Човек, който влиза във вашата LMS веднъж годишно за задължително опресняване, никога няма да си спомни паролата си. Затова щраква „забравена парола“, чака имейл, измисля нова парола, която пак ще забрави, или се отказва и отваря заявка към поддръжката. Входът без пароли премахва паролата изцяло. Това ръководство обяснява как работи, къде всъщност са компромисите със сигурността и кога си струва да добавите SAML единен вход отгоре.
Защо паролите не вършат работа за обучаеми, които влизат рядко
Паролите работят най-добре за системи, които хората използват всеки ден. Платформата за обучение често е обратното: хората влизат, когато са записани, когато получат напомняне или когато сертификат е на път да изтече.
Това създава предвидим набор от проблеми:
- Забравени пароли. При месеци между отделните влизания много обучаеми започват с нулиране, често в деня, в който обучението е дължимо.
- Повторно използване. Хората, които не могат да запомнят още една парола, използват такава от другаде. Ако другият сайт бъде пробит, същата комбинация от имейл и парола може да бъде изпробвана във вашата LMS.
- Заобиколни решения. Строгите правила за пароли водят до пароли на самозалепващи се листчета или до предсказуеми варианти, например добавяне на число всеки път.
- Натоварване на поддръжката. Всяко заключване и нулиране е заявка към вашата служба за помощ или към екипа по обучение и развитие.
Има и по-тих аргумент. Повечето системи с пароли позволяват на хората да нулират паролата си по имейл, което означава, че пощенската кутия вече контролира акаунта. Паролата е частта, която хората забравят, а не частта, която ги защитава. Входът без пароли просто го прави явно.
Как работи входът без пароли
Еднократни кодове по имейл
- Обучаемият въвежда своя имейл адрес.
- LMS генерира кратък случаен код и му го изпраща по имейл.
- Обучаемият въвежда кода, а LMS го проверява.
Добре проектираният код работи веднъж, изтича в рамките на минути и спира да работи след няколко грешни опита. Няма какво да се помни, няма нищо, използвано повторно от друг сайт, и няма парола, която да изтече.
Някои системи изпращат по имейл връзка за вход вместо код. Кодовете са удобни, когато човек чете имейла си на телефона, но влиза от служебен компютър, защото просто може да пренесе кода на ръка.
Акаунти в Google, Microsoft или LinkedIn
С бутоните „вход чрез“ LMS предава удостоверяването на доставчика чрез стандартни протоколи като OAuth 2.0 и OpenID Connect. Доставчикът проверява кой е човекът, включително всяка двустъпкова проверка на акаунта му, и съобщава на LMS кой е и какъв е потвърденият му имейл адрес. LMS никога не вижда паролата му.
Това е подходящо за служители, които вече всеки ден влизат в Microsoft 365 или Google Workspace: едно щракване и са вътре.
Компромисите със сигурността, честно казано
Входът без пароли не е магия. Той премества доверието другаде и трябва да знаете къде.
| Метод | Какво защитава акаунта | На какво да внимавате |
|---|---|---|
| Парола | Нещо, което обучаемият помни | Повторно използване, слаб избор и така или иначе нулиране по имейл |
| Код по имейл | Достъпът до пощенската кутия на обучаемия | Компрометирана пощенска кутия означава компрометиран акаунт в LMS |
| Google, Microsoft или LinkedIn | Акаунтът при доставчика и двустъпковата му проверка | Личните акаунти са извън вашия контрол |
| SAML единен вход | Вашият доставчик на идентичност и неговите политики | Усилие за настройка и зависимост от наличността на доставчика |
Няколко конкретни неща, които си струва да разберете:
- Имейл акаунтът е най-важен. Всеки, който може да чете имейла на обучаем, може да влезе като този обучаем. Многофакторното удостоверяване на служебните пощенски кутии допринася повече за сигурността на LMS от всяко правило за пароли.
- Изтичането и ограничените опити спират налучкването. Шестцифреният код има около милион възможни стойности, така че при три опита налучкващият има само няколко шанса на милион, а всеки код живее минути. Ограниченията за това колко често могат да се искат кодове забавят нещата още повече.
- Кодовете все пак могат да бъдат изтръгнати чрез фишинг. Фалшива страница за вход може да поиска код и да го използва веднага. Учете хората да въвеждат кодове само на истинския адрес на вашата LMS и да знаят, че никой, включително поддръжката, никога няма да поиска такъв.
- Споделените пощенски кутии подкопават записите ви. Ако няколко души могат да четат една и съща кутия, всеки от тях може да влезе като нейния собственик. Всеки обучаем се нуждае от собствен адрес, за да имат записите за обучение смисъл.
- Напусналите трябва да се премахват навсякъде. Личен акаунт в Google или LinkedIn не изчезва, когато човек напусне. Спрете или архивирайте акаунта му в LMS като част от процеса по напускане, а не само във вашата директория.
