NexTool Solutions

Uma palavra-passe escrita no acompanhamento não desaparece quando o problema fica resolvido. – Fica no histórico do pedido, no e-mail de notificação e nas cópias de segurança. O Vault Send, módulo gratuito do NexTool, troca a palavra-passe por uma ligação de utilização única do Vaultwarden, cifrada no navegador.

O problema

Todo o service desk entrega palavras-passe pelo pedido: a do Wi-Fi de visitantes, a do utilizador acabado de criar, a do router da filial, a do sistema que o fornecedor acabou de configurar. O mais rápido é escrevê-la no acompanhamento, e é aí que a palavra-passe fica para sempre.

O texto da resposta vai para o histórico do pedido, que dezenas de pessoas leem durante anos. Segue no e-mail de notificação, para a caixa de correio de quem participa no pedido, e daí para os telemóveis. Vai para a base de dados do GLPI, para as cópias de segurança e para os relatórios exportados. Uma palavra-passe que precisava de valer cinco minutos passa a existir em sítios que ninguém controla, e para o RGPD é um dado que continua a guardar sem motivo.

Como funciona o Vault Send

O módulo usa o Send do Bitwarden, guardado no Vaultwarden da sua empresa, e coloca um botão Credencial segura ao lado do Adicionar, na resposta do pedido.

• Credencial cifrada no navegador – o técnico preenche o título, o utilizador, a palavra-passe (há um gerador de palavras-passe), uma observação, a validade e quantas vezes a ligação pode ser aberta. O navegador cifra tudo antes de enviar: o GLPI recebe só o texto cifrado e passa-o ao cofre.



• Um bloco dentro da resposta – ao inserir, a resposta recebe um bloco com a ligação, a validade e o número de aberturas, logo a seguir ao parágrafo onde está o cursor. O técnico envia a resposta pelo Adicionar de sempre, e o pedido regista a ligação, nunca a palavra-passe.



• Página de abertura com botão – a ligação leva a uma página do GLPI com o botão Abrir credencial. Os verificadores de ligações do e-mail, que abrem tudo o que chega, não gastam a abertura. Só quem clica vê a credencial, decifrada no próprio navegador.



• Alerta de palavra-passe escrita – se alguém escrever uma palavra-passe no texto da resposta (por exemplo, “palavra-passe: …”) e clicar em Adicionar, o GLPI sugere usar a Credencial segura, sem impedir o envio. A partir do alerta, a janela abre já com o utilizador e a palavra-passe encontrados no texto, e o bloco seguro substitui essas linhas. A verificação acontece no navegador e pode ser desligada.



• Acompanhamento e revogação – o separador Credenciais do pedido mostra cada ligação enviada, com estado, validade e aberturas. Uma ligação enviada por engano é revogada de imediato, e o pedido recebe um aviso.



• Do requerente para o técnico – com o direito no perfil de autosserviço, o requerente também envia uma palavra-passe ao técnico pelo mesmo botão.

O que acontece à palavra-passe

O conteúdo é cifrado no navegador de quem envia, no formato do Bitwarden Send. A chave que abre o conteúdo vai apenas na ligação, depois do “#”, a parte do endereço que o navegador nunca envia a nenhum servidor. Assim, o servidor do GLPI não recebe a palavra-passe em claro e o cofre guarda um conteúdo que não consegue abrir.

A ligação fica no pedido enquanto é válida: quem ler o pedido nesse intervalo pode abri-la. Por isso a proteção principal é a validade curta e a abertura única. Um acesso indevido esgota a ligação, o destinatário percebe de imediato e o técnico revoga-a e envia outra. A palavra-passe de abertura opcional, mostrada no próprio bloco, trava quem tem só a ligação, como robôs que abrem endereços ou a ligação copiada para outro sítio.

O Vault Send nasceu de um plugin criado por Fernando Silva e foi refeito como módulo do NexTool, com uma revisão de segurança antes de ser disponibilizado.

Como ativar

1. Tenha o plugin NexTool 6.35.0 ou mais recente no seu GLPI 10, 11 ou 12, acedido por HTTPS
2. No Vaultwarden, crie um utilizador só para o GLPI e copie a chave de API dele
3. No NexTool, instale e ative o Vault Send e, no separador Conexão, indique o endereço do cofre, o Client ID e o Client Secret e teste a conexão
4. Em Administração > Perfis, separador NexTool, autorize o envio de credenciais aos técnicos e, se quiser, aos requerentes

E se ainda não tem um cofre?

O módulo é gratuito, mas precisa de um Vaultwarden. A NexTool instala o Vaultwarden no seu servidor, aloja um cofre para si ou mantém atualizado e com suporte o que já tem. As três opções aparecem no topo da configuração do módulo, com contacto direto com a equipa. Para conhecer o Vaultwarden antes, veja o nosso guia do Vaultwarden.

Para quem é indicado

Equipas de TI e MSP que entregam acessos pelo GLPI: criação de utilizadores, palavras-passe de equipamentos, credenciais de fornecedores, acessos temporários. Também ajuda quem precisa de mostrar, numa auditoria ou para o RGPD, que as palavras-passe não ficam guardadas em pedidos nem em e-mails.

Compatibilidade

• GLPI: 10, 11 e 12, em HTTPS
• Plano: Gratuito
• Plugin: NexTool 6.35.0+
• Cofre: Vaultwarden acessível pelo servidor do GLPI

Próximo passo

Conheça os detalhes na página do Vault Send. O módulo faz parte do NexTool, ecossistema de módulos para expandir o GLPI sem personalizações de código. Fale com a equipa para uma demonstração ou para pôr o seu cofre a funcionar.

Revisto pela equipa NexTool Solutions. As capturas de ecrã são de um ambiente real do GLPI com o plugin NexTool.