Brugere, roller og totrinsbekræftelse

Modul 7: Samarbejde, apps og sikkerhed · Læsetid: 11 minutter

Læringsmål: Efter denne lektion kan du oprette brugere og administratorer i din nye tjeneste på en sikker måde, vælge den rigtige form for totrinsbekræftelse og lave en fast rutine for nye og fratrædende kolleger.

Centrale begreber: konto pr. person, administrator, ejer, rolle, mindst mulige rettigheder, totrinsbekræftelse (2FA), TOTP, passkey, sikkerhedsnøgle, WebAuthn, backupkoder, app-adgangskode, afslut session, enkeltlogin (SSO), ansættelse og fratrædelse (onboarding og offboarding), overdragelse af ejerskab

Et skifte er en god anledning til at rydde op

Ved kortlægningen (lektion 3.1) viste det sig, at Bakkerij De Korrel har 15 Google-konti til 12 personer. To tilhører personer, der er stoppet for længe siden, og én konto, winkel@example.com, bliver brugt af fire personer med samme adgangskode, som hænger på en seddel ved kassen. Det er meget almindeligt. Ved skiftet tager du ikke den slags vaner med dig, men retter dem med det samme.

Én konto pr. person

Grundreglen er: hver person har sin egen konto, med sin egen adgangskode og sit eget andet trin. Hvorfor?

• Du kan se, hvem der har gjort hvad (aktivitet, versioner, hvem der har delt).
• Når nogen stopper, slukker du blot for én konto, og ingen andre skal lære en ny adgangskode.
• Totrinsbekræftelse virker kun ordentligt, når det andet trin hører til én bestemt person.

Delte adresser som winkel@example.com eller info@example.com findes stadig, men som en delt postkasse, alias eller gruppe: flere personer læser med via deres egen konto. Hvordan det hedder og fungerer, varierer fra udbyder til udbyder (lektion 4.4).

Roller: hvem må hvad?

I enhver cloudtjeneste er der mindst tre niveauer:

To tommelfingerregler:

1. Mindst mulige rettigheder. Giv kun en person de rettigheder, vedkommende har brug for. En bager behøver ikke kunne oprette brugere.
2. Mindst to administratorer. Er der kun én, og vedkommende er syg, på ferie eller er stoppet, kan ingen nulstille en adgangskode eller opsige tjenesten. To administratorer, hver med sin egen konto og sit eget andet trin, og oplysningerne om administratorkontoen hos udbyderen (kontrakten) står i organisationens navn, ikke i en enkelt persons navn.

Vær opmærksom på forskellen mellem administration af pakken og adgang til filer. En god tjeneste lader en administrator administrere konti uden at kunne se andres filer. Men den, der kan nulstille en adgangskode, kan bagefter logge ind som den pågældende person, hvis det andet trin går til en adresse, vedkommende kan læse. Vælg derfor den enkelte brugers egen e-mailadresse som gendannelses- og kodeadresse.

Totrinsbekræftelse: hvorfor og hvilken

En adgangskode alene er ikke nok. Adgangskoder lækkes ved databrud hos andre sider, bliver gættet eller franarres med phishing. Det Nationale Cybersikkerhedscenter (NCSC, det nederlandske) anbefaler totrinsbekræftelse overalt, hvor det kan lade sig gøre. Med totrinsbekræftelse (2FA) skal du ud over din adgangskode bruge noget, du har: din telefon, en nøgle eller din postkasse.

TOTP står for time-based one-time password og er beskrevet i RFC 6238. Tjenesten og din app deler én hemmelig nøgle (som du overfører med en QR-kode) og udregner begge den samme kode ud fra nøglen og tidspunktet. Derfor skal uret på din telefon stemme.

Passkeys er baseret på standarden WebAuthn fra W3C og FIDO. Din enhed opretter et nøglepar for hver enkelt side. Fordi nøglen er knyttet til sidens rigtige adresse, kan en falsk side ikke bruge den til noget. Flere og flere tjenester understøtter passkeys som andet trin eller endda i stedet for adgangskoden.

Backupkoder og den dag din telefon er væk

Ethvert andet trin kan falde bort: telefonen er væk, i stykker, eller en ny telefon uden at appen er overført. Derfor:

• Opret backupkoder (som regel ti koder, der hver kun virker én gang), og gem dem ikke på samme telefon. Printet ud sammen med dine vigtige papirer, eller i en adgangskodemanager (lektion 7.4).
• Aktiver mindst to metoder, for eksempel authenticator-app plus e-mailkode, eller passkey plus backupkoder.
• Ny telefon? Overfør authenticator-kontiene først, før du nulstiller eller afleverer den gamle.

Er nogen alligevel låst ude, kan administratoren hjælpe (for eksempel ved at ændre e-mailadressen til en adresse, brugeren faktisk kan læse), eller udbyderen kan hjælpe, efter at det er kontrolleret, hvem der fremsætter anmodningen. Det tager med vilje lidt tid: en udbyder, der slukker for det andet trin uden kontrol, hjælper også en bedrager.

