Preverjanje pristnosti in varnost, vključno s SSO

V izhodišču se vsi prijavijo z uporabniškim imenom in geslom. Namesto uporabniškega imena deluje tudi e-poštni naslov. Če je dostava pošte nastavljena, se pod obrazcem pokaže povezava »Do you need a password reset?«. Dostava pošte je del izdaje Professional.

Po prijavi brskalnik dobi prepustnico, ki velja določen čas. Kako dolgo, določa kartica »JWT token timer«. Dovoljene so vrednosti od 1 do 24 ur, priporočena je 12. Nato se mora oseba znova prijaviti.

Kartica »Password policy« velja za vsako geslo, ki se nastavi v sistemu. Uveljavi se ob ustvarjanju računa, ko oseba spremeni svoje geslo in ko ga administrator ponastavi.

Nastavite najmanjšo dolžino, katere vrste znakov morajo biti prisotne, po koliko dneh geslo poteče in koliko starih gesel ostane blokiranih. Pri dnevih in seznamu blokiranih 0 pomeni »izklopljeno«.

Pravila o veliki in mali začetnici ne izključujejo nobenega jezika. Mnogi pisavni sistemi te razlike sploh nimajo, znak iz enega od njih pa sam zadosti obema praviloma.

Računi, ki se prijavljajo samo prek SSO ali imenika, nimajo krajevnega gesla, zato zanje potek ne velja. Njihova pravila so pri ponudniku. Če je bil obstoječ račun povezan s SSO in ima še vedno lastno geslo, za to geslo še naprej veljata potek in pravilnik o geslih.

Kartica »2FA Settings« določa, kdo mora uporabljati dvostopenjsko prijavo. Pod »Two-factor requirement« izberete eno od štirih stopenj: »Off«, »Administrators only«, »Administrators and agents« ali »Everyone«. »Everyone« zajema tudi stranke. Nova namestitev se začne s stopnjo »Administrators only«. Namestitev, ki je obstajala že prej, po posodobitvi obdrži dosedanjo nastavitev.

Kdor se naslednjič prijavi brez drugega dejavnika, ga nastavi. Sistem pokaže kodo QR za aplikacijo za preverjanje pristnosti in isti ključ za ročni vnos. Po prvi kodi je dejavnik dejaven. Z gumbom »Set up later« lahko nastavitev odložite, prijava pa se nadaljuje brez nje. To gre največ 7 dni, šteto od prve odložitve. Vrstica pod gumbom pokaže preostale dni. Potem je nastavitev obvezna.

Takoj zatem se pokaže deset obnovitvenih kod. Vsaka od njih enkrat nadomesti kodo iz aplikacije. Prikazane so natanko enkrat. Shranite jih z »Copy« ali »Download«. »Download« deluje vedno. »Copy« večinoma tudi.

Če kdo izgubi svojo napravo in svoje kode, pomaga administrator. V seznamu uporabnikov gumb s prečrtanim ščitom tej osebi ponastavi dvostopenjsko prijavo. Ob naslednji prijavi jo nastavi znova.

Kode so odvisne od ure strežnika. Če ta ni pravilna, ni sprejeta nobena koda. Gumb »Check now« na isti kartici primerja čas strežnika z javnim virom časa.

Če se kdo prijavi prek zunanje prijavne storitve, sistem kode ne zahteva. Ponudnik je drugi dejavnik že preveril. Pri prijavi prek imenika je drugače: tam zgornje pravilo še vedno velja.

Vsak uporabnik lahko za svoj račun vklopi dvostopenjsko prijavo. To velja za vsako vlogo, tudi ko je kartica »2FA Settings« ne zahteva. Odprite uporabniški meni spodaj levo v stranski vrstici in izberite »Profile picture«. Na isti strani je tudi področje »Two-factor authentication«.

Področje pokaže, ali je dvostopenjska prijava vklopljena. Dokler je izklopljena, je tam gumb »Turn on«. Ta najprej vpraša za vaše geslo. Nato se pokaže koda QR za aplikacijo za preverjanje pristnosti in isti ključ za ročni vnos. Po prvi kodi iz aplikacije je dejavnik dejaven.

Takoj zatem se pokaže deset obnovitvenih kod. Shranite jih z »Copy« ali »Download«. »I have saved my codes« zapre seznam. Prikaže se samo ta en edini krat.

