Autentisering och säkerhet inklusive SSO

Som standard loggar alla in med ett användarnamn och ett lösenord. E-postadressen fungerar i stället för användarnamnet. Är e-postleverans uppsatt visas länken ”Do you need a password reset?” under formuläret. E-postleverans ingår i Professional.

Efter inloggningen får webbläsaren ett pass som gäller en bestämd tid. Kortet ”JWT token timer” bestämmer hur länge. Värden från 1 till 24 timmar är tillåtna, 12 är rekommendationen. Därefter måste personen logga in igen.

Kortet ”Password policy” gäller varje lösenord som sätts i systemet. Det tillämpas när ett konto skapas, när en person byter sitt eget lösenord och när en administratör återställer ett.

Du ställer in minimilängden, vilka teckenslag som måste förekomma, efter hur många dagar ett lösenord går ut och hur många gamla lösenord som förblir spärrade. För dagarna och spärrlistan betyder 0 ”av”.

Reglerna om stora och små bokstäver stänger inte ute något språk. Många skriftsystem har ingen sådan skillnad alls, och ett tecken ur ett av dem uppfyller båda reglerna på egen hand.

Konton som bara loggar in via SSO eller en katalog har inget lokalt lösenord, så utgångsdatumet gäller inte för dem. Deras regler ligger hos leverantören. Har ett befintligt konto kopplats till SSO och har det fortfarande ett eget lösenord, fortsätter utgångsdatumet och lösenordspolicyn att gälla för det lösenordet.

Kortet ”2FA Settings” bestämmer vem som måste använda tvåfaktorsinloggning. Under ”Two-factor requirement” väljer du en av fyra nivåer: ”Off”, ”Administrators only”, ”Administrators and agents” eller ”Everyone”. ”Everyone” omfattar även kunderna. En ny installation börjar med ”Administrators only”. En installation som fanns sedan tidigare behåller sin tidigare inställning efter en uppdatering.

Den som loggar in härnäst utan en andra faktor sätter upp en. Systemet visar en QR-kod för en autentiseringsapp och samma nyckel att skriva in för hand. Efter den första koden är faktorn aktiv. Med ”Set up later” kan konfigurationen skjutas upp, och inloggningen fortsätter utan den. Det går i högst 7 dagar, räknat från första gången den sköts upp. Raden under knappen visar de återstående dagarna. Därefter är konfigurationen obligatorisk.

Direkt därefter visas tio återställningskoder. Var och en av dem ersätter koden från appen en gång. De visas exakt en gång. Du sparar dem med ”Copy” eller ”Download”. ”Download” fungerar alltid. ”Copy” fungerar oftast också.

Tappar någon sin enhet och sina koder hjälper administratören. I användarlistan återställer knappen med den överstrukna skölden den personens tvåfaktorsinloggning. De sätter upp den på nytt vid nästa inloggning.

Koderna beror på serverklockan. Går den fel accepteras ingen kod. Knappen ”Check now” på samma kort jämför servertiden mot en publik tidskälla.

Loggar någon in via en extern inloggningstjänst frågar systemet inte efter någon kod. Leverantören har redan kontrollerat den andra faktorn. Kataloginloggning är annorlunda: där gäller regeln ovan fortfarande.

Varje användare kan slå på tvåfaktorsinloggning för sitt eget konto. Det gäller för alla roller, även när kortet ”2FA Settings” inte kräver det. Öppna användarmenyn längst ned till vänster i sidopanelen och välj ”Profile picture”. Samma sida innehåller området ”Two-factor authentication”.

Området visar om tvåfaktorsinloggning är på. Så länge den är av finns knappen ”Turn on” där. Den frågar först efter ditt lösenord. Sedan visas en QR-kod för autentiseringsappen, med samma nyckel att skriva in för hand. Efter den första koden från appen är faktorn aktiv.

Direkt därefter visas tio återställningskoder. Spara dem med ”Copy” eller ”Download”. ”I have saved my codes” stänger listan. Den visas bara denna enda gång.