App-adgangskoder og sessioner

Apps, der ikke kan indtaste det andet trin, får en separat app-adgangskode (lektion 7.2). Én pr. app pr. enhed, med et genkendeligt navn. I oversigten over enheder og sessioner kan du se, hvor nogen er logget ind. Der afslutter du sessionen for en stjålet telefon eller en gammel bærbar. Tjek det engang imellem, og især når nogen stopper.

Enkeltlogin (SSO)

Større organisationer lader folk logge ind med én konto hos flere tjenester: enkeltlogin eller SSO, ofte via standarder som SAML eller OpenID Connect. Vær opmærksom på, at hvis du nu bruger "Log ind med Google" eller "Log ind med Microsoft" hos andre tjenester (bogføring, planlægning, webshop), mister du adgangen til dem, når du lukker din Google- eller Microsoft-konto. Det fremgik som en skjult kobling i din kortlægning (lektion 3.1). Omstil disse tjenester til login med e-mail og adgangskode, eller til dit nye SSO, inden du opsiger kontoen.

Ansættelse og fratrædelse: en fast rutine

De fleste problemer opstår ikke ved selve skiftet, men et år senere, når nogen stopper, og ingen ved, hvad der skal ske. Læg derfor en fast rutine fast nu (opgave E7.3):

Ny kollega: opret konto med egen e-mailadresse, tildel grupper og licenser, giv oplysningerne videre på en sikker måde (adgangskode via en anden kanal), log ind sammen første gang, opsæt andet trin og backupkoder, installer apps.

Fratrædende kollega: overdrag først ejerskab af filer og mapper (i mange tjenester forsvinder alle filer permanent, når en konto slettes), overfør delte kalendere og mapper, frigør licensen, deaktiver kontoen (slet den ikke med det samme), tilbagekald app-adgangskoder og sessioner, videresend mail eller behold den som delt postkasse, og slet først kontoen efter en aftalt periode.

I praksis: sådan ser det ud hos en udbyder

Hos en WebOké Nextcloud er der ingen, der er administrator i selve Nextcloud. Ejeren af pakken administrerer brugere i Mit WebOké, under Brugeradministration på pakkesiden: tilføj bruger, skift adgangskode, deaktiver eller slet, og slå Office-licensen til eller fra. Hver bruger ordner selv sin egen sikkerhed i Nextcloud under Indstillinger, Sikkerhed: koden via e-mail er altid slået til, og der aktiverer du en authenticator-app (TOTP), backupkoder, en passkey og app-adgangskoder, og der kan du se Enheder & sessioner.

Hos andre udbydere fungerer det på lignende vis: der er et administrationsmiljø til konti og en sikkerhedsside pr. bruger. Navnene på knapperne varierer.

Opsummering

• Én konto pr. person; delte adresser bliver til delte postkasser eller grupper.
• Mindst mulige rettigheder og mindst to administratorer; kontrakten i organisationens navn.
• Aktiver totrinsbekræftelse for alle. Passkeys og sikkerhedsnøgler er stærkest mod phishing; TOTP er et godt og meget brugt valg.
• Backupkoder ikke på samme telefon, og mindst to metoder.
• Fastlæg en fast rutine for ansættelse og fratrædelse: først overdragelse, så deaktivering, og slet først senere.

Quiz

Opgave

Opgave E7.3: Roller samt start- og slutrutine. Lav en rolleoversigt for din organisation (hvem er administrator, hvem er det ikke, hvem er den anden administrator), og udfyld tjeklisten for ansættelse og fratrædelse for din egen tjeneste. Aktiver totrinsbekræftelse på din egen konto, og bekræft at dine backupkoder er gemt uden for din telefon.

Læs mere

Trinnene i disse artikler gælder for WebOkés tjenester; hos andre udbydere fungerer det på lignende vis.

• Nextcloud-vejledning 3.1: Hvordan beskytter WebOké din Nextcloud?
• Nextcloud-vejledning 3.3: En authenticator-app indstille og backup-koder gemme
• Nextcloud-vejledning 3.5: App-adgangskoder: hvornår og hvordan
• Nextcloud-vejledning 3.6: Enheder og sessioner se, tilbagekalde eller fjernslette
• Nextcloud-vejledning 3.10: Telefon væk eller 2FA væk: sådan kommer du ind igen
• Nextcloud-vejledning 14.2: Brugere oprette, redigere, deaktivere og slette
• Nextcloud-vejledning 14.7: Rettigheder: hvem administrerer hvad i din Nextcloud?
• Nextcloud-vejledning 16.7: Kollega stopper: Overtag filer, kalender og delte mapper sikkert
• WebOké vejledning 3.3: Brug af en godkendelsesapp
• Sådan opsætter du totrinsbekræftelse (2FA) i Nextcloud
• Opret en app-adgangskode (nødvendig for at forbinde apps og enheder)
• NCSC (det nederlandske), Ransomware forklaret (med rådet om at bruge totrinsbekræftelse overalt): https://www.ncsc.nl/ransomware/ransomware-uitgelegd
• RFC 6238 (TOTP): https://www.rfc-editor.org/rfc/rfc6238
• W3C Web Authentication (WebAuthn): https://www.w3.org/TR/webauthn-3/ og FIDO Alliance om passkeys: https://fidoalliance.org/passkeys/