Автентифікація та безпека, зокрема SSO

Із коробки всі входять з іменем користувача та паролем. Замість імені працює й адреса пошти. Якщо надсилання пошти налаштовано, під формою з'являється посилання «Do you need a password reset?». Надсилання пошти входить у Professional.

Після входу браузер отримує пропуск, дійсний певний час. Скільки саме, вирішує картка «JWT token timer». Дозволено значення від 1 до 24 годин, рекомендовано 12. Після цього людина має увійти знову.

Картка «Password policy» стосується кожного пароля, який задають у системі. Вона діє при створенні облікового запису, коли людина міняє власний пароль і коли адміністратор скидає його.

Ви задаєте найменшу довжину, які види знаків мають траплятися, через скільки днів пароль спливає та скільки старих паролів лишаються заблокованими. Для днів і списку блокування 0 означає «вимкнено».

Правила про великі та малі букви не виключають жодної мови. Багато писемностей такої різниці взагалі не мають, і знак з однієї з них сам собою задовольняє обидва правила.

Облікові записи, що входять лише через SSO або каталог, локального пароля не мають, тож спливання їх не стосується. Їхні правила живуть у постачальника. Якщо наявний обліковий запис прив'язали до SSO і він досі має власний пароль, спливання та політика паролів і далі діють для цього пароля.

Картка «2FA Settings» визначає, хто має користуватися двоетапним входом. У розділі «Two-factor requirement» ви вибираєте один із чотирьох рівнів: «Off», «Administrators only», «Administrators and agents» або «Everyone». «Everyone» охоплює й клієнтів. Нова інсталяція починається з «Administrators only». Інсталяція, яка існувала раніше, після оновлення зберігає своє попереднє налаштування.

Той, хто входить наступного разу без другого чинника, його налаштовує. Система показує QR-код для застосунку автентифікації й той самий ключ, щоб набрати вручну. Після першого коду чинник діє. Кнопкою «Set up later» налаштування можна відкласти, і вхід триває без нього. Так можна щонайбільше 7 днів, рахуючи від першого відкладання. Рядок під кнопкою показує дні, що залишилися. Після цього налаштування обов'язкове.

Одразу після цього з'являються десять кодів відновлення. Кожен з них один раз замінює код із застосунку. Показують їх рівно один раз. Збережіть їх кнопкою «Copy» або «Download». «Download» працює завжди. «Copy» зазвичай теж.

Якщо хтось загубив пристрій і коди, допомагає адміністратор. У списку користувачів кнопка з перекресленим щитом скидає двоетапний вхід цієї людини. Вона налаштовує його знову при наступному вході.

Коди залежать від годинника сервера. Якщо він хибний, жоден код не приймається. Кнопка «Check now» на тій самій картці звіряє час сервера з публічним джерелом часу.

Якщо хтось входить через зовнішню службу входу, система коду не питає. Другий чинник уже перевірив постачальник. Із входом через каталог інакше: там правило вище діє далі.

Кожен користувач може ввімкнути двоетапний вхід для власного облікового запису. Це стосується кожної ролі, навіть коли картка «2FA Settings» цього не вимагає. Відкрийте меню користувача внизу ліворуч на бічній панелі й виберіть «Profile picture». На тій самій сторінці є область «Two-factor authentication».

Область показує, чи ввімкнено двоетапний вхід. Поки його вимкнено, там є кнопка «Turn on». Спершу вона запитує ваш пароль. Потім з'являється QR-код для застосунку автентифікації й той самий ключ, щоб набрати вручну. Після першого коду із застосунку чинник діє.

Одразу після цього з'являються десять кодів відновлення. Збережіть їх кнопкою «Copy» або «Download». «I have saved my codes» закриває список. Його показують лише цей єдиний раз.

Поки двоетапний вхід увімкнено, область показує, скільки кодів відновлення залишилося. «New recovery codes» створює десять нових. Старі коди тоді перестають діяти. «Turn off» знову вимикає двоетапний вхід. Обидві кнопки вимагають поточний код із застосунку. Код відновлення там не приймається.

