Κάποιος που συνδέεται στο LMS σας μία φορά τον χρόνο για μια επανάληψη συμμόρφωσης δεν πρόκειται ποτέ να θυμάται τον κωδικό πρόσβασής του. Έτσι πατά «ξέχασα τον κωδικό», περιμένει ένα email, επινοεί έναν νέο κωδικό που θα ξεχάσει ξανά ή τα παρατά και ανοίγει αίτημα υποστήριξης. Η σύνδεση χωρίς κωδικό πρόσβασης αφαιρεί εντελώς τον κωδικό. Αυτός ο οδηγός εξηγεί πώς λειτουργεί, πού βρίσκονται πραγματικά οι συμβιβασμοί ασφάλειας και πότε αξίζει να προσθέσετε από πάνω ενιαία σύνδεση SAML.
Γιατί οι κωδικοί πρόσβασης αποτυγχάνουν με τους περιστασιακούς εκπαιδευόμενους
Οι κωδικοί πρόσβασης λειτουργούν καλύτερα σε συστήματα που οι άνθρωποι χρησιμοποιούν καθημερινά. Μια πλατφόρμα εκπαίδευσης είναι συχνά το αντίθετο: οι άνθρωποι συνδέονται όταν εγγράφονται, όταν φτάνει μια υπενθύμιση ή όταν πρόκειται να λήξει ένα πιστοποιητικό.
Αυτό δημιουργεί ένα προβλέψιμο σύνολο προβλημάτων:
- Ξεχασμένοι κωδικοί πρόσβασης. Με μήνες ανάμεσα στις συνδέσεις, πολλοί εκπαιδευόμενοι ξεκινούν με επαναφορά, συχνά την ημέρα που λήγει η εκπαίδευση.
- Επαναχρησιμοποίηση. Όσοι δεν μπορούν να θυμηθούν έναν ακόμη κωδικό πρόσβασης χρησιμοποιούν έναν από αλλού. Αν παραβιαστεί εκείνος ο ιστότοπος, το ίδιο email και ο ίδιος κωδικός μπορούν να δοκιμαστούν στο LMS σας.
- Παρακάμψεις. Οι αυστηροί κανόνες κωδικών οδηγούν σε κωδικούς σε αυτοκόλλητα σημειώματα ή σε προβλέψιμες παραλλαγές, όπως η προσθήκη ενός αριθμού κάθε φορά.
- Φόρτος υποστήριξης. Κάθε κλείδωμα και κάθε επαναφορά είναι ένα αίτημα για το help desk ή την ομάδα L&D σας.
Υπάρχει και ένα πιο διακριτικό σημείο. Τα περισσότερα συστήματα κωδικών πρόσβασης επιτρέπουν στους ανθρώπους να επαναφέρουν τον κωδικό τους με email, πράγμα που σημαίνει ότι τα εισερχόμενα ήδη ελέγχουν τον λογαριασμό. Ο κωδικός πρόσβασης είναι το κομμάτι που οι άνθρωποι ξεχνούν, όχι αυτό που τους προστατεύει. Η σύνδεση χωρίς κωδικό πρόσβασης απλώς το κάνει αυτό ρητό.
Πώς λειτουργεί η σύνδεση χωρίς κωδικό πρόσβασης
Εφάπαξ κωδικοί μέσω email
- Ο εκπαιδευόμενος πληκτρολογεί τη διεύθυνση email του.
- Το LMS δημιουργεί έναν σύντομο τυχαίο κωδικό και του τον στέλνει με email.
- Ο εκπαιδευόμενος πληκτρολογεί τον κωδικό και το LMS τον ελέγχει.
Ένας καλά σχεδιασμένος κωδικός λειτουργεί μία φορά, λήγει μέσα σε λεπτά και παύει να ισχύει μετά από λίγες λανθασμένες προσπάθειες. Δεν υπάρχει τίποτα να θυμηθεί κανείς, τίποτα που να έχει επαναχρησιμοποιηθεί από άλλον ιστότοπο και κανένας κωδικός πρόσβασης που μπορεί να διαρρεύσει.
Ορισμένα συστήματα στέλνουν με email έναν σύνδεσμο σύνδεσης αντί για κωδικό. Οι κωδικοί είναι βολικοί όταν κάποιος διαβάζει email στο κινητό του αλλά συνδέεται από υπολογιστή εργασίας, επειδή μπορεί απλώς να πληκτρολογήσει τον κωδικό.
