Osoba, która loguje się do Twojego LMS raz w roku na szkolenie odświeżające, nigdy nie zapamięta swojego hasła. Klika więc „nie pamiętam hasła”, czeka na e-mail, wymyśla nowe hasło, które znowu zapomni, albo rezygnuje i zakłada zgłoszenie do helpdesku. Logowanie bez haseł usuwa hasło całkowicie. Ten poradnik wyjaśnia, jak ono działa, gdzie naprawdę leżą kompromisy w zakresie bezpieczeństwa i kiedy warto dodać do tego logowanie jednokrotne SAML.
Dlaczego hasła zawodzą u kursantów okazjonalnych
Hasła sprawdzają się najlepiej w systemach, z których ludzie korzystają codziennie. Platforma szkoleniowa jest często odwrotnością: ludzie logują się, gdy zostają zapisani, gdy przychodzi przypomnienie albo gdy certyfikat ma wkrótce wygasnąć.
To tworzy przewidywalny zestaw problemów:
- Zapomniane hasła. Przy wielomiesięcznych przerwach między logowaniami wielu kursantów zaczyna od resetu, często w dniu, w którym szkolenie jest wymagane.
- Ponowne używanie. Ludzie, którzy nie potrafią zapamiętać kolejnego hasła, używają hasła z innego miejsca. Jeśli tamten serwis zostanie naruszony, ten sam e-mail i hasło można wypróbować w Twoim LMS.
- Obejścia. Rygorystyczne zasady dotyczące haseł prowadzą do haseł na karteczkach albo do przewidywalnych wariacji, takich jak dodawanie za każdym razem cyfry.
- Obciążenie wsparcia. Każda blokada i reset to zgłoszenie dla helpdesku lub zespołu L&D.
Jest też cichsza kwestia. Większość systemów haseł pozwala zresetować hasło e-mailem, co oznacza, że skrzynka pocztowa już teraz kontroluje konto. Hasło jest tą częścią, którą ludzie zapominają, a nie tą, która ich chroni. Logowanie bez haseł po prostu to uwypukla.
Jak działa logowanie bez haseł
Jednorazowe kody e-mail
- Kursant wpisuje swój adres e-mail.
- LMS generuje krótki losowy kod i wysyła go e-mailem.
- Kursant wpisuje kod, a LMS go sprawdza.
Dobrze zaprojektowany kod działa raz, wygasa w ciągu kilku minut i przestaje działać po kilku błędnych próbach. Nie ma nic do zapamiętania, nic ponownie użytego z innego serwisu i żadnego hasła, które mogłoby wyciec.
Niektóre systemy wysyłają e-mailem link do logowania zamiast kodu. Kody są wygodne, gdy ktoś czyta pocztę na telefonie, ale loguje się na komputerze służbowym, bo może po prostu przepisać kod.
Konta Google, Microsoft lub LinkedIn
Dzięki przyciskom „zaloguj się przez” LMS przekazuje logowanie dostawcy za pomocą standardowych protokołów, takich jak OAuth 2.0 i OpenID Connect. Dostawca sprawdza, kim jest dana osoba, w tym wszelką weryfikację dwuetapową jej konta, i informuje LMS, kim jest oraz jaki ma zweryfikowany adres e-mail. LMS nigdy nie widzi jej hasła.
Sprawdza się to u pracowników, którzy i tak codziennie logują się do Microsoft 365 lub Google Workspace: jedno kliknięcie i są w środku.
