Se, joka kirjautuu LMS:ääsi kerran vuodessa compliance-kertausta varten, ei koskaan muista salasanaansa. Niinpä hän napsauttaa ”unohtuiko salasana”, odottaa sähköpostia, keksii uuden salasanan, jonka unohtaa taas, tai luovuttaa ja tekee tukipyynnön. Salasanaton kirjautuminen poistaa salasanan kokonaan. Tämä opas selittää, miten se toimii, missä tietoturvan kompromissit todella ovat ja milloin SAML-kertakirjautuminen kannattaa lisätä sen päälle.
Miksi salasanat pettävät satunnaiset oppijat
Salasanat toimivat parhaiten järjestelmissä, joita ihmiset käyttävät päivittäin. Koulutusalusta on usein juuri päinvastainen: ihmiset kirjautuvat, kun heidät ilmoitetaan kurssille, kun muistutus saapuu tai kun todistus on vanhenemassa.
Siitä syntyy ennalta arvattava joukko ongelmia:
- Unohtuneet salasanat. Kun kirjautumisten välillä on kuukausia, monet oppijat aloittavat salasanan nollauksella, usein juuri sinä päivänä, kun koulutus erääntyy.
- Uudelleenkäyttö. Ihmiset, jotka eivät muista yhtä salasanaa lisää, käyttävät uudelleen jotakin toisaalta. Jos toinen sivusto murretaan, samaa sähköpostiosoitetta ja salasanaa voidaan kokeilla LMS:ääsi vastaan.
- Kiertotiet. Tiukat salasanasäännöt johtavat salasanoihin muistilapuilla tai ennalta arvattaviin muunnelmiin, kuten numeron lisäämiseen joka kerta.
- Tukikuorma. Jokainen lukkiutuminen ja nollaus on tukipyyntö IT-tuellesi tai L&D-tiimillesi.
On myös hiljaisempi seikka. Useimmissa salasanajärjestelmissä ihmiset voivat nollata salasanansa sähköpostitse, mikä tarkoittaa, että postilaatikko jo hallitsee tiliä. Salasana on se osa, jonka ihmiset unohtavat, ei se osa, joka suojaa heitä. Salasanaton kirjautuminen tekee vain tämän selväksi.
Miten salasanaton kirjautuminen toimii
Sähköpostitse lähetettävät kertakäyttökoodit
- Oppija syöttää sähköpostiosoitteensa.
- LMS luo lyhyen satunnaisen koodin ja lähettää sen hänelle sähköpostitse.
- Oppija kirjoittaa koodin, ja LMS tarkistaa sen.
Hyvin suunniteltu koodi toimii vain kerran, vanhenee minuuteissa ja lakkaa toimimasta muutaman väärän yrityksen jälkeen. Mitään ei tarvitse muistaa, mitään ei käytetä uudelleen toiselta sivustolta, eikä ole salasanaa, joka voisi vuotaa.
Jotkin järjestelmät lähettävät koodin sijaan kirjautumislinkin. Koodit ovat kätevä ratkaisu, kun joku lukee sähköpostia puhelimellaan mutta kirjautuu työtietokoneella, koska hän voi yksinkertaisesti kirjoittaa koodin toiselle laitteelle.
Google-, Microsoft- tai LinkedIn-tilit
”Kirjaudu tilillä” -painikkeilla LMS antaa kirjautumisen palveluntarjoajalle käyttäen standardiprotokollia, kuten OAuth 2.0 ja OpenID Connect. Palveluntarjoaja tarkistaa, kuka henkilö on, mukaan lukien tilin mahdollisen kaksivaiheisen vahvistuksen, ja kertoo LMS:lle, kuka hän on ja mikä on hänen vahvistettu sähköpostiosoitteensa. LMS ei koskaan näe hänen salasanaansa.
Tämä sopii työntekijöille, jotka kirjautuvat jo päivittäin Microsoft 365:een tai Google Workspaceen: yksi napsautus, ja he ovat sisällä.