Så länge tvåfaktorsinloggning är på visar området hur många återställningskoder som finns kvar. ”New recovery codes” skapar tio nya. De gamla koderna slutar då fungera. ”Turn off” stänger av tvåfaktorsinloggningen igen. Båda knapparna kräver den aktuella koden från appen. En återställningskod godtas inte där.

Kräver kortet ”2FA Settings” tvåfaktorsinloggning för din roll saknas ”Turn off”. En rad i området säger det.

Ett fel lösenord eller en fel kod räknas som en misslyckad inloggning. Skyddet mot lösenordsgissning gäller alltså även här. Att slå på och av registreras i säkerhetsloggen. Stänger en administratör av sin egen tvåfaktorsinloggning ger loggen ett larm.

Konton som bara loggar in via en extern inloggningstjänst ser en mening i stället för knapparna. Deras leverantör hanterar den andra faktorn. Konton från en katalog anger i första steget sitt lösenord från katalogen.

Skyddet körs utan någon inställning. Det finns inget att slå på. Noteringen om det står i kortet ”2FA Settings”.

Det fungerar i två steg. Efter fem misslyckade försök för samma konto pausas adressen de kom från. Pausen slutar senast 15 minuter efter det första av de försöken. Från varje annan adress förblir kontot användbart direkt.

Det är den viktiga delen. Annars skulle den som känner till ett inloggningsnamn kunna låsa ute en kollega med fem fel lösenord. De skulle aldrig behöva ett lösenord för det.

Det andra steget är kontot självt. Det låses i 15 minuter efter 20 misslyckade försök. Eftersom en enda adress kan bidra med högst fem av dem krävs flera adresser.

En lyckad inloggning nollställer båda räknarna. Efter en omstart av servern är adresspausen borta, kontolåset står kvar. Samma räknare gäller för inloggning via en katalog. En katalog som inte går att nå räknas inte som ett misslyckat försök. Finns det ännu inget konto för namnet i ärendehanteringssystemet gäller bara adresspausen.

I användarlistan bär ett konto som låsts så märkningen ”temporarily locked”. Det står kvar i listan. Efter 15 minuter försvinner märkningen av sig självt.

Du behöver inte vänta. I samma rad finns en knapp med ett öppet hänglås. Den häver låset omedelbart och nollställer båda räknarna.

Det här är inte samma sak som ”Archive”. Den knappen stänger ner ett konto för gott, och bara den tar eller frigör en personalplats.

Säkerhetsloggen registrerar två sorters händelser. Området ”Sign-in” innehåller misslyckade inloggningar, låsta konton, inloggningsförsök under ett lås, avvisade tvåfaktorskoder och lösenordsändringar. Det gäller för inloggning med lösenord, via en katalog och via SSO.

Området ”Administration” visar vem som ändrade vad. Det omfattar konton, roller, behörigheter, säkerhetsinställningar och arkiv. Varje export av loggen registreras också där.

Lyckade inloggningar registreras bara i två fall. Det första fallet är en administratör. Det andra fallet är en inloggning efter misslyckade försök på samma konto. En vanlig inloggning av en handläggare eller en kund finns inte i loggen. Loggen är ingen närvarolista.

Om någon loggar in med ett namn som inte finns står det ”unknown account” i posten. Systemet sparar inte det inskrivna namnet. Ibland är det ett lösenord som hamnat i fel fält.

Inloggningshändelser sparar IP-adressen och webbläsaren. Administratörsåtgärder sparar vem som utförde dem, men ingen IP-adress. Lösenord, koder och innehållet i ärenden eller e-post finns aldrig i loggen.

Sidan visar de nyaste posterna först, 50 per sida. Kortet ”Filters” begränsar listan. ”Area” väljer inloggningar eller administration, ”Event” en enskild sorts händelse. ”Person” söker i namnet på den som agerade och den som berördes. ”From” och ”To” begränsar dagarna. ”Failures only” döljer allt som lyckades.

Filtren gäller först efter ett klick på ”Apply”. ”Reset” tar bort dem igen.

