Тот, кто заходит в вашу LMS раз в год ради ежегодного повторного обучения, никогда не запомнит свой пароль. Поэтому он нажимает «забыли пароль», ждёт письма, придумывает новый пароль, который снова забудет, или сдаётся и заводит обращение в поддержку. Вход без пароля убирает пароль совсем. В этом руководстве объясняется, как это работает, где на самом деле кроются компромиссы безопасности и когда стоит дополнительно подключить единый вход SAML.
Почему пароли подводят тех, кто учится от случая к случаю
Пароли лучше всего работают в системах, которыми люди пользуются каждый день. Учебная платформа часто устроена наоборот: люди заходят, когда их записали на курс, когда пришло напоминание или когда сертификат вот-вот истечёт.
Это порождает предсказуемый набор проблем:
- Забытые пароли. Когда между входами проходят месяцы, многие слушатели начинают со сброса — нередко в тот самый день, когда нужно пройти обучение.
- Повторное использование. Люди, которые не могут запомнить ещё один пароль, используют пароль от другого сервиса. Если тот сайт взломают, ту же пару адреса и пароля могут попробовать к вашей LMS.
- Обходные пути. Строгие правила к паролям приводят к паролям на стикерах или к предсказуемым вариациям вроде добавления цифры каждый раз.
- Нагрузка на поддержку. Каждая блокировка и сброс — это обращение в вашу службу поддержки или отдел L&D.
Есть и менее очевидный момент. В большинстве систем с паролями человек может сбросить пароль по электронной почте, а значит, учётной записью уже управляет почтовый ящик. Пароль — это то, что люди забывают, а не то, что их защищает. Вход без пароля просто делает это явным.
Как работает вход без пароля
Одноразовые коды из письма
- Слушатель вводит свой адрес электронной почты.
- LMS генерирует короткий случайный код и отправляет его по почте.
- Слушатель вводит код, и LMS его проверяет.
Хорошо спроектированный код работает один раз, истекает через несколько минут и перестаёт действовать после нескольких неверных попыток. Запоминать нечего, ничего не переиспользуется с другого сайта, и нет пароля, который мог бы утечь.
Некоторые системы отправляют по почте ссылку для входа вместо кода. Коды удобны, когда человек читает почту на телефоне, а входит на рабочем компьютере: он просто переносит код.
Аккаунты Google, Microsoft или LinkedIn
С кнопками «войти через» LMS передаёт вход провайдеру по стандартным протоколам, таким как OAuth 2.0 и OpenID Connect. Провайдер проверяет, кто этот человек, — в том числе двухэтапную проверку в его аккаунте, — и сообщает LMS, кто он и какой у него подтверждённый адрес электронной почты. LMS никогда не видит пароль.
Это подходит сотрудникам, которые и так каждый день входят в Microsoft 365 или Google Workspace: один щелчок — и они внутри.
Компромиссы безопасности — честно
Вход без пароля — не волшебство. Он переносит доверие в другое место, и нужно понимать, куда именно.
| Метод | Что защищает учётную запись | На что обратить внимание |
|---|---|---|
| Пароль | То, что помнит слушатель | Повторное использование, слабые пароли и сброс по электронной почте в любом случае |
| Код из письма | Доступ к почтовому ящику слушателя | Взломанный почтовый ящик означает взломанную учётную запись LMS |
| Google, Microsoft или LinkedIn | Аккаунт провайдера и его двухэтапная проверка | Личные аккаунты находятся вне вашего контроля |
| Единый вход SAML | Ваш поставщик удостоверений и его политики | Усилия по настройке и зависимость от доступности провайдера |
Несколько важных подробностей:
- Важнее всего — учётная запись электронной почты. Любой, кто может прочитать письма слушателя, может войти как этот слушатель. Многофакторная аутентификация на рабочих почтовых ящиках даёт для безопасности LMS больше, чем любое правило к паролям.
- Срок действия и ограничение попыток не дают подбирать код. У шестизначного кода около миллиона возможных значений, поэтому три попытки дают подбирающему лишь несколько шансов на миллион, а каждый код живёт считаные минуты. Ограничения на частоту запросов кодов замедляют подбор ещё сильнее.
- Коды всё же можно выманить фишингом. Поддельная страница входа может запросить код и сразу им воспользоваться. Научите людей вводить коды только на настоящем адресе вашей LMS и объясните, что никто, включая поддержку, никогда не попросит их назвать код.
- Общие почтовые ящики ослабляют ваши записи. Если один ящик могут читать несколько человек, любой из них может войти как его владелец. У каждого слушателя должен быть собственный адрес — иначе записи об обучении теряют смысл.
- Уволившихся нужно удалять везде. Личный аккаунт Google или LinkedIn не исчезает, когда человек уходит. Приостановите или архивируйте его в LMS в рамках увольнения, а не только в вашем каталоге.