Якщо картка «2FA Settings» вимагає двоетапного входу для вашої ролі, кнопки «Turn off» немає. Про це каже рядок в області.

Неправильний пароль або неправильний код зараховується як невдалий вхід. Захист від добору пароля, отже, діє і тут. Увімкнення й вимкнення записуються в журнал безпеки. Якщо адміністратор вимикає власний двоетапний вхід, журнал здіймає тривогу.

Облікові записи, які входять лише через зовнішню службу входу, бачать замість кнопок одне речення. Другий чинник у них забезпечує їхній постачальник. Облікові записи з каталогу на першому кроці вводять свій пароль із каталогу.

Захист працює без жодного налаштування. Вмикати нічого не треба. Примітка про нього стоїть у картці «2FA Settings».

Він має два ступені. Після п'яти невдалих спроб для того самого запису адресу, з якої вони надійшли, призупиняють. Призупинення закінчується щонайпізніше через 15 хвилин після першої з цих спроб. З будь-якої іншої адреси запис лишається придатним одразу.

Це важлива частина. Інакше той, хто знає ім'я для входу, міг би замкнути колегу за дверима п'ятьма хибними паролями. Пароль для цього йому був би не потрібен.

Другий ступінь — це сам обліковий запис. Його блокують на 15 хвилин після 20 невдалих спроб. Оскільки одна адреса може дати щонайбільше п'ять із них, для цього потрібно кілька адрес.

Успішний вхід скидає обидва лічильники. Після перезапуску сервера призупинення адреси зникає, блокування запису лишається. Ті самі лічильники діють і для входу через каталог. Недоступний каталог не рахується невдалою спробою. Якщо для цього імені в системі заявок ще немає облікового запису, діє лише призупинення адреси.

У списку користувачів так заблокований запис має позначку «temporarily locked». Він лишається у списку. За 15 хвилин позначка зникає сама.

Чекати не обов'язково. У тому самому рядку є кнопка з відкритим замком. Вона знімає блокування одразу й обнуляє обидва лічильники.

Це не те саме, що «Archive». Та кнопка вимикає обліковий запис назавжди, і лише вона займає чи звільняє службове місце.

Журнал безпеки записує два види подій. Область «Sign-in» містить невдалі входи, заблоковані облікові записи, спроби входу під час блокування, відхилені двофакторні коди та зміни пароля. Це стосується входу з паролем, через каталог і через SSO.

Область «Administration» показує, хто що змінив. Сюди належать облікові записи, ролі, дозволи, налаштування безпеки та архіви. Там же записується кожен експорт журналу.

Успішні входи записуються лише у двох випадках. Перший випадок — адміністратор. Другий випадок — вхід після невдалих спроб для того самого облікового запису. Звичайний вхід агента чи клієнта до журналу не потрапляє. Журнал не є табелем присутності.

Якщо хтось входить з ім'ям, якого не існує, у записі стоїть «unknown account». Система не зберігає введене ім'я. Іноді це пароль, що потрапив не в те поле.

Події входу зберігають IP-адресу та браузер. Адміністративні дії зберігають, хто їх виконав, але не IP-адресу. Паролі, коди та вміст заявок чи листів ніколи не потрапляють до журналу.

Сторінка показує спершу найновіші записи, по 50 на сторінку. Картка «Filters» звужує список. «Area» вибирає входи або адміністрування, «Event» — один вид події. «Person» шукає в імені того, хто діяв, і того, кого це стосується. «From» і «To» обмежують дні. «Failures only» приховує все, що пройшло успішно.

Фільтри діють лише після клацання на «Apply». «Reset» знову їх прибирає.

«Export CSV» і «Export PDF» завантажують рівно те, що показують фільтри. Кожен файл містить щонайбільше 10 000 записів. Якщо фільтрам відповідає більше записів, про це повідомляє примітка біля кнопок експорту. PDF складено твоєю мовою, і вгорі він називає фільтри та період. Дата й час відповідають формату, заданому в «Settings → General Settings».

