aj každý export protokolu.

Úspešné prihlásenia sa zaznamenávajú iba v dvoch prípadoch. Prvým prípadom je správca. Druhým prípadom je prihlásenie po neúspešných pokusoch na ten istý účet. Bežné prihlásenie riešiteľa alebo zákazníka v protokole nie je. Protokol nie je dochádzkový zoznam.

Keď sa niekto prihlási menom, ktoré neexistuje, v zázname stojí „unknown account“. Systém zadané meno neukladá. Niekedy je to heslo, ktoré skončilo v nesprávnom poli.

Udalosti prihlásenia ukladajú IP adresu a prehliadač. Správcovské akcie ukladajú, kto ich vykonal, ale žiadnu IP adresu. Heslá, kódy a obsah tiketov alebo e-mailov v protokole nikdy nie sú.

Stránka ukazuje najnovšie záznamy ako prvé, 50 na stránku. Karta „Filters“ zoznam zúži. „Area“ vyberie prihlásenia alebo správu, „Event“ jediný druh udalosti. „Person“ hľadá v mene toho, kto konal, aj toho, koho sa to týka. „From“ a „To“ obmedzia dni. „Failures only“ skryje všetko, čo sa podarilo.

Filtre začnú platiť až po kliknutí na „Apply“. „Reset“ ich znova odstráni.

„Export CSV“ a „Export PDF“ stiahnu presne to, čo ukazujú filtre. Každý súbor obsahuje najviac 10 000 záznamov. Ak filtrom zodpovedá viac záznamov, upozorní na to poznámka pri tlačidlách exportu. PDF je v tvojom jazyku a hore uvádza filtre a obdobie. Dátum a čas majú formát nastavený v „Settings → General Settings“.

Súbor CSV zostáva vždy po anglicky a časy sú v UTC. Program ho tak môže čítať nezávisle od jazyka. Každý export je sám v protokole ako „Security log exported“.

Šesť udalostí spustí upozornenie. Sú to účet zamknutý po neúspešných pokusoch, rola zmenená na „Admin“, účet založený rovno s rolou „Admin“ a resetované dvojfaktorové prihlásenie správcu. K tomu patria archivované tikety odstránené z bežných údajov a prihlásenie správcu po neúspešných pokusoch.

Po upozornení vidí každý s oprávnením hore na každej stránke žltý banner. Uvádza počet upozornení od jeho poslednej návštevy protokolu. Odkaz „Open security log“ vedie tam. Otvorením protokolu banner zmizne. Pred prvou návštevou počíta upozornenia za posledných sedem dní.

Navyše dostane každý aktívny účet s oprávnením a e-mailovou adresou e-mail s upozornením. Systém zbiera upozornenia každých 15 minút a posiela jeden e-mail na osobu, nie jeden na udalosť. E-mail uvádza udalosť, dotknutú osobu a čas. Neobsahuje žiadnu IP adresu. E-mail s upozornením patrí k edícii Professional.

Nočný beh maže staré záznamy. Lehoty sú v „Settings → Security“ na karte „Data protection“ v bloku „Security log retention“. Udalosti prihlásenia sa predvolene uchovávajú 90 dní, povolených je 7 až 365 dní. Správcovské akcie sa predvolene uchovávajú 12 mesiacov, povolených je 1 až 120 mesiacov.

Každá lehota má vlastný prepínač: „Delete old sign-in events“ a „Delete old administrator actions“. Ak je prepínač vypnutý, tieto záznamy zostanú. Karta „Lehoty uchovávania“ vysvetľuje nočný beh.

Pri žiadosti o prístup k údajom dostane osoba každý záznam, v ktorom konala alebo ktorého sa týka. IP adresa a prehliadač sú priložené iba pri záznamoch, ktoré sama vyvolala, napríklad pri svojom vlastnom prihlásení. Keď sa osoba anonymizuje, systém zmaže jej udalosti prihlásenia. Jej správcovské akcie zostávajú. Jej meno sa tam nahradí zástupným menom.

Poznámka pre teba ako prevádzkovateľa: úspešné prihlásenia sú v protokole iba pri správcoch a po neúspešných pokusoch. Protokol napriek tomu ukazuje, kto čo kedy urobil. Vo firme so zástupcami zamestnancov je preto vecou spolurozhodovania.

Úplne hore je hlavný prepínač „Enable single sign-on“. Kým je vypnutý, zostáva sa pri používateľskom mene a hesle. Všetko, čo pod ním nastavíte, sa uloží a začne platiť, až keď ho zapnete.

Karta „Active Directory / LDAP“ pripojí adresár vo vlastnej sieti. Zadáte server, základ vyhľadávania, filter, ktorý nájde človeka, a polia pre e-mailovú adresu a mená.

Účet použitý na vyhľadávanie je voliteľný. Bez neho sa systém pýta anonymne. Heslo človeka sa použije len na prihlásenie voči adresáru a nikdy sa neukladá.

Adresár neprináša vlastný druhý faktor. Ak stránka bezpečnosti vyžaduje dvojfaktorové prihlásenie, systém oň požiada aj týchto ľudí.

