В кадровой системе электронного документооборота (КЭДО) хранятся чувствительные сведения о сотрудниках: паспортные данные, ИНН, СНИЛС, расчетные листки, трудовой договор, электронные подписи. Поэтому при выборе вендора КЭДО критически важно убедиться, что провайдер обеспечивает не только защиту данных, но и безопасные способы входа в систему.

В отдельной статье мы уже рассказывали, как HRlink обеспечивает защиту персональных данных на уровне инфраструктуры, архитектуры сервиса и процессов разработки программного обеспечения. А в этом материале разберем, какие механизмы безопасной аутентификации предусмотрены в HRlink.

В статье расскажем:

• какие способы входа доступны в HRlink;
• как обеспечивается защита пароля и учетной записи;
• какие способы подтверждения личности сотрудника предусмотрены — SSO и двухфакторная аутентификация;
• как тонко разграничить способы входа для разных групп сотрудников;
• как восстановить доступ к личному кабинету;
• как защищены активные сессии;
• как защищен доступ в мобильном приложении;
• как защищаются интеграции;
• как ограничить вход по сетевому адресу.

На странице входа на портал через выделенный домен или поддомен компании доступны следующие способы авторизации:

• по логину и паролю;
• через технологию единого входа (SSO):

— с использованием протокола OpenID Connect;
— с использованием протокола Kerberos/SPNEGO;

• с помощью логина, пароля и OTP (двухфакторная авторизация по коду на почту или телефон);
• с помощью логина, пароля и TOTP (двухфакторная авторизация по коду TOTP).

Как именно работают SSO и двухфакторная аутентификация и чем они отличаются друг от друга, подробно разберем дальше — в разделе «Как подтверждается личность пользователя».

В HRlink есть три основные точки входа:

• единая страница;
• страница выделенного домена или поддомена компании, который может выглядеть так: название_компании.hr-link.ru;
• мобильное приложение.

На единой странице можно настроить вход по логину и паролю. Это базовый сценарий: он действует, если компания не подключила SSO или двухфакторную аутентификацию. Если один из этих механизмов включен, вход для сотрудников осуществляется через страницу компании (тенанта), а единая страница по логину и паролю больше не используется — так система избегает более простого способа входа там, где предусмотрены строгие требования к безопасности.

Приложение доступно в App Store, Google Play, RuStore. У мобильного приложения настроены собственные способы авторизации:

• по логину и паролю;
• с помощью одноразового кода;
• через технологию единого входа (SSO);
• по QR-коду. 

Есть и дополнительный уровень защиты — уже после входа в приложение. Пользователь задает ПИН-код или включает биометрию: сканирование лица или отпечатка пальца. Без них открыть приложение нельзя, даже если смартфон разблокирован.
Администратор может ограничить набор доступных способов входа для сотрудников — например, оставить только SSO и отключить остальные.

Требования к паролю стандартные: он должен содержать не менее 8 символов, заглавную букву, строчную букву, цифру, специальный символ.

HRlink не хранит пароли в открытом виде. Применяется метод защиты «хеширование с солью». Это значит, что система добавляет к паролю случайный дополнительный набор символов и хеширует получившееся значение алгоритмом SHA-512.

Хеширование — это математическое преобразование, которое превращает пароль в короткую строку фиксированной длины, уникальную для этого значения. Из хеша нельзя восстановить исходный пароль — это значит, что даже при доступе к базе данных пароли под надежной защитой.

HRlink отдельно фиксирует неудачные попытки авторизации для каждого способа входа. Правила отличаются в зависимости от того, вводит пользователь пароль или одноразовый код.
У способов авторизации через код действуют два счетчика одновременно: сколько раз можно ввести конкретный присланный код и сколько всего неудачных попыток допустимо, прежде чем способ входа заблокируется.

Исключение — код, который выступает вторым фактором в двухфакторной аутентификации по почте или телефону. Для него нет отдельного порога временной блокировки: если исчерпаны 5 попыток ввода кода, блокируется учетная запись. Вернуть доступ можно только через техподдержку.

Есть несколько особенностей:

• пользователь получает уведомление о блокировке на активный канал связи, указанный в карточке сотрудника;
• счетчик временных блокировок обнуляется после успешного входа;
• техническая поддержка HRlink подключается, если доступ к личному кабинету заблокирован. Сотрудник не потеряет возможность пользоваться HRlink, однако потребуется отправить заявку на восстановление доступа по почте либо через чат-бота в Telegram или MAX.

Первые три попытки новый код можно запросить не чаще одного раза в минуту. Затем интервал увеличивается вдвое: 2, 4, 8, 16, 32 и 64 минуты. 64 минуты — максимальный интервал.

