Jag slänger in några korta tankar på ev. säkerhetsförbättringar (några mailade jag dig om privat med @janbolmeson).
Implementera en starkare autentisering med hjälp av Mobilt BankID / multifaktor för att undvika att stulna eller lätta lösenord ger access till kundens ekonomiska information. Jag hoppas att er egna administrativa access har detta, börja där annars.
Meddela användaren när säkerhetshändelser skett på deras konto. Exempelvis att jag får ett mail när mitt lösenord bytts (så att jag kan agera om det är någon annan) eller om jag loggar in från en ny plats (tidigare okänd webbläsare / egenskaper av klienten). Det kanske även kan gälla andra händelser.
Ställ ner sessionstiden eller låt mig själv ställa in min sessionstid. Jag tycker den verkar lång just nu, jag vet inte om jag någonsin blir automatiskt utloggad/challenged för lösenord. Det vill jag gärna bli.
Jag tror någon annan frågade om samma sak men mer information om hur tjänsten levereras och var mina uppgifter lagras.
Det verkar som tjänsten tillåter inkommande SSH och SMTP. Ju färre tjänster som är exponerade desto mindre attackyta. Kanske finns det bättre sätt via din leverantör för att nå maskinen via din leverantör istället för SSH? Autentisering via publika nycklar är att föredra framför user/pwd. Smidigt och säkert är hårdvarunycklar typ Yubikey.
Det var några observationer bara nu när jag börjat prova tjänsten. Vill du istället ha dem privat så tag gärna bort inlägget bara!
Jag vill absolut slippa dra upp mobilen varje gång jag loggar in, det borde inte vara så svårt att även tillåta att automatgenererade lösord (via keychain eller annat lösenordsverktyg) som komplement iaf? Går iofs även att göra 2fa med keychain, det hade varit helt ok det med!
Bara inte bank-id gör det svårare att dela konto. Gärna inloggningslösning som gör att det fortsatt är smidigt för flera (betrodda) att kunna logga in.
Detta tycker jag var en bra kommentar!
Vill absolut att Spirecta ska vara säkert, stå pall för dagens alla hot.
Men både jag och min fru behöver ju kunna logga in i systemet säkert, så det går ju inte att låsa det till bara mitt BankID te.x. Lösningen är ju då att man i Spirecta kan lägga till en ny användare med personnummer som då tillåts logga in med sitt BamkID. Den möjligheten finns ju på andra ställen.
Detta tycker jag också var ett mycket bra inlägg i en annan tråd:
Vore bra om detta är tydligt vad som gäller, även viktigt att systemet följer ned utvecklingen och anpassas till bättre kryptering, säkrare API-er, m.m.
