Den som logger inn i LMS-et ditt én gang i året for en oppfriskning i compliance, kommer aldri til å huske passordet sitt. Så vedkommende klikker «glemt passord», venter på en e-post, finner opp et nytt passord som blir glemt igjen, eller gir opp og oppretter en sak hos support. Passordløs pålogging fjerner passordet helt. Denne veiledningen forklarer hvordan det fungerer, hvor de reelle sikkerhetsavveiningene ligger, og når det er verdt å legge til enkel pålogging med SAML oppå.
Hvorfor passord svikter deltakere som logger inn sjelden
Passord fungerer best for systemer folk bruker hver dag. En opplæringsplattform er ofte det motsatte: folk logger inn når de meldes på, når en påminnelse kommer, eller når et sertifikat snart utløper.
Det gir en forutsigbar rekke problemer:
- Glemte passord. Med måneder mellom hver pålogging starter mange deltakere med en tilbakestilling, ofte samme dag som opplæringen skal være ferdig.
- Gjenbruk. Folk som ikke husker enda et passord, gjenbruker et fra et annet sted. Hvis det andre nettstedet blir hacket, kan den samme e-postadressen og det samme passordet prøves mot LMS-et ditt.
- Omveier. Strenge passordregler fører til passord på gule lapper, eller forutsigbare varianter som å legge til et tall hver gang.
- Belastning på support. Hver utestengelse og tilbakestilling er en sak for helpdesken eller L&D-teamet ditt.
Det er også et mer stille poeng. De fleste passordsystemer lar folk tilbakestille passordet via e-post, noe som betyr at innboksen allerede styrer kontoen. Passordet er delen folk glemmer, ikke delen som beskytter dem. Passordløs pålogging gjør bare dette eksplisitt.
Slik fungerer passordløs pålogging
Engangskoder på e-post
- Deltakeren skriver inn e-postadressen sin.
- LMS-et genererer en kort, tilfeldig kode og sender den til dem på e-post.
- Deltakeren skriver inn koden, og LMS-et kontrollerer den.
En godt utformet kode virker bare én gang, utløper i løpet av få minutter og slutter å virke etter noen få feil forsøk. Det er ingenting å huske, ingenting som er gjenbrukt fra et annet nettsted, og ikke noe passord som kan lekke.
Noen systemer sender en påloggingslenke i stedet for en kode. Koder er praktiske når noen leser e-post på mobilen, men logger inn på en jobb-PC, fordi de da bare kan skrive inn koden.
Google-, Microsoft- eller LinkedIn-kontoer
Med «logg inn med»-knapper overlater LMS-et påloggingen til leverandøren ved hjelp av standardprotokoller som OAuth 2.0 og OpenID Connect. Leverandøren sjekker hvem personen er, inkludert eventuell tofaktorautentisering på kontoen, og forteller LMS-et hvem vedkommende er og hva den verifiserte e-postadressen er. LMS-et ser aldri passordet.
Dette passer for ansatte som allerede logger inn i Microsoft 365 eller Google Workspace hver dag: ett klikk, så er de inne.
Sikkerhetsavveiningene, helt ærlig
Passordløs pålogging er ikke magi. Den flytter tilliten et annet sted, og du bør vite hvor.
| Metode | Hva som beskytter kontoen | Hva du bør følge med på |
|---|---|---|
| Passord | Noe deltakeren husker | Gjenbruk, svake valg, og tilbakestilling via e-post uansett |
| Kode på e-post | Tilgang til deltakerens innboks | En kompromittert postboks betyr en kompromittert LMS-konto |
| Google, Microsoft eller LinkedIn | Leverandørkontoen og tofaktorautentiseringen den har | Personlige kontoer ligger utenfor din kontroll |
| Enkel pålogging med SAML | Identitetsleverandøren din og retningslinjene den har | Oppsettsarbeid, og avhengighet av at leverandøren er tilgjengelig |
Noen detaljer det er verdt å forstå:
- E-postkontoen betyr mest. Alle som kan lese en deltakers e-post, kan logge inn som den deltakeren. Flerfaktorautentisering på jobbpostkasser gjør mer for LMS-sikkerheten enn noen passordregel.
- Utløp og begrensede forsøk stopper gjetting. En sekssifret kode har rundt en million mulige verdier, så tre forsøk gir en gjetter bare noen få sjanser på en million, og hver kode lever i noen få minutter. Begrensninger på hvor ofte koder kan bestilles, bremser det enda mer.
- Koder kan fortsatt utsettes for phishing. En falsk påloggingsside kan be om en kode og bruke den med en gang. Lær folk å bare skrive inn koder på den ekte adressen til LMS-et ditt, og at ingen, support inkludert, noen gang vil be dem om en.
- Delte postkasser svekker registreringene dine. Hvis flere kan lese én innboks, kan hvem som helst av dem logge inn som eieren. Hver deltaker trenger sin egen adresse for at opplæringsregistrene skal bety noe.
- De som slutter, må fjernes overalt. En personlig Google- eller LinkedIn-konto forsvinner ikke når noen slutter. Sperr eller arkiver dem i LMS-et som en del av rutinen når noen slutter, ikke bare i katalogen din.
