Käyttäjät, roolit ja kaksivaiheinen tunnistautuminen

Moduuli 7: Yhteistyö, sovellukset ja tietoturva · Lukuaika: 11 minuuttia

Tavoite: Tämän oppitunnin jälkeen osaat perustaa käyttäjät ja ylläpitäjät uuteen palveluun turvallisesti, valita sopivan kaksivaiheisen tunnistautumisen muodon ja luoda vakiorutiinin uusille ja lähteville kollegoille.

Keskeiset käsitteet: tili per henkilö, ylläpitäjä, omistaja, rooli, suppeimmat oikeudet, kaksivaiheinen tunnistautuminen (2FA), TOTP, passkey, turvallisuusavain, WebAuthn, varakoodit, sovelluskohtainen salasana, istunnon peruuttaminen, kertakirjautuminen (SSO), työsuhteen alkaminen ja päättyminen (onboarding ja offboarding), omistajuuden siirto

Siirtymä on tilaisuus siivota

Kartoituksessa (oppitunti 3.1) kävi ilmi, että Bakkerij De Korrelilla on 15 Google-tiliä 12 ihmiselle. Kaksi tiliä kuuluu ihmisille, jotka ovat jo kauan sitten lähteneet, ja yhtä tiliä, winkel@example.com, käyttää neljä henkilöä samalla salasanalla, joka roikkuu lapulla kassan vieressä. Tämä on hyvin yleistä. Siirtymän yhteydessä et ota tällaisia tapoja mukaan, vaan korjaat ne heti.

Yksi tili per henkilö

Perussääntö: jokaiselle henkilölle oma tili, omalla salasanalla ja omalla toisella vaiheella. Miksi?

• Näet, kuka on tehnyt mitä (toiminta, versiot, kuka on jakanut mitä).
• Kun joku lähtee, suljet yhden tilin eikä kenenkään tarvitse opetella uutta salasanaa.
• Kaksivaiheinen tunnistautuminen toimii kunnolla vain, kun toinen vaihe kuuluu yhdelle henkilölle.

Jaetut osoitteet kuten winkel@example.com tai info@example.com säilyvät, mutta jaettuna postilaatikkona, aliaksena tai ryhmänä: useat ihmiset lukevat viestejä omalla tilillään. Miten tämä toimii ja mitä se on nimeltään, vaihtelee palveluntarjoajan mukaan (oppitunti 4.4).

Roolit: kuka saa tehdä mitä?

Jokaisessa pilvipalvelussa on vähintään kolme tasoa:

Kaksi nyrkkisääntöä:

1. Suppeimmat oikeudet. Anna henkilölle vain ne oikeudet, joita hän tarvitsee. Leipurin ei tarvitse pystyä luomaan käyttäjiä.
2. Vähintään kaksi ylläpitäjää. Jos ylläpitäjiä on vain yksi ja hän on sairaana, lomalla tai lähtenyt, kukaan ei voi nollata salasanaa tai irtisanoa palvelua. Kaksi ylläpitäjää, kummallakin oma tili ja oma toinen vaihe, ja palveluntarjoajan ylläpitotilin tiedot (sopimus) organisaation nimissä, ei yhden henkilön nimissä.

Huomaa ero paketin ylläpidon ja tiedostoihin pääsyn välillä. Hyvä palvelu antaa ylläpitäjän hallita tilejä ilman, että hän pääsee näkemään toisten tiedostoja. Mutta se, joka voi nollata salasanan, voi sen jälkeen kirjautua sisään kyseisenä henkilönä, jos toinen vaihe menee osoitteeseen, jota hän voi lukea. Valitse siksi jokaiselle käyttäjälle hänen oma sähköpostiosoitteensa palautus- ja koodiosoitteeksi.

Kaksivaiheinen tunnistautuminen: miksi ja mikä

Pelkkä salasana ei riitä. Salasanat vuotavat muiden sivustojen tietomurroissa, ne arvataan tai ne kalastellaan phishingillä. Alankomaiden kansallinen kyberturvallisuuskeskus (NCSC) suosittelee kaksivaiheista tunnistautumista aina kun se on mahdollista. Kaksivaiheisessa tunnistautumisessa (2FA) tarvitset salasanan lisäksi jotain, mitä sinulla on: puhelimesi, avaimen tai postilaatikkosi.