Karta „Identity providers“ obsahuje externé prihlasovacie služby. Každá dostane vlastnú dlaždicu a vlastné tlačidlo na prihlasovacej stránke. Cez „Add provider“ vytvoríte novú.

Pod „Provider type“ vyberiete druh. „Generic OIDC Provider“ sedí na služby ako Google Workspace, Microsoft Entra ID, Okta, Keycloak, Auth0 alebo Ping Identity. „SAML 2.0 Provider“ sedí na tie isté domy, keď sa majú pripojiť cez SAML.

Popri nich je šesť regionálnych služieb: LINE, Kakao, Naver, WeChat, WeCom a DingTalk. Ich adresy sú predvyplnené a v poli sa zobrazujú ako sivý text.

Názov pod „Display name“ sa neskôr zobrazí na tlačidle. Prepínač vedľa neho platí len pre tohto jedného poskytovateľa.

Pri adrese na presmerovanie postupujte v tomto poradí. Najprv zadajte iba názov a kliknite na „Save provider“. Až potom systém pozná číslo poskytovateľa a ukáže hotovú adresu pod „Redirect URI“. Skladá sa z verejnej adresy tejto inštalácie, tej uloženej pod „Settings → Security“. Je to presne tá adresa, ktorú systém používa, keď sa niekto prihlasuje.

Túto adresu skopírujete a zaregistrujete u poskytovateľa. Musí tam súhlasiť znak po znaku. Poskytovateľ vám na oplátku dá identifikátor a tajný kľúč a tie zadáte sem cez „Edit“.

Pole „Allowed e-mail domains“ obmedzuje, kto smie cez tohto poskytovateľa dnu. Ak zostane prázdne, povolená je každá doména.

Ak poskytovateľovi ešte niečo chýba, jeho dlaždica nesie červené označenie „Incomplete“. Na prihlasovacej stránke sa potom nezobrazí. Text vedľa hovorí, ktoré polia jeho druh potrebuje.

Úplne nastavení poskytovatelia sa nezobrazia, kým je hlavný prepínač vypnutý. Dlaždica to hovorí v žltom riadku.

Ak vaša licencia spadne späť na Basic, prihlásenie cez SSO a adresár funguje ďalej. Na tejto stránke potom môžete poskytovateľov a adresár už iba vypnúť. Protokol pokusov o prihlásenie zostane čitateľný.

Prepínač „Automatically create accounts on first sign-in“ je na tej istej karte ako hlavný prepínač. Štandardne je zapnutý.

Keď sa niekto cez poskytovateľa prihlási prvýkrát, systém najprv hľadá účet, ktorý už tomuto poskytovateľovi patrí. Ak žiadny nenájde, vytvorí nový.

Nový účet dostane rolu „Customer“ a žiadny tím. Zákazník na založenie tiketu členstvo nepotrebuje, a tak môže hneď pracovať.

Zákazníkov je v obidvoch edíciách neobmedzene, takže takto vytvorený účet nezaberá zamestnanecké miesto. Kto sa má stať riešiteľom, dostane rolu potom v správe používateľov.

Ak už účet s tou istou e-mailovou adresou existuje, obidva sa prepoja. Stane sa to iba vtedy, keď poskytovateľ adresu hlási ako overenú. Ak ju tak nehlási, prihlásenie sa odmietne.

Ak prepínač vypnete, dostanú sa dnu iba ľudia, ktorí už účet majú. Všetci ostatní sú odmietnutí.

Karta „Recent sign-in attempts“ úplne dole ukazuje posledných 100 udalostí prihlásenia cez SSO a adresár. Pochádzajú z protokolu zabezpečenia. Neúspešné pokusy sú v nej vždy. Úspešné prihlásenie je v nej iba pri správcoch a po neúspešných pokusoch na ten istý účet. V zozname preto nie je každé prihlásenie.

Každý riadok pomenuje čas, poskytovateľa, výsledok a zdrojovú adresu. Pri neúspešnom pokuse je vedľa dôvod. Stĺpec „User“ ukazuje meno účtu. Ak účet neexistuje, ukazuje adresu, ktorú nahlásil poskytovateľ, inak „unknown account“. Zadané meno systém neukladá.

Prihlásenie používateľským menom a heslom sa v tejto tabuľke neobjaví. Nie je to SSO. Nájdeš ho v protokole zabezpečenia.

V predvolenom nastavení sa záznamy mažú po 90 dňoch. Veta pod názvom karty uvádza nastavenú lehotu. Nastavenie vysvetľuje karta „Lehoty uchovávania“.

Po inštalácii váš tím používa systém v každom webovom prehliadači. Inštalačný program sa opýta, ako má byť systém dostupný. V inštalačnom programe pre Windows to vyberiete na stránke „Dostupnosť“. V Linuxe sa install.sh opýta na to isté a očísluje možnosti od 1 do 5. Neskôr to zmeníte cez „Zmeniť spôsob prístupu k SMITEY“. Vaše dáta zostanú, kde sú.

