Uživatelé, role a dvoufázové ověření

Modul 7: Spolupráce, aplikace a zabezpečení · Doba čtení: 11 minut

Cíl lekce: Po této lekci dokážete bezpečně nastavit uživatele a správce ve Vaší nové službě, zvolit vhodnou formu dvoufázového ověření a zavést pevnou rutinu pro nové a odcházející kolegy.

Klíčové pojmy: účet na osobu, správce, vlastník, role, minimální oprávnění, dvoufázové ověření (2FA), TOTP, passkey, bezpečnostní klíč, WebAuthn, záložní kódy, aplikační heslo, odhlášení relace, jednotné přihlášení (SSO), nástup a odchod (onboarding a offboarding), převod vlastnictví

Přechod je příležitost udělat si pořádek

Při inventarizaci (lekce 3.1) se ukázalo, že Bakkerij De Korrel má 15 účtů Google pro 12 lidí. Dva patří lidem, kteří už dávno odešli, a jeden účet winkel@example.com používají čtyři lidé se stejným heslem, které visí na papírku u pokladny. To je velmi běžné. Při přechodu takové zvyky nepřebíráte dál, ale rovnou je napravíte.

Jeden účet na osobu

Základní pravidlo: každá osoba má vlastní účet, s vlastním heslem a vlastním druhým krokem. Proč?

• Vidíte, kdo co udělal (aktivita, verze, kdo co sdílel).
• Když někdo odejde, vypnete jeden účet a nikdo se nemusí učit nové heslo.
• Dvoufázové ověření funguje dobře jen tehdy, pokud druhý krok patří jedné osobě.

Sdílené adresy jako winkel@example.com nebo info@example.com dál existují, ale jako sdílená schránka, alias nebo skupina: více lidí si je čte přes svůj vlastní účet. Jak se to nazývá a jak to funguje, se liší podle poskytovatele (lekce 4.4).

Role: kdo smí co?

V každé cloudové službě existují minimálně tři úrovně:

Dvě základní pravidla:

1. Minimální oprávnění. Dávejte každému jen ta oprávnění, která skutečně potřebuje. Pekař nepotřebuje umět vytvářet uživatele.
2. Minimálně dva správci. Pokud je jen jeden a onemocní, odjede na dovolenou nebo odejde, nikdo nemůže resetovat heslo ani zrušit službu. Dva správci, každý s vlastním účtem a vlastním druhým krokem, a údaje o správcovském účtu u poskytovatele (smlouva) jsou vedeny na jméno organizace, ne jedné osoby.

Všimněte si rozdílu mezi správou balíčku a přístupem k souborům. Dobrá služba umožňuje správci spravovat účty, aniž by mohl nahlížet do souborů ostatních. Kdo ale může resetovat heslo, může se poté přihlásit jako daná osoba, pokud druhý krok míří na adresu, kterou dokáže číst. Pro každého uživatele proto jako obnovovací a kódovou adresu zvolte jeho vlastní e-mailovou adresu.

Dvoufázové ověření: proč a které

Samotné heslo nestačí. Hesla unikají při porušení zabezpečení osobních údajů na jiných stránkách, dají se uhodnout nebo vylákat phishingem. Nizozemské Národní centrum pro kybernetickou bezpečnost (NCSC) doporučuje používat dvoufázové ověření všude, kde je to možné. Při dvoufázovém ověření (2FA) potřebujete kromě hesla ještě něco, co máte: telefon, klíč nebo svou poštovní schránku.

TOTP znamená time-based one-time password, popsané v RFC 6238. Služba a Vaše aplikace sdílejí jeden tajný klíč (který převezmete pomocí QR kódu) a oba z klíče a aktuálního času vypočítají stejný kód. Proto musí být hodiny ve Vašem telefonu správně nastavené.

Passkeys jsou založeny na standardu WebAuthn organizací W3C a FIDO. Vaše zařízení vytvoří pro každou stránku vlastní pár klíčů. Protože je klíč svázán se skutečnou adresou stránky, podvodná stránka s ním nic nezmůže. Stále více služeb podporuje passkeys jako druhý krok nebo dokonce místo hesla.

Záložní kódy a den, kdy ztratíte telefon

Každý druhý krok může selhat: ztracený telefon, poškozený telefon, nový telefon bez přenesení aplikace. Proto:

• Vytvořte si záložní kódy (obvykle deset kódů, z nichž každý funguje jen jednou) a uchovávejte je mimo stejný telefon. Vytištěné u důležitých dokumentů, nebo ve správci hesel (lekce 7.4).
• Zapněte alespoň dvě metody, například autentizační aplikaci plus e-mailový kód, nebo passkey plus záložní kódy.
• Nový telefon? Nejprve přeneste účty z autentizační aplikace, než starý telefon smažete nebo vrátíte.

Pokud se přesto někdo ocitne mimo přístup, pomůže správce (například změnou e-mailové adresy na adresu, kterou daný uživatel umí přečíst), nebo poskytovatel, po ověření totožnosti žadatele. To záměrně nějakou dobu trvá: poskytovatel, který by vypnul druhý krok bez ověření, by tím pomohl i podvodníkovi.

Aplikační hesla a relace

Aplikace, které neumí zadat druhý krok, dostanou vlastní aplikační heslo (lekce 7.2). Jedno na aplikaci a zařízení, s rozpoznatelným názvem. V přehledu zařízení a relací vidíte, kde je kdo přihlášen. Tam také odhlásíte ukradený telefon nebo starý notebook. Kontrolujte to občas, a určitě při každém odchodu kolegy.

