Utenti, ruoli e autenticazione a due fattori

Modulo 7: Collaborazione, app e sicurezza · Tempo di lettura: 11 minuti

Obiettivo della lezione: dopo questa lezione sarà in grado di impostare in modo sicuro utenti e amministratori nel Suo nuovo servizio, di scegliere la forma corretta di autenticazione a due fattori e di stabilire una routine fissa per i nuovi colleghi e per quelli in uscita.

Concetti chiave: account per persona, amministratore, proprietario, ruolo, minimo privilegio, autenticazione a due fattori (2FA), TOTP, passkey, chiave di sicurezza, WebAuthn, codici di backup, password per app, revoca della sessione, accesso unico (SSO), ingresso e uscita del personale (onboarding e offboarding), trasferimento della proprietà

Un passaggio è un'occasione per fare ordine

Dall'inventario (lezione 3.1) è emerso che Bakkerij De Korrel ha 15 account Google per 12 persone. Due appartengono a persone che se ne sono andate da tempo, e un account winkel@example.com viene usato da quattro persone con la stessa password, che è appesa su un foglietto vicino alla cassa. È una situazione molto comune. Nel passaggio non si portano avanti queste abitudini, ma si sistemano subito.

Un account per persona

La regola di base: ogni persona ha un proprio account, con una propria password e un proprio secondo fattore. Perché?

• Si può vedere chi ha fatto cosa (attività, versioni, chi ha condiviso).
• Se qualcuno se ne va, si disattiva un solo account e nessuno deve imparare una nuova password.
• L'autenticazione a due fattori funziona bene solo se il secondo fattore è legato a una sola persona.

Gli indirizzi condivisi come winkel@example.com o info@example.com continuano a esistere, ma come casella di posta condivisa, alias o gruppo: più persone leggono con il proprio account. Il nome e il funzionamento variano a seconda del fornitore (lezione 4.4).

Ruoli: chi può fare cosa?

In ogni servizio cloud esistono almeno tre livelli:

Due regole pratiche:

1. Minimo privilegio. Dia a ciascuno solo i diritti di cui ha bisogno. Un panettiere non deve poter creare utenti.
2. Almeno due amministratori. Se ce n'è uno solo, e quello è malato, in ferie o se n'è andato, nessuno può reimpostare una password o disdire il servizio. Due amministratori, ciascuno con un proprio account e un proprio secondo fattore, e i dati dell'account amministrativo presso il fornitore (il contratto) intestati all'organizzazione, non a una singola persona.

Faccia attenzione alla differenza tra la gestione del pacchetto e l'accesso ai file. Un buon servizio consente a un amministratore di gestire gli account senza poter guardare nei file altrui. Ma chi può reimpostare una password può poi accedere come quella persona, se il secondo fattore va verso un indirizzo che quell'amministratore può leggere. Scelga quindi per ogni utente il proprio indirizzo email come indirizzo di recupero e per i codici.

Autenticazione a due fattori: perché e quale

Una password da sola non basta. Le password trapelano in violazioni di dati di altri siti, vengono indovinate o carpite con il phishing. Il Nationaal Cyber Security Centrum (NCSC, il centro nazionale olandese per la cybersicurezza) consiglia di usare l'autenticazione a due fattori ovunque sia possibile. Con l'autenticazione a due fattori (2FA), oltre alla password Le serve qualcosa che possiede: il Suo telefono, una chiave o la Sua casella di posta.

TOTP sta per time-based one-time password, descritto nell'RFC 6238. Il servizio e la Sua app condividono una chiave segreta (che si acquisisce con un codice QR) ed entrambi calcolano lo stesso codice a partire dalla chiave e dall'ora. Per questo l'orologio del Suo telefono deve essere corretto.

Le passkey si basano sullo standard WebAuthn del W3C e della FIDO. Il Suo dispositivo crea una coppia di chiavi per ogni sito. Poiché la chiave è legata all'indirizzo reale del sito, un sito falso non può usarla. Sempre più servizi supportano le passkey come secondo fattore o persino al posto della password.

Codici di backup e il giorno in cui perde il telefono

Ogni secondo fattore può venire a mancare: telefono perso, rotto, nuovo telefono senza aver trasferito l'app. Per questo:

• Generi i codici di backup (di solito dieci codici, ciascuno utilizzabile una sola volta) e non li conservi sullo stesso telefono. Stampati insieme ai documenti importanti, oppure in un gestore di password (lezione 7.4).
• Attivi almeno due metodi, per esempio app di autenticazione più codice via email, oppure passkey più codici di backup.
• Nuovo telefono? Trasferisca prima gli account dell'app di autenticazione, prima di cancellare o restituire il vecchio telefono.

Se qualcuno resta comunque escluso, aiuta l'amministratore (per esempio modificando l'indirizzo email verso un indirizzo che l'utente può effettivamente leggere), oppure il fornitore, dopo aver verificato chi fa la richiesta. Questo richiede volutamente un po' di tempo: un fornitore che disattiva il secondo fattore senza controlli aiuta anche un truffatore.

Password per app e sessioni

Le app che non possono inserire il secondo fattore ricevono una propria password per app (lezione 7.2). Una per ogni app su ogni dispositivo, con un nome riconoscibile. Nell'elenco di dispositivi e sessioni vede dove qualcuno ha effettuato l'accesso. Da lì può revocare un telefono rubato o un vecchio laptop. Lo controlli di tanto in tanto, e sicuramente a ogni uscita di personale.

