Δικαιώματα και ελάχιστη διαχείριση

Ενότητα 7: Πρόσβαση, προμηθευτές και cloud · Χρόνος ανάγνωσης: 10 λεπτά

Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να οργανώσετε τα δικαιώματα πρόσβασης σύμφωνα με την αρχή «όσο το δυνατόν λιγότερα»: κάθε άτομο με δικό του λογαριασμό, δικαιώματα διαχειριστή ξεχωριστά, εξωτερικούς συνεργάτες με προσωρινή και περιορισμένη πρόσβαση, και μια σταθερή διαδικασία για όταν κάποιος ξεκινά, αλλάζει ρόλο ή αποχωρεί.
Βασικές έννοιες: least privilege, προσωπικός λογαριασμός, κοινόχρηστος λογαριασμός, λογαριασμός διαχειριστή, διαχωρισμός καθηκόντων, είσοδος, μετακίνηση και αποχώρηση προσωπικού, επισκόπηση πρόσβασης

Η αρχή: όσο το δυνατόν λιγότερα

Το least privilege (στα ελληνικά: αρχή των ελάχιστων απαιτούμενων δικαιωμάτων) σημαίνει ότι κάθε άτομο λαμβάνει ακριβώς την πρόσβαση που χρειάζεται για την εργασία του, και όχι περισσότερη. Το NIST το περιγράφει ως μια αρχή σύμφωνα με την οποία οι χρήστες διαθέτουν μόνο τα δικαιώματα που είναι απολύτως απαραίτητα για τις εργασίες τους.

Γιατί είναι σημαντικό αυτό; Επειδή κάθε λογαριασμός μπορεί αργά ή γρήγορα να παραβιαστεί: μέσω phishing (ενότητα 3), ενός διαρρεύσαντος κωδικού πρόσβασης (μάθημα 1.4) ή ενός μολυσμένου laptop. Το τι μπορεί τότε να κάνει ένας εισβολέας εξαρτάται εξολοκλήρου από τα δικαιώματα αυτού του λογαριασμού. Ο λογαριασμός ενός ασκούμενου που ασχολείται μόνο με τα social media δίνει ελάχιστη πρόσβαση. Ο λογαριασμός κάποιου που «για ευκολία» έχει δικαιώματα διαχειριστή παντού, δίνει τα πάντα: email, πληρωμές, τον ιστότοπο, τα αντίγραφα ασφαλείας.

Τα ελάχιστα δικαιώματα δεν μειώνουν λοιπόν την πιθανότητα μιας εισβολής, αλλά μειώνουν τη ζημιά. Είναι η ίδια λογική με τα κλειδιά ενός κτιρίου: η καθαρίστρια έχει κλειδί της εξώπορτας, όχι του χρηματοκιβωτίου.

Κάθε άτομο με δικό του λογαριασμό

Ένας κοινόχρηστος λογαριασμός είναι ένας λογαριασμός στον οποίο συνδέονται πολλά άτομα με τον ίδιο κωδικό πρόσβασης: «όλοι χρησιμοποιούμε το info@example.com για να συνδεόμαστε στο λογιστικό πρόγραμμα». Φαίνεται πρακτικό, αλλά έχει τέσσερα σοβαρά μειονεκτήματα:

1. Δεν ξέρετε ποιος έκανε τι. Στο αρχείο καταγραφής εμφανίζεται μόνο το «info». Αν αλλάξει μια πληρωμή, δεν μπορείτε να εντοπίσετε ποιος το έκανε.
2. Δεν μπορείτε να αποκλείσετε κάποιον μεμονωμένα. Όταν κάποιος αποχωρεί, πρέπει να αλλάξετε τον κωδικό πρόσβασης για όλους, κάτι που στην πράξη συχνά δεν γίνεται.
3. Ο έλεγχος ταυτότητας δύο παραγόντων (2FA) λειτουργεί άσχημα. Ο κωδικός φτάνει σε ένα μόνο τηλέφωνο, οπότε είτε απενεργοποιείται το 2FA είτε ο κωδικός στέλνεται σε όλους.
4. Ο κωδικός πρόσβασης κυκλοφορεί μέσω WhatsApp, σημειωμάτων και email, και έτσι παύει να είναι μυστικός.