”Export CSV” och ”Export PDF” laddar ner exakt det som filtren visar. Varje fil innehåller högst 10 000 poster. Matchar fler poster filtren anger en anmärkning vid exportknapparna det. PDF-filen är på ditt språk och anger filter och period högst upp. Datum och tid följer formatet som är inställt under ”Settings → General Settings”.

CSV-filen är alltid på engelska, och tiderna står i UTC. Då kan ett program läsa den oberoende av språket. Varje export finns själv i loggen, som ”Security log exported”.

Sex händelser utlöser ett larm. Det är ett konto som låsts efter misslyckade försök, en roll som ändrats till ”Admin”, ett konto som skapats direkt med rollen ”Admin” och en återställd tvåfaktorsinloggning för en administratör. Därtill kommer arkiverade ärenden som tagits bort från den löpande datan och en administratörs inloggning efter misslyckade försök.

Efter ett larm ser alla med behörigheten en gul banderoll högst upp på varje sida. Den anger antalet larm sedan deras senaste besök i loggen. Länken ”Open security log” leder dit. När loggen öppnas försvinner banderollen. Före det första besöket räknar den larmen från de senaste sju dagarna.

Dessutom får varje aktivt konto med behörigheten och en e-postadress ett larmmejl. Systemet samlar larmen var 15:e minut och skickar ett mejl per person, inte ett per händelse. Mejlet anger händelsen, den berörda personen och tiden. Det innehåller ingen IP-adress. Larmmejlet ingår i Professional.

Nattkörningen raderar gamla poster. Tidsfristerna finns under ”Settings → Security” i kortet ”Data protection” i blocket ”Security log retention”. Inloggningshändelser sparas som standard i 90 dagar, 7 till 365 dagar är tillåtet. Administratörsåtgärder sparas som standard i 12 månader, 1 till 120 månader är tillåtet.

Varje tidsfrist har sitt eget reglage: ”Delete old sign-in events” och ”Delete old administrator actions”. Är ett reglage avstängt finns de posterna kvar. Kortet ”Lagringstider” förklarar nattkörningen.

Vid ett registerutdrag får personen varje post där den agerade eller berördes. IP-adress och webbläsare följer bara med i poster som personen själv utlöste, till exempel sin egen inloggning. Om personen anonymiseras raderar systemet hennes inloggningshändelser. Hennes administratörsåtgärder finns kvar. Namnet ersätts där med platshållaren.

En anmärkning till dig som driftansvarig: lyckade inloggningar finns bara i loggen för administratörer och efter misslyckade försök. Loggen visar ändå vem som gjorde vad och när. I ett företag med fackliga företrädare är den därför en fråga för medbestämmande.

Allra överst sitter huvudreglaget ”Enable single sign-on”. Så länge det är av gäller användarnamn och lösenord. Allt du ställer in nedanför sparas och får verkan först när du slår på det.

Kortet ”Active Directory / LDAP” kopplar in en katalog på plats. Du anger servern, sökbasen, filtret som hittar en person, och fälten för e-postadressen och namnen.

Kontot som används för uppslagningar är valfritt. Utan ett frågar systemet anonymt. En persons lösenord används bara för att binda mot katalogen och lagras aldrig.

En katalog för inte med sig någon egen andra faktor. Kräver säkerhetssidan tvåfaktorsinloggning tillfrågas även de här personerna om den.

Kortet ”Identity providers” innehåller de externa inloggningstjänsterna. Var och en får sin egen ruta och sin egen knapp på inloggningssidan. ”Add provider” skapar en ny.

Under ”Provider type” väljer du sorten. ”Generic OIDC Provider” passar tjänster som Google Workspace, Microsoft Entra ID, Okta, Keycloak, Auth0 eller Ping Identity. ”SAML 2.0 Provider” passar samma hus när de ska kopplas in via SAML.

Vid sidan av dem finns sex regionala tjänster: LINE, Kakao, Naver, WeChat, WeCom och DingTalk. Deras adresser är förifyllda och visas som grå text i fältet.

Namnet under ”Display name” visas senare på knappen. Reglaget bredvid gäller bara den här enda leverantören.