Λογαριασμοί Google, Microsoft ή LinkedIn
Με τα κουμπιά «σύνδεση με», το LMS αναθέτει τη σύνδεση στον πάροχο χρησιμοποιώντας τυπικά πρωτόκολλα, όπως το OAuth 2.0 και το OpenID Connect. Ο πάροχος ελέγχει ποιο είναι το άτομο, συμπεριλαμβανομένης τυχόν επαλήθευσης σε δύο βήματα στον λογαριασμό του, και ενημερώνει το LMS ποιο είναι και ποια είναι η επαληθευμένη διεύθυνση email του. Το LMS δεν βλέπει ποτέ τον κωδικό πρόσβασής του.
Αυτό ταιριάζει στο προσωπικό που ήδη συνδέεται καθημερινά στο Microsoft 365 ή στο Google Workspace: ένα κλικ και μπαίνει.
Οι συμβιβασμοί ασφάλειας, με ειλικρίνεια
Η σύνδεση χωρίς κωδικό πρόσβασης δεν είναι μαγεία. Μεταφέρει την εμπιστοσύνη αλλού και πρέπει να ξέρετε πού.
| Μέθοδος | Τι προστατεύει τον λογαριασμό | Τι να προσέξετε |
|---|---|---|
| Κωδικός πρόσβασης | Κάτι που θυμάται ο εκπαιδευόμενος | Επαναχρησιμοποίηση, αδύναμες επιλογές και επαναφορές με email έτσι κι αλλιώς |
| Κωδικός email | Η πρόσβαση στα εισερχόμενα του εκπαιδευόμενου | Ένα παραβιασμένο γραμματοκιβώτιο σημαίνει παραβιασμένο λογαριασμό LMS |
| Google, Microsoft ή LinkedIn | Ο λογαριασμός του παρόχου και η επαλήθευσή του σε δύο βήματα | Οι προσωπικοί λογαριασμοί βρίσκονται εκτός του ελέγχου σας |
| Ενιαία σύνδεση SAML | Ο πάροχος ταυτότητάς σας και οι πολιτικές του | Προσπάθεια ρύθμισης και εξάρτηση από τη διαθεσιμότητα του παρόχου |
Μερικές λεπτομέρειες που αξίζει να κατανοήσετε:
- Ο λογαριασμός email έχει τη μεγαλύτερη σημασία. Όποιος μπορεί να διαβάσει το email ενός εκπαιδευόμενου μπορεί να συνδεθεί ως αυτός. Η πολυπαραγοντική ταυτοποίηση στα εταιρικά γραμματοκιβώτια κάνει περισσότερα για την ασφάλεια του LMS από οποιονδήποτε κανόνα κωδικού πρόσβασης.
- Η λήξη και οι περιορισμένες προσπάθειες σταματούν την εικασία. Ένας εξαψήφιος κωδικός έχει περίπου ένα εκατομμύριο πιθανές τιμές, οπότε με τρεις προσπάθειες ο επίδοξος εισβολέας έχει μόνο λίγες πιθανότητες στο εκατομμύριο, και κάθε κωδικός ζει για λίγα λεπτά. Τα όρια στη συχνότητα αιτημάτων κωδικών επιβραδύνουν τα πράγματα ακόμη περισσότερο.
- Οι κωδικοί μπορούν και πάλι να υποκλαπούν με phishing. Μια πλαστή σελίδα σύνδεσης μπορεί να ζητήσει έναν κωδικό και να τον χρησιμοποιήσει αμέσως. Διδάξτε στους ανθρώπους να εισάγουν κωδικούς μόνο στην πραγματική διεύθυνση του LMS σας και ότι κανείς, ούτε η υποστήριξη, δεν θα τους ζητήσει ποτέ έναν.
- Τα κοινά γραμματοκιβώτια αποδυναμώνουν τα αρχεία σας. Αν πολλά άτομα μπορούν να διαβάζουν τα ίδια εισερχόμενα, οποιοδήποτε από αυτά μπορεί να συνδεθεί ως ο κάτοχός τους. Κάθε εκπαιδευόμενος χρειάζεται τη δική του διεύθυνση, ώστε τα αρχεία εκπαίδευσης να έχουν νόημα.
