Divfaktoru autentifikācija un paroļu politika

Kur

Administrēšana, Drošība, Pieteikšanās satur četrus paneļus: Divfaktoru autentifikācija, Pieteikšanās aizsardzība, Paroļu politika un Sesijas ilgums.

Divfaktoru autentifikācija

Otro faktoru neviens sev neieslēdz pats: to uzstāda tikai tad, kad to prasa sistēma. Kad ieslēgts Prasīt visiem, ikviens, kura kontam GoProject ir sava parole, uzstāda autentifikatora lietotni (TOTP, sešciparu kodi): ekrānā, kas atveras pēc pieteikšanās, vai, kamēr vēl rit uzstādīšanai dotais laiks, sadaļā Profils, Drošība. Kontiem bez šādas paroles, arī direktorijas kontiem, otro faktoru neprasa. Turpat pie slēdža:

• Dot laiku uzstādīšanai: nomaiņas periods stundās; bez tā cilvēks bez autentifikatora netiek tālāk par uzstādīšanas ekrānu
• Grupa, kurai neprasa: kontiem, kas nav cilvēki
• Ieslēdzot prasību, visi tiek izrakstīti, arī jūs

Ja tālrunis nav pieejams, cilvēks no pieteikšanās ekrāna var pieprasīt kodu pa e-pastu. Tas ir rezerves ceļš: kods beidzas pēc 10 minūtēm un pieļauj ne vairāk kā piecus nepareizus mēģinājumus. Tam vajadzīgs strādājošs izejošais pasts.

Administrators var noņemt cilvēkam autentifikatoru ar Atiestatīt divfaktoru autentifikāciju uz lietotāja; nākamajā pieteikšanās reizē viņš uzstāda jaunu un saņem par to vēstuli.

Pieteikšanās aizsardzība

Pēc noklusējuma ieslēgta. Pēc 3 kļūdām pieteikšanās gaida, un katra nākamā kļūda gaidīšanu pagarina: 1, 3, 6, 10 un tad 30 minūtes, pēdējam solim atkārtojoties. Skaitās gan nepareiza parole, gan nepareizs kods. Pēc izvēles ieslēdziet Bloķēt kontu, nevis gaidīt: pēc noteikta kļūdu skaita (noklusējums 10) konts tiek bloķēts, un to atbloķē tikai sistēmas administrators ar Atbloķēt pieteikšanos uz lietotāja.

Paroļu politika

Atbilstoši NIST SP 800-63B:

• Īsākā parole: pēc noklusējuma 12 zīmes
• Zīmju veidi: pēc noklusējuma nekas netiek prasīts
• Neļaut paroles, ko zina visi: ieslēgts
• Neļaut cilvēka paša vārdu un adresi: ieslēgts
• Neatkārtot nesenās paroles: pēc noklusējuma izslēgts (0)

Paroles derīguma termiņa nav ar nolūku. Politika sāk darboties nākamajā reizē, kad kāds izvēlas paroli.

Atiestatīšana un piespiedu maiņa

• Aizmirsāt paroli? pieteikšanās ekrānā sūta saiti tikai aktīviem, iekšējiem, vietējiem kontiem. Tā ir derīga 24 stundas un vienu reizi, ne vairāk kā trīs vēstules stundā uz kontu, un neviena vēstule neaiziet, kamēr nav iestatīta vietnes adrese. Atbilde ir vienāda jebkurai adresei, un bloķēts konts paliek bloķēts
• Atiestatīt paroli uz lietotāja (Administrēšana, Lietotāji un grupas) ģenerē jaunu paroli, ko administratoram parāda vienu reizi, beidz cilvēka sesijas un liek nākamajā pieteikšanās reizē izvēlēties savu paroli
• Direktorijas kontu paroles maina direktorijā

Sesijas ilgums

Dīkstāve: pēc noklusējuma 8 stundas, skaitot no pēdējā pieprasījuma. Maksimums: pēc noklusējuma 24 stundas no pieteikšanās; 0 to izslēdz.