Kimlik doğrulama ve güvenlik, SSO dahil

Kutudan çıktığı gibi herkes bir kullanıcı adı ve parolayla oturum açar. Kullanıcı adı yerine e-posta adresi de çalışır. Posta gönderimi kuruluysa formun altında “Do you need a password reset?” bağlantısı görünür. Posta gönderimi Professional sürümünün parçasıdır.

Oturum açtıktan sonra tarayıcıya belirli bir süre geçerli bir belirteç verilir. Ne kadar süreyle geçerli olacağına “JWT token timer” kartı karar verir. 1 ile 24 saat arası değerlere izin verilir, önerilen 12'dir. Sonrasında kişinin yeniden oturum açması gerekir.

“Password policy” kartı sistemde belirlenen her parola için geçerlidir. Bir hesap oluşturulurken, bir kişi kendi parolasını değiştirirken ve bir yönetici parola sıfırlarken uygulanır.

En küçük uzunluğu, hangi karakter türlerinin bulunması gerektiğini, bir parolanın kaç gün sonra sona ereceğini ve kaç eski parolanın engelli kalacağını siz ayarlarsınız. Günler ve engel listesi için 0, “off” demektir.

Büyük ve küçük harfe ilişkin kurallar hiçbir dili dışarıda bırakmaz. Birçok yazı sisteminde böyle bir ayrım hiç yoktur ve onlardan bir karakter tek başına iki kuralı da karşılar.

Yalnızca SSO ya da bir dizin üzerinden oturum açan hesapların yerel parolası yoktur, bu yüzden sona erme onlar için geçerli değildir. Onların kuralları sağlayıcıda durur. Var olan bir hesap SSO'ya bağlanmışsa ve hâlâ kendi parolası varsa, sona erme ve parola politikası o parola için geçerli olmaya devam eder.

“2FA Settings” kartı, iki adımlı oturum açmayı kimin kullanması gerektiğini belirler. “Two-factor requirement” altında dört düzeyden birini seçersiniz: “Off”, “Administrators only”, “Administrators and agents” veya “Everyone”. “Everyone” müşterileri de kapsar. Yeni bir kurulum “Administrators only” ile başlar. Daha önce var olan bir kurulum, güncellemeden sonra önceki ayarını korur.

Bundan sonra ikinci etken olmadan oturum açan herkes bir tane kurar. Sistem bir kimlik doğrulayıcı uygulama için bir QR kodu ve elle yazmak üzere aynı anahtarı gösterir. İlk koddan sonra etken etkinleşir. “Set up later” ile kurulum ertelenebilir ve oturum açma onsuz devam eder. Bu, ilk ertelemeden itibaren en fazla 7 gün mümkündür. Düğmenin altındaki satır kalan günleri gösterir. Ondan sonra kurulum zorunludur.

Hemen ardından on kurtarma kodu görünür. Her biri uygulamadaki kodun yerini bir kez alır. Tam olarak bir kez gösterilirler. Onları “Copy” veya “Download” ile saklarsınız. “Download” her zaman çalışır. “Copy” çoğunlukla da çalışır.

Biri cihazını ve kodlarını kaybederse yönetici yardım eder. Kullanıcı listesinde üzeri çizili kalkan düğmesi o kişinin iki adımlı oturum açmasını sıfırlar. Kişi bir sonraki oturum açmada yeniden kurar.

Kodlar sunucu saatine bağlıdır. Saat yanlışsa hiçbir kod kabul edilmez. Aynı karttaki “Check now” düğmesi sunucu saatini genel bir saat kaynağıyla karşılaştırır.

Biri dış bir oturum açma hizmeti üzerinden oturum açarsa sistem kod istemez. İkinci etkeni sağlayıcı zaten denetlemiştir. Dizin üzerinden oturum açma farklıdır: orada yukarıdaki kural geçerliliğini korur.

Her kullanıcı kendi hesabı için iki adımlı oturum açmayı açabilir. Bu her rol için geçerlidir, “2FA Settings” kartı bunu istemediğinde de. Kenar çubuğunun sol altındaki kullanıcı menüsünü açın ve “Profile picture” seçeneğini seçin. Aynı sayfada “Two-factor authentication” alanı da bulunur.