Ένας προσωπικός λογαριασμός λύνει όλα αυτά: δική του σύνδεση, δικό του 2FA, δικό του αρχείο καταγραφής, δυνατότητα ξεχωριστού αποκλεισμού. Σχεδόν κάθε επαγγελματική υπηρεσία υποστηρίζει πολλούς χρήστες με δικά τους δικαιώματα. Μια κοινόχρηστη διεύθυνση email όπως info@ μπορεί κάλλιστα να εξακολουθήσει να υπάρχει ως διεύθυνση· φροντίστε τα άτομα που τη διαβάζουν να αποκτούν πρόσβαση μέσω του δικού τους λογαριασμού, εφόσον το σύστημα email σας το υποστηρίζει.

Δικαιώματα διαχειριστή ξεχωριστά

Ένας λογαριασμός διαχειριστή μπορεί να δημιουργεί χρήστες, να αλλάζει δικαιώματα, να μεταβάλλει ρυθμίσεις και συχνά και να διαγράφει δεδομένα. Ακριβώς γι' αυτό πρέπει να τον χρησιμοποιείτε όσο το δυνατόν λιγότερο.

• Εργάζεστε καθημερινά με έναν απλό λογαριασμό και συνδέεστε ως διαχειριστής μόνο όταν χρειάζεται να διαχειριστείτε κάτι. Αυτό ισχύει και για το laptop σας (μάθημα 5.2).
• Φροντίστε να υπάρχουν τουλάχιστον δύο άτομα με δικαιώματα διαχειριστή στις σημαντικότερες υπηρεσίες, ή έναν καλά φυλαγμένο εφεδρικό λογαριασμό. Αν ο μοναδικός διαχειριστής είναι άρρωστος ή απουσιάζει, μένετε μπλοκαρισμένοι.
• Αλλά και όχι περισσότεροι απ' όσους χρειάζονται. Πέντε διαχειριστές σε μια επιχείρηση οκτώ ατόμων είναι τέσσερις παραπάνω.
• Ενεργοποιήστε σε κάθε λογαριασμό διαχειριστή τον έλεγχο ταυτότητας δύο παραγόντων, κατά προτίμηση με μέθοδο ανθεκτική στο phishing (μάθημα 2.4).

Ο διαχωρισμός καθηκόντων πηγαίνει ένα βήμα παραπέρα: ένα άτομο δεν πρέπει μόνο του να εκτελεί μια ευαίσθητη ενέργεια από την αρχή μέχρι το τέλος. Το πιο γνωστό παράδειγμα το είδατε στο μάθημα 1.2: όποιος καταχωρεί ένα νέο IBAN προμηθευτή, δεν εγκρίνει και ο ίδιος την πληρωμή. Σε μια μικρή επιχείρηση αυτό μπορεί να γίνει απλά: ο ένας προετοιμάζει την πληρωμή, ο άλλος την εγκρίνει στην εφαρμογή της τράπεζας.

Εξωτερικοί συνεργάτες: προσωρινά και περιορισμένα

Κατασκευαστές ιστότοπων, λογιστές, εταιρείες πληροφορικής και freelancers συχνά χρειάζονται πρόσβαση. Το κλασικό λάθος είναι να τους δίνετε τον δικό σας κωδικό πρόσβασης. Τότε μπορούν να κάνουν ό,τι κι εσείς, και μετά δεν ξέρετε πλέον ποιος μπορεί ακόμη να μπει.

Καλύτερα:

• Δώστε έναν δικό τους λογαριασμό με μόνο τα δικαιώματα που χρειάζονται. Ένας λογιστής χρειάζεται μόνο τα τιμολόγια· ένας κατασκευαστής ιστότοπου μόνο τα αρχεία ενός ιστότοπου.
• Δώστε πρόσβαση με ημερομηνία λήξης αν πρόκειται για συγκεκριμένη εργασία. Πολλά συστήματα μπορούν να λήγουν αυτόματα έναν λογαριασμό ή ένα κλειδί.
• Περιορίστε, όπου είναι δυνατόν, από ποιο δίκτυο επιτρέπεται σε κάποιον να συνδέεται.
• Καταγράψτε ποιος έχει ποια εξωτερική πρόσβαση, και γιατί.

