Aki évente egyszer jelentkezik be az LMS-ébe egy megfelelőségi ismétlő képzés miatt, az sosem fog emlékezni a jelszavára. Ezért rákattint az „Elfelejtett jelszó” hivatkozásra, megvárja az e-mailt, kitalál egy új jelszót, amelyet megint el fog felejteni, vagy feladja, és hibajegyet nyit. A jelszó nélküli bejelentkezés magát a jelszót szünteti meg. Ez az útmutató elmagyarázza, hogyan működik, hol vannak a valódi biztonsági kompromisszumok, és mikor érdemes mellé SAML egyszeri bejelentkezést is bevezetni.
Miért mondanak csődöt a jelszavak az alkalmi tanulóknál
A jelszavak azoknál a rendszereknél működnek a legjobban, amelyeket az emberek naponta használnak. A képzési platform gyakran ennek az ellenkezője: az emberek akkor jelentkeznek be, amikor beiratkoztatják őket, amikor emlékeztető érkezik, vagy amikor egy tanúsítványuk hamarosan lejár.
Ez előre kiszámítható problémákat okoz:
- Elfelejtett jelszavak. Ha hónapok telnek el két bejelentkezés között, sok tanuló visszaállítással kezd, gyakran éppen azon a napon, amikor a képzés esedékes.
- Újrahasználat. Aki nem tud megjegyezni még egy jelszót, máshonnan használ újra egyet. Ha az a másik oldal adatvédelmi incidens áldozata lesz, ugyanazt az e-mail-cím és jelszó párost az Ön LMS-én is kipróbálhatják.
- Kerülőmegoldások. A szigorú jelszószabályok cetlikre írt jelszavakat eredményeznek, vagy kiszámítható változatokat, például hogy minden alkalommal hozzáadnak egy számot.
- Támogatási terhelés. Minden zárolás és visszaállítás egy jegy az ügyfélszolgálatnak vagy az L&D csapatnak.
Van egy csendesebb szempont is. A legtöbb jelszavas rendszer lehetővé teszi, hogy az emberek e-mailben állítsák vissza a jelszavukat, vagyis a postafiók már most is a fiók ura. A jelszó az a rész, amelyet az emberek elfelejtenek, nem az, amelyik védi őket. A jelszó nélküli bejelentkezés ezt egyszerűen kimondja.
Hogyan működik a jelszó nélküli bejelentkezés
E-mailes egyszer használatos kódok
- A tanuló megadja az e-mail-címét.
- Az LMS generál egy rövid, véletlenszerű kódot, és elküldi neki e-mailben.
- A tanuló beírja a kódot, az LMS pedig ellenőrzi.
Egy jól megtervezett kód egyszer használható, néhány perc alatt lejár, és néhány téves próbálkozás után nem működik tovább. Nincs mit megjegyezni, nincs más oldalról újrahasznosított adat, és nincs jelszó, amely kiszivároghatna.
Egyes rendszerek kód helyett bejelentkezési hivatkozást küldenek e-mailben. A kódok akkor praktikusak, ha valaki a telefonján olvassa az e-mailt, de egy munkahelyi számítógépen jelentkezik be, mert egyszerűen átgépelheti a kódot.
Google-, Microsoft- vagy LinkedIn-fiókok
A „Bejelentkezés ezzel” gombokkal az LMS a bejelentkezést a szolgáltatóra bízza olyan szabványos protokollok segítségével, mint az OAuth 2.0 és az OpenID Connect. A szolgáltató ellenőrzi a személy kilétét, a fiókján esetleg beállított kétlépéses azonosítással együtt, majd közli az LMS-sel, hogy ki ő, és mi az ellenőrzött e-mail-címe. Az LMS soha nem látja a jelszavát.
Ez azoknak a munkatársaknak felel meg, akik már most naponta bejelentkeznek a Microsoft 365-be vagy a Google Workspace-be: egy kattintás, és bent vannak.
