Il metodo più comune per assegnare una casella a qualcuno consiste nel crearla, scegliere una password e inviare entrambi i dati. Tutti sanno che è sbagliato, ma quasi tutti lo fanno perché, storicamente, l'alternativa richiedeva più lavoro. Gli inviti alla configurazione eliminano questa scusa: l'amministratore non sceglie mai la password e nessuno deve condividerla tramite email o chat.
Questo articolo spiega come funzionano gli inviti, perché la scelta di non condividere mai le password è più importante di quanto sembri e quali conseguenze ha per l'autenticazione a due fattori e la gestione degli utenti in uscita.
Perché non bisogna mai condividere le password, anche quando non accade nulla
Il primo motivo per non condividere le password è il rischio più ovvio, cioè l'intercettazione. Una password inviata in un'email o in una chat rimane indefinitamente in almeno due caselle, può essere trovata con una ricerca e sopravvive a ogni backup. Chiunque ottenga in futuro l'accesso a uno dei due account la troverà. Da anni, le linee guida del NIST sconsigliano di trasmettere segreti in questo modo.
Il problema meno evidente è che la password non viene mai cambiata. In teoria, al primo accesso l'utente dovrebbe impostarne una propria. In pratica, continua a usare quella ricevuta perché funziona e nulla lo obbliga a sostituirla. Mesi dopo, l'amministratore conosce ancora una credenziale valida per la casella di un'altra persona, compromettendo silenziosamente qualsiasi certezza che le azioni eseguite in quella casella appartengano davvero all'utente.
Quest'ultimo punto diventa essenziale quando un'azione viene contestata. Se due persone conoscono la stessa password, non è possibile attribuire con sicurezza a una delle due ciò che viene fatto attraverso l'account. Un sistema in cui nessuno deve condividere password non è soltanto più sicuro. È il presupposto necessario perché la traccia di audit abbia un significato.
Come gli inviti eliminano la condivisione delle password
L'amministratore crea la casella senza impostare alcuna password. Il sistema invia un link all'utente previsto, che lo apre e sceglie la propria password. In nessun momento la credenziale passa nelle mani di un'altra persona.
La credenziale non esiste quindi mai in una forma visibile ad altri. Non rimane nulla nella cartella della posta inviata, nulla nella cronologia di una chat e nulla che l'amministratore debba fingere di aver dimenticato.
Gli inviti possono essere inviati singolarmente o in blocco, ed è questo che trasforma una buona idea in una soluzione utilizzabile. Configurare quaranta caselle per un nuovo cliente significa inviare quaranta inviti con una sola operazione, anziché generare, registrare e trasmettere quaranta password. La procedura è illustrata nella guida alla creazione di caselle email in blocco.
L'autenticazione a due fattori completa la protezione
La scelta di non condividere mai le password chiude una falla ma ne lascia aperta un'altra: anche una password conosciuta soltanto dall'utente può essere debole o riutilizzata.
L'autenticazione a due fattori chiude questa seconda falla. Viene attivata dall'utente nelle impostazioni della webmail, non durante l'invito. È quindi una richiesta distinta e un'abitudine separata, perciò la sua adozione dipende dal fatto che tu la richieda e non da un obbligo imposto dal flusso.
Chiedine l'attivazione quando invii l'invito e ripeti la richiesta una settimana dopo. La pagina di sicurezza delle caselle nel pannello mostra quali hanno attivato l'autenticazione a due fattori e quando è stata confermata. Individuare le lacune diventa così una questione di elenco, non di supposizioni.
Insisti allo stesso tempo sulla conservazione dei codici di recupero. Poiché il proprietario dell'account non può rimuovere dal pannello il secondo fattore di una casella, un utente che perde sia il dispositivo sia i codici deve aprire una richiesta di assistenza. L'intera procedura è descritta in come risolvere un blocco della 2FA.
Come cambia il lavoro dell'amministratore
La scelta di non condividere mai le password riduce soprattutto il lavoro dell'amministratore, con un solo cambiamento da accettare.
Non sei più il custode delle credenziali, eliminando un'intera categoria di richieste. La domanda "Puoi ricordarmi la mia password?" viene sostituita da una reimpostazione eseguita direttamente dall'utente. Inoltre, non sei più la persona di cui tutti devono fidarsi, un vero sollievo quando gestisci le caselle dei clienti anziché quelle dei colleghi.
Il cambiamento è che non puoi più accedere alla casella di un'altra persona per controllare qualcosa. La prima volta può sembrare scomodo, ma è sempre la soluzione corretta. Se l'azienda deve accedere alla corrispondenza, serve una casella condivisa con membri, non un amministratore che conosce la password dell'utente. Sono modelli diversi, con responsabilità diverse. Confonderli è esattamente ciò che la pratica di non condividere le password deve impedire.
I casi che richiedono comunque attenzione
Due situazioni richiedono qualche considerazione in più invece di essere attivate e dimenticate. È meglio controllarle periodicamente anziché affidarsi alla memoria.
Utenti che non completano mai l'invito. Una casella non ancora presa in carico è una casella che nessuno legge, anche se potrebbe già ricevere messaggi. È giusto che gli inviti scadano, ma qualcuno deve verificare che la persona prevista abbia davvero completato la configurazione, senza limitarsi a supporlo.
Indirizzi che appartengono a un oggetto anziché a una persona. Una casella associata a un immobile o a un numero di commessa non ha un utente da invitare. Deve essere una casella condivisa con membri fin dall'inizio, in modo che l'accesso sia rappresentato da un elenco e non da una credenziale. In caso contrario, si tornerà a una password condivisa passando semplicemente da un'altra strada.
Gli inviti scadono per evitare di condividere password per errore
Un link di configurazione che rimanesse valido per sempre sarebbe soltanto una password con qualche passaggio in più. Gli inviti hanno quindi una durata limitata e alla scadenza smettono di funzionare.
In pratica, configurare le caselle molto prima dell'effettivo inizio del lavoro produce link scaduti e una serie di email confuse la prima mattina. Invia gli inviti quando le persone sono pronte a usarli. Se uno scade, emettine uno nuovo invece di tentare di recuperare quello vecchio, perché l'operazione richiede pochi secondi.
Non condividere le password neanche altrove
Quando le credenziali delle caselle smettono di circolare, la stessa domanda emerge negli altri sistemi e vale la pena affrontarla.
Accessi condivisi allo spazio di archiviazione, una stessa password per applicazioni usata su più dispositivi o un unico token API utilizzato da tre script hanno tutti la stessa debolezza: revocare l'accesso a una parte significa interromperlo per tutte le altre. Credenziali di archiviazione distinte per dispositivo risolvono il problema equivalente, come descritto in sincronizzare file tra dispositivi.
La regola è generale: una credenziale conosciuta da più parti non può essere revocata per una sola di esse e non permette di attribuire un'azione con certezza. Organizzare gli accessi in modo da non condividere mai le password non riguarda principalmente la segretezza. Riguarda la possibilità di cambiare decisione su una persona senza interrompere il lavoro di tutte le altre.