Alan, iki adımlı oturum açmanın açık olup olmadığını gösterir. Kapalı olduğu sürece orada “Turn on” düğmesi vardır. Bu düğme önce parolanızı sorar. Ardından kimlik doğrulayıcı uygulama için bir QR kodu ve elle yazmak üzere aynı anahtar görünür. Uygulamadan gelen ilk koddan sonra etken etkinleşir.

Hemen ardından on kurtarma kodu görünür. Onları “Copy” veya “Download” ile saklayın. “I have saved my codes” listeyi kapatır. Liste yalnızca bu tek sefer gösterilir.

İki adımlı oturum açma açık olduğu sürece alan, kaç kurtarma kodunun kaldığını gösterir. “New recovery codes” on yeni kod oluşturur. Eski kodlar o zaman çalışmaz. “Turn off” iki adımlı oturum açmayı yeniden kapatır. İki düğme de uygulamadaki güncel kodu ister. Orada kurtarma kodu kabul edilmez.

“2FA Settings” kartı rolünüz için iki adımlı oturum açmayı istiyorsa “Turn off” yoktur. Alandaki bir satır bunu söyler.

Yanlış bir parola veya yanlış bir kod, başarısız bir oturum açma sayılır. Parola tahminine karşı koruma yani burada da geçerlidir. Açma ve kapatma güvenlik günlüğüne kaydedilir. Bir yönetici kendi iki adımlı oturum açmasını kapatırsa günlük bir alarm verir.

Yalnızca harici bir oturum açma hizmeti üzerinden giriş yapan hesaplar, düğmeler yerine bir cümle görür. İkinci etkeni onların sağlayıcısı yönetir. Bir dizinden gelen hesaplar ilk adımda dizindeki parolalarını girer.

Koruma hiçbir ayar olmadan çalışır. Açılacak bir şey yoktur. Buna ilişkin not “2FA Settings” kartında durur.

İki aşamada işler. Aynı hesap için beş başarısız denemeden sonra, bunların geldiği adres duraklatılır. Duraklatma en geç bu denemelerin ilkinden 15 dakika sonra biter. Diğer her adresten hesap hemen kullanılabilir kalır.

Önemli olan bölüm budur. Aksi hâlde bir oturum açma adını bilen herkes beş yanlış parolayla bir meslektaşını dışarıda bırakabilirdi. Bunun için bir parolaya hiç ihtiyacı olmazdı.

İkinci aşama hesabın kendisidir. 20 başarısız denemeden sonra 15 dakika kilitlenir. Tek bir adres bunların en çok beşine katkıda bulunabildiği için bu, birden çok adres gerektirir.

Başarılı bir oturum açma iki sayacı da sıfırlar. Sunucu yeniden başlatıldıktan sonra adres duraklatması geçmiş olur, hesap kilidi kalır. Aynı sayaçlar bir dizin üzerinden oturum açma için de geçerlidir. Erişilemeyen bir dizin başarısız deneme sayılmaz. Talep sisteminde o ad için henüz bir hesap yoksa yalnızca adres duraklatması geçerlidir.

Kullanıcı listesinde böyle kilitlenmiş bir hesap “temporarily locked” rozetini taşır. Listede kalır. 15 dakika sonra rozet kendiliğinden kaybolur.

Beklemek zorunda değilsiniz. Aynı satırda açık asma kilitli bir düğme vardır. Kilidi hemen kaldırır ve iki sayacı da temizler.

Bu, “Archive” ile aynı şey değildir. O düğme bir hesabı kalıcı olarak kapatır ve personel kontenjanını yalnızca o alır ya da serbest bırakır.

Güvenlik günlüğü iki tür olay kaydeder. “Sign-in” alanında başarısız oturum açmalar, kilitlenen hesaplar, kilit sırasındaki oturum açma denemeleri, reddedilen iki faktörlü kodlar ve parola değişiklikleri yer alır. Bu, parolayla, dizin üzerinden ve SSO üzerinden oturum açma için geçerlidir.

“Administration” alanı kimin neyi değiştirdiğini gösterir. Buna hesaplar, roller, izinler, güvenlik ayarları ve arşivler girer. Günlüğün her dışa aktarımı da orada kaydedilir.

