Osebe in dostop
Povzetek. TrustBridge upravlja osebe, ki ga v imenu organizacije uporabljajo: zaposlene v upravljalni aplikaciji, odgovorne osebe partnerja v partnerskem portalu, odobritelje in revizorje. Osebo povabimo, ob registraciji si nastavi osebni ključ in drugi faktor ter dobi vloge, ki določajo njene pravice. Ko oseba odide, jo onemogočimo z enim samim korakom in vse njene seje se takoj končajo. Dogodki, ki zahtevajo ukrepanje – odobritev, ki čaka, certifikat tik pred iztekom, niz neuspelih prijav –, pridejo do odgovornih oseb kot obvestila, z opomniki in stopnjevanjem. Vsak korak je zapisan v varnostnem revizijskem dnevniku. TrustBridge tako nadzoruje dostop do samega sebe; ponudnik identitet za druge aplikacije ni.
Pojmi
- Oseba – človek, ki upravlja TrustBridge; oseba in njena zgodovina ostaneta zabeleženi tudi po koncu dostopa.
- Račun – dostop osebe do ene organizacije, z osebnim ključem, drugim faktorjem in vlogami.
- Osebni ključ – skrivnost imetnika, s katero se oseba prijavi; podrobnosti so na strani Vmesniki in integracija.
- Drugi faktor – enkratna koda iz aplikacije za preverjanje pristnosti po RFC 6238 (TOTP).
- Vloga – poimenovan sklop pravic znotraj organizacije.
- Nezdružljivi vlogi – vlogi, ki ju ista oseba ne sme imeti hkrati.
- Obvestilo – sporočilo osebam o dogodku, poslano po nastavljenem kanalu.
- Stopnja stopnjevanja – obvestilo širšemu krogu prejemnikov, če zadeva po določenem času še ni zaključena.
Življenjski cikel osebe
stateDiagram [*] --> Povabljena : vabilo ustvarjeno Povabljena --> Zapadla : ni unovčeno v 72 urah Povabljena --> Aktivna : registracija s ključem in drugim faktorjem Aktivna --> Zaklenjena : pet neuspelih poskusov Zaklenjena --> Aktivna : po 15 minutah ali odklepu Aktivna --> Onemogočena : odhod Zaklenjena --> Onemogočena : odhod Onemogočena --> Povabljena : ponovno vabilo Zapadla --> [*]
| Korak | Kdo | Kaj se zgodi |
|---|---|---|
| Vabilo | oseba z vlogo upravljanja oseb | Vabilo navaja organizacijo in vloge. Povabljeni osebi pride kot povezava in koda QR, velja 72 ur in le enkrat. |
| Registracija | povabljena oseba | Unovči vabilo. Nastane njen osebni ključ, ki se shrani v shrambo poverilnic njenega računa Windows. |
| Drugi faktor | povabljena oseba | Z aplikacijo za preverjanje pristnosti skenira kodo QR in potrdi s prvo kodo. Šele nato je račun aktiven. |
| Ključ za odobritev | odobritelji, skupaj z dvema osebama z vlogo upravljanja varnosti | Kdor bo odobraval, dobi še ključ za odobritev na lastni strojni opremi. Vpiše se v pravilnik delavca CA, ne v račun. |
| Onemogočenje | upravljanje oseb | Račun je zaklenjen, vse seje se končajo, osebni ključ ni več veljaven. Če je oseba odobritelj, sprememba pravilnika odstrani njen ključ za odobritev. |
| Vrnitev | upravljanje oseb | Samo z novim vabilom. Ne stari ključ ne stari drugi faktor se ne obnovita. |
Po onemogočenju oseba ostane zabeležena z imenom in dogodki, da varnostni revizijski dnevnik tudi čez leta odgovori na vprašanje, kdo je imel kdaj katere pravice. Onemogočenje osebe ne vpliva na certifikate sistemov: ti pripadajo sistemom, ne osebam.