Файл CSV завжди залишається англійською, а час указано в UTC. Так програма може читати його незалежно від мови. Кожен експорт сам потрапляє до журналу як «Security log exported».

Шість подій викликають сповіщення. Це обліковий запис, заблокований після невдалих спроб, роль, змінена на «Admin», обліковий запис, одразу створений із роллю «Admin», і скинутий двофакторний вхід адміністратора. До них додаються архівні заявки, вилучені з поточних даних, і вхід адміністратора після невдалих спроб.

Після сповіщення кожен із цим дозволом бачить жовтий банер угорі кожної сторінки. Він називає кількість сповіщень від останнього відвідування журналу. Посилання «Open security log» веде туди. Коли журнал відкрито, банер зникає. До першого відвідування він рахує сповіщення за останні сім днів.

Крім того, кожен активний обліковий запис із цим дозволом і адресою електронної пошти отримує лист зі сповіщенням. Система збирає сповіщення кожні 15 хвилин і надсилає один лист на людину, а не один на подію. Лист називає подію, зачеплену людину та час. IP-адреси в ньому немає. Лист зі сповіщенням входить до Professional.

Нічний запуск видаляє старі записи. Строки містяться в «Settings → Security», у картці «Data protection», у блоці «Security log retention». Події входу типово зберігаються 90 днів, дозволено від 7 до 365 днів. Адміністративні дії типово зберігаються 12 місяців, дозволено від 1 до 120 місяців.

Кожен строк має свій перемикач: «Delete old sign-in events» і «Delete old administrator actions». Якщо перемикач вимкнено, ці записи залишаються. Картка «Строки зберігання» пояснює нічний запуск.

У разі запиту на доступ до даних людина отримує кожен запис, у якому вона діяла або який її стосується. IP-адреса та браузер додаються лише до записів, які вона спричинила сама, наприклад до власного входу. Якщо людину анонімізують, система видаляє її події входу. Її адміністративні дії залишаються. Її ім'я там замінюється заповнювачем.

Примітка для тебе як оператора: успішні входи потрапляють до журналу лише для адміністраторів і після невдалих спроб. Проте журнал показує, хто що і коли зробив. У компанії з представницьким органом працівників це тому питання спільного вирішення.

У самому верху стоїть головний перемикач «Enable single sign-on». Поки він вимкнений, лишається вхід з іменем користувача та паролем. Усе, що ви налаштуєте нижче, зберігається й починає діяти лише після ввімкнення.

Картка «Active Directory / LDAP» підключає локальний каталог. Ви вводите сервер, базу пошуку, фільтр, який знаходить людину, і поля для адреси пошти та імен.

Обліковий запис для пошуку необов'язковий. Без нього система питає анонімно. Пароль людини використовують лише для прив'язки до каталогу й ніколи не зберігають.

Каталог не приносить власного другого чинника. Якщо сторінка безпеки вимагає двоетапного входу, у цих людей його теж питають.

Картка «Identity providers» містить зовнішні служби входу. Кожна отримує власну плитку й власну кнопку на сторінці входу. «Add provider» створює нову.

Під «Provider type» ви обираєте вид. «Generic OIDC Provider» підходить для служб на кшталт Google Workspace, Microsoft Entra ID, Okta, Keycloak, Auth0 чи Ping Identity. «SAML 2.0 Provider» підходить тим самим, коли їх треба підключити через SAML.

Поруч із ними є шість регіональних служб: LINE, Kakao, Naver, WeChat, WeCom і DingTalk. Їхні адреси заповнено наперед, і вони показані в полі сірим текстом.

Назва під «Display name» згодом з'являється на кнопці. Перемикач поруч стосується лише цього одного постачальника.

З адресою зворотного виклику дійте в такому порядку. Спершу введіть лише назву й натисніть «Save provider». Аж тоді система знає номер постачальника й показує готову адресу під «Redirect URI». Вона складається з публічної адреси цієї системи, тієї, що збережена під «Settings → Security». Саме цю адресу система використовує, коли хтось входить.

