Modul 7 · 7.3
Användare, roller och tvåfaktorsautentisering
Modul 7: Samarbete, appar och säkerhet · Lästid: 11 minuter
Lärandemål: Efter den här lektionen kan du sätta upp användare och administratörer i din nya tjänst på ett säkert sätt, välja rätt form av tvåfaktorsautentisering och skapa en fast rutin för nya och avslutande kollegor.
Nyckelbegrepp: konto per person, administratör, ägare, roll, minsta behörighet, tvåfaktorsautentisering (2FA), TOTP, passkey, säkerhetsnyckel, WebAuthn, backupkoder, app-lösenord, återkalla session, enkel inloggning (SSO), nyanställning och avslut (onboarding och offboarding), överföra ägarskap
Ett byte är ett tillfälle att städa upp
Vid inventeringen (lektion 3.1) framkom att Bakkerij De Korrel har 15 Google-konton för 12 personer. Två tillhör personer som slutat för länge sedan, och ett konto, winkel@example.com, används av fyra personer med samma lösenord, som sitter på en lapp vid kassan. Det är vanligt. Vid bytet tar du inte med dig sådana vanor, utan gör det rätt direkt.
Ett konto per person
Grundregeln: varje person ett eget konto, med ett eget lösenord och ett eget andra steg. Varför?
- Du ser vem som har gjort vad (aktivitet, versioner, vem som har delat).
- Slutar någon stänger du av ett konto, och ingen behöver lära sig ett nytt lösenord.
- Tvåfaktorsautentisering fungerar bara bra om det andra steget hör till en person.
Delade adresser som winkel@example.com eller info@example.com finns kvar, men som delad brevlåda, alias eller grupp: flera personer läser med med sitt eget konto. Hur det heter och fungerar varierar mellan leverantörer (lektion 4.4).
Roller: vem får göra vad?
I varje molntjänst finns minst tre nivåer:
| Roll | Vad | Hos De Korrel |
|---|---|---|
| Leverantör | Servern, säkerhet, uppdateringar, backuper av systemet | Molntjänsten |
| Administratör eller ägare | Skapa och stänga av användare, återställa lösenord, licenser, lagring | Ägaren Fatima och kontorschefen Ruud |
| Användare | Egna filer, dela, kalender, lösenord och andra steg | Alla |
Två tumregler:
- Minsta behörighet. Ge någon bara de rättigheter personen behöver. En bagare behöver inte kunna skapa användare.
- Minst två administratörer. Finns det bara en, och den personen är sjuk, på semester eller har slutat, kan ingen återställa ett lösenord eller säga upp tjänsten. Två administratörer, båda med eget konto och eget andra steg, och uppgifterna om administratörskontot hos leverantören (avtalet) står i organisationens namn, inte en enskild persons.
Observera skillnaden mellan administration av paketet och åtkomst till filer. En bra tjänst låter en administratör hantera konton utan att kunna se andras filer. Men den som kan återställa ett lösenord kan därefter logga in som den personen, om det andra steget går till en adress administratören kan läsa. Välj därför för varje användare dennes egen e-postadress som återställnings- och kodadress.
Tvåfaktorsautentisering: varför och vilken
Ett lösenord räcker inte. Lösenord läcker vid dataintrång hos andra webbplatser, gissas eller lurras fram med nätfiske. Det nederländska Nationaal Cyber Security Centrum (NCSC) rekommenderar tvåfaktorsautentisering överallt där det går. Med tvåfaktorsautentisering (2FA) behöver du, förutom ditt lösenord, något du har: din telefon, en nyckel eller din brevlåda.
| Andra steget | Hur det fungerar | Starkt och svagt |
|---|---|---|
| Kod via e-post | Tjänsten mejlar en kod | Enkelt, lika säkert som din brevlåda. Skydda den därför väl |
| Kod via sms | Tjänsten sms:ar en kod | Bättre än inget, sårbart om någon tar över ditt nummer (sim-kortsbedrägeri) |
| Autentiseringsapp (TOTP) | En app på telefonen skapar var 30:e sekund en ny sexsiffrig kod | Fungerar offline, mycket använt. En falsk webbplats kan ändå fånga upp en kod om du fyller i den där |
| Meddelande på en annan enhet | Du godkänner inloggningen på en enhet där du redan är inloggad | Enkelt, se upp så att du inte trycker på "godkänn" utan att tänka efter |
| Passkey eller säkerhetsnyckel (WebAuthn) | Din telefon, dator eller en nyckel (till exempel en YubiKey) bekräftar med fingeravtryck, ansikte eller pinkod | Starkast mot nätfiske: fungerar bara på den riktiga webbplatsen |
TOTP står för time-based one-time password, beskrivet i RFC 6238. Tjänsten och din app delar en hemlig nyckel (som du för över med en QR-kod) och räknar båda ut samma kod utifrån nyckeln och tiden. Därför måste klockan på din telefon stämma.
Passkeys bygger på standarden WebAuthn från W3C och FIDO. Din enhet skapar ett nyckelpar per webbplats. Eftersom nyckeln är kopplad till webbplatsens riktiga adress kan en falsk webbplats inte använda den. Allt fler tjänster stödjer passkeys som andra steg eller till och med i stället för lösenordet.
Backupkoder och dagen din telefon är borta
Varje andra steg kan falla bort: telefonen är borta, trasig, en ny telefon utan att appen förts över. Därför:
- Skapa backupkoder (oftast tio koder som var och en fungerar en gång) och förvara dem inte på samma telefon. Utskrivna bland dina viktiga papper, eller i en lösenordshanterare (lektion 7.4).
- Aktivera minst två metoder, till exempel autentiseringsapp plus e-postkod, eller passkey plus backupkoder.