- Όσοι αποχωρούν πρέπει να αφαιρούνται παντού. Ένας προσωπικός λογαριασμός Google ή LinkedIn δεν εξαφανίζεται όταν κάποιος φεύγει. Αναστείλτε ή αρχειοθετήστε τον στο LMS ως μέρος της διαδικασίας αποχώρησης, όχι μόνο στον κατάλογό σας.
- Η παράδοση των email είναι μέρος του συστήματος. Κωδικοί που καταλήγουν στα ανεπιθύμητα ή φτάνουν καθυστερημένα προκαλούν αποτυχημένες συνδέσεις. Ζητήστε από το τμήμα IT να επιτρέψει τα email του LMS μέσα από τα φίλτρα αλληλογραφίας σας.
Σχεδιάστε την ανάκτηση προτού τη χρειαστείτε
Με τη σύνδεση χωρίς κωδικό πρόσβασης, τα αιτήματα «ξέχασα τον κωδικό» σχεδόν εξαφανίζονται. Η συνηθισμένη ερώτηση προς την υποστήριξη γίνεται «δεν πήρα τον κωδικό μου» και η απάντηση είναι σχεδόν πάντα να ελέγξετε τον φάκελο ανεπιθύμητων, να επιβεβαιώσετε τη διεύθυνση και να ζητήσετε νέο κωδικό.
Οι διαχειριστές χρειάζονται περισσότερη σκέψη. Αν βασίζεστε στην ενιαία σύνδεση και ο πάροχος ταυτότητάς σας έχει διακοπή λειτουργίας ή μια ρύθμιση αλλάξει κατά λάθος, χρειάζεστε έναν τρόπο εισόδου που δεν εξαρτάται από ό,τι χάλασε. Καλή πρακτική:
- Κρατήστε τουλάχιστον δύο διαχειριστές, ώστε η απώλεια πρόσβασης ενός ατόμου να μην κλειδώσει έξω τον οργανισμό.
- Βεβαιωθείτε ότι οι διαχειριστές έχουν διαδρομή ανάκτησης που δεν εξαρτάται από τον πάροχο ταυτότητάς σας.
- Δοκιμάστε αυτή τη διαδρομή ανάκτησης μία φορά, με ηρεμία, προτού τη χρειαστείτε μια δύσκολη μέρα.
- Αν περιορίζετε τους διαχειριστές σε περιοχές IP του γραφείου, ελέγξτε πώς θα μπαίνουν οι απομακρυσμένοι διαχειριστές.
Πότε να προσθέσετε ενιαία σύνδεση SAML
Οι κωδικοί email και η σύνδεση μέσω κοινωνικών λογαριασμών ταιριάζουν στους περισσότερους εκπαιδευόμενους. Η ενιαία σύνδεση SAML αξίζει να προστεθεί όταν:
- Το προσωπικό σας διαχειρίζεται ήδη στο Microsoft Entra ID, στο Okta ή στο Google Workspace.
- Θέλετε οι πολιτικές πολυπαραγοντικής ταυτοποίησης και πρόσβασης του παρόχου ταυτότητάς σας να ισχύουν και για την εκπαίδευση.
- Θέλετε οι άνθρωποι να χάνουν την πρόσβαση μόλις απενεργοποιούνται στον κατάλογό σας.
- Οι έλεγχοι ασφάλειας ή τα ερωτηματολόγια πελατών ζητούν ενιαία σύνδεση.
Δεν αποτελεί ολοκληρωμένη απάντηση αν πολλοί εκπαιδευόμενοι βρίσκονται εκτός του καταλόγου σας, όπως εξωτερικοί συνεργάτες, εθελοντές, πελάτες ή προσωπικό άλλων οργανισμών. Σε αυτή την περίπτωση, χρησιμοποιήστε SSO για το δικό σας προσωπικό και κρατήστε τους κωδικούς email για όλους τους άλλους. Καλύπτουμε τη ρύθμιση αναλυτικότερα στην ενιαία σύνδεση για το LMS σας.
Πώς το κάνει το Acadenix
Το Acadenix δεν έχει καθόλου κωδικούς πρόσβασης. Οι άνθρωποι συνδέονται με έναν από αυτούς τους τρόπους:
- Κωδικοί email. Οι άνθρωποι εισάγουν το email τους και λαμβάνουν έναν εξαψήφιο κωδικό. Λειτουργεί μία φορά, για πέντε λεπτά, και παύει να ισχύει μετά από τρεις λανθασμένες προσπάθειες. Αν ζητήσετε κωδικούς πολύ συχνά, σας ζητείται να περιμένετε.