Είσοδος, μετακίνηση και αποχώρηση προσωπικού

Τα δικαιώματα μεγαλώνουν από μόνα τους. Κάποιος ξεκινά στις πωλήσεις, βοηθά για μερικούς μήνες στη διοίκηση και μετά πηγαίνει στην παραγωγή. Αν κανείς δεν προσέχει, μετά από δύο χρόνια αυτό το άτομο έχει τα δικαιώματα και των τριών ρόλων. Γι' αυτό ρυθμίζετε τα δικαιώματα σε τρεις στιγμές:

Στην αποχώρηση, η σειρά είναι σημαντική. Πρώτα μεταφορά, μετά απενεργοποίηση, αργότερα διαγραφή. Αν διαγράψετε αμέσως έναν λογαριασμό, σε πολλές υπηρεσίες εξαφανίζονται μαζί του και τα αρχεία, τα ημερολόγια και το email αυτού του ατόμου. Σε ορισμένες υπηρεσίες cloud αυτό γίνεται οριστικό μετά από σύντομο χρονικό διάστημα: το Microsoft 365, σύμφωνα με τη δική του τεκμηρίωση, διατηρεί το OneDrive ενός διαγραμμένου χρήστη εξ ορισμού για 30 ημέρες. Η απενεργοποίηση διατηρεί τα δεδομένα και κλείνει την πρόσβαση.

Μην ξεχνάτε κατά την αποχώρηση και: κανόνες προώθησης που έχει ρυθμίσει το άτομο (μάθημα 2.5), κωδικούς πρόσβασης εφαρμογών, πρόσβαση στην εφαρμογή της τράπεζας, τα social media και τον καταχωρητή (registrar) του domain σας, καθώς και κλειδιά ή κάρτες πρόσβασης του κτιρίου.

Η επισκόπηση πρόσβασης

Μια επισκόπηση πρόσβασης είναι ένας απλός πίνακας: ανά υπηρεσία, ποιος έχει πρόσβαση, με ποια δικαιώματα, και αν πρόκειται για δικό του ή εξωτερικό λογαριασμό. Ελέγχετε αυτή τη λίστα τουλάχιστον δύο φορές τον χρόνο, και πάντα μετά από μια αποχώρηση. Για κάθε γραμμή θέτετε μία ερώτηση: χρειάζεται αυτό το άτομο αυτή την πρόσβαση σήμερα;

Στην πράξη: έτσι μοιάζει

Στο περιβάλλον παραδείγματος Το WebOké μου προσκαλείτε έναν συνάδελφο, λογιστή ή κατασκευαστή ιστότοπου ως χρήστη. Αυτός συνδέεται με τα δικά του στοιχεία, και εσείς επιλέγετε ανά δικαίωμα τι επιτρέπεται, για παράδειγμα μόνο Τιμολόγια για τον λογιστή. Μόνο ο κάτοχος του λογαριασμού μπορεί να προσκαλεί χρήστες και να αλλάζει δικαιώματα, και με ένα κουμπί ανακαλείτε ξανά την πρόσβαση. Στο DirectAdmin μπορείτε να δώσετε σε έναν κατασκευαστή ιστότοπου δικό του λογαριασμό FTP για έναν μόνο φάκελο, ή ένα κλειδί σύνδεσης με ημερομηνία λήξης, περιορισμένες εντολές και πρόσβαση μόνο από συγκεκριμένες διευθύνσεις IP.

