Brukere, roller og tofaktorautentisering

Modul 7: Samarbeid, apper og sikkerhet · Lesetid: 11 minutter

Læringsmål: Etter denne leksjonen kan du sette opp brukere og administratorer i den nye tjenesten din på en trygg måte, velge riktig form for tofaktorautentisering og lage en fast rutine for nye og avsluttende kolleger.

Nøkkelbegreper: konto per person, administrator, eier, rolle, minste privilegium, tofaktorautentisering (2FA), TOTP, passkey, sikkerhetsnøkkel, WebAuthn, backup-koder, app-passord, tilbakekalle økt, enkeltpålogging (SSO), inn- og utmelding (onboarding og offboarding), overføre eierskap

En overgang er en mulighet til å rydde opp

I kartleggingen (leksjon 3.1) kom det fram at Bakkerij De Korrel har 15 Google-kontoer for 12 personer. To tilhører folk som sluttet for lenge siden, og én konto, winkel@example.com, brukes av fire personer med samme passord, som henger på en lapp ved kassen. Dette er svært vanlig. Ved overgangen tar du ikke slike vaner med deg, men rydder opp med en gang.

Én konto per person

Grunnregelen: hver person skal ha sin egen konto, med eget passord og eget andre trinn. Hvorfor?

• Du ser hvem som har gjort hva (aktivitet, versjoner, hvem som har delt).
• Slutter noen, slår du bare av én konto, og ingen andre må lære seg et nytt passord.
• Tofaktorautentisering fungerer bare godt når det andre trinnet hører til én person.

Delte adresser som winkel@example.com eller info@example.com fortsetter å eksistere, men som delt postboks, alias eller gruppe: flere personer leser med via sin egen konto. Hvordan dette heter og fungerer, varierer fra leverandør til leverandør (leksjon 4.4).

Roller: hvem kan gjøre hva?

I enhver skytjeneste finnes det minst tre nivåer:

To tommelfingerregler:

1. Minste privilegium. Gi en person bare de rettighetene vedkommende trenger. En baker trenger ikke kunne opprette brukere.
2. Minst to administratorer. Er det bare én, og vedkommende er syk, på ferie eller har sluttet, kan ingen tilbakestille et passord eller si opp tjenesten. To administratorer, hver med egen konto og eget andre trinn, og opplysningene om administratorkontoen hos leverandøren (avtalen) står i organisasjonens navn, ikke i én enkelt persons navn.

Legg merke til forskjellen mellom administrasjon av pakken og tilgang til filer. En god tjeneste lar en administrator administrere kontoer uten at vedkommende kan se inn i andres filer. Men den som kan tilbakestille et passord, kan deretter logge inn som den personen, hvis det andre trinnet går til en adresse vedkommende kan lese. Velg derfor hver brukers egen e-postadresse som gjenopprettings- og kodeadresse.

Tofaktorautentisering: hvorfor og hvilken

Et passord alene er ikke nok. Passord lekker ved datalekkasjer hos andre nettsteder, blir gjettet eller lures ut med phishing. Det nederlandske Nasjonale senteret for datasikkerhet (NCSC) anbefaler tofaktorautentisering overalt hvor det er mulig. Med tofaktorautentisering (2FA) trenger du, i tillegg til passordet ditt, noe du har: telefonen din, en nøkkel eller postboksen din.

TOTP står for time-based one-time password, beskrevet i RFC 6238. Tjenesten og appen din deler én hemmelig nøkkel (som du overfører med en QR-kode), og begge regner ut samme kode fra nøkkelen og tiden. Derfor må klokken på telefonen din stemme.

Passkeys er basert på standarden WebAuthn fra W3C og FIDO. Enheten din lager et nøkkelpar per nettsted. Fordi nøkkelen er knyttet til nettstedets ekte adresse, kan et falskt nettsted ikke bruke den. Stadig flere tjenester støtter passkeys som andre trinn eller til og med i stedet for passordet.

Backup-koder og dagen telefonen din er borte

Ethvert andre trinn kan falle bort: telefonen er borte, ødelagt, eller en ny telefon uten at appen er overført. Derfor:

• Lag backup-koder (vanligvis ti koder som hver fungerer én gang) og oppbevar dem ikke på samme telefon. Skrevet ut sammen med viktige papirer, eller i en passordbehandler (leksjon 7.4).
• Slå på minst to metoder, for eksempel autentiseringsapp pluss e-postkode, eller passkey pluss backup-koder.
• Ny telefon? Overfør autentiseringskontoene først, før du sletter eller leverer inn den gamle.

Er noen likevel stengt ute, hjelper administratoren (for eksempel ved å endre e-postadressen til en adresse brukeren faktisk kan lese), eller leverandøren, etter en kontroll av hvem som ber om det. Det tar bevisst litt tid: en leverandør som slår av det andre trinnet uten kontroll, hjelper også en svindler.