TOTP tarkoittaa time-based one-time password, kuvattu RFC 6238:ssa. Palvelu ja sovelluksesi jakavat yhden salaisen avaimen (jonka otat käyttöön QR-koodilla) ja laskevat molemmat avaimesta ja ajasta saman koodin. Siksi puhelimesi kellon pitää olla oikeassa.

Passkeyt perustuvat W3C:n ja FIDOn WebAuthn-standardiin. Laitteesi luo kullekin sivustolle oman avainparin. Koska avain on sidottu sivuston oikeaan osoitteeseen, valesivusto ei voi käyttää sitä mihinkään. Yhä useammat palvelut tukevat passkeyta toisena vaiheena tai jopa salasanan korvaajana.

Varakoodit ja päivä, jolloin puhelin on kadonnut

Jokainen toinen vaihe voi pettää: puhelin katoaa, hajoaa tai uuteen puhelimeen ei ole siirretty sovellusta. Siksi:

• Luo varakoodit (yleensä kymmenen koodia, jotka toimivat kukin kerran) ja säilytä niitä eri paikassa kuin puhelimessasi. Tulosta ne tärkeiden paperien joukkoon tai säilytä salasanojenhallinnassa (oppitunti 7.4).
• Ota käyttöön vähintään kaksi menetelmää, esimerkiksi autentikointisovellus ja sähköpostikoodi, tai passkey ja varakoodit.
• Uusi puhelin? Siirrä autentikointitilit ensin, ennen kuin tyhjennät tai luovutat vanhan puhelimen.

Jos joku jää silti lukkojen taakse, ylläpitäjä voi auttaa (esimerkiksi vaihtamalla sähköpostiosoitteen sellaiseksi, jota käyttäjä pystyy lukemaan), tai palveluntarjoaja auttaa sen jälkeen, kun on tarkistettu, kuka pyynnön esittää. Tämä kestää tarkoituksella hetken: palveluntarjoaja, joka sulkee toisen vaiheen ilman tarkistusta, auttaa myös huijaria.

Sovelluskohtaiset salasanat ja istunnot

Sovellukset, jotka eivät osaa syöttää toista vaihetta, saavat oman sovelluskohtaisen salasanan (oppitunti 7.2). Yksi per sovellus per laite, tunnistettavalla nimellä. Laitteet ja istunnot -näkymästä näet, missä joku on kirjautunut sisään. Sieltä suljet varastetun puhelimen tai vanhan kannettavan istunnon. Tarkista tämä silloin tällöin, ja ehdottomasti aina kun joku lähtee.

Kertakirjautuminen (SSO)

Suuremmat organisaatiot antavat ihmisten kirjautua yhdellä tilillä useisiin palveluihin: kertakirjautuminen eli SSO, usein standardien kuten SAML tai OpenID Connect avulla. Huomaa: jos käytät nyt "Kirjaudu sisään Google-tililläsi" tai "Kirjaudu sisään Microsoft-tililläsi" muissa palveluissa (kirjanpito, suunnittelu, verkkokauppa), menetät niihin pääsyn, kun suljet Google- tai Microsoft-tilisi. Tämä oli piilokytkentänä kartoituksessasi (oppitunti 3.1). Vaihda nämä palvelut käyttämään sähköposti ja salasana -kirjautumista tai uutta SSO-ratkaisuasi ennen irtisanomista.

Työsuhteen alkaminen ja päättyminen: vakiorutiini

Useimmat ongelmat eivät synny siirtymän aikana vaan vuotta myöhemmin, kun joku lähtee eikä kukaan tiedä, mitä pitäisi tehdä. Kirjaa siksi nyt vakiorutiini (tehtävä E7.3):

Uusi kollega: luo tili omalla sähköpostiosoitteella, lisää ryhmät ja lisenssit, välitä tiedot turvallisesti (salasana eri kanavan kautta), kirjaudu sisään yhdessä ensimmäistä kertaa, aseta toinen vaihe ja varakoodit, asenna sovellukset.

Lähtevä kollega: ensin siirrä omistajuus tiedostoista ja kansioista (monissa palveluissa poistettu tili vie kaikki tiedostot lopullisesti mukanaan), siirrä jaetut kalenterit ja kansiot, vapauta lisenssi, poista tili käytöstä (ei poisteta heti), peruuta sovelluskohtaiset salasanat ja istunnot, ohjaa sähköposti eteenpäin tai pidä se jaettuna postilaatikkona, ja poista vasta sovitun ajan kuluttua.