Başarılı oturum açmalar yalnızca iki durumda kaydedilir. Birinci durum bir yöneticidir. İkinci durum, aynı hesapta başarısız denemelerden sonraki bir oturum açmadır. Bir temsilcinin ya da müşterinin olağan oturum açması günlükte yer almaz. Günlük bir yoklama listesi değildir.

Biri var olmayan bir adla oturum açarsa kayıtta “unknown account” yazar. Sistem yazılan adı kaydetmez. Bu bazen yanlış alana yazılmış bir paroladır.

Oturum açma olayları IP adresini ve tarayıcıyı kaydeder. Yönetici işlemleri, işlemi kimin yaptığını kaydeder ama IP adresini kaydetmez. Parolalar, kodlar ve taleplerin ya da e-postaların içeriği günlükte asla yer almaz.

Sayfa en yeni kayıtları önce gösterir, sayfa başına 50 tane. “Filters” kartı listeyi daraltır. “Area” oturum açmaları veya yönetimi seçer, “Event” tek bir olay türünü. “Person”, işlemi yapanın ve etkilenenin adında arar. “From” ve “To” günleri sınırlar. “Failures only” başarılı olan her şeyi gizler.

Filtreler ancak “Apply” düğmesine tıkladıktan sonra etkili olur. “Reset” onları yeniden kaldırır.

“Export CSV” ve “Export PDF”, filtrelerin gösterdiğini aynen indirir. Her dosya en fazla 10.000 kayıt içerir. Filtrelere daha fazla kayıt uyuyorsa dışa aktarma düğmelerinin yanındaki bir not bunu belirtir. PDF senin dilindedir ve üstte filtreleri ve dönemi belirtir. Tarih ve saat, “Settings → General Settings” altında ayarlanan biçimi izler.

CSV dosyası her zaman İngilizce kalır ve saatler UTC’dir. Böylece bir program onu dilden bağımsız okuyabilir. Her dışa aktarım da günlükte “Security log exported” olarak yer alır.

Altı olay bir uyarı tetikler. Bunlar başarısız denemelerden sonra kilitlenen bir hesap, “Admin” olarak değiştirilen bir rol, doğrudan “Admin” rolüyle oluşturulan bir hesap ve bir yöneticinin sıfırlanan iki faktörlü oturum açmasıdır. Bunlara güncel verilerden kaldırılan arşivlenmiş talepler ve bir yöneticinin başarısız denemelerden sonraki oturum açması eklenir.

Bir uyarıdan sonra izni olan herkes her sayfanın üstünde sarı bir şerit görür. Şerit, günlüğe son ziyaretten bu yana gelen uyarıların sayısını belirtir. “Open security log” bağlantısı oraya götürür. Günlük açılınca şerit kaybolur. İlk ziyaretten önce son yedi günün uyarılarını sayar.

Ayrıca izni ve e-posta adresi olan her etkin hesap bir uyarı e-postası alır. Sistem uyarıları 15 dakikada bir toplar ve olay başına değil, kişi başına bir e-posta gönderir. E-posta olayı, etkilenen kişiyi ve saati belirtir. IP adresi içermez. Uyarı e-postası Professional’ın parçasıdır.

Gece çalıştırması eski kayıtları siler. Süreler “Settings → Security” altında, “Data protection” kartında, “Security log retention” bloğundadır. Oturum açma olayları varsayılan olarak 90 gün saklanır, 7 ile 365 gün arasına izin verilir. Yönetici işlemleri varsayılan olarak 12 ay saklanır, 1 ile 120 ay arasına izin verilir.

Her sürenin kendi anahtarı vardır: “Delete old sign-in events” ve “Delete old administrator actions”. Bir anahtar kapalıysa bu kayıtlar kalır. “Saklama süreleri” kartı gece çalıştırmasını açıklar.

Bir veri erişim talebinde kişi, işlemi yaptığı ya da etkilendiği her kaydı alır. IP adresi ve tarayıcı yalnızca kişinin kendisinin tetiklediği kayıtlarda yer alır, örneğin kendi oturum açmasında. Kişi anonimleştirilirse sistem onun oturum açma olaylarını siler. Yönetici işlemleri kalır. Adı orada yer tutucuyla değiştirilir.