Dokler je dvostopenjska prijava vklopljena, področje pokaže, koliko obnovitvenih kod je še ostalo. »New recovery codes« ustvari deset novih. Stare kode takrat ne delujejo več. »Turn off« dvostopenjsko prijavo spet izklopi. Oba gumba zahtevata trenutno kodo iz aplikacije. Obnovitvena koda tam ni sprejeta.

Če kartica »2FA Settings« za vašo vlogo zahteva dvostopenjsko prijavo, gumba »Turn off« ni. To pove vrstica v področju.

Napačno geslo ali napačna koda šteje kot neuspešna prijava. Zaščita pred ugibanjem gesel torej velja tudi tukaj. Vklop in izklop se zapišeta v varnostni dnevnik. Če administrator izklopi lastno dvostopenjsko prijavo, dnevnik sproži alarm.

Računi, ki se prijavljajo samo prek zunanje storitve za prijavo, namesto gumbov vidijo stavek. Drugi dejavnik pri njih ureja ponudnik. Računi iz imenika v prvem koraku vnesejo svoje geslo iz imenika.

Zaščita teče brez vsake nastavitve. Ničesar ni treba vklopiti. Opomba o njej stoji v kartici »2FA Settings«.

Deluje v dveh stopnjah. Po petih neuspelih poskusih za isti račun se naslov, s katerega so prišli, zaustavi. Zaustavitev se konča najpozneje 15 minut po prvem od teh poskusov. Z vsakega drugega naslova je račun takoj naprej uporaben.

To je pomemben del. Sicer bi lahko vsak, ki pozna prijavno ime, s petimi napačnimi gesli zaklenil sodelavca. Za to sploh ne bi potreboval gesla.

Druga stopnja je račun sam. Po 20 neuspelih poskusih se za 15 minut zaklene. Ker lahko en sam naslov prispeva največ pet, je za to potrebnih več naslovov.

Uspešna prijava ponastavi oba števca. Po ponovnem zagonu strežnika je zaustavitev naslova odpravljena, zaklenjeni račun pa ostane. Isti števci veljajo za prijavo prek imenika. Nedosegljiv imenik ne šteje kot neuspel poskus. Če za ime v sistemu za zahtevke še ni računa, velja samo zaustavitev naslova.

V seznamu uporabnikov tako zaklenjen račun nosi oznako »temporarily locked«. Ostane v seznamu. Po 15 minutah oznaka izgine sama.

Čakati vam ni treba. V isti vrstici je gumb z odprto ključavnico. Zaporo odpravi takoj in počisti oba števca.

To ni isto kot »Archive«. Tisti gumb račun dokončno ustavi in samo on zasede ali sprosti mesto za zaposlenega.

Varnostni dnevnik beleži dve vrsti dogodkov. Področje »Sign-in« vsebuje neuspele prijave, zaklenjene račune, poskuse prijave med zaklepom, zavrnjene dvofaktorske kode in spremembe gesel. To velja za prijavo z geslom, prek imenika in prek SSO.

Področje »Administration« pokaže, kdo je kaj spremenil. To zajema račune, vloge, pravice, varnostne nastavitve in arhive. Tam je zabeležen tudi vsak izvoz dnevnika.

Uspešne prijave se beležijo samo v dveh primerih. Prvi primer je skrbnik. Drugi primer je prijava po neuspelih poskusih za isti račun. Običajna prijava agenta ali stranke ni v dnevniku. Dnevnik ni seznam prisotnosti.

Če se nekdo prijavi z imenom, ki ne obstaja, v vnosu piše »unknown account«. Sistem vpisanega imena ne shrani. Včasih je to geslo, ki je pristalo v napačnem polju.

Dogodki prijave shranijo naslov IP in brskalnik. Skrbniška dejanja shranijo, kdo jih je izvedel, naslova IP pa ne. Gesla, kode in vsebina zahtevkov ali e-poštnih sporočil niso nikoli v dnevniku.

Stran najprej pokaže najnovejše vnose, 50 na stran. Kartica »Filters« zoži seznam. »Area« izbere prijave ali upravljanje, »Event« eno samo vrsto dogodka. »Person« išče v imenu tistega, ki je ukrepal, in tistega, ki ga to zadeva. »From« in »To« omejita dneve. »Failures only« skrije vse, kar je uspelo.

Filtri začnejo veljati šele po kliku na »Apply«. »Reset« jih spet odstrani.

»Export CSV« in »Export PDF« preneseta natanko tisto, kar kažejo filtri. Vsaka datoteka vsebuje največ 10.000 vnosov. Če filtrom ustreza več vnosov, to pove opomba pri gumbih za izvoz. PDF je v tvojem jeziku in na vrhu navede filtre in obdobje. Datum in čas imata obliko, nastavljeno pod »Settings → General Settings«.