Prijava in zaklepanje
Osebe se prijavijo z osebnim ključem in drugim faktorjem, v domenah Windows pa lahko tudi prek protokola Kerberos; potek in varnostna analiza sta opisana na strani Vmesniki in integracija. Pred uganjenimi kodami in ukradenimi ključi ščitijo še:
| Zaščita | Nastavitev |
|---|---|
| Zaklep računa | po petih neuspelih poskusih za 15 minut |
| Omejitev po izvoru | število poskusov prijave na omrežni naslov in uro je omejeno; nad mejo se zahteva zavrne, še preden se preveri ključ ali koda |
| Primerjava | kode in ključi se primerjajo v konstantnem času |
| Shranjevanje | ključi in skrivnosti drugega faktorja so shranjeni le kot zgoščena vrednost oziroma šifrirani in se ne pojavijo v nobenem dnevniku |
| Seja | 8 ur, odjava po 30 minutah nedejavnosti; vsaka nova seja dobi nov identifikator |
| Odjava | konča sejo na strežniku, preden jo aplikacija pozabi |
Programi se ne prijavljajo z računom, temveč z odjemalskim certifikatom lastne certifikatne agencije. Njihove pravice so vezane na certifikat; vmes ni nobene osebe.
Vloge
Vloge veljajo za posamezno organizacijo. Oseba ima lahko več vlog, tudi v več organizacijah, na primer kot zaposleni pri operativnem partnerju.
| Vloga | Sme |
|---|---|
| Upravljanje oseb | vabiti in onemogočati osebe, dodeljevati vloge, odpraviti zaklep |
| Upravljanje varnosti | ponastaviti drugi faktor, vpisovati in odstranjevati ključe za odobritev v pravilniku (dve osebi skupaj), nastavljati obvestila |
| Upravljanje naročil | predlagati in stornirati naročila, oddajati naročila za preklic, brati inventar |
| Odobritelj | odobravati naročila z lastnim ključem za odobritev, kadar ga pravilnik za razred profila navaja |
| Upravljanje partnerjev | spreminjati politike razmerij; vsaka sprememba potrebuje dve osebi s to vlogo |
| Revizor | brati register, varnostni revizijski dnevnik in dnevnik povezav ter pripravljati izpise |
Nezdružljivi vlogi. Kdor revidira, ne upravlja tega, kar revidira: vloga revizorja je nezdružljiva
z upravljanjem oseb in z upravljanjem varnosti. Poskus, da bi osebi dodelili nezdružljivo vlogo, se
zavrne z 409 in zabeleži v varnostnem revizijskem dnevniku. Načela štirih oči pri izdajanju ne
uveljavlja upravljanje vlog, temveč delavec CA s pravilom odobritve vsakega razreda profila; glejte
PKI in življenjski cikel certifikatov.
Vsaka dodelitev, vsak odvzem in vsak zavrnjen poskus so zapisani v varnostnem revizijskem dnevniku. Pravice se preverjajo pri vsaki zahtevi, zato odvzem učinkuje že pri naslednji.
Ponastavitev drugega faktorja in odprava zaklepa
Oboje napadalcu odpre vrata, če identiteta osebe, ki prosi, ni ugotovljena. TrustBridge zato pri vsakem od teh dejanj zahteva navedbo, kako je bila identiteta preverjena, in to zapiše v varnostni revizijski dnevnik. Upravljanje oseb odpravi zaklep po prepričljivem preverjanju; upravljanje varnosti ponastavi drugi faktor po strogem preverjanju, vse seje osebe pa se končajo. Brez podatkov o preverjanju je klic zavrnjen.
Koraki so opisani v Odprava zaklepa osebe in Ponastavitev drugega faktorja.