Accesso unico (SSO)

Le organizzazioni più grandi permettono alle persone di accedere con un solo account a più servizi: accesso unico o SSO, spesso tramite standard come SAML o OpenID Connect. Attenzione: se attualmente usa "Accedi con Google" o "Accedi con Microsoft" per altri servizi (contabilità, pianificazione, negozio online), perderà tale accesso se chiude il Suo account Google o Microsoft. Questo era segnalato come collegamento nascosto nel Suo inventario (lezione 3.1). Converta questi servizi all'accesso tramite email e password, o verso il Suo nuovo SSO, prima della disdetta.

Ingresso e uscita del personale: una routine fissa

La maggior parte dei problemi non nasce durante il passaggio, ma un anno dopo, quando qualcuno se ne va e nessuno sa cosa fare. Per questo, stabilisca ora una routine fissa (esercizio E7.3):

Nuovo collega: creare l'account con il proprio indirizzo email, assegnare gruppi e licenze, comunicare i dati in modo sicuro (la password tramite un altro canale), effettuare insieme il primo accesso, impostare il secondo fattore e i codici di backup, installare le app.

Collega in uscita: prima di tutto trasferire la proprietà di file e cartelle (in molti servizi un account cancellato con tutti i suoi file è perso definitivamente), trasferire agende e cartelle condivise, liberare la licenza, disattivare l'account (non cancellarlo subito), revocare password per app e sessioni, inoltrare la posta o mantenerla come casella condivisa, e cancellare solo dopo un periodo concordato.

Nella pratica: come si presenta presso un fornitore

In un pacchetto WebOké Nextcloud nessuno è amministratore all'interno di Nextcloud stesso. Il proprietario del pacchetto gestisce gli utenti in Mio WebOké, alla voce Gestione utenti nella pagina del pacchetto: aggiungere un utente, modificare la password, disattivare o eliminare, e attivare o disattivare la licenza Office. Ogni utente gestisce la propria sicurezza in Nextcloud alla voce Impostazioni, Sicurezza: il codice via email è sempre attivo, e lì si attivano un'app di autenticazione (TOTP), i codici di backup, una passkey e le password per app, e si vedono i Dispositivi e sessioni.

Presso altri fornitori funziona in modo analogo: c'è un ambiente di gestione per gli account e una pagina di sicurezza per ogni utente. I nomi dei pulsanti variano.

Riepilogo

• Un account per persona; gli indirizzi condivisi diventano caselle di posta condivise o gruppi.
• Minimo privilegio e almeno due amministratori; il contratto intestato all'organizzazione.
• Attivi l'autenticazione a due fattori per tutti. Passkey e chiavi di sicurezza sono le più resistenti al phishing; TOTP è una scelta valida e molto diffusa.
• Codici di backup non sullo stesso telefono, e almeno due metodi.
• Stabilisca una routine fissa per ingresso e uscita del personale: prima trasferire, poi disattivare, cancellare solo in seguito.

Quiz

Esercizio

Esercizio E7.3: Ruoli e routine di ingresso e uscita del personale. Crei una panoramica dei ruoli per la Sua organizzazione (chi è amministratore, chi no, chi è il secondo amministratore) e compili la checklist di ingresso e uscita per il Suo servizio. Attivi l'autenticazione a due fattori sul Suo account e confermi che i Suoi codici di backup siano conservati al di fuori del telefono.

Per saperne di più

I passaggi descritti in questi articoli valgono per i servizi di WebOké; presso altri fornitori il funzionamento è analogo.

• Guida a Nextcloud 3.1: In che modo WebOké protegge il Suo Nextcloud?
• Guida a Nextcloud 3.3: Configurare un'applicazione di autenticazione e salvare i codici di backup
• Guida a Nextcloud 3.5: Password di applicazione: quando e come
• Guida a Nextcloud 3.6: Visualizzare, revocare o cancellare da remoto dispositivi e sessioni
• Guida a Nextcloud 3.10: Telefono smarrito o 2FA non disponibile: ecco come accedere di nuovo
• Guida a Nextcloud 14.2: Creare, modificare, disabilitare ed eliminare utenti
• Guida a Nextcloud 14.7: Permessi: chi gestisce cosa nel Suo Nextcloud?
• Guida a Nextcloud 16.7: Un collega lascia l'azienda: come trasferire in sicurezza file, agenda e cartelle condivise
• Guida WebOké 3.3: Usare un'app di autenticazione
• Configurare l'autenticazione a due fattori (2FA) in Nextcloud
• Creare una password per le app (necessaria per collegare app e dispositivi)
• NCSC (il centro nazionale olandese per la cybersicurezza), Ransomware spiegato (con il consiglio di usare l'autenticazione a due fattori ovunque): https://www.ncsc.nl/ransomware/ransomware-uitgelegd
• RFC 6238 (TOTP): https://www.rfc-editor.org/rfc/rfc6238
• W3C Web Authentication (WebAuthn): https://www.w3.org/TR/webauthn-3/ e FIDO Alliance sulle passkey: https://fidoalliance.org/passkeys/