Потврда идентитета и безбедност, укључујући SSO

Као почетна поставка сви се пријављују корисничким именом и лозинком. Уместо корисничког имена ради и адреса е-поште. Ако је слање поште подешено, испод обрасца се појављује веза „Do you need a password reset?“. Слање поште део је издања Professional.

После пријаве прегледач добија пропусницу која важи одређено време. Колико дуго, одлучује картица „JWT token timer“. Дозвољене су вредности од 1 до 24 сата, а препоручује се 12. После тога особа мора поново да се пријави.

Картица „Password policy“ важи за сваку лозинку постављену у систему. Спроводи се при прављењу налога, када особа мења сопствену лозинку и када је администратор ресетује.

Постављате најмању дужину, које врсте знакова морају да се појаве, после колико дана лозинка истиче и колико старих лозинки остаје блокирано. За дане и за списак блокираних 0 значи „искључено“.

Правила о великим и малим словима не искључују ниједан језик. Многа писма ту разлику уопште немају, а знак из једног од њих сам испуњава оба правила.

Налози који се пријављују само преко SSO-а или директоријума немају локалну лозинку, па се истицање на њих не односи. Њихова правила живе код добављача. Ако је постојећи налог повезан са SSO-ом и још има сопствену лозинку, на ту лозинку се и даље односе истицање и правила за лозинке.

Картица „2FA Settings“ одређује ко мора да користи двофакторску пријаву. Под „Two-factor requirement“ бирате један од четири нивоа: „Off“, „Administrators only“, „Administrators and agents“ или „Everyone“. „Everyone“ обухвата и клијенте. Нова инсталација почиње са „Administrators only“. Инсталација која је постојала и раније после ажурирања задржава своје досадашње подешавање.

Ко се следећи пут пријави без другог фактора, поставља га. Систем приказује QR код за апликацију за потврду идентитета и исти кључ за ручно уношење. После првог кода фактор је укључен. Дугметом „Set up later“ подешавање може да се одложи, а пријава се наставља без њега. То иде највише 7 дана, рачунајући од првог одлагања. Ред испод дугмета приказује преостале дане. После тога подешавање је обавезно.

Одмах затим се појављује десет кодова за опоравак. Сваки од њих једном замењује код из апликације. Приказују се тачно једном. Чувате их дугметом „Copy“ или „Download“. „Download“ ради увек. „Copy“ углавном такође.

Ако неко изгуби свој уређај и своје кодове, помаже администратор. У списку корисника дугме са прецртаним штитом ресетује двофакторску пријаву те особе. Она је при следећој пријави поставља поново.

Кодови зависе од часовника сервера. Ако он није тачан, ниједан код се не прихвата. Дугме „Check now“ на истој картици упоређује време сервера са јавним извором времена.

Ако се неко пријави преко спољне услуге за пријаву, систем не тражи код. Добављач је други фактор већ проверио. Са директоријумом је другачије: тамо и даље важи горње правило.

Сваки корисник може за свој налог да укључи двофакторску пријаву. То важи за сваку улогу, и када је картица „2FA Settings“ не тражи. Отворите кориснички мени доле лево у бочној траци и изаберите „Profile picture“. На истој страници налази се и област „Two-factor authentication“.

Област показује да ли је двофакторска пријава укључена. Док је искључена, ту стоји дугме „Turn on“. Оно најпре тражи вашу лозинку. Затим се појављује QR код за апликацију за потврду идентитета и исти кључ за ручно уношење. После првог кода из апликације фактор је укључен.

Одмах затим се појављује десет кодова за опоравак. Сачувајте их дугметом „Copy“ или „Download“. „I have saved my codes“ затвара списак. Приказује се само овај један пут.

Док је двофакторска пријава укључена, област показује колико је кодова за опоравак преостало. „New recovery codes“ прави десет нових. Стари кодови тада више не раде. „Turn off“ поново искључује двофакторску пријаву. Оба дугмета траже тренутни код из апликације. Код за опоравак се ту не прихвата.

Ако картица „2FA Settings“ за вашу улогу тражи двофакторску пријаву, дугмета „Turn off“ нема. Ред у области то каже.

Погрешна лозинка или погрешан код рачуна се као неуспела пријава. Заштита од погађања лозинке дакле важи и овде. Укључивање и искључивање бележи се у дневнику безбедности. Ако администратор искључи сопствену двофакторску пријаву, дневник јавља узбуну.

Налози који се пријављују само преко спољне услуге за пријаву виде реченицу уместо дугмади. Други фактор код њих решава њихов добављач. Налози из именика у првом кораку уносе своју лозинку из именика.

Заштита ради без иједног подешавања. Нема шта да се укључује. Напомена о њој стоји у картици „2FA Settings“.