Tietoturvan kompromissit rehellisesti
Salasanaton kirjautuminen ei ole taikuutta. Se siirtää luottamuksen muualle, ja sinun pitäisi tietää minne.
| Tapa | Mikä suojaa tiliä | Mihin kannattaa kiinnittää huomiota |
|---|---|---|
| Salasana | Jokin, minkä oppija muistaa | Uudelleenkäyttö, heikot valinnat ja nollaus silti sähköpostitse |
| Sähköpostikoodi | Pääsy oppijan postilaatikkoon | Murrettu postilaatikko tarkoittaa murrettua LMS-tiliä |
| Google, Microsoft tai LinkedIn | Palveluntarjoajan tili ja sen kaksivaiheinen vahvistus | Henkilökohtaiset tilit ovat hallintasi ulkopuolella |
| SAML-kertakirjautuminen | Identiteetintarjoajasi ja sen käytännöt | Määritystyö ja riippuvuus palveluntarjoajan saatavuudesta |
Muutama seikka, jotka kannattaa ymmärtää:
- Sähköpostitili on tärkein. Kuka tahansa, joka voi lukea oppijan sähköpostia, voi kirjautua tämän nimissä. Työpostilaatikoiden monivaiheinen tunnistautuminen tekee LMS:n tietoturvalle enemmän kuin mikään salasanasääntö.
- Vanheneminen ja rajatut yritykset estävät arvaamisen. Kuusinumeroisella koodilla on noin miljoona mahdollista arvoa, joten kolme yritystä antaa arvaajalle vain muutaman miljoonasosan mahdollisuuden, ja jokainen koodi elää minuutteja. Rajoitukset sille, kuinka usein koodeja voi pyytää, hidastavat asiaa entisestään.
- Koodit voivat silti joutua tietojenkalastelun kohteeksi. Väärennetty kirjautumissivu voi pyytää koodia ja käyttää sen heti. Opeta ihmisille, että koodit syötetään vain LMS:si oikeassa osoitteessa ja ettei kukaan, tuki mukaan lukien, koskaan pyydä sellaista.
- Jaetut postilaatikot heikentävät tietojesi luotettavuutta. Jos useampi ihminen voi lukea yhtä postilaatikkoa, kuka tahansa heistä voi kirjautua sen omistajan nimissä. Jokaisella oppijalla tarvitaan oma osoite, jotta koulutustiedoilla on merkitystä.
- Lähtijät on poistettava kaikkialta. Henkilökohtainen Google- tai LinkedIn-tili ei katoa, kun joku lähtee. Keskeytä tai arkistoi tili LMS:ssä osana työsuhteen päättymisen toimia, ei vain hakemistossasi.
- Sähköpostin toimitus on osa järjestelmää. Roskapostiin joutuvat tai myöhässä saapuvat koodit aiheuttavat epäonnistuneita kirjautumisia. Pyydä IT:tä päästämään LMS:n sähköpostit läpi sähköpostisuodattimista.
Suunnittele palautus ennen kuin sitä tarvitaan
Salasanattomassa kirjautumisessa ”unohdin salasanan” -tukipyynnöt katoavat lähes kokonaan. Tavallinen tukikysymys muuttuu muotoon ”en saanut koodiani”, ja vastaus on lähes aina tarkistaa roskapostikansio, varmistaa osoite ja pyytää uusi koodi.
Ylläpitäjät vaativat enemmän pohdintaa. Jos luotat kertakirjautumiseen ja identiteetintarjoajallasi on katko tai asetusta muutetaan vahingossa, tarvitset tavan päästä sisään riippumatta siitä, mikä meni rikki. Hyvä käytäntö:
- Pidä vähintään kaksi ylläpitäjää, jotta yhden henkilön käyttöoikeuden menetys ei lukitse organisaatiota ulos.
- Varmista, että ylläpitäjillä on palautuskeino, joka ei riipu identiteetintarjoajastasi.
- Kokeile tätä palautuskeinoa kerran rauhassa, ennen kuin tarvitset sitä huonona päivänä.
- Jos rajaat ylläpitäjät toimiston IP-alueisiin, tarkista, miten etänä työskentelevät ylläpitäjät pääsevät sisään.
Milloin SAML-kertakirjautuminen kannattaa lisätä
Sähköpostikoodit ja Google-, Microsoft- ja LinkedIn-kirjautuminen sopivat useimmille oppijoille. SAML-kertakirjautuminen kannattaa lisätä, kun:
- Henkilöstösi on jo hallinnassa Microsoft Entra ID:ssä, Oktassa tai Google Workspacessa.
- Haluat, että identiteetintarjoajasi monivaiheisen tunnistautumisen ja pääsyn käytännöt koskevat myös koulutusta.