- Доставка почты — часть системы. Коды, попавшие в спам или пришедшие с опозданием, приводят к неудачным входам. Попросите ИТ-отдел пропускать письма LMS через почтовые фильтры.
Продумайте восстановление заранее
При входе без пароля обращения «забыл пароль» практически исчезают. Обычный вопрос в поддержку превращается в «мне не пришёл код», а ответ почти всегда один: проверьте папку со спамом, убедитесь в правильности адреса и запросите новый код.
Администраторам нужно уделить больше внимания. Если вы полагаетесь на единый вход, а у вашего поставщика удостоверений сбой или кто-то по ошибке изменил настройку, вам нужен путь входа, который не зависит от того, что сломалось. Хорошая практика:
- Держите не менее двух администраторов, чтобы потеря доступа одним человеком не оставила организацию без управления.
- Убедитесь, что у администраторов есть путь восстановления, не зависящий от вашего поставщика удостоверений.
- Один раз спокойно проверьте этот путь восстановления до того, как он понадобится вам в тяжёлый день.
- Если вы ограничиваете администраторов диапазонами IP-адресов офиса, проверьте, как будут входить администраторы, работающие удалённо.
Когда добавлять единый вход SAML
Коды из письма и вход через соцсети подходят большинству слушателей. Единый вход SAML стоит добавить, когда:
- Ваши сотрудники уже управляются в Microsoft Entra ID, Okta или Google Workspace.
- Вы хотите, чтобы политики многофакторной аутентификации и доступа вашего поставщика удостоверений распространялись и на обучение.
- Вы хотите, чтобы люди теряли доступ, как только их отключают в каталоге.
- Проверки безопасности или анкеты клиентов требуют единого входа.
Он не решает всего, если много слушателей находятся вне вашего каталога — например, подрядчики, волонтёры, клиенты или сотрудники других организаций. В таком случае используйте SSO для своих сотрудников, а для всех остальных оставьте коды из письма. Подробнее о настройке мы рассказываем в статье единый вход для вашей LMS.
Как это делает Acadenix
В Acadenix паролей нет вообще. Люди входят одним из следующих способов:
- Коды из письма. Человек вводит адрес электронной почты и получает шестизначный код. Он работает один раз в течение пяти минут и перестаёт действовать после трёх неверных попыток. Если запрашивать коды слишком часто, вас попросят подождать.
- Google, Microsoft и LinkedIn. Каждый метод включается или выключается в Settings → Authentication (Настройки → Аутентификация) и может быть ограничен определёнными подтверждёнными доменами электронной почты. Перед сохранением изменения вы видите, скольких людей и сеансов оно затрагивает.
- Ваши собственные приложения для входа. Организации могут использовать собственное приложение Google, Microsoft или LinkedIn. Если это ваше приложение Microsoft, им смогут воспользоваться только аккаунты вашего тенанта.
- Единый вход SAML в тарифе Gold. Подключите Microsoft Entra ID, Okta или Google Workspace. Учётные записи слушателей могут создаваться при первом входе, но только для адресов из доменов электронной почты вашей организации. При первом входе человека через SAML ему по почте отправляется код для подтверждения связи — один раз для каждого человека. Другие включённые вами методы остаются запасным вариантом. См. тарифы и цены.
Для администраторов есть дополнительные меры защиты. Администраторов можно ограничить вашими диапазонами IP-адресов, не затрагивая слушателей, а неактивные сеансы завершаются. Если привычный способ входа перестал работать, администратор всё равно может войти с помощью кода восстановления, отправленного на его электронную почту, и этот путь нельзя отключить. Приостановка учётной записи сразу лишает человека возможности войти, а Email History (История писем) показывает, какие письма были отправлены или не доставлены за последние 30 дней, — без хранения содержимого писем и кодов. Подробнее — на нашей странице о безопасности.
Главное
- Для слушателей, заходящих от случая к случаю, пароли порождают сбросы, повторное использование и обращения в поддержку, почти не добавляя защиты.
- Коды из письма и вход через рабочий аккаунт убирают пароль; ключом становится почтовый ящик или аккаунт провайдера, поэтому защитите его многофакторной аутентификацией.
- Одноразовые коды, которые быстро истекают и допускают мало попыток, делают подбор нецелесообразным, но людям всё равно нужно знать, что код нельзя никому сообщать.
- Продумайте восстановление доступа администраторов и процесс увольнения, прежде чем включать те или иные методы входа.
- Добавляйте единый вход SAML, когда ваши сотрудники живут в центральном поставщике удостоверений, а для всех остальных оставьте коды из письма.
Если пароли — самый частый источник обращений в поддержку по обучению, посмотрите, как вход без пароля работает с вашими собственными сотрудниками. Запросите пробный доступ и настройте методы входа, подходящие вашей организации.