Ради у два степена. После пет неуспелих покушаја за исти налог, адреса са које су дошли се паузира. Пауза се завршава најкасније 15 минута после првог од тих покушаја. Са сваке друге адресе налог остаје одмах употребљив.

То је оно важно. Иначе би свако ко зна корисничко име могао са пет погрешних лозинки да закључа колегу. За то му лозинка не би ни требала.

Други степен је сам налог. Он се закључава на 15 минута после 20 неуспелих покушаја. Пошто једна адреса може да допринесе највише пет, за то треба више адреса.

Успешна пријава ресетује оба бројача. После поновног покретања сервера пауза адресе нестаје, а закључавање налога остаје. Исти бројачи важе и за пријаву преко директоријума. Недоступан директоријум се не рачуна као неуспео покушај. Ако за то име у систему за тикете још нема налога, важи само пауза адресе.

У списку корисника овако закључан налог носи ознаку „temporarily locked“. Остаје у списку. После 15 минута ознака сама нестаје.

Не морате да чекате. У истом реду стоји дугме са отвореним катанцем. Оно закључавање укида одмах и брише оба бројача.

То није исто што и „Archive“. Оно дугме налог трајно гаси и једино оно заузима или ослобађа место за запосленог.

Дневник безбедности бележи две врсте догађаја. Област „Sign-in“ садржи неуспеле пријаве, закључане налоге, покушаје пријаве током закључавања, одбијене двофакторске кодове и промене лозинке. То важи за пријаву лозинком, преко именика и преко SSO-а.

Област „Administration“ показује ко је шта променио. То обухвата налоге, улоге, дозволе, безбедносна подешавања и архиве. Тамо се бележи и сваки извоз дневника.

Успешне пријаве се бележе само у два случаја. Први случај је администратор. Други случај је пријава после неуспелих покушаја за исти налог. Обична пријава агента или клијента није у дневнику. Дневник није списак присутности.

Ако се неко пријави именом које не постоји, у уносу пише „unknown account“. Систем не чува унето име. Понекад је то лозинка која је завршила у погрешном пољу.

Догађаји пријаве чувају IP адресу и прегледач. Администраторске радње чувају ко их је извршио, али не и IP адресу. Лозинке, кодови и садржај тикета или имејлова никада нису у дневнику.

Страница прво приказује најновије уносе, 50 по страници. Картица „Filters“ сужава списак. „Area“ бира пријаве или администрацију, „Event“ једну врсту догађаја. „Person“ тражи у имену онога ко је деловао и онога кога се то тиче. „From“ и „To“ ограничавају дане. „Failures only“ скрива све што је успело.

Филтери делују тек после клика на „Apply“. „Reset“ их поново уклања.

„Export CSV“ и „Export PDF“ преузимају тачно оно што филтери приказују. Свака датотека садржи највише 10.000 уноса. Ако филтерима одговара више уноса, то јавља напомена поред дугмади за извоз. PDF је на твом језику и на врху наводи филтере и период. Датум и време имају формат подешен под „Settings → General Settings“.

CSV датотека увек остаје на енглеском, а времена су у UTC-у. Тако програм може да је прочита независно од језика. Сваки извоз је и сам у дневнику, као „Security log exported“.

Шест догађаја покреће упозорење. То су налог закључан после неуспелих покушаја, улога промењена у „Admin“, налог одмах направљен са улогом „Admin“ и поништена двофакторска пријава администратора. Уз то иду архивирани тикети уклоњени из текућих података и пријава администратора после неуспелих покушаја.

После упозорења свако са дозволом види жути банер на врху сваке странице. Он наводи број упозорења од последње посете дневнику. Веза „Open security log“ води тамо. Отварањем дневника банер нестаје. Пре прве посете броји упозорења из последњих седам дана.

Осим тога, сваки активни налог са дозволом и имејл адресом добија имејл са упозорењем. Систем скупља упозорења сваких 15 минута и шаље један имејл по особи, а не један по догађају. Имејл наводи догађај, погођену особу и време. Не садржи IP адресу. Имејл са упозорењем део је издања Professional.

Ноћно покретање брише старе уносе. Рокови се налазе под „Settings → Security“ на картици „Data protection“ у блоку „Security log retention“. Догађаји пријаве подразумевано остају 90 дана, дозвољено је од 7 до 365 дана. Администраторске радње подразумевано остају 12 месеци, дозвољено је од 1 до 120 месеци.

Сваки рок има свој прекидач: „Delete old sign-in events“ и „Delete old administrator actions“. Ако је прекидач искључен, ти уноси остају. Картица „Рокови чувања“ објашњава ноћно покретање.

Код захтева за приступ подацима особа добија сваки унос у којем је деловала или који је се тиче. IP адреса и прегледач прилажу се само уз уносе које је сама покренула, на пример уз сопствену пријаву. Ако се особа анонимизује, систем брише њене догађаје пријаве. Њене администраторске радње остају. Њено име се тамо замењује резервисаним именом.

