Людина, яка заходить до вашої LMS раз на рік на оновлення обов’язкового навчання, ніколи не запам’ятає свій пароль. Тож вона натискає «забув пароль», чекає на лист, вигадує новий пароль, який знову забуде, або здається й створює заявку. Вхід без паролів усуває пароль узагалі. Цей посібник пояснює, як він працює, де насправді ховаються компроміси щодо безпеки та коли варто додати поверх нього єдиний вхід SAML.
Чому паролі підводять слухачів, які заходять нечасто
Паролі найкраще працюють у системах, якими люди користуються щодня. Навчальна платформа часто є повною протилежністю: люди заходять, коли їх записали на курс, коли надійшло нагадування або коли ось-ось спливе термін сертифіката.
Це створює передбачуваний набір проблем:
- Забуті паролі. Коли між входами минають місяці, багато слухачів починають зі скидання пароля, часто в день, коли навчання треба завершити.
- Повторне використання. Люди, які не можуть запам’ятати ще один пароль, використовують той самий, що й деінде. Якщо той інший сайт зламають, ту саму пару пошти й пароля можуть спробувати проти вашої LMS.
- Обхідні шляхи. Суворі правила щодо паролів призводять до паролів на наклейках або до передбачуваних варіацій, як-от додавання щоразу цифри.
- Навантаження на підтримку. Кожне блокування та скидання — це заявка для вашої служби підтримки чи відділу L&D.
Є й менш помітний момент. Більшість систем із паролями дозволяють скидати пароль електронною поштою, а отже, обліковим записом і так керує поштова скринька. Пароль — це те, що люди забувають, а не те, що їх захищає. Вхід без паролів просто робить це очевидним.
Як працює вхід без паролів
Одноразові коди електронною поштою
- Слухач вводить свою адресу електронної пошти.
- LMS генерує короткий випадковий код і надсилає його на пошту.
- Слухач вводить код, а LMS його перевіряє.
Добре продуманий код діє один раз, спливає за лічені хвилини й перестає працювати після кількох помилок. Нічого пам’ятати, нічого, що повторно використовується з іншого сайту, і немає пароля, який міг би витекти.
Деякі системи надсилають замість коду посилання для входу. Коди зручні, коли людина читає пошту на телефоні, а входить на робочому комп’ютері, адже код можна просто ввести вручну.
Облікові записи Google, Microsoft або LinkedIn
За допомогою кнопок «увійти через…» LMS передає вхід провайдеру за стандартними протоколами, як-от OAuth 2.0 і OpenID Connect. Провайдер перевіряє, хто ця людина, зокрема з двоетапною перевіркою її облікового запису, і повідомляє LMS, хто вона та яка її підтверджена адреса електронної пошти. LMS ніколи не бачить її пароля.
Це підходить працівникам, які вже щодня входять до Microsoft 365 чи Google Workspace: один клік — і вони всередині.
Компроміси щодо безпеки: чесно
Вхід без паролів — не чарівна паличка. Він переносить довіру в інше місце, і ви маєте знати, куди.
| Спосіб | Що захищає обліковий запис | На що звернути увагу |
|---|---|---|
| Пароль | Те, що слухач пам’ятає | Повторне використання, слабкі паролі та все одно скидання поштою |
| Код з пошти | Доступ до поштової скриньки слухача | Зламана скринька означає зламаний обліковий запис у LMS |
| Google, Microsoft або LinkedIn | Обліковий запис провайдера та його двоетапна перевірка | Особисті облікові записи перебувають поза вашим контролем |
| Єдиний вхід SAML | Ваш провайдер ідентифікації та його політики | Зусилля з налаштування й залежність від доступності провайдера |
Кілька нюансів, які варто розуміти:
- Найважливіший — поштовий обліковий запис. Той, хто може читати пошту слухача, може входити від його імені. Багатофакторна автентифікація на робочих поштових скриньках робить для безпеки LMS більше, ніж будь-яке правило щодо паролів.
- Термін дії та обмежена кількість спроб зупиняють підбір. Шестицифровий код має близько мільйона можливих значень, тож три спроби дають тому, хто підбирає, шанс лише кілька на мільйон, а кожен код живе кілька хвилин. Обмеження на частоту запитів кодів сповільнюють підбір ще більше.
- Коди все ж можна виманити фішингом. Фальшива сторінка входу може попросити код і одразу ним скористатися. Навчіть людей вводити коди лише на справжній адресі вашої LMS і пам’ятати, що ніхто, зокрема підтримка, ніколи не проситиме їх назвати код.
- Спільні поштові скриньки послаблюють ваші записи. Якщо одну скриньку можуть читати кілька людей, будь-хто з них може увійти від імені її власника. Щоб записи про навчання мали сенс, кожен слухач потребує власної адреси.
- Тих, хто йде, потрібно вилучати всюди. Особистий обліковий запис Google чи LinkedIn не зникає, коли людина звільняється. Призупиніть або архівуйте його в LMS у межах процесу звільнення, а не лише у вашому каталозі.
