Las contraseñas se filtran. Se reutilizan en otro sitio que sufre un robo, se apuntan donde no deben, se adivinan. Si la contraseña de quien gestiona tus servidores basta para pararlos o borrar sus copias, el problema no es si pasará, sino cuándo. AWS lo sabe y recomienda MFA en la consola; lo que no cubre es a las personas de tu equipo que no tienen cuenta de AWS y a las que les has dado acceso de otra forma.
En Simplio el doble factor es un código de seis cifras que genera una aplicación en tu móvil (Google Authenticator, Microsoft Authenticator o cualquiera compatible). Se pide para entrar y, además, en cada acción delicada: detener o reiniciar una máquina, borrar ficheros, instantáneas o copias, subir código a una función Lambda, quitar un registro DNS, abrir una terminal, usar la llave de repuesto. Una contraseña robada, sola, no sirve para tocar nada.
Como funciona
Cada utilizador ativa-o a partir do seu perfil
Leia um código QR com a aplicação do telemóvel e confirme com o primeiro código. A partir desse momento, entrar pede o código.
As ações delicadas pedem-no sempre
Parar, reiniciar, apagar, carregar código, abrir terminal, resgatar uma máquina. Mesmo que acabe de entrar. Mesmo que seja administrador.
Sem se tornar maçador
Depois de um código correto, o Simplio não volta a pedi-lo durante dez minutos; a partir do terceiro da mesma sessão, durante duas horas. Essa confiança vive apenas na sua sessão: termina ao sair, se expirar por inatividade, se o seu endereço IP mudar ou se alguém escrever um código incorreto. Apagar objetos da cloud continua a exigir escrever o seu nome. Se deixar o computador, bloqueie-o.
Se perder o telemóvel, não perde a conta
Ao ativá-lo recebe oito códigos de recuperação de utilização única para guardar num sítio seguro: qualquer um deles entra em vez do código do telemóvel, e a partir do perfil configura o telemóvel novo. Se também não os tiver, um administrador da sua empresa pode retirar-lhe o duplo fator, ou pede-o você com a sua palavra-passe e um código do seu e-mail: nesse caso há dois dias de espera com aviso a todos os administradores, que o podem cancelar. Nada disto se faz de imediato nem só por e-mail.
Quem administra os utilizadores vê quem o tem
Na lista de utilizadores vê-se quem tem o duplo fator ativado e quem não, para insistir com quem falta.
Que segurança tem
Sem exceções para administradores
As ações delicadas pedem o código a toda a gente. Quanto mais alguém pode fazer, mais importa.
Códigos de utilização única
Cada código vale uma vez e durante uns segundos. Um visto por cima do ombro não serve um minuto depois.
O e-mail nunca substitui o telemóvel
Recuperar a palavra-passe por e-mail continua a pedir o código do telemóvel se o tiver ativado. Quem ler a sua caixa de correio não entra por isso.
As ativações e desativações ficam registadas
No registo de atividade, com quem e quando. Desativar o duplo fator de alguém não passa despercebido.
O mesmo, na AWS e no Simplio
| Por sua conta na AWS | No Simplio | |
|---|---|---|
| Proteger quem gere as máquinas | MFA no IAM, utilizador a utilizador, se cada um tiver utilizador IAM | Ativá-lo no perfil, com um QR |
| Pedir código antes de parar uma máquina | Não existe: com a sessão aberta, a consola pára sem perguntar | Sempre, em cada ação delicada |
| Saber quem o tem ativado | Relatório de credenciais do IAM | Lista de utilizadores |
Perguntas frequentes
Que aplicação preciso?
Qualquer aplicação de códigos TOTP: Google Authenticator, Microsoft Authenticator, Authy, 1Password, Bitwarden… É o mesmo mecanismo que usam os bancos e o Google.
E se perder o telemóvel?
Quem administra os utilizadores pode retirar o seu duplo fator para que o volte a configurar no telemóvel novo. Essa desativação fica registada na atividade.