Цю адресу ви копіюєте й реєструєте в постачальника. Вона має збігатися там знак у знак. Натомість постачальник дає вам ідентифікатор і таємний ключ, і ви вводите їх тут через «Edit».

Поле «Allowed e-mail domains» обмежує, хто може заходити через цього постачальника. Якщо лишити його порожнім, дозволено кожен домен.

Якщо постачальникові ще чогось бракує, його плитка має червону позначку «Incomplete». Тоді він не з'являється на сторінці входу. Текст поруч каже, яких полів потребує його вид.

Повністю налаштовані постачальники все одно не з'являються, поки головний перемикач вимкнено. Плитка каже про це жовтим рядком.

Якщо ваша ліцензія знову стає Basic, вхід через SSO і каталог і далі працює. На цій сторінці тоді можна лише вимикати постачальників і каталог. Журнал спроб входу лишається доступним для читання.

Перемикач «Automatically create accounts on first sign-in» стоїть у тій самій картці, що й головний перемикач. Типово він увімкнений.

Коли хтось входить через постачальника вперше, система спершу шукає обліковий запис, що вже належить цьому постачальникові. Якщо не знаходить, створюється новий.

Новий запис отримує роль «Customer» і не отримує команди. Клієнтові для створення заявки членство не потрібне, тож він може працювати одразу.

Клієнтів необмежено в обох редакціях, тож створений так запис службового місця не займає. Той, хто має стати оператором, отримує роль потім в управлінні користувачами.

Якщо обліковий запис із такою самою адресою пошти вже існує, обидва пов'язують. Це відбувається лише тоді, коли постачальник повідомляє адресу як підтверджену. Якщо ні, вхід відхиляють.

Якщо ви його вимкнете, заходитимуть лише ті, у кого обліковий запис уже є. Решту не пускають.

Картка «Recent sign-in attempts» у самому низу показує останні 100 подій входу через SSO та каталог. Вони беруться з журналу безпеки. Невдалі спроби в ній є завжди. Успішний вхід у ній є лише для адміністраторів і після невдалих спроб для того самого облікового запису. Тому не кожен вхід потрапляє до списку.

Кожен рядок називає час, постачальника, результат і адресу-джерело. При невдалій спробі поруч стоїть причина. Стовпець «User» показує ім'я облікового запису. Якщо облікового запису немає, він показує адресу, яку повідомив постачальник, інакше «unknown account». Система не зберігає введене ім'я.

Вхід з іменем користувача та паролем у цій таблиці не з'являється. Це не SSO. Він є в журналі безпеки.

За замовчуванням записи видаляються через 90 днів. Речення під заголовком картки називає заданий строк. Це налаштування пояснює картка «Строки зберігання».

Після інсталяції ваша команда користується системою в кожному веб-браузері. Інсталятор запитує, як має бути доступна система. В інсталяторі для Windows ви вибираєте це на сторінці «Доступність». У Linux install.sh ставить те саме запитання й нумерує варіанти від 1 до 5. Пізніше ви змінюєте це через «Змінити спосіб доступу до SMITEY». Ваші дані залишаються на місці.

Варіант «Лише в локальній мережі, за IP-адресою (HTTP) — найпростіший варіант» є типовим налаштуванням. Ваша команда відкриває систему за адресою http://, після якої йдуть IP-адреса сервера й порт, наприклад http://192.168.1.20:8088. Порт буде 8088, якщо ви не виберете інший. Порт 80 теж підходить. Тоді адреса не потребує порту. Цьому варіанту не потрібні ні назва, ні сертифікат.

Варіант «У локальній мережі під власним іменем (HTTP, HTTPS можливий пізніше) — у вас є внутрішній DNS» працює як перший, але під назвою на кшталт ticket.company.local. Назву ви створюєте самі у своєму внутрішньому DNS. Вона вказує на IP-адресу сервера. Тоді ваша команда відкриває систему за назвою і так само за IP-адресою. Інсталятор потім показує адресу з цією назвою.