A biztonsági kompromisszumok, őszintén
A jelszó nélküli bejelentkezés nem varázslat. A bizalmat máshová helyezi át, és tudnia kell, hová.
| Módszer | Mi védi a fiókot | Mire figyeljen |
|---|---|---|
| Jelszó | Amit a tanuló megjegyez | Újrahasználat, gyenge jelszavak, és a visszaállítás így is e-mailben történik |
| E-mailes kód | A tanuló postafiókjához való hozzáférés | Egy feltört postafiók feltört LMS-fiókot jelent |
| Google, Microsoft vagy LinkedIn | A szolgáltatói fiók és annak kétlépéses azonosítása | A személyes fiókok kívül esnek az Ön ellenőrzésén |
| SAML egyszeri bejelentkezés | Az Ön identitásszolgáltatója és annak szabályai | A beállítás munkaigénye, és a szolgáltató elérhetőségére való támaszkodás |
Néhány érdemes részlet:
- A legfontosabb az e-mail-fiók. Aki el tudja olvasni a tanuló e-mailjeit, az be tud jelentkezni a nevében. A munkahelyi postafiókok többtényezős hitelesítése többet tesz az LMS biztonságáért, mint bármilyen jelszószabály.
- A lejárat és a korlátozott számú próbálkozás megakadályozza a találgatást. Egy hatjegyű kódnak nagyjából egymillió lehetséges értéke van, így három próbálkozással a találgató esélye csupán néhány a millióhoz, és minden kód csak percekig él. A kódkérések gyakoriságának korlátozása tovább lassítja a támadót.
- A kódokat adathalászattal így is meg lehet szerezni. Egy hamis bejelentkezési oldal kérhet kódot, és azonnal fel is használhatja. Tanítsa meg az embereknek, hogy kódot csak az LMS valódi címén adjanak meg, és hogy soha senki, az ügyfélszolgálatot is beleértve, nem fog tőlük kódot kérni.
- A közös postafiókok gyengítik a nyilvántartást. Ha több ember is olvashatja ugyanazt a postafiókot, bármelyikük be tud jelentkezni a tulajdonos nevében. A képzési nyilvántartásoknak csak akkor van értelme, ha minden tanulónak saját címe van.
- A távozókat mindenhol el kell távolítani. Egy személyes Google- vagy LinkedIn-fiók nem tűnik el, amikor valaki távozik. A kilépési folyamat részeként az LMS-ben is függessze fel vagy archiválja őket, ne csak a címtárban.
- Az e-mail-kézbesítés a rendszer része. A levélszemétbe kerülő vagy későn érkező kódok sikertelen bejelentkezéseket okoznak. Kérje meg az IT-t, hogy engedje át az LMS e-mailjeit a levélszűrőkön.
Tervezze meg a helyreállítást, mielőtt szükség lenne rá
Jelszó nélküli bejelentkezésnél az „elfelejtett jelszó” jegyek nagyrészt megszűnnek. A szokásos támogatási kérdés így hangzik: „Nem kaptam meg a kódomat”, a válasz pedig szinte mindig az, hogy nézze meg a levélszemét mappát, ellenőrizze a címet, és kérjen új kódot.
Az adminisztrátorok több megfontolást igényelnek. Ha az egyszeri bejelentkezésre támaszkodik, és az identitásszolgáltató üzemzavart szenved, vagy egy beállítást tévedésből megváltoztatnak, olyan belépési útra van szüksége, amely nem függ attól, ami elromlott. Jó gyakorlat:
- Tartson legalább két adminisztrátort, hogy egyetlen személy hozzáférésének elvesztése ne zárja ki az egész szervezetet.
- Gondoskodjon róla, hogy az adminisztrátoroknak legyen az identitásszolgáltatótól független helyreállítási útjuk.
- Próbálja ki ezt a helyreállítási utat egyszer, nyugodtan, mielőtt egy rossz napon szükség lenne rá.
- Ha az adminisztrátorokat irodai IP-tartományokra korlátozza, nézze meg, hogyan fognak belépni a távoli adminisztrátorok.
Mikor érdemes SAML egyszeri bejelentkezést bevezetni
Az e-mailes kódok és a közösségi fiókos bejelentkezés a legtöbb tanulónak megfelel. A SAML egyszeri bejelentkezést akkor érdemes bevezetni, ha:
- A munkatársai már a Microsoft Entra ID-ban, az Oktában vagy a Google Workspace-ben vannak kezelve.
- Azt szeretné, hogy az identitásszolgáltatója többtényezős és hozzáférési szabályai a képzésre is vonatkozzanak.