- Ny telefon? För över autentiseringskontona först, innan du raderar eller lämnar in den gamla.
Blir någon ändå utelåst hjälper administratören (till exempel genom att ändra e-postadressen till en adress användaren kan läsa), eller leverantören, efter en kontroll av vem som gör förfrågan. Det tar medvetet lite tid: en leverantör som stänger av det andra steget utan kontroll hjälper även en bedragare.
App-lösenord och sessioner
Appar som inte kan fylla i det andra steget får ett eget app-lösenord (lektion 7.2). Ett per app och enhet, med ett igenkännbart namn. I översikten över enheter och sessioner ser du var någon är inloggad. Där drar du in en stulen telefon eller en gammal laptop. Titta där då och då, och säkerligen vid varje avslut.
Enkel inloggning (SSO)
Större organisationer låter människor logga in hos flera tjänster med ett konto: enkel inloggning eller SSO, ofta via standarder som SAML eller OpenID Connect. Observera: använder du nu "Logga in med Google" eller "Logga in med Microsoft" hos andra tjänster (bokföring, planering, webbutik), förlorar du den åtkomsten om du avslutar ditt Google- eller Microsoft-konto. Det framkom som en dold koppling i din inventering (lektion 3.1). Ställ om dessa tjänster till inloggning med e-post och lösenord, eller till din nya SSO, innan du säger upp kontot.
Nyanställning och avslut: en fast rutin
De flesta problem uppstår inte vid bytet, utan ett år senare, när någon slutar och ingen vet vad som ska göras. Lägg därför fast en rutin nu (uppgift E7.3):
Ny kollega: skapa konto med egen e-postadress, tilldela grupper och licenser, lämna över uppgifterna säkert (lösenord via en annan kanal), gör den första inloggningen tillsammans, ställ in andra steget och backupkoder, installera appar.
Avslutande kollega: först överföra ägarskap för filer och mappar (i många tjänster försvinner ett raderat konto med alla filer permanent), flytta över delade kalendrar och mappar, frigör licensen, stäng av kontot (radera inte direkt), återkalla app-lösenord och sessioner, vidarebefordra e-post eller behåll som delad brevlåda, och radera först efter en överenskommen tid.
I praktiken: så ser det ut hos en leverantör
Hos en WebOké Nextcloud är ingen administratör i Nextcloud självt. Ägaren av paketet hanterar användare i Mitt WebOké, under Användarhantering på paketsidan: lägga till användare, ändra lösenord, stänga av eller radera, samt slå på eller av Office-licensen. Varje användare sköter sin egen säkerhet i Nextcloud under Inställningar, Säkerhet: koden via e-post är alltid aktiverad, och där aktiverar du en autentiseringsapp (TOTP), backupkoder, en passkey och app-lösenord, och ser Enheter & sessioner.
Hos andra leverantörer fungerar det på liknande sätt: det finns en administrationsmiljö för konton och en säkerhetssida per användare. Namnen på knapparna skiljer sig åt.
Sammanfattning
- Ett konto per person; delade adresser blir delade brevlådor eller grupper.
- Minsta behörighet och minst två administratörer; avtalet i organisationens namn.
- Aktivera tvåfaktorsautentisering för alla. Passkeys och säkerhetsnycklar är starkast mot nätfiske; TOTP är ett bra och mycket använt val.
- Backupkoder inte på samma telefon, och minst två metoder.
- Lägg fast en rutin för nyanställning och avslut: först överföra, sedan stänga av, radera först senare.
Quiz
Uppgift
Uppgift E7.3: Roller och rutin för nyanställning och avslut. Gör en rolltablå för din organisation (vem är administratör, vem är inte det, vem är den andra administratören) och fyll i checklistan för nyanställning och avslut för din egen tjänst. Aktivera tvåfaktorsautentisering för ditt eget konto och bekräfta att dina backupkoder förvaras utanför telefonen.
Uppgift E7.3: Roller samt in och utträdesrutin
Fyll i rollöversikten och båda rutinerna för din egen tjänst, och aktivera 2FA på ditt eget konto.
Dina bockar och anteckningar sparas bara i den här webbläsaren; vi skickar dem ingenstans. Är du inloggad sparar vi i Mina kurser bara att du har gjort uppgiften.
Läs mer
Stegen i dessa artiklar gäller för WebOkés tjänster; hos andra leverantörer fungerar det på liknande sätt.
- Nextcloud-guide 3.1: Hur skyddar WebOké din Nextcloud?
- Nextcloud-guide 3.3: En authenticator-app ställa in och reservkoder spara
- Nextcloud-guide 3.5: Applösenord: när och hur
- Nextcloud-guide 3.6: Enheter och sessioner visa, återkalla eller rensa på distans
- Nextcloud-guide 3.10: Tappat bort telefonen eller 2FA: så här loggar du in igen
- Nextcloud-guide 14.2: Skapa, redigera, inaktivera och ta bort användare
- Nextcloud-guide 14.7: Rättigheter: vem administrerar vad i din Nextcloud?
- Nextcloud-guide 16.7: Kollega slutar: ta över filer, kalender och delade mappar på ett säkert sätt
- WebOké manual 3.3: Använda en autentiseringsapp
- Aktivera tvåstegsverifiering (2FA) i Nextcloud
- Skapa ett applösenord (behövs för att ansluta appar och enheter)
- NCSC (nederländska), Ransomware uitgelegd (med rekommendationen att använda tvåfaktorsautentisering överallt): https://www.ncsc.nl/ransomware/ransomware-uitgelegd
- RFC 6238 (TOTP): https://www.rfc-editor.org/rfc/rfc6238
- W3C Web Authentication (WebAuthn): https://www.w3.org/TR/webauthn-3/ och FIDO Alliance om passkeys: https://fidoalliance.org/passkeys/