För återanropsadressen arbetar du i den här ordningen. Ange först bara ett namn och klicka på ”Save provider”. Först då känner systemet leverantörens nummer och visar den färdiga adressen under ”Redirect URI”. Den byggs av den här installationens publika adress, den som är sparad under ”Settings → Security”. Det är exakt den adress systemet använder när någon loggar in.

Den adressen kopierar du och registrerar hos leverantören. Den måste stämma där tecken för tecken. I gengäld ger leverantören dig ett ID och en hemlighet, och dem anger du här via ”Edit”.

Fältet ”Allowed e-mail domains” begränsar vem som får komma in via den här leverantören. Lämnas det tomt är varje domän tillåten.

Saknar en leverantör fortfarande något bär dess ruta den röda märkningen ”Incomplete”. Den visas då inte på inloggningssidan. Texten bredvid säger vilka fält dess typ behöver.

Fullt konfigurerade leverantörer visas ändå inte så länge huvudreglaget är av. Rutan säger det i en gul rad.

Faller din licens tillbaka till Basic fortsätter inloggningen via SSO och katalogen att fungera. På den här sidan kan du då bara stänga av leverantörer och katalogen. Loggen över inloggningsförsök förblir läsbar.

Reglaget ”Automatically create accounts on first sign-in” sitter i samma kort som huvudreglaget. Det är på som standard.

När någon loggar in via en leverantör för första gången letar systemet först efter ett konto som redan hör till den leverantören. Hittar det inget skapas ett nytt.

Det nya kontot får rollen ”Customer” och inget team. En kund behöver inget medlemskap för att skapa ett ärende och kan därför arbeta direkt.

Kunder är obegränsade i båda utgåvorna, så ett konto som skapats så använder ingen personalplats. Den som ska bli agent får rollen efteråt i användarhanteringen.

Finns redan ett konto med samma e-postadress kopplas de två ihop. Det sker bara när leverantören rapporterar adressen som verifierad. Gör den inte det avvisas inloggningen.

Stänger du av det kommer bara personer som redan har ett konto in. Alla andra avvisas.

Kortet ”Recent sign-in attempts” längst ner visar de senaste 100 inloggningshändelserna via SSO och katalogen. De kommer från säkerhetsloggen. Misslyckade försök finns alltid med. En lyckad inloggning finns bara med för administratörer och efter misslyckade försök på samma konto. Därför finns inte varje inloggning i listan.

Varje rad nämner tiden, leverantören, resultatet och källadressen. Vid ett misslyckat försök står skälet bredvid. Kolumnen ”User” visar kontots namn. Finns inget konto visar den adressen som leverantören rapporterade, annars ”unknown account”. Systemet sparar inte namnet som angavs.

Inloggning med användarnamn och lösenord dyker inte upp i den här tabellen. Det är inte SSO. Du hittar den i säkerhetsloggen.

Som standard raderas posterna efter 90 dagar. Meningen under kortets rubrik anger den inställda tidsfristen. Kortet ”Lagringstider” förklarar inställningen.

Efter installationen använder ditt team systemet i alla webbläsare. Installationsprogrammet frågar hur systemet ska nås. I Windows-installationsprogrammet väljer du det på sidan ”Nåbarhet”. På Linux ställer install.sh samma fråga och numrerar alternativen från 1 till 5. Senare ändrar du det med ”Ändra hur SMITEY nås”. Dina data stannar där de är.

Alternativet ”Endast lokalt nätverk, via IP-adressen (HTTP) - enklaste alternativet” är standardinställningen. Ditt team öppnar systemet på http:// följt av serverns IP-adress och porten, till exempel http://192.168.1.20:8088. Porten är 8088 om du inte väljer en annan. Port 80 fungerar också. Då behöver adressen ingen port. Det här alternativet behöver inget namn och inget certifikat.

Alternativet ”I det lokala nätverket under ett eget namn (HTTP, HTTPS möjligt senare) - du har intern DNS” fungerar som det första, men under ett namn som ticket.company.local. Namnet skapar du själv i din interna DNS. Det pekar på serverns IP-adress. Sedan når ditt team systemet via namnet och fortfarande via IP-adressen. Installationsprogrammet visar då adressen med det här namnet.

