A céges fiók kiválasztása a notebookon, a bejelentkezés jóváhagyása az eszközön, majd a munka folytatása: a hozzáférési kulcs egyszerűsítheti a munkanapot. Ehhez vállalati környezetben az engedélyezett eszközök, a pótlás és a helyreállítás terve is szükséges.
Mi történik valójában a bejelentkezéskor?
A hozzáférési kulcs, vagyis passkey FIDO-szabványokon és egy kriptográfiai kulcspáron alapuló bejelentkezési hitelesítő adat. A szolgáltatás a nyilvános kulcsot ismeri. A hozzá tartozó magánkulcsot a hitelesítő használja, például okostelefonon, számítógépen vagy biztonsági kulcson. Bejelentkezéskor digitális aláírással válaszol a szolgáltatás kihívására. Ehhez nincs szükség a webhellyel közösen tárolt bejelentkezési jelszóra.
A WebAuthn az ilyen webes bejelentkezés szabványos felülete; a FIDO2 az alapul szolgáló eljárásokat foglalja össze. A munkatársaknak elsősorban a látható folyamat fontos: a fiók és a cél ellenőrzése, majd jóváhagyás eszköz-PIN-nel vagy megfelelő biometrikus ellenőrzéssel. A felkínált lehetőségek a szolgáltatástól, operációs rendszertől, böngészőtől és kulcsszolgáltatótól függnek.
Miért más, mint a jelszó és egyszeri kód?
A jelszót és a kézzel beírt SMS- vagy alkalmazáskódot hamis bejelentkezési oldal is bekérheti és továbbíthatja. A WebAuthn a hitelesítő adatot a kijelölt szolgáltatáshoz köti. Ez adathalászat-ellenállóvá teszi a hozzáférési kulcsos bejelentkezést. Egy fertőzött végpontot, ellopott munkamenetet vagy gyenge helyreállítást azonban nem tesz automatikusan biztonságossá.
A helyi eszközjóváhagyás nem a webhely második jelszava. Az előírt többtényezős hitelesítés vagy hitelesítési erősség teljesülését a tényleges eljárás és szabályzat alapján kell értékelni. Egy tetszőleges kulcs bármely gombjának megnyomása ehhez nem elegendő leírás. Források: FIDO Alliance: a hozzáférési kulcsok magyarázata (külső hivatkozás).
Eszközhöz kötött vagy szinkronizált: a döntő különbség
Az eszközhöz kötött hozzáférési kulcsok az adott hitelesítőn maradnak. Ez lehet megfelelően támogatott telefon vagy FIDO2 biztonsági kulcs. Egy új kulcs vagy cseretelefon nem rendelkezik ezzel a hitelesítő adattal pusztán azért, mert ugyanahhoz a személyhez tartozik. Másik engedélyezett hitelesítőt kell regisztrálni, vagy előkészített helyreállítási folyamatot használni.
A szinkronizált hozzáférési kulcsok egy kulcsszolgáltatón keresztül ugyanannak a személynek más jogosult eszközeire is eljuthatnak. Ezért fontos a szolgáltatói fiók, annak védelme és helyreállítása. A támogatott eszközök és átviteli utak szolgáltatófüggők. Ebből nem következik tetszőleges export minden platform között vagy automatikus bekerülés a vállalati felügyeletbe.
| Változat | Mi történik eszközcserekor? | Üzembe helyezés előtt tisztázandó |
|---|---|---|
| Eszközhöz kötött hozzáférési kulcs | Új hitelesítő regisztrálása vagy a kijelölt helyreállítási út használata. | A pótlás és a felelősség független előkészítése. |
| Szinkronizált hozzáférési kulcs | A megfelelő szolgáltatón át támogatott eszközön elérhető; a szolgáltató helyreállítási útja fontos. | Engedélyezett szolgáltatói fiók, eszközök és fiókvédelem meghatározása. |
| Eszközök közötti bejelentkezés | Meglévő hitelesítő használata másik eszközön nem jelent másolást. | A támogatott kombináció és a céleszköz biztonságos munkamenetének tesztje. |
A telefon a kulcs másolása nélkül is bejelentkeztethet
Egy feltételezett munkafolyamat: egy munkatárs jóváhagyott céges portált nyit meg a tárgyaló notebookján. Engedélyezett okostelefonja megerősíti a bejelentkezést. Támogatott eszközök közötti eljárás esetén a telefon hitelesítőjét használja. Ez különbözik a szinkronizálástól vagy a notebookon történő állandó regisztrációtól.
