Kapitola 6 z 13
Přihlášení, 2FA a účty
Heslo, dvoufázové ověření, délka relace a co dělat při ztrátě přístupu.
Pro všechny členy týmu produkce a pro superadmina.
Do administrace se přihlašuje e-mailem, heslem a šestimístným kódem z autentizační aplikace. Dvoufázové ověření je povinné pro všechny účty — nejde ho vypnout, odložit ani obejít.
První přihlášení a nastavení 2FA
Co udělat s účtem, který vám právě založili.
1. Přihlaste se e-mailem a heslem
Na /prihlaseni zadejte údaje, které jste dostali od příslušné osoby.
2. Systém vás pošle na nastavení 2FA
Dokud nemáte dvoufázové ověření, aplikace vás z každé stránky administrace přesměruje na jeho nastavení. Nejde to přeskočit.
3. Naskenujte QR kód
Použijte libovolnou TOTP aplikaci — Google Authenticator, Authy, 1Password, Bitwarden. Standard je RFC 6238: šestimístné kódy, nový každých 30 sekund.
4. Potvrďte kódem
Opište aktuální kód z aplikace. Tím se 2FA aktivuje a dostanete se do administrace.
Relace a odhlašování
Jak dlouho zůstanete přihlášení.
- Délka relace
- 8 hodin od přihlášení. Poté je nutné projít přihlášením včetně 2FA znovu.
- Mezikrok po heslu
- Po zadání správného hesla máte 5 minut na dokončení 2FA. Po vypršení začínáte znovu od hesla.
- Uložení relace
- Na serveru; cookie obsahuje jen token, jehož hash se ověřuje proti databázi. Odhlášení relaci skutečně zneplatní, nejen smaže cookie.
- Odhlášení
- Tlačítko v levém sloupci administrace.
Ochrana proti hádání hesel a kódů
Limity, které se spustí samy.
- Přihlášení má limit pokusů vázaný na e-mailovou adresu, ne na IP — chrání konkrétní účet a nedá se obejít změnou sítě.
- Ověření 2FA kódu má vlastní samostatný limit. Bez něj by šlo šestimístný kód uhádnout hrubou silou i po správně zadaném heslu.
- Aktivace 2FA má limit také, aby nešlo hádat kód při zakládání.
- Neúspěšné i úspěšné přihlášení se zapisuje do auditního logu.
Když někdo ztratí přístup
Praktický postup podle toho, co se ztratilo.
| Co se ztratilo | Kdo to spraví | Jak |
|---|---|---|
| Heslo člena týmu | Jiná příslušná osoba nebo admin produkce | Odebrat člena a založit znovu s novým heslem. |
| Telefon s 2FA | Jiná příslušná osoba | Totéž — nový účet, nové nastavení 2FA. |
| Přístup poslední příslušné osoby | Provozovatel SafeHouseCrew | Nutný kontakt na podporu; je to provozní zásah, ne funkce v aplikaci. |
| Bezpečnostní kód oznamovatele | Nikdo | Neobnovitelné z principu. Případ řeší tým dál, jen bez další komunikace s oznamovatelem. |