İşletmeci olarak sana bir not: başarılı oturum açmalar günlükte yalnızca yöneticiler için ve başarısız denemelerden sonra yer alır. Günlük yine de kimin neyi ne zaman yaptığını gösterir. Çalışan temsilciliği olan bir şirkette bu nedenle bir ortak karar konusudur.

En üstte “Enable single sign-on” ana anahtarı durur. O kapalıyken kullanıcı adı ve parolayla devam edilir. Altında kurduğunuz her şey kaydedilir ve ancak siz anahtarı açtığınızda etkili olur.

“Active Directory / LDAP” kartı yerinde kurulu bir dizini bağlar. Sunucuyu, arama tabanını, bir kişiyi bulan süzgeci ve e-posta adresi ile adların alanlarını girersiniz.

Sorgulama için kullanılan hesap isteğe bağlıdır. O olmadan sistem adsız olarak sorar. Bir kişinin parolası yalnızca dizine bağlanmak için kullanılır ve hiçbir zaman saklanmaz.

Bir dizin kendi ikinci etkenini getirmez. Güvenlik sayfası iki adımlı oturum açmayı zorunlu kılıyorsa bu kişilerden de istenir.

“Identity providers” kartı dış oturum açma hizmetlerini barındırır. Her biri kendi kutucuğunu ve oturum açma sayfasında kendi düğmesini alır. “Add provider” yeni bir tane oluşturur.

“Provider type” altında türü seçersiniz. “Generic OIDC Provider” Google Workspace, Microsoft Entra ID, Okta, Keycloak, Auth0 ya da Ping Identity gibi hizmetlere uyar. “SAML 2.0 Provider” aynı kuruluşlar SAML üzerinden bağlanacaksa uyar.

Yanlarında altı bölgesel hizmet vardır: LINE, Kakao, Naver, WeChat, WeCom ve DingTalk. Adresleri önceden doldurulmuştur ve alanda gri metin olarak görünür.

“Display name” altındaki ad sonradan düğmede görünür. Yanındaki anahtar yalnızca bu tek sağlayıcı için geçerlidir.

Geri çağırma adresi için şu sırayla çalışın. Önce yalnızca bir ad girin ve “Save provider” düğmesine tıklayın. Sistem sağlayıcının numarasını ancak o zaman bilir ve bitmiş adresi “Redirect URI” altında gösterir. Adres, bu kurulumun “Settings → Security” altında kayıtlı genel adresinden oluşturulur. Biri oturum açtığında sistemin kullandığı adres tam olarak budur.

O adresi kopyalar ve sağlayıcıya kaydettirirsiniz. Orada karakteri karakterine uymalıdır. Karşılığında sağlayıcı size bir kimlik ve bir gizli anahtar verir, siz de onları burada “Edit” üzerinden girersiniz.

“Allowed e-mail domains” alanı bu sağlayıcı üzerinden kimlerin girebileceğini sınırlar. Boş bırakılırsa her alan adına izin verilir.

Bir sağlayıcıda hâlâ eksik bir şey varsa kutucuğu kırmızı “Incomplete” rozetini taşır. O zaman oturum açma sayfasında görünmez. Yanındaki metin, türünün hangi alanlara gereksinim duyduğunu söyler.

Tümüyle yapılandırılmış sağlayıcılar da ana anahtar kapalıyken görünmez. Kutucuk bunu sarı bir satırda söyler.

Lisansınız Basic sürümüne düşerse SSO ve dizin üzerinden oturum açma çalışmaya devam eder. Bu sayfada o zaman sağlayıcıları ve dizini yalnızca kapatabilirsiniz. Oturum açma denemelerinin günlüğü okunabilir kalır.

“Automatically create accounts on first sign-in” anahtarı ana anahtarla aynı kartta durur. Varsayılan olarak açıktır.

Biri bir sağlayıcı üzerinden ilk kez oturum açtığında sistem önce o sağlayıcıya ait bir hesap arar. Hiçbirini bulamazsa yeni bir tane oluşturulur.

