Někdo, kdo se do vašeho LMS přihlašuje jednou ročně kvůli opakovacímu povinnému školení, si heslo nikdy nezapamatuje. Klikne tedy na „zapomenuté heslo“, počká na e-mail, vymyslí nové heslo, které zase zapomene, nebo to vzdá a založí požadavek na podporu. Přihlášení bez hesla heslo odstraní úplně. Tento průvodce vysvětluje, jak funguje, kde jsou skutečné bezpečnostní kompromisy a kdy se vyplatí přidat navíc jednotné přihlašování SAML.
Proč hesla selhávají u příležitostných studentů
Hesla fungují nejlépe v systémech, které lidé používají každý den. Školicí platforma bývá pravý opak: lidé se přihlašují, když jsou zapsáni, když přijde připomínka nebo když se blíží vypršení certifikátu.
To vytváří předvídatelnou sadu problémů:
- Zapomenutá hesla. Při měsících mezi přihlášeními mnoho studentů začíná resetem, často právě v den, kdy mají školení dokončit.
- Opakované používání. Lidé, kteří si nedokážou zapamatovat další heslo, použijí jedno odjinud. Pokud dojde k úniku dat na tom jiném webu, stejný e-mail a heslo lze zkusit proti vašemu LMS.
- Obcházení pravidel. Přísná pravidla pro hesla vedou k heslům na lepicích papírcích nebo k předvídatelným obměnám, například k přidávání čísla pokaždé.
- Zátěž podpory. Každé zamknutí a reset je požadavek pro vaši servisní linku nebo tým L&D.
Je tu i méně nápadný bod. Většina systémů s hesly umožňuje obnovit heslo e-mailem, což znamená, že účet už ovládá schránka. Heslo je ta část, kterou lidé zapomínají, ne ta, která je chrání. Přihlášení bez hesla to jen říká otevřeně.
Jak funguje přihlášení bez hesla
Jednorázové kódy zasílané e-mailem
- Student zadá svou e-mailovou adresu.
- LMS vygeneruje krátký náhodný kód a pošle mu ho e-mailem.
- Student kód opíše a LMS ho zkontroluje.
Dobře navržený kód funguje jen jednou, vyprší během několika minut a po několika chybných pokusech přestane platit. Není si co pamatovat, nic se nepoužívá znovu z jiného webu a není žádné heslo, které by mohlo uniknout.
Některé systémy místo kódu pošlou e-mailem přihlašovací odkaz. Kódy se hodí, když někdo čte e-mail v telefonu, ale přihlašuje se na pracovním počítači, protože kód může jednoduše opsat.
Účty Google, Microsoft nebo LinkedIn
U tlačítek „přihlásit se přes“ předá LMS přihlášení poskytovateli pomocí standardních protokolů, jako jsou OAuth 2.0 a OpenID Connect. Poskytovatel ověří, kdo dotyčný je, včetně případného dvoukrokového ověření na jeho účtu, a sdělí LMS, kdo to je a jaká je jeho ověřená e-mailová adresa. LMS jeho heslo nikdy nevidí.
Hodí se to pro zaměstnance, kteří se do Microsoft 365 nebo Google Workspace přihlašují každý den: jedno kliknutí a jsou uvnitř.
Bezpečnostní kompromisy, upřímně
Přihlášení bez hesla není kouzlo. Přesouvá důvěru jinam a měli byste vědět kam.
| Metoda | Co chrání účet | Na co si dát pozor |
|---|---|---|
| Heslo | Něco, co si student pamatuje | Opakované používání, slabé volby a stejně obnova e-mailem |
| E-mailový kód | Přístup do schránky studenta | Napadená schránka znamená napadený účet v LMS |
| Google, Microsoft nebo LinkedIn | Účet u poskytovatele a jeho dvoukrokové ověření | Osobní účty jsou mimo vaši kontrolu |
| Jednotné přihlašování SAML | Váš poskytovatel identity a jeho zásady | Úsilí při nastavení a závislost na dostupnosti poskytovatele |
Několik konkrétních bodů, které stojí za pochopení:
- Nejvíc záleží na e-mailovém účtu. Kdokoli, kdo může číst e-mail studenta, se může přihlásit jako tento student. Vícefaktorové ověřování na pracovních schránkách udělá pro zabezpečení LMS víc než jakékoli pravidlo pro hesla.
- Vypršení a omezený počet pokusů brání hádání. Šestimístný kód má zhruba milion možných hodnot, takže tři pokusy dávají hádajícímu šanci jen několik na milion a každý kód žije jen minuty. Omezení, jak často lze kódy vyžádat, věc dále zpomalí.
- Kódy lze stále získat phishingem. Falešná přihlašovací stránka může kód vyžádat a hned ho použít. Naučte lidi zadávat kódy jen na skutečné adrese vašeho LMS a že po nich kód nikdo, ani podpora, nikdy nebude chtít.
- Sdílené schránky oslabují vaše záznamy. Pokud může jednu schránku číst více lidí, kdokoli z nich se může přihlásit jako její majitel. Každý student potřebuje vlastní adresu, aby záznamy o školení něco znamenaly.
- Odcházející lidé se musí odebrat všude. Osobní účet Google nebo LinkedIn nezmizí, když někdo odejde. Pozastavte nebo archivujte je v LMS v rámci procesu odchodu zaměstnance, nejen ve svém adresáři.