- Haluat, että ihmiset menettävät käyttöoikeuden heti, kun heidät poistetaan käytöstä hakemistossasi.
- Tietoturvatarkastukset tai asiakkaiden kyselylomakkeet edellyttävät kertakirjautumista.
Se ei ole koko vastaus, jos monet oppijat ovat hakemistosi ulkopuolella, kuten urakoitsijat, vapaaehtoiset, asiakkaat tai muiden organisaatioiden työntekijät. Käytä silloin SSO:ta omalle henkilöstöllesi ja säilytä sähköpostikoodit kaikille muille. Käymme käyttöönoton läpi tarkemmin oppaassa kertakirjautuminen LMS:ssäsi.
Näin Acadenix tekee sen
Acadenixissa ei ole lainkaan salasanoja. Ihmiset kirjautuvat jollakin näistä tavoista:
- Sähköpostikoodit. Ihmiset syöttävät sähköpostiosoitteensa ja saavat kuusinumeroisen koodin. Se toimii kerran, viiden minuutin ajan, ja lakkaa toimimasta kolmen väärän yrityksen jälkeen. Jos koodeja pyytää liian usein, joutuu odottamaan.
- Google, Microsoft ja LinkedIn. Jokainen tapa kytketään päälle tai pois kohdassa Settings → Authentication (asetukset → todennus), ja se voidaan rajata tiettyihin vahvistettuihin sähköpostiverkkotunnuksiin. Ennen muutoksen tallentamista näet, kuinka moneen ihmiseen ja istuntoon se vaikuttaa.
- Omat kirjautumissovelluksesi. Organisaatiot voivat käyttää omaa Google-, Microsoft- tai LinkedIn-sovellustaan. Omalla Microsoft-sovelluksellasi vain oman tenantisi tilit voivat käyttää sitä.
- SAML-kertakirjautuminen Gold-paketissa. Yhdistä Microsoft Entra ID, Okta tai Google Workspace. Oppijatilit voidaan luoda ensimmäisellä kirjautumisella, mutta vain organisaatiosi sähköpostiverkkotunnusten osoitteille. Kun joku kirjautuu SAMLin kautta ensimmäistä kertaa, hänelle lähetetään sähköpostitse koodi yhteyden vahvistamiseksi, kerran henkilöä kohden. Muut käyttöön ottamasi tavat säilyvät varavaihtoehtona. Katso paketit ja hinnoittelu.
Ylläpitäjille on lisäsuojia. Ylläpitäjät voidaan rajata IP-alueisiisi vaikuttamatta oppijoihin, ja käyttämättömät istunnot kirjautuvat ulos. Jos tavallinen kirjautumisesi lakkaa toimimasta, ylläpitäjä pääsee silti sisään sähköpostiinsa lähetettävällä palautuskoodilla, eikä tätä reittiä voi kytkeä pois. Tilin keskeyttäminen estää henkilöä kirjautumasta heti, ja Email History (sähköpostihistoria) näyttää, mitkä sähköpostit on lähetetty tai epäonnistuneet viimeisten 30 päivän aikana, tallentamatta viestien sisältöä tai koodeja. Lisätietoja on tietoturvasivullamme.
Tärkeimmät opit
- Satunnaisille oppijoille salasanat tuottavat nollauksia, uudelleenkäyttöä ja tukipyyntöjä lisäämättä juurikaan suojaa.
- Sähköpostikoodit ja työtilillä kirjautuminen poistavat salasanan; avain on postilaatikko tai palveluntarjoajan tili, joten suojaa se monivaiheisella tunnistautumisella.
- Kertakäyttökoodit, jotka vanhenevat nopeasti ja sallivat vain muutaman yrityksen, tekevät arvaamisesta käytännössä mahdotonta, mutta ihmisten on silti tiedettävä, ettei koodia koskaan jaeta.
- Suunnittele ylläpitäjien palautus ja työsuhteen päättymisen toimet, ennen kuin kytket tapoja päälle.
- Lisää SAML-kertakirjautuminen, kun henkilöstösi elää keskitetyssä identiteetintarjoajassa, ja säilytä sähköpostikoodit kaikille muille.
Jos salasanat ovat suurin koulutuksen tukipyyntöjesi lähde, katso, miten salasanaton kirjautuminen toimii omilla ihmisillälläsi. Pyydä arviointijakso ja ota käyttöön organisaatiollesi sopivat kirjautumistavat.