Yeni hesap “Customer” rolünü alır ve hiçbir ekibe girmez. Bir müşterinin talep oluşturmak için üyeliğe ihtiyacı yoktur ve bu yüzden hemen çalışabilir.

Müşteriler iki sürümde de sınırsızdır, bu yüzden böyle oluşan bir hesap personel kontenjanı kullanmaz. Temsilci olması gereken kişi rolü sonradan kullanıcı yönetiminde alır.

Aynı e-posta adresine sahip bir hesap zaten varsa ikisi bağlanır. Bu yalnızca sağlayıcı adresi doğrulanmış olarak bildirdiğinde olur. Bildirmezse oturum açma geri çevrilir.

Anahtarı kapatırsanız yalnızca zaten hesabı olan kişiler girer. Diğer herkes geri çevrilir.

En alttaki “Recent sign-in attempts” kartı, SSO ve dizin üzerinden yapılan son 100 oturum açma olayını gösterir. Bunlar güvenlik günlüğünden gelir. Başarısız denemeler her zaman oradadır. Başarılı bir oturum açma orada yalnızca yöneticiler için ve aynı hesapta başarısız denemelerden sonra yer alır. Bu yüzden her oturum açma listede görünmez.

Her satır zamanı, sağlayıcıyı, sonucu ve kaynak adresini adlandırır. Başarısız bir denemede nedeni yanında durur. “User” sütunu hesabın adını gösterir. Hesap yoksa sağlayıcının bildirdiği adresi, o da yoksa “unknown account” gösterir. Sistem girilen adı kaydetmez.

Kullanıcı adı ve parolayla oturum açma bu tabloda görünmez. O, SSO değildir. Onu güvenlik günlüğünde bulursun.

Varsayılan olarak kayıtlar 90 gün sonra silinir. Kart başlığının altındaki cümle ayarlanan süreyi belirtir. Bu ayarı “Saklama süreleri” kartı açıklar.

Kurulumdan sonra ekibiniz sistemi her web tarayıcısında kullanır. Kurulum programı sisteme nasıl erişileceğini sorar. Windows kurulum programında bunu “Erişilebilirlik” sayfasında seçersiniz. Linux'ta install.sh aynı soruyu sorar ve seçenekleri 1'den 5'e kadar numaralandırır. Daha sonra bunu “SMITEY'e nasıl erişildiğini değiştir” ile değiştirirsiniz. Verileriniz olduğu yerde kalır.

“Yalnızca yerel ağ, IP adresi üzerinden (HTTP) - en basit seçenek” seçeneği varsayılan ayardır. Ekibiniz sistemi http:// ardından sunucunun IP adresi ve bağlantı noktası ile açar, örneğin http://192.168.1.20:8088. Başka bir tane seçmezseniz bağlantı noktası 8088'dir. 80 numaralı bağlantı noktası da olur. O zaman adreste bağlantı noktası gerekmez. Bu seçenek ne bir ad ne de bir sertifika gerektirir.

“Yerel ağda kendi adıyla (HTTP, HTTPS sonradan mümkün) - dahili DNS sunucunuz var” seçeneği ilki gibi çalışır, ancak ticket.company.local gibi bir adla. Adı dahili DNS'inizde kendiniz oluşturursunuz. Ad, sunucunun IP adresini gösterir. Ardından ekibiniz sisteme adla ve hâlâ IP adresiyle erişir. Kurulum programı o zaman adresi bu adla gösterir.

İki HTTP seçeneğinde de parolalar ve talepler ağınızda düz metin olarak dolaşır. Yöneticiler o zaman sayfanın üstünde bir uyarı görür.

Diğer üç seçenek HTTPS kullanır: “Genel bir alan adı üzerinden HTTPS ile (otomatik, Let's Encrypt kullanarak)”, “Yerel ağda HTTPS ve kendi sertifikanızla” ve “Yerel ağda HTTPS, SMITEY'in oluşturduğu sertifikayla”. Bunlar sunucuda 80 ve 443 numaralı bağlantı noktalarına ihtiyaç duyar. Sonraki kart bunları anlatır.