Kompromisy w zakresie bezpieczeństwa, bez owijania w bawełnę
Logowanie bez haseł to nie magia. Przenosi zaufanie w inne miejsce i trzeba wiedzieć, w jakie.
| Metoda | Co chroni konto | Na co uważać |
|---|---|---|
| Hasło | Coś, co kursant pamięta | Ponowne używanie, słabe wybory i tak resety przez e-mail |
| Kod e-mail | Dostęp do skrzynki kursanta | Przejęta skrzynka oznacza przejęte konto w LMS |
| Google, Microsoft lub LinkedIn | Konto u dostawcy i jego weryfikacja dwuetapowa | Konta prywatne pozostają poza Twoją kontrolą |
| Logowanie jednokrotne SAML | Twój dostawca tożsamości i jego zasady | Nakład pracy przy konfiguracji i zależność od dostępności dostawcy |
Kilka szczegółów wartych zrozumienia:
- Najważniejsze jest konto e-mail. Każdy, kto może czytać pocztę kursanta, może zalogować się jako on. Uwierzytelnianie wieloskładnikowe na skrzynkach służbowych daje więcej dla bezpieczeństwa LMS niż jakakolwiek zasada dotycząca haseł.
- Wygasanie i ograniczona liczba prób uniemożliwiają zgadywanie. Sześciocyfrowy kod ma około miliona możliwych wartości, więc trzy próby dają zgadującemu zaledwie kilka szans na milion, a każdy kod żyje przez kilka minut. Limity częstotliwości próśb o kody dodatkowo spowalniają atakującego.
- Kody nadal można wyłudzić phishingiem. Fałszywa strona logowania może poprosić o kod i użyć go natychmiast. Ucz ludzi, by wpisywali kody wyłącznie pod prawdziwym adresem Twojego LMS oraz by wiedzieli, że nikt, także wsparcie techniczne, nigdy nie poprosi ich o kod.
- Wspólne skrzynki osłabiają Twoje rejestry. Jeśli kilka osób może czytać jedną skrzynkę, każda z nich może zalogować się jako jej właściciel. Każdy kursant potrzebuje własnego adresu, aby rejestry szkoleń miały jakiekolwiek znaczenie.
- Odchodzących trzeba usuwać wszędzie. Prywatne konto Google lub LinkedIn nie znika, gdy ktoś odchodzi. Zawieś lub zarchiwizuj takie osoby w LMS w ramach procesu odejścia, a nie tylko w swoim katalogu.
- Dostarczanie e-maili jest częścią systemu. Kody, które lądują w spamie lub przychodzą z opóźnieniem, powodują nieudane logowania. Poproś dział IT o przepuszczanie e-maili z LMS przez filtry pocztowe.
Zaplanuj odzyskiwanie, zanim będzie potrzebne
Przy logowaniu bez haseł zgłoszenia „nie pamiętam hasła” w dużej mierze znikają. Typowe pytanie do wsparcia brzmi wtedy „nie dostałem kodu”, a odpowiedź to prawie zawsze: sprawdź folder ze spamem, potwierdź adres i poproś o nowy kod.
Administratorzy wymagają więcej namysłu. Jeśli polegasz na logowaniu jednokrotnym, a Twój dostawca tożsamości ma awarię albo ktoś przez pomyłkę zmieni ustawienie, potrzebujesz drogi wejścia, która nie zależy od tego, co się zepsuło. Dobra praktyka:
- Utrzymuj co najmniej dwóch administratorów, aby utrata dostępu przez jedną osobę nie zablokowała organizacji.
- Upewnij się, że administratorzy mają ścieżkę odzyskiwania niezależną od Twojego dostawcy tożsamości.
- Wypróbuj tę ścieżkę raz, spokojnie, zanim będzie potrzebna w gorszy dzień.
- Jeśli ograniczasz administratorów do zakresów adresów IP biura, sprawdź, jak wejdą administratorzy pracujący zdalnie.
Kiedy dodać logowanie jednokrotne SAML
Kody e-mail i logowanie przez konta zewnętrzne odpowiadają większości kursantów. Logowanie jednokrotne SAML warto dodać, gdy:
- Twoi pracownicy są już zarządzani w Microsoft Entra ID, Okta lub Google Workspace.
- Chcesz, aby zasady uwierzytelniania wieloskładnikowego i dostępu Twojego dostawcy tożsamości obejmowały także szkolenia.
- Chcesz, by ludzie tracili dostęp, gdy tylko zostaną wyłączeni w Twoim katalogu.