Напомена за тебе као оператера: успешне пријаве су у дневнику само за администраторе и после неуспелих покушаја. Дневник ипак показује ко је шта и када урадио. У фирми са представницима запослених то је зато питање суодлучивања.

Сасвим на врху стоји главни прекидач „Enable single sign-on“. Док је искључен, остаје се на корисничком имену и лозинки. Све што испод њега подесите чува се и почиње да важи тек када га укључите.

Картица „Active Directory / LDAP“ повезује директоријум у сопственој режији. Уносите сервер, базу претраге, филтер који налази особу и поља за адресу е-поште и имена.

Налог који се користи за претрагу је необавезан. Без њега систем пита анонимно. Лозинка особе користи се само за проверу на директоријуму и никада се не чува.

Директоријум не доноси сопствени други фактор. Ако страница безбедности тражи двофакторску пријаву, и ове особе се за њу питају.

Картица „Identity providers“ држи спољне услуге за пријаву. Свака добија сопствену плочицу и сопствено дугме на страници за пријаву. „Add provider“ прави нову.

Под „Provider type“ бирате врсту. „Generic OIDC Provider“ одговара услугама као што су Google Workspace, Microsoft Entra ID, Okta, Keycloak, Auth0 или Ping Identity. „SAML 2.0 Provider“ одговара истим кућама када треба да се повежу преко SAML-а.

Уз њих иде шест регионалних услуга: LINE, Kakao, Naver, WeChat, WeCom и DingTalk. Њихове адресе су унапред попуњене и појављују се као сив текст у пољу.

Назив под „Display name“ касније се појављује на дугмету. Прекидач поред њега важи само за овог једног добављача.

За повратну адресу радите овим редом. Прво унесите само назив и кликните на „Save provider“. Тек тада систем зна број добављача и приказује готову адресу под „Redirect URI“. Она се саставља од јавне адресе ове инсталације, оне сачуване под „Settings → Security“. Управо ту адресу систем користи када се неко пријављује.

Ту адресу копирате и пријављујете код добављача. Тамо мора да се поклапа знак по знак. Заузврат вам добављач даје идентификатор и тајну, а њих овде уносите преко „Edit“.

Поље „Allowed e-mail domains“ ограничава ко сме да уђе преко овог добављача. Ако остане празно, дозвољен је сваки домен.

Ако добављачу још нешто недостаје, његова плочица носи црвену ознаку „Incomplete“. Он се тада не појављује на страници за пријаву. Текст поред каже која поља његова врста тражи.

Потпуно подешени добављачи се ипак не појављују док је главни прекидач искључен. Плочица то каже у жутом реду.

Ако ваша лиценца падне назад на Basic, пријава преко SSO-а и директоријума и даље ради. На овој страници тада можете само да искључите добављаче и директоријум. Евиденција покушаја пријаве остаје читљива.

Прекидач „Automatically create accounts on first sign-in“ стоји у истој картици као и главни прекидач. Као почетна поставка је укључен.

Када се неко први пут пријави преко добављача, систем прво тражи налог који том добављачу већ припада. Ако ниједан не нађе, прави се нови.

Нови налог добија улогу „Customer“ и ниједан тим. Клијенту чланство није потребно да би пријавио тикет, па може одмах да ради.

Клијената је неограничено у оба издања, па овако направљен налог не троши место за запосленог. Ко треба да постане оператор, улогу добија после тога у управљању корисницима.

Ако налог са истом адресом е-поште већ постоји, та два се повезују. То се дешава само када добављач адресу пријави као потврђену. Ако је не пријави тако, пријава се одбија.

Ако га искључите, улазе само људи који налог већ имају. Сви остали се одбијају.

Картица „Recent sign-in attempts“ сасвим доле приказује последњих 100 догађаја пријаве преко SSO-а и именика. Потичу из дневника безбедности. Неуспели покушаји су увек у њој. Успешна пријава је у њој само за администраторе и после неуспелих покушаја за исти налог. Зато на списку није свака пријава.

Сваки ред наводи време, добављача, исход и изворну адресу. Код неуспелог покушаја разлог стоји поред. Колона „User“ приказује име налога. Ако нема налога, приказује адресу коју је пријавио добављач, иначе „unknown account“. Систем не чува унето име.

Пријава корисничким именом и лозинком у овој табели се не појављује. То није SSO. Налазиш је у дневнику безбедности.

Подразумевано се уноси бришу после 90 дана. Реченица испод наслова картице наводи подешени рок. Подешавање објашњава картица „Рокови чувања“.

После инсталације ваш тим користи систем у сваком веб-прегледачу. Инсталациони програм пита како систем треба да буде доступан. У инсталационом програму за Windows то бирате на страници „Доступност“. У Linux-у install.sh поставља исто питање и нумерише могућности од 1 до 5. Касније то мењате преко „Промени начин приступа SMITEY-у“. Ваши подаци остају где јесу.

