Вхід адміністратора з двофакторною автентифікацією

Вступ

Двофакторна автентифікація (2FA) — це спосіб додати вашому обліковому запису додатковий рівень безпеки. Вона називається «двофакторною», оскільки для доступу до облікового запису використовуються два методи перевірки. Перший «фактор» — це ваш звичайний пароль, стандартний для будь-якого облікового запису. Другий «фактор» — це код підтвердження, який можна отримати в застосунку 2FA на комп’ютері або мобільному пристрої. Щоб дізнатися більше про 2FA та її важливість, перегляньте цю статтю.

Плагін підтримує методи автентифікації TOTP (одноразовий пароль на основі часу) та Yubikey.

Коли TOTP увімкнено, під час входу до вашого екземпляра LimeSurvey потрібно ввести 6-значний код (значення за умовчанням). Якщо налаштовано Yubikey, під час входу код створюватиме Yubikey.

Щоб дізнатися більше про цю функціональність, читайте далі.

Як встановити плагін 2FA

Починаючи з версії 6.x плагін є основним плагіном. Тому просто відкрийте сторінку Менеджер плагінів та увімкніть його там (докладніше див. нижче).

Активація плагіна 2FA

Щоб активувати плагін 2FA, відкрийте ваш екземпляр LimeSurvey та активуйте його в Менеджері плагінів:

Щоб переглянути налаштування за умовчанням, натисніть «Налаштувати».

Налаштування плагіна

Сторінка конфігурації містить такі налаштування:

Налаштування TOTP:

• Видавець (Issuer): Текст, введений у цьому полі, відображатиметься в застосунку як назва видавця.
• Цифри (Digits): Кількість цифр у згенерованих кодах. Для Google Authenticator залиште 6.
• Часовий період (TimePeriod): Кількість секунд, протягом яких код дійсний. Якщо ви використовуєте Google Authenticator, залиште 30.
• Розбіжність (Discrepancy): Допустима розбіжність для клієнта після завершення часового періоду (TimePeriod) (у секундах)

• Алгоритм (Algorithm): Алгоритм, що використовується для створення хешу:
  • SHA1 (стандартний)
  • SHA256
  • MD5

Налаштування Yubikey:

• YubiCloud Client ID: ваш YubiCloud Client ID для перевірки спроб автентифікації через Yubikey. Він потрібен, щоб використовувати Yubikey як метод автентифікації.
• YubiCloud Secret Key: необов’язковий, але рекомендований. Якщо його задано, буде перевірятися автентичність відповідей YubiCloud, що забезпечує додатковий рівень безпеки.

Щоб отримати ці облікові дані, ви можете зареєструвати ключ API Yubico на сторінці реєстрації ключа API Yubico.

Загальні налаштування:

• Примусова 2FA (Force 2FA):
  • Лише нагадування, без примусу. Користувачів без токена 2FA після входу перенаправляють на створення 2FA
  • Завжди вимагати активацію 2FA. Користувачів без токена 2FA після входу перенаправляють на створення 2FA, і жодні інші дії недоступні, окрім віддаленого керування.

Важливо: не забудьте натиснути «Зберегти» після оновлення конфігурації 2FA.

Налаштування двофакторної автентифікації

Після активації плагіна на верхній панелі з’явиться новий пункт меню:

Випадаючий список меню містить такі два пункти:

• Налаштування 2FA: користувачі можуть увімкнути 2FA та керувати її налаштуваннями.
• Адміністрування 2FA: за наявності відповідного дозволу ви можете переглянути, чи використовують інші користувачі екземпляра 2FA.

Налаштування 2FA

Якщо ви ще не створили жодного 2FA-токена, буде показано таку сторінку:

Якщо ви вирішите створити 2FA-токен, натисніть "Зареєструвати 2FA зараз". Відобразиться вікно з повідомленням:

Виберіть метод 2FA.

• TOTP: за допомогою Google Authenticator, Authy, ...
• Yubikey

Під час вибору методу 2FA TOTP:

• Скануйте QR-код за допомогою мобільного телефону. Список рекомендованих застосунків дивіться в цій статті.
• Введіть ключ підтвердження, що відображається у вашому застосунку 2FA.

Під час вибору Yubikey:

• Згенеруйте код за допомогою Yubikey у полі ключа підтвердження.

З технічної точки зору ви можете використовувати будь-який застосунок 2FA, що підтримує TOTP (алгоритм одноразового пароля на основі часу). Докладніше про те, що таке TOTP, читайте в цій статті.

Щоб підтвердити створення 2FA-токена, натисніть "Створити прив'язку 2FA".

---

Особисті налаштування 2FA

Після цього в ваших особистих налаштуваннях 2FA відобразяться такі дві опції:

• Скасувати 2FA: підтвердьте свою дію, щоб видалити 2FA-токен, пов'язаний з вашим обліковим записом.

Зверніть увагу: якщо в налаштуваннях плагіна ввімкнено "Примусова 2FA", вам потрібно буде пройти автентифікацію повторно.

• Скинути 2FA: якщо вибрати цю опцію, вам буде запропоновано відсканувати новий QR-код і ввести новий ключ підтвердження.

Адміністрування 2FA

За наявності необхідних дозволів ви можете отримати доступ до панелі керування користувачами 2FA, де можна перевірити, скільки користувачів активували 2FA.

• Дія: у цьому стовпці біля користувачів, які ввімкнули 2FA, відображається червона кнопка кошика. Якщо хтось просить скинути 2FA-токен, бо більше не може увійти у ваш екземпляр, ви можете звідси видалити 2FA-токен, пов'язаний з його/її обліковим записом.
• Ім'я користувача: у цьому стовпці наведено всіх користувачів екземпляра.
• Повне ім'я: у цьому полі відображається повне ім'я, яке ввели ваші користувачі.
• Електронна адреса: електронна адреса, що відповідає вашим користувачам.
• Метод 2FA: метод 2FA, обраний кожним користувачем.
• Увімкнено 2FA: якщо "1", це означає, що 2FA увімкнено для відповідного користувача.

Поширені запитання

Я суперадміністратор і заблокував(-ла) собі доступ. Як видалити мій 2FA-токен?

Вам потрібен буде доступ до вашої бази даних, щоб очистити (truncate) стовпець, пов'язаний з 2FA.

Як примусово ввімкнути 2FA для всіх моїх користувачів?

Ввімкніть "Примусова 2FA" у меню налаштування плагіна.

Я використовую LimeSurvey Cloud. Чи потрібно мені купувати плагін?

Ні. Плагін уже входить до складу основних плагінів LimeSurvey — ви можете ввімкнути його в меню плагінів.