Cineva care se conectează la LMS-ul dumneavoastră o dată pe an, pentru o reîmprospătare de conformitate, nu își va aminti niciodată parola. Așa că dă clic pe „am uitat parola”, așteaptă un e-mail, inventează o parolă nouă pe care o va uita din nou sau renunță și deschide un tichet. Conectarea fără parolă elimină complet parola. Acest ghid explică cum funcționează, unde se află cu adevărat compromisurile de securitate și când merită să adăugați deasupra autentificarea unică SAML.
De ce parolele nu funcționează pentru cursanții ocazionali
Parolele funcționează cel mai bine pentru sistemele folosite zilnic. O platformă de instruire este adesea opusul: oamenii se conectează când sunt înscriși, când sosește un memento sau când un certificat este pe cale să expire.
Asta creează un set previzibil de probleme:
- Parole uitate. Cu luni întregi între conectări, mulți cursanți încep cu o resetare, adesea chiar în ziua în care instruirea are termen.
- Refolosirea. Oamenii care nu pot ține minte încă o parolă o refolosesc pe una de altundeva. Dacă acel alt site este compromis, aceeași combinație de e-mail și parolă poate fi încercată pe LMS-ul dumneavoastră.
- Soluții de ocolire. Regulile stricte pentru parole duc la parole scrise pe notițe adezive sau la variații previzibile, precum adăugarea unei cifre de fiecare dată.
- Încărcarea suportului. Fiecare blocare și fiecare resetare este un tichet pentru help desk-ul sau echipa dumneavoastră L&D.
Mai este un aspect discret. Majoritatea sistemelor cu parole le permit oamenilor să își reseteze parola prin e-mail, ceea ce înseamnă că deja căsuța de e-mail controlează contul. Parola este partea pe care oamenii o uită, nu partea care îi protejează. Conectarea fără parolă doar face acest lucru explicit.
Cum funcționează conectarea fără parolă
Coduri unice trimise prin e-mail
- Cursantul introduce adresa de e-mail.
- LMS-ul generează un cod scurt, aleatoriu, și i-l trimite prin e-mail.
- Cursantul introduce codul, iar LMS-ul îl verifică.
Un cod bine conceput funcționează o singură dată, expiră în câteva minute și nu mai funcționează după câteva încercări greșite. Nu e nimic de ținut minte, nimic refolosit de pe alt site și nicio parolă care să se scurgă.
Unele sisteme trimit prin e-mail un link de conectare în loc de un cod. Codurile sunt utile atunci când cineva citește e-mailul pe telefon, dar se conectează de pe un computer de serviciu, pentru că pot pur și simplu să transcrie codul.
Conturi Google, Microsoft sau LinkedIn
Cu butoanele „Conectați-vă cu”, LMS-ul cedează conectarea furnizorului, folosind protocoale standard precum OAuth 2.0 și OpenID Connect. Furnizorul verifică cine este persoana, inclusiv orice verificare în doi pași a contului ei, și îi spune LMS-ului cine este și care este adresa ei de e-mail verificată. LMS-ul nu îi vede niciodată parola.
Acest lucru se potrivește angajaților care se conectează deja zilnic la Microsoft 365 sau Google Workspace: un clic și sunt înăuntru.
Compromisurile de securitate, sincer
Conectarea fără parolă nu este magie. Mută încrederea în altă parte, iar dumneavoastră trebuie să știți unde.
| Metodă | Ce protejează contul | Ce trebuie urmărit |
|---|---|---|
| Parolă | Ceva ce cursantul ține minte | Refolosirea, alegerile slabe și, oricum, resetările prin e-mail |
| Cod trimis prin e-mail | Accesul la căsuța de e-mail a cursantului | O căsuță compromisă înseamnă un cont LMS compromis |
| Google, Microsoft sau LinkedIn | Contul de la furnizor și verificarea lui în doi pași | Conturile personale se află în afara controlului dumneavoastră |
| Autentificare unică SAML | Furnizorul dumneavoastră de identitate și politicile lui | Efortul de configurare și dependența de disponibilitatea furnizorului |
Câteva aspecte concrete care merită înțelese:
- Contul de e-mail contează cel mai mult. Oricine poate citi e-mailul unui cursant se poate conecta ca acel cursant. Autentificarea multifactor pe căsuțele de e-mail de serviciu face mai mult pentru securitatea LMS-ului decât orice regulă privind parolele.
- Expirarea și încercările limitate opresc ghicirea. Un cod de șase cifre are în jur de un milion de valori posibile, deci trei încercări îi dau celui care ghicește doar câteva șanse la un milion, iar fiecare cod trăiește câteva minute. Limitele privind frecvența cu care se pot cere coduri încetinesc și mai mult lucrurile.
- Codurile pot fi totuși obținute prin phishing. O pagină de conectare falsă poate cere un cod și îl poate folosi imediat. Învățați oamenii să introducă coduri doar pe adresa reală a LMS-ului dumneavoastră și că nimeni, nici măcar suportul, nu le va cere vreodată un cod.
- Căsuțele partajate slăbesc evidențele dumneavoastră. Dacă mai multe persoane pot citi o singură căsuță, oricare dintre ele se poate conecta ca proprietarul ei. Fiecare cursant are nevoie de propria adresă pentru ca evidențele de instruire să aibă sens.
- Cei care pleacă trebuie eliminați peste tot. Un cont personal Google sau LinkedIn nu dispare când cineva pleacă. Suspendați sau arhivați persoana în LMS în cadrul procedurii de plecare, nu doar în director.