Это метод защиты аккаунта, при котором для входа нужно подтвердить личность двумя разными способами:

• одноразовый код на почту или телефон;
• код из приложения-аутентификатора по протоколу TOTP.

TOTP (Time-based One-Time Password) — алгоритм генерации одноразовых кодов, который обновляется каждые 30 секунд. 
Как включить вход по TOTP, преднастроенный компанией — разберем на примере аутентификации через мобильное приложение.
Сотруднику потребуется:

0. Скачать приложение-аутентификатор, такое как «Яндекс Ключ», Google Authenticator. 

1. Открыть. Ввести логин и пароль и нажать «Войти». После авторизации откроется страница с подключением двухфакторной аутентификации и секретным ключом. Необходимо скопировать его.

2. В приложении-аутентификаторе — следовать инструкции. Например, в «Яндекс Ключ» потребуется нажать «+» и кнопку «Добавить вручную».

Потом потребуется ввести название сервиса, а также адрес электронной почты или телефон, который используется в качестве логина в HRlink. Затем — вставить «Секретный код», который скопировали в HRlink ранее, и нажать «Далее».

3. На странице с одноразовым шестизначным кодом нужно нажать на иконку копирования. Код обновляется каждые 30 секунд.

4. Теперь необходимо открыть приложение HRlink, вставить код из приложения-аутентификатора в поле ввода и нажать «Подтвердить».

Приложение HRlink будет запрашивать одноразовый код при каждой авторизации.
Через техподдержку можно подключить двухфакторную аутентификацию, а также задать тонкие настройки, на кого будет распространяться этот способ:

• для всех сотрудников, которые есть на корпоративном портале;
• для определенных ролей в HRlink — например, для кадровых специалистов; 
• для отдельных сотрудников.

Это метод аутентификации, с помощью которого пользователь может войти в систему один раз и получить доступ к нескольким разным приложениям и сайтам без повторного ввода логина и пароля. SSO позволяет сотруднику использовать для входа в HRlink ту же учетную запись, что и в других корпоративных сервисах.

HRlink работает с протоколами OpenID Connect и Kerberos/SPNEGO. Поэтому в качестве поставщика идентификации можно использовать любую систему, которая поддерживает эти протоколы. Для одной компании можно настроить несколько способов идентификации.

OpenID Connect — протокол аутентификации, использующий OAuth 2.0 и позволяющий приложениям безопасно подтверждать личность пользователя.

Как работает Kerberos

Kerberos — сетевой протокол аутентификации, который использует специальные билеты для безопасной проверки подлинности пользователей и сервисов в незащищенных сетях.
Вместо передачи пароля по сети пользователь получает у специального центра распределения сетей — KDC — билет и предъявляет его для доступа к сервису. Билет зашифрован и действует ограниченное время. Сам пароль по сети не передается.

В HRlink это позволяет организовать вход без ввода логина и пароля: автоматически при открытии личного кабинета или по нажатию кнопки. Этот вариант доступен только при локальном размещении HRlink (On-premise).

Как настроить SSO

SSO и режим его работы подключает техническая поддержка HRlink. Доступно два режима:

• строгий — вход возможен только через SSO, а остальные способы отключаются;
• нестрогий — применяется выборочно: пользователи, чьи логины выгружены из корпоративной системы, входят только через SSO — без права выбора другого способа; для остальных сотрудников действует основной способ входа, выбранный компанией.

После подключения SSO пользователи смогут входить на портал HRlink через выбранный внешний сервис. Требования к паролю, второй фактор и другие настройки безопасности задаются в нем же.

Как вход через SSO будет работать для сотрудника

На странице входа HRlink появится кнопка «Войти через …» с названием выбранного сервиса или портала.

После клика на кнопку входа HRlink перенаправит сотрудника на страницу внешнего сервиса, где нужно будет авторизоваться, а затем войти в личный кабинет HRlink.

На одном портале компании можно настроить разные способы входа для разных групп сотрудников.

Например, SSO можно включить только для пользователей, чьи логины выгружены из корпоративной системы. Это возможно при нестрогом режиме SSO.

Двухфакторную аутентификацию можно назначить отдельным ролям — например, администраторам или кадровым специалистам. При этом в одной компании одновременно может быть включен только один тип двухфакторной аутентификации. Для остальных сотрудников будет действовать основной способ входа компании.

Если SSO настроен в нестрогом режиме, а логин пользователя не выгружен из корпоративной системы, ему доступны другие способы входа:

• в веб-версии — логин и пароль;
• в мобильном приложении — QR-код, логин и пароль или логин и код.