Obvestila
TrustBridge obvesti odgovorne osebe, takoj ko dogodek zahteva ukrepanje. Vsebina in pot sta določeni v predlogah in kanalih, ne v programu: novi prejemniki ali spremenjeno besedilo ne potrebujejo nove različice.
| Dogodek | Prejemniki |
|---|---|
| Vabilo ustvarjeno | povabljena oseba; oseba, ki je vabila, v vednost |
| Registracija zaključena | nova oseba; upravljanje oseb |
| Drugi faktor ponastavljen | prizadeta oseba; upravljanje varnosti |
| Odobritev čaka | odobritelji za razred profila |
| Odobritev zaključena, certifikat izdan | vlagatelj |
| Certifikat poteče čez 30 dni | odgovorni za sistem; upravljanje naročil |
| Certifikat preklican | odgovorni za sistem; upravljanje varnosti |
| Niz neuspelih prijav (pet v eni uri) | prizadeta oseba; upravljanje varnosti |
| Sum zlorabe CA | informacijska varnost, vodstvo obratovanja, upravljanje varnosti |
| Prekinjena veriga varnostnega revizijskega dnevnika | informacijska varnost, vodstvo obratovanja |
| Lastnost | Nastavitev |
|---|---|
| Kanali | e-pošta; zahtevki v ServiceNow ali Request Tracker; webhook v poljuben sistem; Microsoft Teams in Slack; Signal za kritična opozorila. Hkrati je mogoče uporabljati več kanalov. |
| Prejemniki | stalni seznam, vse osebe z neko vlogo, odgovorni za certifikat, oseba, ki je sprožila dogodek, ali njen nadrejeni iz imenika organizacije |
| Jezik | jezikovna nastavitev osebe, sicer privzeti jezik organizacije; predloge v nemščini, angleščini in slovenščini |
| Niti | sporočila o isti zadevi tvorijo pogovor: opomnik in zaključek odobritve sta prikazana kot odgovora na prvo sporočilo |
| Stopnjevanje | stopnje v časovnih razmikih, na primer opomnik po eni uri, nadrejeni po štirih urah, upravljanje varnosti po enem dnevu; zaporedje se ustavi, ko je zadeva zaključena |
| Omejitve | na kanal ter na prejemnika in uro; enaka sporočila v petih minutah se združijo; mirni čas za vsako osebo |
| Kritična opozorila | se nikoli ne omejujejo ali združujejo, imajo svojo pot in se jih ne da odjaviti |
| Poverilnice kanalov | samo iz shrambe skrivnosti, nikoli v konfiguracijski datoteki |
| Zaščita vsebine | vrednosti v predlogah so ubežane; prelomi vrstic v zadevi in prejemnikih se zavrnejo |
| Dokazilo | pošiljanje, neuspeh, stopnjevanje in omejitev so zapisani v varnostnem revizijskem dnevniku, z zadevo in prejemniki; od vsebine le zgoščena vrednost |
Pred uvedbo je mogoče vsako predlogo prikazati z vzorčnimi podatki, ne da bi jo poslali, in jo poslati na testni naslov.
Pregled prijav
Seje in prijave vsake osebe so del verižnega varnostnega revizijskega dnevnika; glejte Revizija in dokazi. Revizorji jih analizirajo brez dostopa do podatkovne baze: seje po osebah in obdobjih, odprte seje, neuspele poskuse po izvoru, nenavadne dostope in popolnost verige. Vsak pregled tudi sam pusti zapis. Več kot 50 neuspelih prijav z istega izvora v eni uri ta izvor blokira in obvesti upravljanje varnosti; prekinjena veriga se takoj sporoči vodstvu obratovanja.
Katera poizvedba odgovori na katero vprašanje, pokaže Pregled in analiza prijav.
Česa osebe in dostop ne pokrivajo
- Ni ponudnik identitet za druge aplikacije. Prijava v ERP, Database Gateway ali druge aplikacije ostane tam; TrustBridge za sisteme zagotavlja preverjeno identiteto partnerja, prijave za osebe pa ne zagotavlja.
- Brez gesel in brez žetonov nosilca. Osebe se prijavijo z osebnim ključem in drugim faktorjem ali prek protokola Kerberos; razlogi so na strani Vmesniki in integracija.
- Brez certifikatov za osebe. Certifikati pripadajo sistemom in storitvam; glejte Scenariji uporabe.
- Brez upravljanja kadrovskih podatkov. Nadrejeni in oddelki prihajajo iz imenika organizacije; TrustBridge jih bere le za obvestila.