- Google, Microsoft και LinkedIn. Κάθε μέθοδος ενεργοποιείται ή απενεργοποιείται στο Settings → Authentication (ρυθμίσεις → έλεγχος ταυτότητας) και μπορεί να περιοριστεί σε συγκεκριμένα επαληθευμένα domain email. Προτού αποθηκευτεί μια αλλαγή, βλέπετε πόσους ανθρώπους και συνεδρίες επηρεάζει.
- Δικές σας εφαρμογές σύνδεσης. Οι οργανισμοί μπορούν να χρησιμοποιούν τη δική τους εφαρμογή Google, Microsoft ή LinkedIn. Με τη δική σας εφαρμογή Microsoft, μπορούν να τη χρησιμοποιήσουν μόνο λογαριασμοί του tenant σας.
- Ενιαία σύνδεση SAML στο Gold. Συνδέστε το Microsoft Entra ID, το Okta ή το Google Workspace. Οι λογαριασμοί εκπαιδευόμενων μπορούν να δημιουργούνται στην πρώτη σύνδεση, αλλά μόνο για διευθύνσεις στα domain email του οργανισμού σας. Την πρώτη φορά που κάποιος συνδέεται μέσω SAML, αποστέλλεται με email ένας κωδικός για να επιβεβαιωθεί η σύνδεση, μία φορά για κάθε άτομο. Οι υπόλοιπες μέθοδοι που έχετε ενεργοποιήσει παραμένουν ως εναλλακτική λύση. Δείτε πακέτα και τιμές.
Για τους διαχειριστές υπάρχουν πρόσθετες δικλίδες. Οι διαχειριστές μπορούν να περιοριστούν στις περιοχές IP σας χωρίς να επηρεάζονται οι εκπαιδευόμενοι και οι αδρανείς συνεδρίες αποσυνδέονται. Αν η συνηθισμένη σύνδεσή σας σταματήσει να λειτουργεί, ένας διαχειριστής μπορεί ακόμη να μπει με έναν κωδικό ανάκτησης που αποστέλλεται στο email του και αυτή η διαδρομή δεν μπορεί να απενεργοποιηθεί. Η αναστολή του λογαριασμού κάποιου τον εμποδίζει να συνδεθεί αμέσως και το Email History (ιστορικό email) δείχνει ποια email στάλθηκαν ή απέτυχαν τις τελευταίες 30 ημέρες, χωρίς να διατηρεί το περιεχόμενο των μηνυμάτων ή τους κωδικούς. Περισσότερες λεπτομέρειες στη σελίδα ασφάλειας του Acadenix.
Βασικά συμπεράσματα
- Για τους περιστασιακούς εκπαιδευόμενους, οι κωδικοί πρόσβασης δημιουργούν επαναφορές, επαναχρησιμοποίηση και αιτήματα υποστήριξης χωρίς να προσθέτουν ιδιαίτερη προστασία.
- Οι κωδικοί email και η σύνδεση με εταιρικό λογαριασμό αφαιρούν τον κωδικό πρόσβασης· το κλειδί γίνονται τα εισερχόμενα ή ο λογαριασμός του παρόχου, γι’ αυτό προστατέψτε τα με πολυπαραγοντική ταυτοποίηση.
- Οι κωδικοί μίας χρήσης που λήγουν γρήγορα και επιτρέπουν λίγες προσπάθειες κάνουν την εικασία μη πρακτική, αλλά οι άνθρωποι πρέπει και πάλι να ξέρουν ότι δεν πρέπει να τους μοιράζονται ποτέ.
- Σχεδιάστε την ανάκτηση των διαχειριστών και την αποχώρηση προτού ενεργοποιήσετε μεθόδους.
- Προσθέστε ενιαία σύνδεση SAML όταν το προσωπικό σας ζει σε έναν κεντρικό πάροχο ταυτότητας και κρατήστε τους κωδικούς email για όλους τους άλλους.
Αν οι κωδικοί πρόσβασης είναι η μεγαλύτερη πηγή αιτημάτων υποστήριξης της εκπαίδευσής σας, δείτε πώς λειτουργεί η σύνδεση χωρίς κωδικό πρόσβασης με τους δικούς σας ανθρώπους. Ζητήστε δοκιμαστική περίοδο και ρυθμίστε τις μεθόδους σύνδεσης που ταιριάζουν στον οργανισμό σας.