- Przeglądy bezpieczeństwa lub kwestionariusze klientów wymagają logowania jednokrotnego.
To nie jest pełna odpowiedź, jeśli wielu kursantów znajduje się poza Twoim katalogiem, jak wykonawcy, wolontariusze, klienci lub pracownicy innych organizacji. W takim przypadku użyj SSO dla własnych pracowników, a kody e-mail zachowaj dla pozostałych. Konfigurację omawiamy dokładniej w tekście logowanie jednokrotne dla Twojego LMS.
Jak robi to Acadenix
Acadenix w ogóle nie ma haseł. Ludzie logują się na jeden z tych sposobów:
- Kody e-mail. Ludzie wpisują swój e-mail i dostają sześciocyfrowy kod. Działa raz, przez pięć minut, i przestaje działać po trzech błędnych próbach. Zbyt częste prośby o kody kończą się komunikatem, by chwilę poczekać.
- Google, Microsoft i LinkedIn. Każdą metodę włączasz lub wyłączasz w Settings → Authentication (Ustawienia → Uwierzytelnianie) i możesz ograniczyć ją do wybranych zweryfikowanych domen e-mail. Zanim zmiana zostanie zapisana, widzisz, ilu ludzi i ile sesji obejmie.
- Własne aplikacje logowania. Organizacje mogą używać własnej aplikacji Google, Microsoft lub LinkedIn. Z własną aplikacją Microsoft mogą z niej korzystać tylko konta z Twojego tenanta Microsoft.
- Logowanie jednokrotne SAML w planie Gold. Połącz Microsoft Entra ID, Okta lub Google Workspace. Konta kursantów mogą być tworzone przy pierwszym logowaniu, ale tylko dla adresów w domenach e-mail Twojej organizacji. Gdy ktoś loguje się przez SAML po raz pierwszy, na e-mail wysyłany jest kod potwierdzający powiązanie, raz dla każdej osoby. Pozostałe włączone przez Ciebie metody pozostają rozwiązaniem zapasowym. Zobacz plany i cennik.
Dla administratorów przewidziano dodatkowe zabezpieczenia. Administratorów można ograniczyć do Twoich zakresów adresów IP bez wpływu na kursantów, a bezczynne sesje są wylogowywane. Jeśli Twoje zwykłe logowanie przestanie działać, administrator nadal może wejść za pomocą kodu odzyskiwania wysłanego na jego e-mail, a tej ścieżki nie można wyłączyć. Zawieszenie czyjegoś konta natychmiast uniemożliwia logowanie, a Email History (Historia e-maili) pokazuje, które e-maile wysłano lub nie udało się wysłać w ciągu ostatnich 30 dni, bez przechowywania treści wiadomości ani kodów. Więcej szczegółów na naszej stronie o bezpieczeństwie.
Najważniejsze wnioski
- Dla kursantów okazjonalnych hasła generują resety, ponowne używanie i zgłoszenia, nie dodając wiele ochrony.
- Kody e-mail i logowanie kontem służbowym usuwają hasło; kluczem staje się skrzynka lub konto u dostawcy, więc chroń je uwierzytelnianiem wieloskładnikowym.
- Kody jednorazowe, które szybko wygasają i dopuszczają niewiele prób, uniemożliwiają praktyczne zgadywanie, ale ludzie nadal muszą wiedzieć, by nigdy ich nikomu nie podawać.
- Zaplanuj odzyskiwanie dostępu administratorów i proces odejść, zanim włączysz kolejne metody.
- Dodaj logowanie jednokrotne SAML, gdy Twoi pracownicy żyją w centralnym dostawcy tożsamości, a kody e-mail zachowaj dla wszystkich pozostałych.
Jeśli hasła są największym źródłem zgłoszeń do wsparcia szkoleń, zobacz, jak logowanie bez haseł działa z Twoimi własnymi ludźmi. Poproś o wersję próbną i skonfiguruj metody logowania, które pasują do Twojej organizacji.