- Доставянето на имейли е част от системата. Кодове, които попадат в спама или пристигат със закъснение, водят до неуспешни влизания. Помолете ИТ отдела да пропуска имейлите на LMS през пощенските ви филтри.
Планирайте възстановяването, преди да ви потрябва
При вход без пароли заявките „забравена парола“ до голяма степен изчезват. Обичайният въпрос към поддръжката става „не получих кода си“, а отговорът почти винаги е да проверите папката за спам, да потвърдите адреса и да поискате нов код.
Администраторите изискват повече внимание. Ако разчитате на единен вход и вашият доставчик на идентичност има срив или някоя настройка е променена по погрешка, трябва ви начин за влизане, който не зависи от каквото и да се е счупило. Добра практика:
- Поддържайте поне двама администратори, така че загубата на достъп от един човек да не заключи организацията.
- Уверете се, че администраторите имат път за възстановяване, който не зависи от вашия доставчик на идентичност.
- Изпробвайте този път за възстановяване веднъж, на спокойствие, преди да ви потрябва в лош ден.
- Ако ограничавате администраторите до офис IP диапазони, проверете как ще влизат администраторите, работещи от разстояние.
Кога да добавите SAML единен вход
Кодовете по имейл и входът чрез социални акаунти са подходящи за повечето обучаеми. Струва си да добавите SAML единен вход, когато:
- Служителите ви вече се управляват в Microsoft Entra ID, Okta или Google Workspace.
- Искате политиките за многофакторно удостоверяване и достъп на вашия доставчик на идентичност да важат и за обученията.
- Искате хората да губят достъп веднага щом бъдат деактивирани във вашата директория.
- Прегледи на сигурността или въпросници от клиенти изискват единен вход.
Той не е пълният отговор, ако много обучаеми са извън вашата директория, например външни изпълнители, доброволци, клиенти или служители на други организации. В такъв случай използвайте SSO за собствените си служители и запазете кодовете по имейл за всички останали. Настройката разглеждаме по-подробно в единен вход за вашата LMS.
Как го прави Acadenix
Acadenix изобщо няма пароли. Хората влизат по един от тези начини:
- Кодове по имейл. Хората въвеждат имейла си и получават шестцифрен код. Той работи веднъж, за пет минути, и спира да работи след три грешни опита. Ако искате кодове твърде често, ще бъдете помолени да изчакате.
- Google, Microsoft и LinkedIn. Всеки метод се включва или изключва в Settings → Authentication (настройки → удостоверяване) и може да бъде ограничен до определени потвърдени имейл домейни. Преди промяната да бъде запазена, виждате колко хора и сесии засяга.
- Собствени приложения за вход. Организациите могат да използват собствено приложение на Google, Microsoft или LinkedIn. При собствено приложение на Microsoft само акаунти във вашия tenant могат да го използват.
- SAML единен вход в Gold. Свържете Microsoft Entra ID, Okta или Google Workspace. Акаунтите на обучаеми могат да се създават при първото влизане, но само за адреси от имейл домейните на вашата организация. При първото влизане на човек през SAML се изпраща код по имейл за потвърждаване на връзката, веднъж за човек. Другите методи, които сте включили, остават резервен вариант. Вижте планове и цени.
За администраторите има допълнителни предпазни мерки. Администраторите могат да бъдат ограничени до вашите IP диапазони, без това да засяга обучаемите, а неактивните сесии се прекратяват. Ако обичайният ви вход спре да работи, администратор все още може да влезе с код за възстановяване, изпратен на имейла му, и този път не може да бъде изключен. Спирането на нечий акаунт веднага му пречи да влиза, а Email History (история на имейлите) показва кои имейли са изпратени или неуспешни през последните 30 дни, без да се пазят съдържанието на съобщенията или кодовете. Повече подробности има на нашата страница за сигурност.
Основни изводи
- За обучаеми, които влизат рядко, паролите създават нулирания, повторно използване и заявки, без да добавят много защита.
- Кодовете по имейл и входът със служебен акаунт премахват паролата; ключ става пощенската кутия или акаунтът при доставчика, затова я защитете с многофакторно удостоверяване.
- Еднократните кодове, които бързо изтичат и позволяват малко опити, правят налучкването непрактично, но хората все пак трябва да знаят никога да не споделят такъв.
- Планирайте възстановяването на администратори и процеса по напускане, преди да включите методи.
- Добавете SAML единен вход, когато служителите ви живеят в централен доставчик на идентичност, и запазете кодовете по имейл за всички останали.
Ако паролите са най-големият източник на заявки към поддръжката за вашите обучения, вижте как работи входът без пароли с вашите собствени хора. Заявете пробен период и настройте методите за вход, които подхождат на вашата организация.