- Doručování e-mailů je součástí systému. Kódy, které skončí ve spamu nebo přijdou pozdě, způsobují neúspěšná přihlášení. Požádejte IT, aby e-maily z LMS propouštělo přes vaše poštovní filtry.
Naplánujte obnovu dřív, než ji budete potřebovat
S přihlášením bez hesla požadavky na „zapomenuté heslo“ z velké části zmizí. Obvyklým dotazem na podporu se stane „nedostal jsem kód“ a odpověď je téměř vždy stejná: zkontrolovat složku se spamem, potvrdit adresu a vyžádat nový kód.
U administrátorů je třeba víc přemýšlet. Pokud spoléháte na jednotné přihlašování a váš poskytovatel identity má výpadek nebo někdo omylem změní nastavení, potřebujete cestu dovnitř, která nezávisí na tom, co se pokazilo. Dobrá praxe:
- Mějte alespoň dva administrátory, aby ztráta přístupu jedním z nich nezamkla celou organizaci.
- Ujistěte se, že mají administrátoři cestu pro obnovení přístupu, která nezávisí na vašem poskytovateli identity.
- Vyzkoušejte tuto cestu jednou, v klidu, dřív, než ji budete potřebovat ve špatný den.
- Pokud omezujete administrátory na IP rozsahy kanceláře, ověřte, jak se dostanou dovnitř administrátoři pracující na dálku.
Kdy přidat jednotné přihlašování SAML
E-mailové kódy a přihlášení přes sociální účty vyhovují většině studentů. Jednotné přihlašování SAML se vyplatí přidat, když:
- Vaši zaměstnanci jsou už spravováni v Microsoft Entra ID, Okta nebo Google Workspace.
- Chcete, aby se zásady vícefaktorového ověřování a přístupu vašeho poskytovatele identity vztahovaly i na školení.
- Chcete, aby lidé přišli o přístup, jakmile jsou zablokováni ve vašem adresáři.
- Bezpečnostní prověrky nebo dotazníky zákazníků žádají jednotné přihlašování.
Není to úplné řešení, pokud je mnoho studentů mimo váš adresář, například externisté, dobrovolníci, zákazníci nebo zaměstnanci jiných organizací. V takovém případě použijte SSO pro své vlastní zaměstnance a pro všechny ostatní ponechte e-mailové kódy. Nastavení podrobněji popisujeme v článku jednotné přihlašování pro váš LMS.
Jak to řeší Acadenix
Acadenix nemá vůbec žádná hesla. Lidé se přihlašují jedním z těchto způsobů:
- E-mailové kódy. Lidé zadají svůj e-mail a dostanou šestimístný kód. Platí jen jednou, po dobu pěti minut, a po třech chybných pokusech přestane platit. Když o kódy žádáte příliš často, budete vyzváni, abyste počkali.
- Google, Microsoft a LinkedIn. Každá metoda se zapíná a vypíná v Settings → Authentication (nastavení → ověřování) a lze ji omezit na určité ověřené e-mailové domény. Před uložením změny uvidíte, kolika lidí a relací se týká.
- Vaše vlastní přihlašovací aplikace. Organizace mohou používat vlastní aplikaci Google, Microsoft nebo LinkedIn. S vlastní aplikací Microsoft ji mohou používat jen účty ve vašem tenantu.
- Jednotné přihlašování SAML v tarifu Gold. Připojte Microsoft Entra ID, Okta nebo Google Workspace. Účty studentů se mohou vytvářet při prvním přihlášení, ale jen pro adresy v e-mailových doménách vaší organizace. Když se někdo poprvé přihlásí přes SAML, pošle se e-mailem kód k potvrzení propojení, jednou pro každého člověka. Ostatní metody, které jste zapnuli, zůstávají jako záložní. Viz tarify a ceník.
Pro administrátory existují další pojistky. Administrátory lze omezit na vaše rozsahy IP adres, aniž by se to dotklo studentů, a nečinné relace se odhlašují. Pokud váš obvyklý způsob přihlášení přestane fungovat, může se administrátor stále dostat dovnitř pomocí kódu pro obnovení zaslaného na jeho e-mail a tuto cestu nelze vypnout. Pozastavení něčího účtu okamžitě zabrání jeho přihlášení a Email History (historie e-mailů) ukazuje, které e-maily byly za posledních 30 dní odeslány nebo selhaly, bez uchování obsahu zpráv nebo kódů. Více podrobností najdete na naší stránce o zabezpečení.
Hlavní poznatky
- U příležitostných studentů hesla způsobují resety, opakované používání a požadavky na podporu, aniž by přidávala velkou ochranu.
- E-mailové kódy a přihlášení pracovním účtem heslo odstraňují; klíčem se stává schránka nebo účet u poskytovatele, proto ji chraňte vícefaktorovým ověřováním.
- Jednorázové kódy s rychlým vypršením a malým počtem pokusů činí hádání nepraktickým, ale lidé stále musí vědět, že kód nikdy nesmí sdílet.
- Naplánujte obnovu přístupu administrátorů a odchod zaměstnanců dřív, než metody zapnete.
- Jednotné přihlašování SAML přidejte, když vaši zaměstnanci žijí v centrálním poskytovateli identity, a pro všechny ostatní ponechte e-mailové kódy.
Pokud jsou hesla největším zdrojem požadavků na podporu školení, podívejte se, jak přihlášení bez hesla funguje s vašimi lidmi. Požádejte o zkušební verzi a nastavte si metody přihlášení, které vyhovují vaší organizaci.