Možnosť „Iba v lokálnej sieti, cez IP adresu (HTTP) - najjednoduchšia možnosť“ je predvolené nastavenie. Váš tím otvára systém na http:// a za tým IP adresa servera a port, napríklad http://192.168.1.20:8088. Port je 8088, ak nevyberiete iný. Funguje aj port 80. Potom adresa nepotrebuje port. Táto možnosť nepotrebuje názov ani certifikát.

Možnosť „V lokálnej sieti pod vlastným názvom (HTTP, HTTPS možné doplniť neskôr) - máte interný DNS“ funguje ako prvá, ale pod názvom ako ticket.company.local. Názov si vytvoríte sami vo svojom internom DNS. Ukazuje na IP adresu servera. Potom váš tím dosiahne systém cez názov a naďalej aj cez IP adresu. Inštalačný program potom ukáže adresu s týmto názvom.

Pri oboch možnostiach s HTTP idú heslá a tikety vašou sieťou ako čitateľný text. Administrátori potom vidia upozornenie hore na stránke.

Ostatné tri možnosti používajú HTTPS: „Cez verejnú doménu s HTTPS (automaticky pomocou Let's Encrypt)“, „V lokálnej sieti s HTTPS a vlastným certifikátom“ a „V lokálnej sieti s HTTPS, certifikát vytvorí SMITEY“. Potrebujú na serveri porty 80 a 443. Opisuje ich nasledujúca karta.

Na prvý test stačí prvá možnosť. Ak má vaša sieť interný DNS, vyberte druhú. Ak má byť systém dosiahnuteľný z internetu, vyberte verejnú doménu. Ak má vaša firma vlastnú certifikačnú autoritu, vyberte vlastný certifikát v lokálnej sieti. Inak nechajte certifikát vytvoriť SMITEY.

Bez HTTPS idú heslá a tikety vašou sieťou ako čitateľný text. Nová inštalácia začína obyčajným HTTP, aby hneď fungovala v akomkoľvek webovom prehliadači. Kým administrátor otvára systém cez obyčajné HTTP, hore na stránke sa zobrazí upozornenie: „This connection is not encrypted.“ Ak sa systém otvorí priamo na serveri ako „localhost“, upozornenie sa nezobrazí. Riešitelia a zákazníci ho nikdy nevidia.

„How to switch on HTTPS“ vedie k tejto karte. „Hide for 30 days“ upozornenie pre vás skryje. Nastavenie patrí k vášmu kontu, a preto platí aj v inom prehliadači. Po 30 dňoch sa upozornenie vráti, ak spojenie stále nie je šifrované.

Inštalačný program SMITEY nastaví HTTPS tromi spôsobmi. V inštalačnom programe pre Windows ho vyberiete na stránke „Dostupnosť“, v Linuxe sa install.sh opýta na to isté. Pri systéme, ktorý už beží, otvorte „Zmeniť spôsob prístupu k SMITEY“ na pracovnej ploche Windows alebo v ponuke Štart. V Linuxe urobí to isté príkaz nižšie. Vaše dáta zostanú, kde sú.

Možnosť „V lokálnej sieti s HTTPS a vlastným certifikátom“ používa váš vlastný certifikát, napríklad z firemnej certifikačnej autority. Inštalačný program sa opýta na názov systému a na súbor certifikátu s jeho kľúčom. Funguje aj súbor PFX s jeho heslom. Kým niečo zmení, certifikát skontroluje. Kľúč musí pasovať, certifikát musí byť platný a názov musí byť v certifikáte.

Možnosť „V lokálnej sieti s HTTPS, certifikát vytvorí SMITEY“ nepotrebuje vlastný certifikát. SMITEY si ho vytvorí sám a sám ho aj obnovuje. Koreňový certifikát uloží inštalačný program ako SMITEY-root-ca.crt do inštalačného priečinka. Nainštalujte tento súbor na každý počítač ako dôveryhodný koreňový certifikát, napríklad politikou skupiny. Dovtedy prehliadače ukazujú varovanie.

Možnosť „Cez verejnú doménu s HTTPS (automaticky pomocou Let's Encrypt)“ získa svoj certifikát od Let’s Encrypt. Potrebuje verejnú doménu, ktorá ukazuje na server. Server preto musí byť dosiahnuteľný z internetu.

Pri oboch možnostiach pre miestnu sieť môže byť názvom názov ako ticket.company.local, jediné slovo ako helpdesk alebo adresa IPv4. Všetky tri cesty potrebujú na serveri porty 80 a 443. Ak ich používa iný program, inštalačný program skončí a nič nezmení. Systém je potom dostupný na https:// a názve, bez portu.

Váš vlastný certifikát raz vyprší. Od 30 dní vopred vidia administrátori hore na stránke upozornenie s dátumom. Od 7 dní vopred je červené. V edícii Professional dostanú všetci administrátori s e-mailovou adresou navyše 30 a 7 dní vopred e-mail. Na obnovenie znova otvorte „Zmeniť spôsob prístupu k SMITEY“, zvoľte možnosť s vlastným certifikátom a zadajte nové súbory.

Súbor HTTPS-GUIDE.txt, ktorý prichádza s inštaláciou, opisuje každý krok. Patrí k tomu rozdanie koreňového certifikátu a kroky ručne.