Zendesk에서는 고객의 보안을 매우 중요하게 여깁니다. 고객의 특정 구성을 파악하고 있는 것은 아니지만 통합 인증(SSO)을 인증 방법으로 사용 설정할 때 해당 ID 공급업체를 통해 사용자들의 이메일 주소를 확인하지 않은 고객에게 발생할 수 있는 잠재적 위험에 대해 최근에 알게 되었습니다. 그 결과 사용자가 ID 공급업체에 직접 등록함으로써 계정을 위험에 노출시킬 수 있었습니다.
어떤 위험인가요?
Zendesk에서 SSO를 위해 SAML이나 JWT를 사용할 때 고객은 관리자, 상담원 및 최종 사용자의 ID를 확인하여 확인된 사용자만 Zendesk Support 계정이나 헬프 센터에 액세스할 수 있도록 해야 할 책임이 있습니다.
사용자들이 직접 선택한 이메일로 SSO 솔루션에 등록할 수 있고 새로 만든 계정의 이메일이 ID 공급업체에 의해 확인되지 않으면 SSO 솔루션을 통해 그 계정으로 Zendesk에 인증하는 것이 가능합니다. 그런 다음 사용자는 확인되지 않은 계정을 사용하여 확인되지 않은 계정의 이메일 주소에 연결되어 있을 수 있는 Zendesk 티켓에 액세스할 수 있게 됩니다.
그럼 어떻게 해야 하나요?
타사 ID 공급업체나 현재 SSO 구성의 개발자와 협력하여 최종 사용자, 상담원 및 관리자 계정 등록에 대한 이메일 확인 절차를 마련하는 것이 좋습니다.
사용자들이 등록할 때 반드시 본인이 소유한 이메일 주소가 맞는지 확인하도록 요구해야 합니다. 일반적으로 사용자가 등록에 사용하는 이메일 주소를 확인하는 링크가 포함된 이메일을 사용자에게 보내면 됩니다.
이메일 확인을 강제 적용하도록 일부 ID 공급업체를 구성할 수 있습니다. 다음은 몇몇 잘 알려진 ID 공급업체와 SSO 솔루션에서 이메일 주소를 확인하는 방법에 대한 안내입니다.
- Auth0
- 이메일 확인됨(email verified) 규칙을 사용하여 이메일 확인을 강제 적용합니다. 자세한 내용은 https://auth0.com/rules/email-verified을 참조하세요.
-
Okta
- 직접 등록 워크플로를 구성할 때 반드시 사용자가 활성화할 이메일 주소를 확인해야 함(User must verify the email address to be activated) 설정을 사용하도록 하세요. 자세한 내용은 셀프 서비스 등록 정책 사용 및 구성
-
LogMeOnce
- LogMeOnce와 Zendesk를 설정할 때 확인된 계정만(Only Verified Accounts)에 반드시 예(Yes)를 선택하도록 하세요.
번역 고지 사항: 본 문서는 콘텐츠에 대한 기본적인 이해를 제공하기 위해 자동 번역 소프트웨어를 사용하여 번역되었습니다. 정확한 번역을 제공하고자 합당한 노력을 기울였으나 Zendesk는 번역의 정확성을 보장하지 않습니다.
번역된 문서에 포함된 정보의 정확성과 관련하여 질문이 있으시면 문서의 공식 버전인 영문 버전을 참조하시기 바랍니다.
댓글 0개