Představte si, že správu svého serveru svěříte do rukou odborníků, které pro Vás představujete dodavatel, od kterého dostáváte kompletní službu (např. Managed Server). Dodavatel se snaží vyhovět každému přání zákazníka a to vč. mnohdy až destruktivním požadavkům na smazání některého obsahu apod. Nebo dodavateli svěříte umístění Vašeho serveru v jeho datacentru a čas od času požadujete restartování svého serveru.
U mnohých poskytovatelů je jako hlavním autorizačním prvkem email odesílatele a tedy databáze „povolených“ emailů, které si mohou diktovat požadavky. Každý pokročilý uživatel Internetu většinou ví, že email odesílatele není složité sfalšovat. Stačí v poštovním klientovi nastavit adresu odesílatele na cokoliv bez nutnosti nějakého zásahu na poštovních serverech apod. Tento způsob autorizace tedy není dostatečný a je lehce zneužitelný. Setkal jsem se rovněž i s tím, že poskytovatel nevyžadoval autorizaci žádnou. Není to vyjímkou, tímto pravidlem „nic nedělám, nic nezkazím“ se řídí mnoho českých větších hostingových a internetových společností.
Jak jsme na to šli u VSHosting? Dáváme uživatelům na výběr. Od každého uživatele požadujeme autorizaci klientským číslem a klient si rovněž může nastavit v informačním systému variabilní PIN kód, který se pracovník podpory dozví pouze v případě, že mu jej klient sdělí při autorizaci. V případě, kdy klient propustil např. některého svého pracovníka, který měl autorizační údaje pro komunikaci s podporou, majitel firmy může běhém jedné minuty PIN kód změnit a zabránit tak případnému zneužití technické podpory. VSHosting tento pokročilý způsob autorizace používá již téměř 3 roky. Jedná se tedy o ověřenou metodu.
Komentáře
Možností by byla autorizace emailem s podpisem od certifikační autority. Takovýto email půjde jen horko-těžko padělat a dle mého se tedy jedná o bezpečný způsob zasílání ověřených požadavků.
To sice ano, ale je potřeba, aby byl systém autorizace jednoduše dostupný pro všechny uživatele. Kolik lidí používá email s podpisem od cert. autority…