Datoteka CSV ostane vedno v angleščini, časi pa so v UTC. Tako jo lahko program prebere ne glede na jezik. Vsak izvoz je tudi sam v dnevniku, kot »Security log exported«.

Šest dogodkov sproži opozorilo. To so račun, zaklenjen po neuspelih poskusih, vloga, spremenjena v »Admin«, račun, ustvarjen takoj z vlogo »Admin«, in ponastavljena dvofaktorska prijava skrbnika. Poleg tega še arhivirani zahtevki, odstranjeni iz tekočih podatkov, in prijava skrbnika po neuspelih poskusih.

Po opozorilu vsak s pravico vidi rumeno pasico na vrhu vsake strani. Navede število opozoril od njegovega zadnjega obiska dnevnika. Povezava »Open security log« vodi tja. Z odprtjem dnevnika pasica izgine. Pred prvim obiskom šteje opozorila zadnjih sedmih dni.

Poleg tega vsak aktiven račun s pravico in e-poštnim naslovom prejme opozorilno sporočilo. Sistem zbira opozorila vsakih 15 minut in pošlje eno sporočilo na osebo, ne eno na dogodek. Sporočilo navede dogodek, prizadeto osebo in čas. Ne vsebuje naslova IP. Opozorilno sporočilo spada k izdaji Professional.

Nočni zagon izbriše stare vnose. Roki so pod »Settings → Security« na kartici »Data protection« v bloku »Security log retention«. Dogodki prijave ostanejo privzeto 90 dni, dovoljeno je od 7 do 365 dni. Skrbniška dejanja ostanejo privzeto 12 mesecev, dovoljeno je od 1 do 120 mesecev.

Vsak rok ima svoje stikalo: »Delete old sign-in events« in »Delete old administrator actions«. Če je stikalo izklopljeno, ti vnosi ostanejo. Kartica »Roki hrambe« pojasni nočni zagon.

Pri zahtevi za vpogled v podatke oseba dobi vsak vnos, v katerem je ukrepala ali jo zadeva. Naslov IP in brskalnik sta priložena samo pri vnosih, ki jih je sprožila sama, na primer pri lastni prijavi. Če se oseba anonimizira, sistem izbriše njene dogodke prijave. Njena skrbniška dejanja ostanejo. Njeno ime se tam nadomesti z nadomestnim imenom.

Opomba zate kot upravljavca: uspešne prijave so v dnevniku samo pri skrbnikih in po neuspelih poskusih. Dnevnik kljub temu pokaže, kdo je kdaj kaj naredil. V podjetju s svetom delavcev je zato stvar soodločanja.

Čisto na vrhu je glavno stikalo »Enable single sign-on«. Dokler je izklopljeno, ostane pri uporabniškem imenu in geslu. Vse, kar nastavite pod njim, se shrani in začne veljati šele, ko ga vklopite.

Kartica »Active Directory / LDAP« poveže krajevni imenik. Vnesete strežnik, iskalno osnovo, filter, ki najde osebo, ter polja za e-poštni naslov in imena.

Račun za poizvedbe je izbiren. Brez njega sistem sprašuje anonimno. Geslo osebe se uporabi samo za vezavo na imenik in se nikoli ne shrani.

Imenik ne prinese svojega drugega dejavnika. Če stran z varnostjo zahteva dvostopenjsko prijavo, so tudi te osebe vprašane po njej.

Kartica »Identity providers« vsebuje zunanje prijavne storitve. Vsaka dobi svojo ploščico in svoj gumb na prijavni strani. »Add provider« ustvari novo.

Pod »Provider type« izberete vrsto. »Generic OIDC Provider« ustreza storitvam, kot so Google Workspace, Microsoft Entra ID, Okta, Keycloak, Auth0 ali Ping Identity. »SAML 2.0 Provider« ustreza istim hišam, kadar naj bodo povezane prek SAML.

Poleg njih je šest regionalnih storitev: LINE, Kakao, Naver, WeChat, WeCom in DingTalk. Njihovi naslovi so vnaprej izpolnjeni in se v polju pokažejo kot sivo besedilo.

Ime pod »Display name« se pozneje pokaže na gumbu. Stikalo poleg velja samo za tega ponudnika.