- E-postleveranse er en del av systemet. Koder som havner i søppelpost eller kommer for sent, fører til mislykkede pålogginger. Be IT slippe e-postene fra LMS-et gjennom e-postfiltrene dine.
Planlegg gjenoppretting før du trenger den
Med passordløs pålogging forsvinner «glemt passord»-sakene i stor grad. Det vanlige supportspørsmålet blir «jeg fikk ikke koden min», og svaret er nesten alltid å sjekke søppelpostmappen, bekrefte adressen og be om en ny kode.
Administratorer krever mer omtanke. Hvis du er avhengig av enkel pålogging og identitetsleverandøren din har et driftsavbrudd, eller en innstilling endres ved en feil, trenger du en vei inn som ikke avhenger av det som gikk i stykker. God praksis:
- Ha minst to administratorer, så en person som mister tilgangen, ikke stenger organisasjonen ute.
- Sørg for at administratorer har en gjenopprettingsvei som ikke avhenger av identitetsleverandøren din.
- Prøv gjenopprettingsveien én gang, i ro og mak, før du trenger den på en dårlig dag.
- Hvis du begrenser administratorer til IP-områdene på kontoret, sjekk hvordan administratorer som jobber eksternt, skal komme inn.
Når du bør legge til enkel pålogging med SAML
Koder på e-post og pålogging med sosiale kontoer passer for de fleste deltakere. Enkel pålogging med SAML er verdt å legge til når:
- De ansatte allerede administreres i Microsoft Entra ID, Okta eller Google Workspace.
- Du vil at identitetsleverandørens retningslinjer for flerfaktorautentisering og tilgang også skal gjelde for opplæringen.
- Du vil at folk skal miste tilgangen så snart de deaktiveres i katalogen din.
- Sikkerhetsgjennomganger eller kundespørreskjemaer krever enkel pålogging.
Det er ikke hele svaret hvis mange deltakere står utenfor katalogen din, for eksempel innleide, frivillige, kunder eller andre organisasjoners ansatte. Bruk i så fall SSO for dine egne ansatte og behold koder på e-post for alle andre. Vi går nærmere inn på oppsettet i enkel pålogging for LMS-et ditt.
Slik gjør Acadenix det
Acadenix har ingen passord i det hele tatt. Folk logger inn på en av disse måtene:
- Koder på e-post. Folk skriver inn e-postadressen sin og mottar en sekssifret kode. Den virker én gang, i fem minutter, og slutter å virke etter tre feil forsøk. Ber du om koder for ofte, blir du bedt om å vente.
- Google, Microsoft og LinkedIn. Hver metode slås på eller av under Settings → Authentication (innstillinger → autentisering), og kan begrenses til bestemte verifiserte e-postdomener. Før en endring lagres, ser du hvor mange personer og økter den påvirker.
- Dine egne påloggingsapper. Organisasjoner kan bruke sin egen Google-, Microsoft- eller LinkedIn-app. Med din egen Microsoft-app kan bare kontoer i din tenant bruke den.
- Enkel pålogging med SAML i Gold. Koble til Microsoft Entra ID, Okta eller Google Workspace. Deltakerkontoer kan opprettes ved første pålogging, men bare for adresser på organisasjonens e-postdomener. Første gang noen logger inn via SAML, sendes en kode på e-post for å bekrefte koblingen, én gang per person. Andre metoder du har slått på, er fortsatt reserveløsningen. Se abonnementer og priser.
For administratorer finnes det ekstra sikkerhetstiltak. Administratorer kan begrenses til IP-områdene dine uten at det påvirker deltakerne, og inaktive økter logges ut. Hvis den vanlige påloggingen slutter å fungere, kommer en administrator likevel inn med en gjenopprettingskode som sendes til e-posten deres, og den veien kan ikke slås av. Å sperre en persons konto stopper påloggingen umiddelbart, og Email History (e-posthistorikk) viser hvilke e-poster som ble sendt eller mislyktes de siste 30 dagene, uten at innholdet i meldingene eller kodene lagres. Du finner flere detaljer på sikkerhetssiden vår.
Hovedpunkter
- For deltakere som logger inn sjelden, skaper passord tilbakestillinger, gjenbruk og saker uten å gi mye beskyttelse.
- Koder på e-post og pålogging med jobbkonto fjerner passordet; innboksen eller leverandørkontoen blir nøkkelen, så beskytt den med flerfaktorautentisering.
- Engangskoder som utløper raskt og tillater få forsøk gjør gjetting upraktisk, men folk må fortsatt vite at de aldri skal dele en.
- Planlegg gjenoppretting for administratorer og rutinene når noen slutter, før du slår på metodene.
- Legg til enkel pålogging med SAML når de ansatte finnes i en sentral identitetsleverandør, og behold koder på e-post for alle andre.
Hvis passord er den største kilden til supportsaker i opplæringen din, kan du se hvordan passordløs pålogging fungerer med dine egne folk. Be om en evaluering og sett opp påloggingsmetodene som passer for organisasjonen din.