Восстановление пароля можно запустить после сообщения о неверном вводе логина или пароля, либо сразу нажать «Не удается войти?».

На почту или телефон, указанные как канал восстановления в карточке сотрудника HRlink, придет шестизначный одноразовый код. 

Если включена двухфакторная аутентификация, при восстановлении потребуется подтвердить и второй фактор.

При использовании TOTP пользователь сначала вводит код восстановления, затем код из приложения-аутентификатора. Самостоятельно сбросить TOTP нельзя — это делает администратор портала или техническая поддержка.

Если вторым фактором является код на почту или телефон, он используется на первом этапе восстановления, а затем пользователь отвечает на секретный вопрос, заданный при настройке двухфакторной аутентификации. Самостоятельно сбросить секретный вопрос также нельзя.

Авторизованная сессия не действует бессрочно. Она завершается, если:

• истек срок сессии;
• количество одновременных активных сессий превышает 5;
• сработала настройка выхода по бездействию. 

Если активных сессий становится больше допустимого количества, система закрывает самые старые — по дате последнего использования.
Для браузерной сессии с автопродлением предусмотрена отдельная защита от повторного использования одной и той же сессии — на случай если данные для входа были перехвачены.
Количество и срок жизни сессии в браузере — значения по умолчанию. Их можно изменить через техническую поддержку. Срок действия QR-кода компания настраивает самостоятельно — от 2 до 30 минут.

Доступ через мобильное приложение построен на стандарте OAuth2: при входе выпускается пара Access- и Refresh-токенов, подписанных алгоритмом RS256. 

После авторизации пользователь дополнительно защищает доступ к приложению: задает четырехзначный ПИН-код или подключает биометрию — сканирование отпечатка пальца или лица. Если количество попыток ввода ПИН-кода исчерпано, сессия сбрасывается. Пользователю нужно заново пройти полную авторизацию и повторно настроить ПИН-код и биометрию.

Интеграции с HRlink защищены токенами и сквозной аутентификацией. Токены позволяют безопасно выполнять действия от имени конкретных пользователей или открывать HRlink без повторного ввода логина и пароля, а их срок действия ограничен.

Токен пользователя с ролью «Кадровик» позволяет выполнять действия на портале от лица выпустившего его человека через программный интерфейс (API). Токен можно выпустить через веб-интерфейс со сроком действия один год или через API-запрос с произвольным сроком действия.

Мастер-токен используется в интеграциях, где сторонний сервис выполняет операции от имени разных пользователей компании-интегратора. Это JWT-токен с алгоритмом подписи RS256, подписанный закрытым ключом, который соответствует сертификату единой страницы авторизации. Он действует 60 минут, а продлить этот срок может только техническая поддержка HRlink. Чтобы выполнить действие от лица конкретного пользователя, сторонний сервис передает в API-запросе два обязательных заголовка: Master-Api-Token (сам токен) и Impersonated-User-Id (ID пользователя, от имени которого выполняется действие).

Еще один механизм — сквозная аутентификация. Она позволяет открыть интерфейс HRlink без повторного ввода логина и пароля по специальной защищенной ссылке с заранее подготовленным JWT-токеном. Токен подписан тем же сертификатом и содержит те же идентификаторы издателя и субъекта (iss и sub), что и мастер-токен — это позволяет системе проверить его тем же способом.

HRlink поддерживает ограничение входа по сетевым адресам. Функция позволяет разрешить доступ к порталу только для определенных ролей — например, администраторов — и только с заранее согласованных сетевых адресов. Попытка входа с любого другого адреса для этих ролей будет отклонена, даже если логин, пароль и второй фактор указаны верно.

Подключить список разрешенных адресов и саму функцию можно через техническую поддержку HRlink.

В HRlink защита доступа к данным строится сразу на нескольких уровнях. Система защищает учетные записи и сессии, ограничивает число попыток входа и использует блокировки, а компании могут дополнительно подключить SSO или двухфакторную аутентификацию.

При этом настройки можно адаптировать под разные группы сотрудников: например, использовать SSO для одной категории пользователей, а двухфакторную аутентификацию — для отдельных ролей или сотрудников. Для мобильного приложения предусмотрена дополнительная защита ПИН-кодом или биометрией, а для интеграций — токены с ограниченным сроком действия и сквозная аутентификация.

Таким образом, HRlink позволяет выстроить подходящий компании уровень защиты доступа — от базовой авторизации по логину и паролю до многоуровневых сценариев с SSO, двухфакторной аутентификацией и дополнительными ограничениями.