Käytännössä: näin se näkyy palveluntarjoajan luona

WebOké Nextcloudissa kukaan ei ole ylläpitäjä itse Nextcloudissa. Paketin omistaja hallinnoi käyttäjiä Oma WebOkéssa, pakettisivun kohdassa Käyttäjähallinta: käyttäjän lisääminen, salasanan vaihto, käytöstä poistaminen tai poistaminen, sekä Office-lisenssin päälle tai pois kytkeminen. Jokainen käyttäjä hoitaa oman tietoturvansa Nextcloudissa kohdassa Asetukset, Turvallisuus: sähköpostikoodi on aina päällä, ja siellä otat käyttöön autentikointisovelluksen (TOTP), varakoodit, passkeyn ja sovelluskohtaiset salasanat, ja näet kohdan Laitteet & istunnot.

Muilla palveluntarjoajilla toiminta on samankaltaista: tileille on hallintaympäristö ja käyttäjäkohtainen tietoturvasivu. Painikkeiden nimet vaihtelevat.

Yhteenveto

• Yksi tili per henkilö; jaetuista osoitteista tulee jaettuja postilaatikoita tai ryhmiä.
• Suppeimmat oikeudet ja vähintään kaksi ylläpitäjää; sopimus organisaation nimissä.
• Ota kaksivaiheinen tunnistautuminen käyttöön kaikille. Passkeyt ja turvallisuusavaimet suojaavat parhaiten phishingiltä; TOTP on hyvä ja paljon käytetty vaihtoehto.
• Varakoodit eri paikkaan kuin puhelimeen, ja vähintään kaksi menetelmää.
• Kirjaa vakiorutiini työsuhteen alkamiselle ja päättymiselle: ensin siirrä omistajuus, sitten poista käytöstä, vasta myöhemmin poista kokonaan.

Tietovisa

Tehtävä

Tehtävä E7.3: Roolit ja työsuhteen alkamisen ja päättymisen rutiini. Laadi organisaatiollesi roolikatsaus (kuka on ylläpitäjä, kuka ei, kuka on toinen ylläpitäjä) ja täytä työsuhteen alkamisen ja päättymisen tarkistuslista omalle palvelullesi. Ota kaksivaiheinen tunnistautuminen käyttöön omalla tililläsi ja vahvista, että varakoodisi on säilytetty muualla kuin puhelimessasi.

Lue lisää

Näiden artikkelien vaiheet koskevat WebOkén palveluita; muilla palveluntarjoajilla toiminta on samankaltaista.

• Nextcloud-opas 3.1: Miten WebOké suojaa Nextcloudiasi?
• Nextcloud-opas 3.3: Authenticator-sovelluksen käyttöönotto ja varakoodien tallentaminen
• Nextcloud-opas 3.5: Sovellussalasanat: milloin ja miten
• Nextcloud-opas 3.6: Laitteiden ja istuntojen tarkastelu, oikeuksien peruminen tai etätyhjennys
• Nextcloud-opas 3.10: Puhelin hukassa tai 2FA hukassa: näin pääset taas sisään
• Nextcloud-opas 14.2: Käyttäjien luominen, muokkaaminen, poistaminen käytöstä ja poistaminen
• Nextcloud-opas 14.7: Käyttöoikeudet: kuka hallinnoi mitä Nextcloudissasi?
• Nextcloud-opas 16.7: Työkaveri lähtee: tiedostojen, kalenterin ja jaettujen kansioiden siirto turvallisesti
• WebOké-käyttöopas 3.3: Todennussovelluksen käyttäminen
• Kaksivaiheisen todennuksen (2FA) käyttöönotto Nextcloudissa
• Sovellussalasanan luominen (tarvitaan yhdistettäessä sovelluksiin ja laitteisiin)
• NCSC, Ransomware uitgelegd (jossa suositellaan kaksivaiheisen tunnistautumisen käyttöä kaikkialla): https://www.ncsc.nl/ransomware/ransomware-uitgelegd
• RFC 6238 (TOTP): https://www.rfc-editor.org/rfc/rfc6238
• W3C Web Authentication (WebAuthn): https://www.w3.org/TR/webauthn-3/ ja FIDO Alliance passkeyista: https://fidoalliance.org/passkeys/