Доступи
Доступи і паролі в команді за Іллею Зав'яловим
Доступ — це не пароль. Це відповідь на питання, хто саме зараз може зробити дію від імені компанії. Якщо цю відповідь не можна подивитися в таблиці, її немає.
Версія українською мовою для України.
01
Перелік доступів як єдиний документ
Таблиця з чотирьох колонок: людина, сервіс, роль, дата видачі. Пʼята колонка — хто підтвердив видачу. Більше нічого не потрібно, і менше не працює.
Цінність таблиці не в порядку, а в тому, що вона дає відповідь за секунди в момент, коли потрібно закрити доступ швидко.
02
Окремі акаунти замість спільного
Спільний акаунт означає, що дію неможливо привʼязати до людини, а зміна пароля ламає роботу всім одночасно. Тому спільний пароль тримається рівно доти, доки нічого не сталося.
Окремі акаунти з ролями коштують у більшості сервісів однаково або трохи дорожче, і ця різниця менша за одну годину розбору інциденту.
03
Менеджер паролів як спільне сховище
Менеджер потрібен не для складності паролів, а для передачі: доступ видається і відкликається в одному місці, і після відкликання людина справді втрачає його.
Пароль, переданий у месенджері, не відкликається ніколи: він залишиться в історії листування і на пристрої.
04
Другий фактор і що з ним не так у СМС
Код у СМС перехоплюється підміною сім-картки і вводиться жертвою на підробленій сторінці. Це другий фактор, але найслабший з наявних.
Застосунок-генератор кращий, апаратний ключ найкращий: його не можна виманити сторінкою, бо він перевіряє адресу сайту сам.
Правила розділу
- Один рядок — один доступЛюдина, сервіс, роль, дата, хто підтвердив.
- Ніяких спільних облікових записівДія має бути привʼязана до людини.
- Передача через сховищеНе через месенджер і не через пошту.
- Другий фактор за пріоритетомКлюч, потім застосунок, СМС в останню чергу.
- Резервні коди окремоРоздруковані, поза телефоном і поза сховищем.
| Спосіб | Рятує від | Не рятує від |
|---|---|---|
| Код у СМС | Простого підбору пароля | Підміни сім-картки, підробленої сторінки |
| Застосунок-генератор | Підміни сім-картки | Введення коду на підробленій сторінці |
| Апаратний ключ | Підробленої сторінки, перехоплення коду | Підтвердження шкідливої дії |
| Резервні коди | Втрати телефона | Зберігання поруч із телефоном |
Питання і відповіді
Скільки коштує навести лад у доступах?
Перелік доступів коштує один вечір. Менеджер паролів для невеликої команди коштує менше за одну годину роботи адміністратора на місяць.
Чи можна обійтися таблицею без менеджера паролів?
Перелік і сховище розвʼязують різні задачі. Таблиця відповідає, у кого що є, сховище дозволяє видати і відкликати доступ так, щоб відкликання справді спрацювало.