- Azt szeretné, hogy az emberek azonnal elveszítsék a hozzáférést, amint letiltják őket a címtárban.
- A biztonsági felülvizsgálatok vagy ügyfélkérdőívek egyszeri bejelentkezést kérnek.
Nem teljes megoldás, ha sok tanuló a címtárán kívül áll, például külső vállalkozók, önkéntesek, ügyfelek vagy más szervezetek munkatársai. Ilyenkor a saját munkatársainak használjon SSO-t, mindenki másnak pedig hagyja meg az e-mailes kódokat. A beállítást részletesebben bemutatjuk az LMS egyszeri bejelentkezéséről szóló cikkben.
Így működik az Acadenixben
Az Acadenixben egyáltalán nincsenek jelszavak. A felhasználók az alábbi módok egyikén jelentkeznek be:
- E-mailes kódok. Az emberek megadják az e-mail-címüket, és kapnak egy hatjegyű kódot. Egyszer használható, öt percig érvényes, és három téves próbálkozás után nem működik tovább. Ha túl gyakran kér kódot, várakoznia kell.
- Google, Microsoft és LinkedIn. Minden módszert a Settings → Authentication (Beállítások → Hitelesítés) felületen kapcsolhat be vagy ki, és korlátozni lehet meghatározott, ellenőrzött e-mail-domainekre. A módosítás mentése előtt látja, hány embert és munkamenetet érint.
- Saját bejelentkezési alkalmazások. A szervezetek használhatják saját Google-, Microsoft- vagy LinkedIn-alkalmazásukat. Saját Microsoft-alkalmazás esetén csak az Ön bérlőjében (tenant) lévő fiókok használhatják.
- SAML egyszeri bejelentkezés a Gold-csomagban. Kapcsolódjon a Microsoft Entra ID-hoz, az Oktához vagy a Google Workspace-hez. A tanulói fiókok az első bejelentkezéskor létrehozhatók, de csak a szervezet e-mail-domainjein lévő címekhez. Amikor valaki először jelentkezik be SAML-en keresztül, e-mailben kódot küldünk a kapcsolat megerősítéséhez, személyenként egyszer. A bekapcsolt többi módszer marad a tartalék. Lásd: csomagok és árak.
Az adminisztrátorokra további védelmi intézkedések vonatkoznak. Az adminisztrátorok korlátozhatók az Ön IP-tartományaira anélkül, hogy ez a tanulókat érintené, az inaktív munkamenetek pedig kijelentkeztetnek. Ha a szokásos bejelentkezés leáll, az adminisztrátor továbbra is be tud lépni az e-mailjére küldött helyreállító kóddal, és ez az útvonal nem kapcsolható ki. Egy fiók felfüggesztése azonnal megakadályozza a bejelentkezést, az Email History (e-mail-előzmények) pedig megmutatja, mely e-mailek mentek ki, és melyek nem jutottak el az elmúlt 30 napban, az üzenetek tartalmának és a kódoknak a megőrzése nélkül. További részletek a biztonsági oldalunkon találhatók.
A legfontosabb tudnivalók
- Az alkalmi tanulóknál a jelszavak visszaállításokat, újrahasználatot és jegyeket okoznak anélkül, hogy sok védelmet adnának.
- Az e-mailes kódok és a munkahelyi fiókkal való bejelentkezés megszünteti a jelszót; a postafiók vagy a szolgáltatói fiók lesz a kulcs, ezért védje többtényezős hitelesítéssel.
- Az egyszer használatos, gyorsan lejáró, kevés próbálkozást engedő kódok gyakorlatilag lehetetlenné teszik a találgatást, de az embereknek így is tudniuk kell, hogy soha ne osszanak meg kódot.
- Az adminisztrátori helyreállítást és a kilépési folyamatot tervezze meg, mielőtt módszereket kapcsol be.
- Akkor vezessen be SAML egyszeri bejelentkezést, ha a munkatársai egy központi identitásszolgáltatóban élnek, mindenki másnak pedig hagyja meg az e-mailes kódokat.
Ha a jelszavak jelentik a képzési támogatási jegyek legnagyobb forrását, nézze meg, hogyan működik a jelszó nélküli bejelentkezés a saját embereivel. Igényeljen próbahozzáférést, és állítsa be a szervezetének megfelelő bejelentkezési módszereket.