Pri povratnem naslovu delajte v tem vrstnem redu. Najprej vnesite samo ime in kliknite »Save provider«. Šele nato sistem pozna številko ponudnika in pod »Redirect URI« pokaže dokončan naslov. Sestavljen je iz javnega naslova te namestitve, tistega, ki je shranjen pod »Settings → Security«. Prav ta naslov sistem uporabi, ko se nekdo prijavi.

Ta naslov kopirate in ga registrirate pri ponudniku. Tam se mora ujemati znak za znakom. V zameno vam ponudnik da ID in skrivnost, ki ju tukaj vnesete prek »Edit«.

Polje »Allowed e-mail domains« omeji, kdo sme vstopiti prek tega ponudnika. Če ostane prazno, so dovoljene vse domene.

Če ponudniku še kaj manjka, njegova ploščica nosi rdečo oznako »Incomplete«. Takrat se na prijavni strani ne pokaže. Besedilo poleg pove, katera polja njegova vrsta potrebuje.

Popolnoma nastavljeni ponudniki se še vedno ne pokažejo, dokler je glavno stikalo izklopljeno. Ploščica to pove v rumeni vrstici.

Če vaša licenca pade nazaj na Basic, prijava prek SSO in imenika še naprej deluje. Na tej strani lahko nato ponudnike in imenik samo še izklopite. Dnevnik poskusov prijave ostane berljiv.

Stikalo »Automatically create accounts on first sign-in« je v isti kartici kot glavno stikalo. Privzeto je vklopljeno.

Ko se nekdo prvič prijavi prek ponudnika, sistem najprej poišče račun, ki temu ponudniku že pripada. Če ga ne najde, se ustvari nov.

Novi račun dobi vlogo »Customer« in nobene ekipe. Stranka za ustvarjanje zahtevka ne potrebuje članstva in lahko zato takoj dela.

Strank je v obeh izdajah neomejeno, zato tako ustvarjen račun ne porabi mesta za zaposlenega. Kdor naj postane agent, vlogo dobi pozneje v upravljanju uporabnikov.

Če račun z istim e-poštnim naslovom že obstaja, se oba povežeta. To se zgodi samo, kadar ponudnik naslov sporoči kot preverjen. Če ga ne, je prijava zavrnjena.

Če stikalo izklopite, pridejo noter samo ljudje, ki račun že imajo. Vsi drugi so zavrnjeni.

Kartica »Recent sign-in attempts« čisto spodaj pokaže zadnjih 100 dogodkov prijave prek SSO in imenika. Izhajajo iz varnostnega dnevnika. Neuspeli poskusi so v njej vedno. Uspešna prijava je v njej samo pri skrbnikih in po neuspelih poskusih za isti račun. Zato na seznamu ni vsake prijave.

Vsaka vrstica navede čas, ponudnika, izid in izvorni naslov. Pri neuspelem poskusu stoji poleg razlog. Stolpec »User« pokaže ime računa. Če računa ni, pokaže naslov, ki ga je sporočil ponudnik, sicer »unknown account«. Vpisanega imena sistem ne shrani.

Prijava z uporabniškim imenom in geslom se v tej razpredelnici ne pojavi. Ni SSO. Najdeš jo v varnostnem dnevniku.

Privzeto se vnosi izbrišejo po 90 dneh. Stavek pod naslovom kartice navede nastavljeni rok. Nastavitev pojasnjuje kartica »Roki hrambe«.

Po namestitvi vaša ekipa uporablja sistem v vsakem spletnem brskalniku. Namestitveni program vpraša, kako naj bo sistem dosegljiv. V namestitvenem programu za Windows to izberete na strani »Dosegljivost«. V Linuxu install.sh postavi isto vprašanje in možnosti oštevilči od 1 do 5. Pozneje to spremenite z »Spremeni način dostopa do SMITEY«. Vaši podatki ostanejo, kjer so.

Možnost »Samo v krajevnem omrežju, prek naslova IP (HTTP) - najpreprostejša možnost« je privzeta nastavitev. Vaša ekipa odpre sistem na http:// in nato naslov IP strežnika in vrata, na primer http://192.168.1.20:8088. Vrata so 8088, razen če izberete druga. Delujejo tudi vrata 80. Takrat naslov ne potrebuje vrat. Ta možnost ne potrebuje imena in ne potrdila.

Možnost »V krajevnem omrežju pod lastnim imenom (HTTP, HTTPS mogoč pozneje) - imate notranji DNS« deluje kot prva, vendar pod imenom, kot je ticket.company.local. Ime sami ustvarite v svojem notranjem DNS. Kaže na naslov IP strežnika. Nato vaša ekipa doseže sistem prek imena in še vedno prek naslova IP. Namestitveni program nato pokaže naslov s tem imenom.