В обох варіантах із HTTP паролі й заявки йдуть вашою мережею відкритим текстом. Тоді адміністратори бачать угорі сторінки сповіщення.

Інші три варіанти використовують HTTPS: «Через публічний домен з HTTPS (автоматично, через Let's Encrypt)», «У локальній мережі з HTTPS і власним сертифікатом» і «У локальній мережі з HTTPS, сертифікат створює SMITEY». Їм потрібні на сервері порти 80 і 443. Наступна картка описує їх.

Для першого тесту досить першого варіанта. Якщо у вашій мережі є внутрішній DNS, виберіть другий. Якщо система має бути доступна з інтернету, виберіть публічний домен. Якщо ваша компанія має власний центр сертифікації, виберіть власний сертифікат у локальній мережі. Інакше дозвольте SMITEY створити сертифікат.

Без HTTPS паролі й заявки йдуть вашою мережею відкритим текстом. Нова інсталяція починається зі звичайного HTTP, щоб одразу працювати в будь-якому веб-браузері. Поки адміністратор відкриває систему через звичайний HTTP, угорі сторінки з'являється сповіщення: «This connection is not encrypted.» Якщо систему відкрити на самому сервері як «localhost», сповіщення не з'являється. Оператори й клієнти ніколи його не бачать.

«How to switch on HTTPS» веде до цієї картки. «Hide for 30 days» приховує сповіщення для вас. Налаштування належить вашому обліковому запису, тож діє і в іншому браузері. Через 30 днів сповіщення повертається, поки з'єднання все ще не зашифроване.

Інсталятор SMITEY налаштовує HTTPS трьома способами. В інсталяторі для Windows ви вибираєте його на сторінці «Доступність», а в Linux install.sh ставить те саме запитання. У системі, що вже працює, відкрийте «Змінити спосіб доступу до SMITEY» на робочому столі Windows або в меню Пуск. У Linux те саме робить команда нижче. Ваші дані залишаються на місці.

Варіант «У локальній мережі з HTTPS і власним сертифікатом» використовує ваш власний сертифікат, наприклад від центру сертифікації вашої компанії. Інсталятор запитує назву системи й файл сертифіката з його ключем. Підійде й файл PFX з його паролем. Перш ніж щось змінити, він перевіряє сертифікат. Ключ має пасувати, сертифікат має бути чинним, а назва має бути в сертифікаті.

Варіанту «У локальній мережі з HTTPS, сертифікат створює SMITEY» власний сертифікат не потрібен. SMITEY створює його сам і сам його оновлює. Кореневий сертифікат інсталятор зберігає як SMITEY-root-ca.crt у теці інсталяції. Установіть цей файл на кожен комп'ютер як довірений кореневий сертифікат, наприклад через групову політику. Доти браузери показують попередження.

Варіант «Через публічний домен з HTTPS (автоматично, через Let's Encrypt)» отримує свій сертифікат від Let’s Encrypt. Йому потрібен публічний домен, що вказує на сервер. Тому сервер має бути доступний з інтернету.

Для обох варіантів у локальній мережі назвою може бути назва на кшталт ticket.company.local, одне слово на кшталт helpdesk або адреса IPv4. Усім трьом шляхам потрібні на сервері порти 80 і 443. Якщо їх використовує інша програма, інсталятор зупиняється й нічого не змінює. Потім система доступна за https:// і назвою, без порту.

Ваш власний сертифікат колись спливає. За 30 днів до цього адміністратори бачать угорі сторінки сповіщення з датою. За 7 днів воно червоне. У Professional усі адміністратори з адресою електронної пошти додатково отримують лист за 30 і за 7 днів. Щоб оновити сертифікат, знову відкрийте «Змінити спосіб доступу до SMITEY», виберіть варіант із власним сертифікатом і вкажіть нові файли.

Файл HTTPS-GUIDE.txt, що постачається з інсталяцією, описує кожен крок. Сюди входять поширення кореневого сертифіката й кроки вручну.