- Livrarea e-mailurilor face parte din sistem. Codurile care ajung în spam sau vin cu întârziere provoacă conectări eșuate. Cereți departamentului IT să permită trecerea e-mailurilor LMS-ului prin filtrele dumneavoastră de e-mail.
Planificați recuperarea înainte de a avea nevoie de ea
Cu conectarea fără parolă, tichetele „am uitat parola” dispar în mare parte. Întrebarea obișnuită către suport devine „nu am primit codul”, iar răspunsul este aproape întotdeauna să verifice dosarul de spam, să confirme adresa și să ceară un cod nou.
Administratorii cer mai multă atenție. Dacă vă bazați pe autentificarea unică, iar furnizorul dumneavoastră de identitate are o pană sau o setare este modificată din greșeală, aveți nevoie de o cale de acces care să nu depindă de ceea ce s-a defectat. Bune practici:
- Păstrați cel puțin doi administratori, ca pierderea accesului de către o persoană să nu blocheze organizația.
- Asigurați-vă că administratorii au o cale de recuperare care nu depinde de furnizorul dumneavoastră de identitate.
- Încercați o dată calea de recuperare, cu calm, înainte de a avea nevoie de ea într-o zi proastă.
- Dacă limitați administratorii la intervale de IP din birou, verificați cum vor intra administratorii aflați la distanță.
Când să adăugați autentificarea unică SAML
Codurile din e-mail și conectarea prin rețele sociale se potrivesc majorității cursanților. Merită să adăugați autentificarea unică SAML atunci când:
- Angajații dumneavoastră sunt deja gestionați în Microsoft Entra ID, Okta sau Google Workspace.
- Doriți ca politicile multifactor și de acces ale furnizorului dumneavoastră de identitate să se aplice și instruirii.
- Doriți ca oamenii să piardă accesul imediat ce sunt dezactivați în directorul dumneavoastră.
- Evaluările de securitate sau chestionarele clienților cer autentificare unică.
Nu este răspunsul complet dacă mulți cursanți se află în afara directorului dumneavoastră, precum colaboratori externi, voluntari, clienți sau angajați ai altor organizații. În acest caz, folosiți SSO pentru propriii angajați și păstrați codurile din e-mail pentru toți ceilalți. Prezentăm configurarea mai detaliat în autentificarea unică pentru LMS-ul dumneavoastră.
Cum face Acadenix
Acadenix nu are deloc parole. Oamenii se conectează într-unul dintre aceste moduri:
- Coduri din e-mail. Oamenii își introduc e-mailul și primesc un cod din șase cifre. Funcționează o singură dată, timp de cinci minute, și nu mai funcționează după trei încercări greșite. Dacă cereți coduri prea des, vi se cere să așteptați.
- Google, Microsoft și LinkedIn. Fiecare metodă se activează sau se dezactivează în Settings → Authentication (setări → autentificare) și poate fi limitată la anumite domenii de e-mail verificate. Înainte ca o modificare să fie salvată, vedeți câte persoane și sesiuni afectează.
- Propriile aplicații de conectare. Organizațiile pot folosi propria aplicație Google, Microsoft sau LinkedIn. Cu propria aplicație Microsoft, o pot folosi doar conturile din tenantul dumneavoastră.
- Autentificare unică SAML în Gold. Conectați Microsoft Entra ID, Okta sau Google Workspace. Conturile de cursant pot fi create la prima conectare, dar doar pentru adresele de pe domeniile de e-mail ale organizației dumneavoastră. Prima dată când cineva se conectează prin SAML, se trimite prin e-mail un cod pentru a confirma legătura, o singură dată pentru fiecare persoană. Celelalte metode activate rămân soluția de rezervă. Consultați planurile și prețurile.
Pentru administratori există măsuri suplimentare de siguranță. Administratorii pot fi limitați la intervalele dumneavoastră de IP fără a afecta cursanții, iar sesiunile inactive se închid. Dacă modalitatea obișnuită de conectare nu mai funcționează, un administrator poate totuși intra cu un cod de recuperare trimis prin e-mail, iar această cale nu poate fi dezactivată. Suspendarea contului unei persoane o oprește imediat să se conecteze, iar Email History (istoricul e-mailurilor) arată ce e-mailuri au fost trimise sau au eșuat în ultimele 30 de zile, fără a păstra conținutul mesajelor sau codurile. Mai multe detalii găsiți pe pagina noastră de securitate.
Concluzii principale
- Pentru cursanții ocazionali, parolele generează resetări, refolosire și tichete, fără a adăuga prea multă protecție.
- Codurile din e-mail și conectarea cu contul de serviciu elimină parola; cheia devine căsuța de e-mail sau contul de la furnizor, deci protejați-o cu autentificare multifactor.
- Codurile de unică folosință care expiră repede și permit puține încercări fac ghicirea impracticabilă, dar oamenii trebuie totuși să știe că nu trebuie să împărtășească niciodată un cod.
- Planificați recuperarea administratorilor și procedura de plecare înainte de a activa metodele.
- Adăugați autentificarea unică SAML atunci când angajații dumneavoastră se află într-un furnizor central de identitate și păstrați codurile din e-mail pentru toți ceilalți.
Dacă parolele sunt cea mai mare sursă de tichete de suport pentru instruire, vedeți cum funcționează conectarea fără parolă cu proprii dumneavoastră oameni. Solicitați o evaluare și configurați metodele de conectare potrivite organizației dumneavoastră.