Могућност „Само у локалној мрежи, преко IP адресе (HTTP) - најједноставнија опција“ је подразумевано подешавање. Ваш тим отвара систем на http:// и затим IP адреса сервера и порт, на пример http://192.168.1.20:8088. Порт је 8088, осим ако изаберете неки други. Ради и порт 80. Тада адреси није потребан порт. Овој могућности нису потребни ни назив ни сертификат.

Могућност „У локалној мрежи под сопственим именом (HTTP, HTTPS могућ касније) - имате интерни DNS“ ради као прва, али под називом попут ticket.company.local. Назив сами правите у свом интерном DNS-у. Он показује на IP адресу сервера. Тада ваш тим приступа систему преко назива и даље преко IP адресе. Инсталациони програм затим приказује адресу са тим називом.

Код обе HTTP могућности лозинке и тикети иду кроз вашу мрежу као читљив текст. Администратори тада виде обавештење на врху странице.

Остале три могућности користе HTTPS: „Преко јавног домена са HTTPS (аутоматски, помоћу Let's Encrypt)“, „У локалној мрежи са HTTPS-ом и сопственим сертификатом“ и „У локалној мрежи са HTTPS-ом, сертификат израђује SMITEY“. Траже на серверу портове 80 и 443. Описује их следећа картица.

За први тест довољна је прва могућност. Ако ваша мрежа има интерни DNS, изаберите другу. Ако систем треба да буде доступан са интернета, изаберите јавни домен. Ако ваша фирма има сопствено сертификационо тело, изаберите сопствени сертификат у локалној мрежи. У супротном нека сертификат направи SMITEY.

Без HTTPS-а лозинке и тикети иду кроз вашу мрежу као читљив текст. Нова инсталација почиње са обичним HTTP-ом, да би одмах радила у било ком веб-прегледачу. Док администратор отвара систем преко обичног HTTP-а, на врху странице појављује се обавештење: „This connection is not encrypted.“ Ако се систем отвори на самом серверу као „localhost“, обавештење се не појављује. Оператори и клијенти га никад не виде.

„How to switch on HTTPS“ води до ове картице. „Hide for 30 days“ скрива обавештење за вас. Подешавање припада вашем налогу и зато важи и у другом прегледачу. После 30 дана обавештење се враћа, док веза још није шифрована.

Инсталациони програм SMITEY поставља HTTPS на три начина. У инсталационом програму за Windows бирате га на страници „Доступност“, а у Linux-у install.sh поставља исто питање. На систему који већ ради отворите „Промени начин приступа SMITEY-у“ на радној површини Windows-а или у менију Start. У Linux-у исто ради команда испод. Ваши подаци остају где јесу.

Могућност „У локалној мрежи са HTTPS-ом и сопственим сертификатом“ користи ваш сопствени сертификат, на пример од сертификационог тела ваше фирме. Инсталациони програм тражи назив система и датотеку сертификата са њеним кључем. Ради и PFX датотека са њеном лозинком. Пре него што било шта промени, проверава сертификат. Кључ мора да одговара, сертификат мора да буде важећи, а назив мора да стоји у сертификату.

Могућности „У локалној мрежи са HTTPS-ом, сертификат израђује SMITEY“ није потребан сопствени сертификат. SMITEY га сам прави и сам га обнавља. Коренски сертификат инсталациони програм чува као SMITEY-root-ca.crt у инсталационој фасцикли. Инсталирајте ту датотеку на сваки рачунар као поуздани коренски сертификат, на пример смерницама групе. До тада прегледачи приказују упозорење.

Могућност „Преко јавног домена са HTTPS (аутоматски, помоћу Let's Encrypt)“ преузима свој сертификат од Let’s Encrypt. Потребан јој је јавни домен који показује на сервер. Сервер зато мора да буде доступан са интернета.

Код обе могућности за локалну мрежу назив може да буде назив попут ticket.company.local, једна реч попут helpdesk или IPv4 адреса. Сва три пута траже на серверу портове 80 и 443. Ако их користи други програм, инсталациони програм прекида и ништа не мења. Систем је затим доступан на https:// и називу, без порта.

Ваш сопствени сертификат једном истиче. Од 30 дана пре администратори на врху странице виде обавештење са датумом. Од 7 дана пре оно је црвено. У издању Professional сви администратори са адресом е-поште добијају још и поруку 30 и 7 дана пре. За обнову поново отворите „Промени начин приступа SMITEY-у“, изаберите могућност са сопственим сертификатом и наведите нове датотеке.

Датотека HTTPS-GUIDE.txt која долази са инсталацијом описује сваки корак. Ту спадају расподела коренског сертификата и ручни кораци.