- Доставка пошти — частина системи. Коди, що потрапляють у спам або приходять із запізненням, призводять до невдалих входів. Попросіть ІТ дозволити листам LMS проходити крізь ваші поштові фільтри.
Плануйте відновлення доступу заздалегідь
Із входом без паролів заявки «забув пароль» здебільшого зникають. Типове запитання до підтримки стає таким: «Я не отримав код», а відповідь майже завжди — перевірити папку зі спамом, підтвердити адресу й запросити новий код.
Адміністраторам треба приділити більше уваги. Якщо ви покладаєтеся на єдиний вхід, а у вашого провайдера ідентифікації збій або якесь налаштування змінили помилково, вам потрібен шлях усередину, який не залежить від того, що зламалося. Добра практика:
- Тримайте принаймні двох адміністраторів, щоб втрата доступу однією людиною не заблокувала всю організацію.
- Переконайтеся, що в адміністраторів є шлях відновлення, який не залежить від вашого провайдера ідентифікації.
- Спробуйте цей шлях відновлення один раз, спокійно, ще до того, як він знадобиться в поганий день.
- Якщо ви обмежуєте адміністраторів діапазонами IP-адрес офісу, продумайте, як заходитимуть віддалені адміністратори.
Коли додати єдиний вхід SAML
Коди з пошти та вхід через соціальні акаунти підходять більшості слухачів. Єдиний вхід SAML варто додати, коли:
- Інформація про ваших працівників уже міститься в Microsoft Entra ID, Okta або Google Workspace.
- Ви хочете, щоб політики багатофакторної автентифікації та доступу вашого провайдера ідентифікації діяли й для навчання.
- Ви хочете, щоб люди втрачали доступ, щойно їх вимикають у вашому каталозі.
- Перевірки безпеки чи анкети клієнтів вимагають єдиного входу.
Це не повна відповідь, якщо багато слухачів перебувають поза вашим каталогом, як-от підрядники, волонтери, клієнти чи працівники інших організацій. У такому разі використовуйте SSO для власних працівників, а для решти залиште коди з пошти. Налаштування ми розглядаємо докладніше в матеріалі про єдиний вхід для вашої LMS.
Як це робить Acadenix
В Acadenix немає паролів узагалі. Люди входять одним із таких способів:
- Коди з пошти. Люди вводять свою електронну адресу й отримують шестицифровий код. Він діє один раз протягом п’яти хвилин і перестає працювати після трьох помилок. Якщо запитувати коди занадто часто, вас попросять зачекати.
- Google, Microsoft і LinkedIn. Кожен спосіб вмикається або вимикається в Settings → Authentication (налаштування → автентифікація) і може бути обмежений певними підтвердженими доменами електронної пошти. Перш ніж зміну буде збережено, ви бачите, скількох людей і сеансів вона стосується.
- Ваші власні застосунки для входу. Організації можуть використовувати власний застосунок Google, Microsoft чи LinkedIn. З власним застосунком Microsoft ним можуть скористатися лише облікові записи у вашому тенанті.
- Єдиний вхід SAML у тарифі Gold. Підключіть Microsoft Entra ID, Okta або Google Workspace. Облікові записи слухачів можуть створюватися під час першого входу, але лише для адрес у доменах електронної пошти вашої організації. Коли людина вперше входить через SAML, на пошту надсилається код для підтвердження зв’язку, один раз для кожної людини. Інші ввімкнені вами способи лишаються запасним варіантом. Див. тарифи та ціни.
Для адміністраторів передбачено додаткові запобіжники. Адміністраторів можна обмежити вашими діапазонами IP-адрес, не зачіпаючи слухачів, а неактивні сеанси завершуються. Якщо ваш звичний вхід перестає працювати, адміністратор усе одно може увійти за кодом відновлення, надісланим на його пошту, і цей шлях не можна вимкнути. Призупинення облікового запису одразу забороняє людині входити, а Email History (історія листів) показує, які листи було надіслано чи не вдалося надіслати за останні 30 днів, не зберігаючи вмісту повідомлень чи кодів. Докладніше — на нашій сторінці безпеки.
Головне
- Для слухачів, які заходять нечасто, паролі створюють скидання, повторне використання й заявки, не додаючи особливого захисту.
- Коди з пошти та вхід через робочий обліковий запис усувають пароль; ключем стає поштова скринька чи обліковий запис провайдера, тож захищайте його багатофакторною автентифікацією.
- Одноразові коди, що швидко спливають і дають кілька спроб, роблять підбір недоцільним, але люди все одно мають знати, що ділитися кодом ніколи не можна.
- Заплануйте відновлення доступу для адміністраторів і процес звільнення до того, як увімкнете нові способи входу.
- Додайте єдиний вхід SAML, коли ваші працівники «живуть» у центральному провайдері ідентифікації, а для решти залиште коди з пошти.
Якщо паролі — найбільше джерело заявок до підтримки з питань навчання, подивіться, як вхід без паролів працює з вашими власними людьми. Запросіть пробний доступ і налаштуйте способи входу, що підходять вашій організації.