Στο Nextcloud, όταν αποχωρεί ένας συνάδελφος, επιλέγετε πρώτα Disable: δεν μπορεί πλέον να συνδεθεί, αλλά τα αρχεία παραμένουν αποθηκευμένα. Το εγχειρίδιο είναι σαφές: διαγράψτε τον χρήστη μόνο αφού έχουν αναληφθεί όλα, γιατί ένας διαγραμμένος χρήστης χάνεται οριστικά μαζί με όλα του τα αρχεία. Σε άλλα συστήματα η λειτουργία είναι παρόμοια, αλλά οι ονομασίες και οι προθεσμίες διαφέρουν· ενημερωθείτε πριν αποχωρήσει κάποιος.

Σύνοψη

• Τα ελάχιστα δικαιώματα περιορίζουν τη ζημιά όταν παραβιάζεται ένας λογαριασμός.
• Κάθε άτομο με δικό του λογαριασμό: έτσι ξέρετε ποιος έκανε τι και μπορείτε να αποκλείσετε κάποιον μεμονωμένα.
• Τα δικαιώματα διαχειριστή χρησιμοποιούνται μόνο όταν χρειάζεται, από λίγα άτομα, με ισχυρό 2FA.
• Οι εξωτερικοί συνεργάτες λαμβάνουν δικό τους, περιορισμένο και, όπου είναι δυνατόν, προσωρινό λογαριασμό, ποτέ τον δικό σας κωδικό πρόσβασης.
• Ρυθμίστε τα δικαιώματα κατά την είσοδο, τη μετακίνηση και την αποχώρηση· κατά την αποχώρηση: μεταφορά, απενεργοποίηση, αργότερα διαγραφή.

Κουίζ

Άσκηση

Άσκηση A7.1: Ποιος λαμβάνει ποια πρόσβαση; Θα λάβετε μια σειρά καταστάσεων από μια μικρή επιχείρηση (έναν νέο λογιστή, έναν κατασκευαστή ιστότοπου για μια εργασία, έναν συνάδελφο που αποχωρεί, έναν ασκούμενο). Επιλέξτε για κάθε κατάσταση τον καλύτερο τρόπο να δώσετε ή να κλείσετε την πρόσβαση. Το πρόγραμμα ελέγχει την επιλογή σας και εξηγεί γιατί.

Άσκηση D7.1: Η επισκόπηση πρόσβασής σας. Δημιουργήστε μια επισκόπηση πρόσβασης για τις πέντε σημαντικότερες υπηρεσίες σας: ποιος έχει πρόσβαση, με ποια δικαιώματα, δικό του ή κοινόχρηστο λογαριασμό, εσωτερικό ή εξωτερικό. Αφαιρέστε τουλάχιστον ένα περιττό δικαίωμα ή κοινόχρηστο λογαριασμό και γράψτε τη λίστα αποχώρησής σας για την επόμενη φορά που θα αποχωρήσει κάποιος.

Για περαιτέρω μελέτη

Τα βήματα στα άρθρα του WebOké ισχύουν για το περιβάλλον του WebOké· σε άλλους παρόχους η λειτουργία είναι παρόμοια.

• Εγχειρίδιο WebOké 11.3: Χρήστες: πρόσκληση και δικαιώματα
• Οδηγός Nextcloud 14.2: Χρήστες: δημιουργία, επεξεργασία, απενεργοποίηση και διαγραφή
• Οδηγός Nextcloud 14.7: Δικαιώματα: ποιος διαχειρίζεται τι στο Nextcloud σας;
• Οδηγός Nextcloud 16.7: Συνάδελφος αποχωρεί: ασφαλής παραλαβή αρχείων, ημερολογίου και κοινόχρηστων φακέλων
• Εγχειρίδιο DirectAdmin 3.5: Κλειδιά Σύνδεσης: σύνδεση για scripts και προγράμματα
• Εγχειρίδιο DirectAdmin 11.6: Δημιουργία και διαχείριση λογαριασμών FTP
• NIST, Glossary: least privilege (στα αγγλικά): https://csrc.nist.gov/glossary/term/least_privilege
• Microsoft, OneDrive retention and deletion (στα αγγλικά): https://learn.microsoft.com/en-us/sharepoint/retention-and-deletion