Az ilyen folyamat közelségellenőrzést és további műszaki feltételeket igényelhet. A ténylegesen használt eszközökkel és böngészőkkel kell tesztelni. Közös számítógépen a helyes fiókra, megfelelő munkamenethosszra és az utólagos kijelentkezésre is figyelni kell. A közelben lévő telefon nem helyettesíti ezeket a szervezési lépéseket.
A magán- és felügyelt eszközök tudatos elkülönítése
Ha a céges hozzáférés kizárólag személyes platformfiókban szinkronizálódik, az üzleti helyreállítás egy személy magánfiókjától függhet. Ezért előre rögzíteni kell, mely szolgáltatók, eszközök és kulcstípusok engedélyezettek az egyes csoportoknak. A felügyelt eszköz bizonyos előírásokat megkönnyít; a felügyelet azonban nem teszi automatikusan olvashatóvá az összes magánkulcsot az adminisztrátor számára.
Az ellenőrzött dokumentáció szerint a Microsoft Entra ID támogatja a szinkronizált és eszközhöz kötött hozzáférési kulcsokat, és kulcsprofilokkal csoportokra alkalmazhat követelményeket. Ez nem hagy jóvá minden kombinációt: regisztrációnak, meglévő jogosultságoknak, eszköztámogatásnak és szabályzatoknak összhangban kell állniuk. Források: Microsoft: hozzáférési kulcsok és profilok az Entra ID-ban (külső hivatkozás).
A pótlást és a kilépést a széles bevezetés előtt kell rendezni
A pilot a sikeres bejelentkezés mellett elveszett telefont, hibás biztonsági kulcsot és zárolt szolgáltatói fiókot is vizsgál. A védelmi igény szerint függetlenül regisztrált tartalék hitelesítőt vagy ellenőrzött helyreállítási utat kell előkészíteni. Az eszközcsere nem megfelelő időpont a felelős és a szükséges bizonyítékok keresésének elkezdésére.
Kilépéskor a céges hozzáférést az identitásszolgáltatásban vagy célrendszerben le kell tiltani, a regisztrált módszereket pedig megfelelően visszavonni. A személyes szinkronizálási fiók másolata ettől nem feltétlenül tűnik el a magáneszközről; az számít, hogy a céges belépés már ne fogadja el. A meglévő munkameneteket és más belépési utakat külön kell kezelni. Ebből nem következik a magáneszközök általános távoli törlése.
Mi történik az ujjlenyomattal és az arcadatokkal?
WebAuthn-bejelentkezéskor a szolgáltatás nem kap biometrikus jellemzőket, például ujjlenyomatot vagy arcsablont. Az ellenőrzés helyben, a hitelesítőn történik; a szolgáltatás a kriptográfiai bizonyítékot és az előírt ellenőrzési információkat kapja. Az eszköz PIN-je sem webhelyjelszóként kerül továbbításra. Az eszközön és a kulcsszolgáltatónál történő pontos adatkezelés ettől még a kiválasztás része.
Források: W3C: helyi biometrikus ellenőrzés WebAuthn esetén (külső hivatkozás). Ez nem jelenti azt az általános állítást, hogy egy részt vevő felhőszolgáltató egyáltalán nem kezel fiókadatokat vagy metaadatokat.
Kezdés egy átlátható pilottal
A DAXS segít a megfelelő szolgáltatások és eszközök kiválasztásában, a szerepek és helyreállítás egyeztetésében, valamint dokumentált eredményű pilotban. A normál belépést, pótlást, közös munkaállomásokat és kilépést ellenőrzik. Csak ezután döntenek a vállalatszerte használandó eljárásokról.
A hozzáférési kulcsok bevezetésének egyeztetése · Munkaállomások és identitások tervezése · Közös céges hozzáférések rendezett kezelése
Gyakori kérdések
Egyszerűen átmásolhatom az eszközhöz kötött kulcsot egy új telefonra?
Az eszközhöz kötött hozzáférési kulcsoknál éppen ez nem tervezett lehetőség. A szinkronizált kulcsok elérhetővé válhatnak a megfelelő szolgáltatói fiók támogatott eszközein. A konkrét csereutat előre tesztelni kell.
Mindenkinek saját magántelefonját kell használnia?
Ezt a vállalati üzemeltetési koncepció határozza meg. A szolgáltatás és az előírások szerint felügyelt eszközök, megfelelő biztonsági kulcsok vagy más támogatott hitelesítők jöhetnek szóba.
Kiváltja a hozzáférési kulcs a cég összes jogosultságát?
Egy fiókba történő bejelentkezést igazol. Az, hogy a fiók mely alkalmazásokat és adatokat használhatja, továbbra is a felhasználó- és jogosultságkezelés külön feladata.
