Zwei-Faktor-Authentifizierung und Passwortrichtlinie

Wo

Verwaltung, Sicherheit, Anmeldung enthält vier Panels: Zwei-Faktor-Authentifizierung, Anmeldeschutz, Passwortrichtlinie und Sitzungsdauer.

Zwei-Faktor-Authentifizierung

Niemand schaltet den zweiten Faktor für sich selbst ein: er wird nur eingerichtet, wenn das System ihn verlangt. Ist Von allen verlangen eingeschaltet, richtet jede Person, deren Konto in GoProject ein eigenes Passwort hat, eine Authenticator-App ein (TOTP, sechsstellige Codes): auf dem Bildschirm nach der Anmeldung oder, solange die Frist läuft, unter Profil, Sicherheit. Konten ohne ein solches Passwort, darunter Verzeichniskonten, werden nicht gefragt. Neben dem Schalter:

• Geben Sie den Leuten Zeit zum Einrichten: eine Frist in Stunden; ohne sie kommt eine Person ohne Authenticator nicht über den Einrichtungsbildschirm hinaus
• Gruppe, die nie gefragt wird: für Konten, die keine Personen sind
• Das Einschalten der Pflicht meldet alle ab, Sie eingeschlossen

Ist das Telefon nicht greifbar, kann eine Person vom Anmeldebildschirm aus einen Code per E-Mail anfordern. Das ist der Rückfallweg: er verfällt nach 10 Minuten und erlaubt höchstens fünf Fehlversuche. Er braucht funktionierenden E-Mail-Versand.

Ein Administrator kann einer Person den Authenticator mit "Zwei-Faktor-Authentifizierung zurücksetzen" beim Benutzer abnehmen; sie richtet bei der nächsten Anmeldung einen neuen ein und wird per E-Mail informiert.

Anmeldeschutz

Standardmäßig an. Nach 3 Fehlversuchen wartet die Anmeldung, und jeder weitere Fehlversuch verlängert die Wartezeit: 1, 3, 6, 10, dann 30 Minuten, wobei sich der letzte Schritt wiederholt. Ein falsches Passwort und ein falscher Code zählen beide. Optional sperrt Konto sperren statt warten das Konto nach einer Anzahl Fehlversuche (Standard 10); entsperren kann nur ein Systemadministrator, mit "Anmeldung entsperren" beim Benutzer.

Passwortrichtlinie

Nach NIST SP 800-63B:

• Kürzestes Passwort: standardmäßig 12 Zeichen
• Zeichenarten: standardmäßig nichts verlangt
• Passwörter abweisen, die alle kennen: an
• Namen und Adresse der Person abweisen: an
• Kürzlich verwendete Passwörter nicht wiederholen: standardmäßig aus (0)

Ein Ablaufdatum für Passwörter gibt es bewusst nicht. Die Richtlinie greift, sobald jemand das nächste Mal ein Passwort wählt.

Zurücksetzen und erzwungene Wechsel

• Passwort vergessen? auf dem Anmeldebildschirm sendet einen Link, und zwar nur an aktive, interne, lokale Konten. Er gilt 24 Stunden und nur einmal, höchstens drei E-Mails je Stunde und Konto, und solange keine Website-Adresse gesetzt ist, geht keine E-Mail hinaus. Die Antwort ist für jede Adresse dieselbe, und ein gesperrtes Konto bleibt gesperrt
• Passwort zurücksetzen bei einem Benutzer (Verwaltung, Benutzer und Gruppen) erzeugt ein neues Passwort, das dem Administrator einmal gezeigt wird, beendet die Sitzungen der Person und lässt sie bei der nächsten Anmeldung ihr eigenes Passwort wählen
• Verzeichniskonten ändern ihr Passwort im Verzeichnis

Sitzungsdauer

Untätig: standardmäßig 8 Stunden, gerechnet ab der letzten Anfrage. Maximal: standardmäßig 24 Stunden ab der Anmeldung; 0 schaltet das ab.