App-passord og økter

Apper som ikke kan fylle inn det andre trinnet, får et eget app-passord (leksjon 7.2). Ett per app per enhet, med et gjenkjennelig navn. I oversikten over enheter og økter ser du hvor noen er logget inn. Der trekker du tilbake en stjålet telefon eller en gammel bærbar. Sjekk den av og til, og helt sikkert ved hvert avgang.

Enkeltpålogging (SSO)

Større organisasjoner lar folk logge inn hos flere tjenester med én konto: enkeltpålogging eller SSO, ofte via standarder som SAML eller OpenID Connect. Vær oppmerksom: hvis du nå bruker «Logg på med Google» eller «Logg på med Microsoft» hos andre tjenester (regnskap, planlegging, nettbutikk), mister du den tilgangen når du avslutter Google- eller Microsoft-kontoen din. Dette dukket opp som en skjult kobling i kartleggingen din (leksjon 3.1). Legg om slike tjenester til innlogging med e-post og passord, eller til din nye SSO, før du sier opp.

Inn- og utmelding: en fast rutine

De fleste problemene oppstår ikke under selve overgangen, men et år senere, når noen slutter og ingen vet hva som skal gjøres. Lag derfor nå en fast rutine (oppgave E7.3):

Ny kollega: opprett konto med egen e-postadresse, tildel grupper og lisenser, gi opplysningene videre på en trygg måte (passord via en annen kanal), gjør første innlogging sammen, sett opp andre trinn og backup-koder, installer apper.

Avsluttende kollega: først overfør eierskap av filer og mapper (i mange tjenester forsvinner alle filer permanent hvis kontoen slettes), overfør delte kalendere og mapper, frigjør lisens, slå av kontoen (ikke slett den med én gang), tilbakekall app-passord og økter, videresend e-post eller behold den som delt postboks, og slett først etter en avtalt frist.

I praksis: slik ser det ut hos en leverandør

Hos en WebOké Nextcloud er ingen administrator i selve Nextcloud. Eieren av pakken administrerer brukere i Min side, under Brukeradministrasjon på pakkesiden: legge til bruker, endre passord, slå av eller slette, og slå Office-lisensen på eller av. Hver bruker styrer sin egen sikkerhet i Nextcloud under Innstillinger, Sikkerhet: koden på e-post er alltid på, og der slår du på en autentiseringsapp (TOTP), backup-koder, en passkey og app-passord, og der ser du Enheter og økter.

Hos andre leverandører fungerer det på lignende måte: det finnes et administrasjonsmiljø for kontoer og en sikkerhetsside per bruker. Navnene på knappene varierer.

Oppsummering

• Én konto per person; delte adresser blir delte postbokser eller grupper.
• Minste privilegium og minst to administratorer; avtalen i organisasjonens navn.
• Slå på tofaktorautentisering for alle. Passkeys og sikkerhetsnøkler er sterkest mot phishing; TOTP er et godt og mye brukt valg.
• Backup-koder ikke på samme telefon, og minst to metoder.
• Lag en fast rutine for inn- og utmelding: først overføre, deretter slå av, og slett først senere.

Quiz

Oppgave

Oppgave E7.3: Roller og rutine for inn og utmelding. Lag en rolleoversikt for organisasjonen din (hvem er administrator, hvem er det ikke, hvem er den andre administratoren) og fyll ut sjekklisten for inn- og utmelding for din egen tjeneste. Slå på tofaktorautentisering for din egen konto og bekreft at backup-kodene dine er oppbevart utenfor telefonen.

Les mer

Trinnene i disse artiklene gjelder for tjenestene til WebOké; hos andre leverandører fungerer det på lignende måte.

• Nextcloud-veiledning 3.1: Hvordan sikrer WebOké din Nextcloud?
• Nextcloud-veiledning 3.3: En authenticator-app sette opp og lagre sikkerhetskoder
• Nextcloud-veiledning 3.5: App-passord: når og hvordan
• Nextcloud-veiledning 3.6: Vise, avslå eller fjernslette enheter og økter
• Nextcloud-veiledning 3.10: Mistet telefonen eller 2FA: slik kommer du inn igjen
• Nextcloud-veiledning 14.2: Opprette, redigere, deaktivere og slette brukere
• Nextcloud-veiledning 14.7: Rettigheter: hvem administrerer hva i Nextcloud-en din?
• Nextcloud-veiledning 16.7: Kollega slutter: overta filer, kalender og delte mapper på en trygg måte
• WebOké-veiledning 3.3: Bruke en autentiseringsapp
• Sette opp tofaktorautentisering (2FA) i Nextcloud
• Opprett et app-passord (trengs for å koble til apper og enheter)
• NCSC (Nederland), Ransomware uitgelegd (med anbefalingen om å bruke tofaktorautentisering overalt): https://www.ncsc.nl/ransomware/ransomware-uitgelegd
• RFC 6238 (TOTP): https://www.rfc-editor.org/rfc/rfc6238
• W3C Web Authentication (WebAuthn): https://www.w3.org/TR/webauthn-3/ og FIDO Alliance om passkeys: https://fidoalliance.org/passkeys/