İlk bir deneme için ilk seçenek yeterlidir. Ağınızda dahili DNS varsa ikincisini seçin. Sisteme internetten erişilebilmesi gerekiyorsa genel alan adını seçin. Şirketinizin kendi sertifika yetkilisi varsa yerel ağda kendi sertifikanızı seçin. Aksi halde sertifikayı SMITEY'in oluşturmasına izin verin.

HTTPS olmadan parolalar ve talepler ağınızda düz metin olarak dolaşır. Yeni bir kurulum düz HTTP ile başlar, böylece her web tarayıcısında hemen çalışır. Bir yönetici sistemi düz HTTP ile açtığı sürece sayfanın üstünde bir uyarı görünür: “This connection is not encrypted.” Sistem sunucunun kendisinde “localhost” olarak açılırsa uyarı görünmez. Temsilciler ve müşteriler onu hiç görmez.

“How to switch on HTTPS” bu karta götürür. “Hide for 30 days” uyarıyı sizin için gizler. Ayar hesabınıza aittir ve bu yüzden başka bir tarayıcıda da geçerlidir. 30 gün sonra, bağlantı hâlâ şifrelenmemişse uyarı geri gelir.

SMITEY kurulum programı HTTPS'i üç yolla kurar. Windows kurulum programında bunu “Erişilebilirlik” sayfasında seçersiniz, Linux'ta ise install.sh aynı soruyu sorar. Zaten çalışan bir sistemde Windows masaüstündeki veya Başlat menüsündeki “SMITEY'e nasıl erişildiğini değiştir” öğesini açın. Linux'ta aşağıdaki komut aynısını yapar. Verileriniz olduğu yerde kalır.

“Yerel ağda HTTPS ve kendi sertifikanızla” seçeneği kendi sertifikanızı kullanır, örneğin şirketinizin sertifika yetkilisinden. Kurulum programı sistemin adını ve anahtarıyla birlikte sertifika dosyasını sorar. Parolasıyla birlikte bir PFX dosyası da olur. Herhangi bir şeyi değiştirmeden önce sertifikayı denetler. Anahtar uymalı, sertifika geçerli olmalı ve ad sertifikada yer almalıdır.

“Yerel ağda HTTPS, SMITEY'in oluşturduğu sertifikayla” seçeneği kendi sertifikanızı gerektirmez. SMITEY bir tane kendisi oluşturur ve onu kendisi yeniler. Kurulum programı kök sertifikayı SMITEY-root-ca.crt adıyla kurulum klasörüne kaydeder. Bu dosyayı her bilgisayara güvenilir kök sertifika olarak kurun, örneğin bir grup ilkesiyle. O zamana kadar tarayıcılar bir uyarı gösterir.

“Genel bir alan adı üzerinden HTTPS ile (otomatik, Let's Encrypt kullanarak)” seçeneği sertifikasını Let’s Encrypt'ten alır. Sunucuyu gösteren genel bir alan adı gerekir. Bunun için sunucunun internetten erişilebilir olması gerekir.

Yerel ağdaki iki seçenekte de ad, ticket.company.local gibi bir ad, helpdesk gibi tek bir sözcük ya da bir IPv4 adresi olabilir. Üç yolun hepsi sunucuda 80 ve 443 numaralı bağlantı noktalarına ihtiyaç duyar. Başka bir program bunları kullanıyorsa kurulum programı durur ve hiçbir şeyi değiştirmez. Sistem bundan sonra https:// ve ardından ad ile, bağlantı noktası olmadan erişilir.

Kendi sertifikanızın süresi bir gün dolar. 30 gün öncesinden itibaren yöneticiler sayfanın üstünde tarihle birlikte bir uyarı görür. 7 gün öncesinden itibaren uyarı kırmızıdır. Professional'da e-posta adresi olan tüm yöneticiler ayrıca 30 ve 7 gün önce bir e-posta alır. Yenilemek için “SMITEY'e nasıl erişildiğini değiştir” öğesini yeniden açın, kendi sertifikanızla olan seçeneği seçin ve yeni dosyaları belirtin.

Kurulumla birlikte gelen HTTPS-GUIDE.txt dosyası her adımı anlatır. Kök sertifikanın dağıtılması ve elle yapılan adımlar da buna dahildir.