Większa kontrola nad bezpieczeństwem konta w PortfolioReach

Bezpieczeństwo konta nie powinno kończyć się na haśle.

Dlatego rozbudowaliśmy ustawienia bezpieczeństwa PortfolioReach o nowe mechanizmy, które dają użytkownikowi większą kontrolę nad tym, gdzie jego konto jest zalogowane i w jaki sposób chroniony jest dostęp do niego.

Zobacz swoje aktywne sesje

W ustawieniach bezpieczeństwa możesz teraz zobaczyć aktywne sesje swojego konta.

Każda sesja jest traktowana niezależnie, dzięki czemu możesz sprawdzić m.in.:

• czy jest to Twoja bieżąca sesja,
• kiedy została utworzona,
• kiedy była ostatnio aktywna,
• jaką przeglądarkę lub klienta zapisano dla sesji,
• przybliżony kraj ostatniej aktywności.

Nie pokazujemy pełnego adresu IP w interfejsie użytkownika.

Jeżeli zobaczysz sesję, której nie rozpoznajesz, możesz ją wylogować. Możesz również jednym działaniem wylogować wszystkie pozostałe sesje, pozostawiając aktywną tylko bieżącą sesję przeglądarki.

Passkeys i klucze bezpieczeństwa

Do PortfolioReach dodaliśmy również obsługę passkeys opartych na standardzie WebAuthn.

Oznacza to, że konto może być dodatkowo zabezpieczone przy użyciu mechanizmów obsługiwanych bezpośrednio przez Twoje urządzenie lub przeglądarkę.

Może to być na przykład:

• Windows Hello,
• sprzętowy klucz bezpieczeństwa, taki jak YubiKey,
• kompatybilny passkey zapisany na urządzeniu lub synchronizowany przez obsługiwany ekosystem.

Każdy dodany passkey jest widoczny osobno w ustawieniach bezpieczeństwa. Możesz nadać mu własną nazwę, sprawdzić kiedy został dodany i ostatnio użyty oraz w razie potrzeby go usunąć.

Dzięki temu fizyczny klucz bezpieczeństwa może stać się jednym z elementów chroniących Twoje konto PortfolioReach.

Dodatkowa weryfikacja przy ważnych zmianach

Samo posiadanie aktywnej sesji nie zawsze powinno wystarczać do wykonania szczególnie wrażliwej operacji.

Dlatego wprowadziliśmy dodatkową weryfikację bezpieczeństwa dla wybranych działań, takich jak:

• zmiana hasła,
• zarządzanie uwierzytelnianiem dwuskładnikowym,
• zarządzanie passkeys,
• wylogowanie pozostałych sesji,
• usunięcie konta.

W zależności od konfiguracji konta możesz potwierdzić taką operację za pomocą passkey albo istniejących metod bezpieczeństwa, takich jak hasło, kod TOTP lub kod odzyskiwania.

Passkey nie zastępuje obecnie całkowicie hasła. Zachowujemy istniejące ścieżki odzyskiwania dostępu, zamiast uzależniać konto od jednego urządzenia lub jednego klucza.

Sesje, zaufane urządzenia i passkeys to różne rzeczy

Rozdzieliliśmy również trzy elementy, które często są ze sobą mylone:

Aktywna sesja oznacza konkretne logowanie w przeglądarce lub innym kliencie.

Zaufane urządzenie 2FA pozwala przez określony czas pominąć ponowne wpisywanie kodu OTP na znanym urządzeniu.

Passkey jest kryptograficznym poświadczeniem używanym do potwierdzenia Twojej tożsamości.

Każdym z tych elementów można zarządzać oddzielnie.

Bezpieczeństwo rozwijamy razem z PortfolioReach

PortfolioReach jest nadal młodą platformą, ale chcemy od początku budować rozwiązania, które zwykle pojawiają się dopiero wraz ze wzrostem dużych serwisów.

Nowy system bezpieczeństwa został wdrożony etapami i przetestowany między innymi z Windows Hello, fizycznym kluczem YubiKey oraz różnymi przeglądarkami.

To nie koniec.

Będziemy dalej rozwijać narzędzia związane z bezpieczeństwem kont, ochroną sesji i informowaniem użytkowników o ważnych zdarzeniach bezpieczeństwa.

Portfolio powinno prezentować Twoją pracę. Dostęp do niego powinien należeć tylko do Ciebie.