Hvordan kombinere sikker autentisering med effektiv support?

[Wattengård]

Pr i dag har vi tilgang til alle våre brukeres passord for å ha muligheten til å logge inn som deres bruker ved supporthenvendelser. (Av og til er det vi som står for selve bruken av systemet, men det er fordelt på forskjellige brukere av ulike grunner)

 

Nå ønsker vi å øke sikkerheten i våre systemer med autogenererte passord og passordhashing etc. Problemet er at våre supportbrukere fortsatt må ha tilgang til å logge seg inn som en annen bruker.

Har dere noen forslag til hvordan man kan løse dette?

 

Har vært innom å lage en egen påloggingsside for våre medarbeidere hvor de logger inn med eget brukernavn og passord, men velger en bruker man vil "logge inn som". Altså at man autoriserer seg med en bruker men blir autentisert med en annen. På en måte...

 

Andre forslag?

 

-C-

[aklla]

hva med å lage en løsning som faktisk er sikker?

altså, slutte med passord-deling og heller lage noe som gjør at din personlige bruker får tilgang til alt.

det dere driver med er jo ett enormt sikkerhets-hull.

 

har drevet en del med support, og har verken sett behovet eller noen gang logget meg inn som noen andre enn meg selv. vil på det sterkeste anbefalle at dere slutter med denne praksisen.

 

hvor er det dere egentlig deler passordene? windows innloggingen eller andre steder?

[Wattengård]

Hmm.. Det er mulig jeg kan ha vært noe uklar.

Det er her snakk om en webapplikasjon hvor våre kunder kan gjøre diverse ting. Og for at vi skal kunne hjelpe de effektivt når vi får supporthenvendelser så må vi ha mulighet til å logge inn som de.

 

Men jeg heller egentlig mer og mer mot løsningen hvor jeg deler opp autentisering og autorisering. Logge inn som supportbruker og feike innlogging på webappen...

 

Og passord deling? Har da vel ikke sagt noe om at vi deler noen av passordene noen plass?

 

-C-

[NevroMance]

Kan jo eventuelt bruke flere rettighetsgrader. Normal bruker får tilgang til seg og sitt, mens en superbruker får tilgang til alt, også alle andre brukere. Da slipper du å autentisere på nytt som bruker, og får også lagret hvem som sist gjorde en endring ett sted. Ved å feike innlogging blir det vel automatisk bruker som gjør endringer.

[Wattengård]

Ja har vært inne på det også. Men det vil kreve mer omskriving enn endel andre løsninger.

 

-C-