Jednotné přihlášení (SSO)

Větší organizace umožňují lidem přihlašovat se jedním účtem k více službám: jednotné přihlášení neboli SSO, často prostřednictvím standardů jako SAML nebo OpenID Connect. Pozor: pokud teď u jiných služeb (účetnictví, plánování, e-shop) používáte „Přihlásit se prostřednictvím Google účtu“ nebo „Přihlásit se prostřednictvím účtu Microsoft“, přijdete o přístup k nim, jakmile svůj účet Google nebo Microsoft zrušíte. To bylo ve Vaší inventarizaci skryté propojení (lekce 3.1). Takové služby před zrušením účtu převeďte na přihlašování e-mailem a heslem, nebo na Vaše nové SSO.

Nástup a odchod: pevná rutina

Většina problémů nevzniká při přechodu samotném, ale o rok později, když někdo odejde a nikdo neví, co se má stát. Zaveďte si proto hned teď pevnou rutinu (úkol E7.3):

Nový kolega: vytvořit účet s vlastní e-mailovou adresou, přiřadit skupiny a licence, bezpečně předat přihlašovací údaje (heslo jiným kanálem), první přihlášení udělat společně, nastavit druhý krok a záložní kódy, nainstalovat aplikace.

Odcházející kolega: nejprve převést vlastnictví souborů a složek (u mnoha služeb jsou při smazání účtu všechny soubory nenávratně pryč), přesunout sdílené kalendáře a složky, uvolnit licenci, účet vypnout (nemazat ihned), zrušit aplikační hesla a relace, poštu přesměrovat nebo ponechat jako sdílenou schránku, a smazat až po dohodnuté lhůtě.

V praxi: jak to vypadá u poskytovatele

U WebOké Nextcloud není nikdo správcem v samotném Nextcloud. Vlastník balíčku spravuje uživatele v Můj WebOké, v sekci Správa uživatelů na stránce balíčku: přidání uživatele, změna hesla, vypnutí nebo smazání, a zapnutí či vypnutí licence Office. Každý uživatel si vlastní zabezpečení spravuje v Nextcloud v nabídce Nastavení, Zabezpečení: kód e-mailem je vždy zapnutý a tam si zapnete autentizační aplikaci (TOTP), záložní kódy, passkey a aplikační hesla a uvidíte Zařízení a relace.

U jiných poskytovatelů to funguje podobně: existuje správcovské prostředí pro účty a pro každého uživatele stránka zabezpečení. Názvy tlačítek se liší.

Shrnutí

• Jeden účet na osobu; sdílené adresy se stávají sdílenými schránkami nebo skupinami.
• Minimální oprávnění a minimálně dva správci; smlouva na jméno organizace.
• Zapněte dvoufázové ověření pro všechny. Passkeys a bezpečnostní klíče jsou nejsilnější proti phishingu; TOTP je dobrá, hojně používaná volba.
• Záložní kódy neukládejte na stejný telefon a používejte alespoň dvě metody.
• Zaveďte pevnou rutinu pro nástup a odchod: nejprve převést, pak vypnout, teprve později smazat.

Kvíz

Úkol

Úkol E7.3: Role a rutina pro nástup a odchod. Vytvořte přehled rolí pro Vaši organizaci (kdo je správce, kdo ne, kdo je druhý správce) a vyplňte kontrolní seznam nástupu a odchodu pro Vaši vlastní službu. Zapněte dvoufázové ověření u svého vlastního účtu a potvrďte, že máte záložní kódy uložené mimo telefon.

Doporučená literatura

Postupy v těchto článcích platí pro služby WebOké; u jiných poskytovatelů to funguje podobně.

• Příručka k Nextcloud 3.1: Jak WebOké zabezpečuje Váš Nextcloud?
• Příručka k Nextcloud 3.3: Nastavení aplikace pro ověřování se a uložení záložních kódů
• Příručka k Nextcloud 3.5: Hesla aplikací: kdy a jak je použít
• Příručka k Nextcloud 3.6: Zobrazení, odvolání nebo vzdálené vymazání zařízení a sezení
• Příručka k Nextcloud 3.10: Ztracený telefon nebo ztráta 2FA: takto se opět dostanete dovnitř
• Příručka k Nextcloud 14.2: Uživatele vytvářet, upravovat, vypínat a mazat
• Příručka k Nextcloud 14.7: Oprávnění: kdo spravuje co ve Vašem Nextcloud
• Příručka k Nextcloud 16.7: Kolega odchází: jak bezpečně převzít soubory, kalendář a sdílené složky
• Příručka WebOké 3.3: Použití ověřovací aplikace
• Nastavení dvoufázového ověření (2FA) v Nextcloud
• Vytvoření hesla pro aplikaci (nutné pro připojení aplikací a zařízení)
• NCSC, vysvětlení ransomwaru (s doporučením používat dvoufázové ověření všude): https://www.ncsc.nl/ransomware/ransomware-uitgelegd
• RFC 6238 (TOTP): https://www.rfc-editor.org/rfc/rfc6238
• W3C Web Authentication (WebAuthn): https://www.w3.org/TR/webauthn-3/ a FIDO Alliance o passkeys: https://fidoalliance.org/passkeys/