Pri obeh možnostih s HTTP gredo gesla in zahtevki skozi vaše omrežje kot berljivo besedilo. Administratorji takrat vidijo obvestilo na vrhu strani.

Ostale tri možnosti uporabljajo HTTPS: »Prek javne domene s HTTPS (samodejno, z Let's Encrypt)«, »V lokalnem omrežju s HTTPS in lastnim potrdilom« in »V lokalnem omrežju s HTTPS, potrdilo ustvari SMITEY«. Na strežniku potrebujejo vrata 80 in 443. Opisuje jih naslednja kartica.

Za prvi preizkus zadošča prva možnost. Če ima vaše omrežje notranji DNS, izberite drugo. Če naj bo sistem dosegljiv iz interneta, izberite javno domeno. Če ima vaše podjetje lastnega overitelja, izberite lastno potrdilo v lokalnem omrežju. Sicer naj potrdilo ustvari SMITEY.

Brez HTTPS gredo gesla in zahtevki skozi vaše omrežje kot berljivo besedilo. Nova namestitev se začne z navadnim HTTP, da takoj deluje v katerem koli spletnem brskalniku. Dokler administrator odpira sistem prek navadnega HTTP, se na vrhu strani pokaže obvestilo: »This connection is not encrypted.« Če sistem odprete na samem strežniku kot »localhost«, se obvestilo ne pokaže. Agenti in stranke ga nikoli ne vidijo.

»How to switch on HTTPS« vodi do te kartice. »Hide for 30 days« obvestilo za vas skrije. Nastavitev spada k vašemu računu, zato velja tudi v drugem brskalniku. Po 30 dneh se obvestilo vrne, dokler povezava še ni šifrirana.

Namestitveni program SMITEY nastavi HTTPS na tri načine. V namestitvenem programu za Windows izberete na strani »Dosegljivost«, v Linuxu pa install.sh postavi isto vprašanje. Pri sistemu, ki že teče, odprite »Spremeni način dostopa do SMITEY« na namizju Windows ali v meniju Start. V Linuxu enako naredi spodnji ukaz. Vaši podatki ostanejo, kjer so.

Možnost »V lokalnem omrežju s HTTPS in lastnim potrdilom« uporablja vaše lastno potrdilo, na primer od overitelja vašega podjetja. Namestitveni program vpraša za ime sistema in za datoteko potrdila z njenim ključem. Deluje tudi datoteka PFX z njenim geslom. Preden kar koli spremeni, potrdilo preveri. Ključ se mora ujemati, potrdilo mora biti veljavno in ime mora biti v potrdilu.

Možnost »V lokalnem omrežju s HTTPS, potrdilo ustvari SMITEY« ne potrebuje lastnega potrdila. SMITEY ga ustvari sam in ga tudi sam obnavlja. Korensko potrdilo namestitveni program shrani kot SMITEY-root-ca.crt v namestitveno mapo. To datoteko namestite na vsak računalnik kot zaupanja vredno korensko potrdilo, na primer s pravilnikom skupine. Do takrat brskalniki kažejo opozorilo.

Možnost »Prek javne domene s HTTPS (samodejno, z Let's Encrypt)« pridobi svoje potrdilo od Let’s Encrypt. Potrebuje javno domeno, ki kaže na strežnik. Strežnik mora biti zato dosegljiv iz interneta.

Pri obeh možnostih za lokalno omrežje je ime lahko ime, kot je ticket.company.local, ena sama beseda, kot je helpdesk, ali naslov IPv4. Vse tri poti na strežniku potrebujejo vrata 80 in 443. Če jih uporablja drug program, se namestitveni program ustavi in ničesar ne spremeni. Sistem je nato dosegljiv na https:// in imenu, brez vrat.

Vaše lastno potrdilo nekoč poteče. Od 30 dni prej administratorji na vrhu strani vidijo obvestilo z datumom. Od 7 dni prej je rdeče. V izdaji Professional vsi administratorji z e-poštnim naslovom 30 in 7 dni prej dobijo še sporočilo. Za obnovitev znova odprite »Spremeni način dostopa do SMITEY«, izberite možnost z lastnim potrdilom in navedite nove datoteke.

Datoteka HTTPS-GUIDE.txt, ki je priložena namestitvi, opisuje vsak korak. Sem spadata razdelitev korenskega potrdila in ročni koraki.