Med båda HTTP-alternativen går lösenord och ärenden genom ditt nätverk som klartext. Administratörer ser då ett meddelande högst upp på sidan.

De tre andra alternativen använder HTTPS: ”Via en offentlig domän med HTTPS (automatiskt, med Let's Encrypt)”, ”I det lokala nätverket med HTTPS och ditt eget certifikat” och ”I det lokala nätverket med HTTPS, certifikat som SMITEY skapar”. De behöver portarna 80 och 443 på servern. Nästa kort beskriver dem.

För ett första test räcker det första alternativet. Har ditt nätverk intern DNS väljer du det andra. Ska systemet gå att nå från internet väljer du den offentliga domänen. Har ditt företag en egen certifikatutfärdare väljer du ditt eget certifikat i det lokala nätverket. Annars låter du SMITEY skapa certifikatet.

Utan HTTPS går lösenord och ärenden genom ditt nätverk som klartext. En ny installation börjar med vanlig HTTP, så att den fungerar direkt i valfri webbläsare. Så länge en administratör öppnar systemet över vanlig HTTP visas ett meddelande högst upp på sidan: ”This connection is not encrypted.” Öppnas systemet på själva servern som ”localhost” visas meddelandet inte. Agenter och kunder ser det aldrig.

”How to switch on HTTPS” leder till det här kortet. ”Hide for 30 days” döljer meddelandet för dig. Inställningen hör till ditt konto och gäller därför även i en annan webbläsare. Efter 30 dagar kommer meddelandet tillbaka, så länge anslutningen fortfarande inte är krypterad.

SMITEY-installationsprogrammet sätter upp HTTPS på tre sätt. I Windows-installationsprogrammet väljer du på sidan ”Nåbarhet”, och på Linux ställer install.sh samma fråga. På ett system som redan är igång öppnar du ”Ändra hur SMITEY nås” på Windows-skrivbordet eller i startmenyn. På Linux gör kommandot nedan samma sak. Dina data stannar där de är.

Alternativet ”I det lokala nätverket med HTTPS och ditt eget certifikat” använder ditt eget certifikat, till exempel från företagets CA. Installationsprogrammet frågar efter systemets namn och certifikatfilen med dess nyckel. En PFX-fil med dess lösenord fungerar också. Innan det ändrar något kontrollerar det certifikatet. Nyckeln måste passa, certifikatet måste vara giltigt och namnet måste stå i certifikatet.

Alternativet ”I det lokala nätverket med HTTPS, certifikat som SMITEY skapar” behöver inget eget certifikat. SMITEY skapar ett själv och förnyar det också själv. Installationsprogrammet sparar rotcertifikatet som SMITEY-root-ca.crt i installationsmappen. Installera filen på varje dator som ett betrott rotcertifikat, till exempel med en grupprincip. Fram till dess visar webbläsarna en varning.

Alternativet ”Via en offentlig domän med HTTPS (automatiskt, med Let's Encrypt)” hämtar sitt certifikat från Let’s Encrypt. Den behöver en offentlig domän som pekar på servern. Servern måste därför gå att nå från internet.

För båda alternativen i det lokala nätverket kan namnet vara ett namn som ticket.company.local, ett enda ord som helpdesk eller en IPv4-adress. Alla tre vägarna behöver portarna 80 och 443 på servern. Använder ett annat program dem stoppar installationsprogrammet och ändrar ingenting. Systemet nås sedan på https:// följt av namnet, utan port.

Ditt eget certifikat går ut någon gång. Från 30 dagar innan ser administratörer ett meddelande med datumet högst upp på sidan. Från 7 dagar innan är det rött. I Professional får alla administratörer med e-postadress dessutom ett mejl 30 och 7 dagar innan. För att förnya öppnar du ”Ändra hur SMITEY nås” igen, väljer alternativet med ditt eget certifikat och anger de nya filerna.

Filen HTTPS-GUIDE.txt som följer med installationen beskriver varje steg. Där ingår att sprida rotcertifikatet och stegen för hand.