Sicurezza del PBX 3CX - Ripristino delle credenziali e password

Introduzione

Dopo il recente attacco hacker alla nostra catena di fornitura, consigliamo di effettuare alcune operazioni sul centralino per garantire sempre un livello di sicurezza ottimale.

Azione 1: Cambiare le credenziali dell'account Root/Admin

Attualmente non ci sono prove che le password della console di gestione siano state compromesse.

Le installazioni 3CX hanno "utenti" che dispongono di estensioni e hanno un account root per amministrare il PBX. L'account root è spesso usato dai rivenditori per configurare il sistema e gestirlo. Se hai cambiato partner di recente o non sei sicuro di quando la password sia stata cambiata l'ultima volta, dovresti considerare di cambiarla con una più efficace.

Ecco come è possibile cambiare la password di root:

1. Accedere alla console di gestione del PBX come admin/root.
2. Andare su "Sicurezza > Credenziali di root" dal pannello di sinistra.
3. Nel campo Vecchia password, digitare la password di root attuale.
4. Digitare la nuova password di root nei campi Nuova password e Conferma password e fare clic su "OK". La password deve essere lunga almeno 10 caratteri senza spazi e contenere una lettera minuscola, una maiuscola e una numero.
5. A questo punto verrai disconnesso dalla Console di gestione e sarà necessario effettuare nuovamente il login con le nuove credenziali.

Hai dimenticato le tue credenziali di root?

Se hai dimenticato le credenziali di root, è possibile recuperarle come segue:

1. Accedere alla schermata di login della console di gestione.
2. Fare clic su "Login" un paio di volte con il nome utente corretto ma con una password sbagliata.
3. Fare clic sull'opzione "Password dimenticata?" che apparirà.
4. Questo invierà automaticamente le credenziali correnti all'indirizzo email dell'amministratore, configurato sul PBX durante l'installazione.
5. Utilizzare queste credenziali per accedere alla console di gestione e seguire i passaggi della sezione precedente per reimpostarle.

Azione 2: Impostare un proprietario del sistema

A partire dalla V18 Update 6, il centralino 3CX supporta il ruolo di Proprietario del sistema da assegnare a qualsiasi utente/estensione configurato. Ciò consente, a un amministratore, di raddoppiare il ruolo di utente del sistema. Le nuove installazioni del PBX impostano già il primo utente come proprietario del sistema. Se invece siete un utente esistente e avete appena effettuato l'aggiornamento, riceverete un avviso nella Console di gestione per assegnare a un interno/utente i privilegi di Proprietario del sistema.

1. Per assegnare i diritti di 'Proprietario del sistema', accedere alla console di gestione e navigare in "Utenti".
2. Modificare l'utente che si desidera elevare a proprietario del sistema, fare clic sulla scheda "Diritti".
3. Selezionare il ruolo "Proprietario del sistema" nella sezione "Appartenenza al gruppo".
4. Una volta assegnato il ruolo di "Proprietario del sistema", l'utente può accedere sia al web client che alla console di gestione utilizzando le credenziali fornite nell'email di benvenuto ricevuta dall'utente. Se l'utente non dispone di queste credenziali, selezionarlo e inviare nuovamente l'email di benvenuto.

Azione 3: Limitare l'accesso alla console di gestione e al web client da IP specifici

Un ottimo modo per proteggere il centralino è quello di limitare l'amministrazione del centralino a un elenco specifico di IPS, ad esempio l'IP dell'ufficio e magari l'IP dell'abitazione dell'amministratore di rete. Per fare questo:

1. Accedere alla console di gestione.
2. Dal pannello di sinistra, passare a "Sicurezza > Limitazione console".
3. Selezionare l'opzione "Consenti accesso solo da indirizzi IP specifici".
4. Fare clic sul pulsante "+Aggiungi" per aggiungere un IP.

Importante: Prima di fare clic su OK, assicurarsi di visualizzare il messaggio informativo blu che indica che l'IP corrente è autorizzato.

5. Se viene visualizzato questo avviso rosso, significa che non è stato aggiunto l'indirizzo IP dell'ufficio remoto attuale nell'elenco dei permessi. Se si fa clic su OK mentre viene visualizzato questo messaggio, si viene bloccati dalla Console di gestione/visualizzazione amministrativa del web client.
6. Assicurati di avere un IP statico! Se si dispone di un IP dinamico e questo cambia, si verrà bloccati dalla console di gestione.
7. Assicurati di avere un IP statico! Se si dispone di un IP dinamico e questo cambia, si verrà bloccati dalla console di gestione.

Azione 4: Reimpostare le credenziali dell'utente tramite la schermata Admin del web client

È possibile reimpostare le credenziali di qualsiasi utente, compresi gli utenti proprietari del sistema, utilizzando la nuova schermata Admin del web client. Per farlo:

1. Accedere a web client utilizzando le credenziali del Proprietario del sistema e andare in "Admin > Utenti".
2. Modificare l'utente di cui si vogliono cambiare le credenziali e fare clic su "Reimposta password". In questo modo la password dell'utente verrà reimpostata e gli verrà automaticamente inviata un'email di benvenuto con un link per reimpostare la password.

Ripristino delle credenziali per tutti gli utenti

È possibile reimpostare in massa le credenziali di tutti gli utenti del centralino, utilizzando i seguenti passaggi:

1. Accedere alla console di gestione utilizzando le credenziali di root o del proprietario del sistema e andare su "Utenti".
2. Selezionare tutti gli utenti di cui si desidera reimpostare le credenziali e fare clic su "Rigenera".
3. Nella schermata Rigenera password, selezionare le credenziali che si desidera reimpostare per ciascun utente e fare clic su "Procedi".
4. Probabilmente la password del web client è sufficiente.
5. Assicurarsi di selezionare l'opzione "Reinvia l'email di benvenuto agli interni selezionati", in modo che tutti gli utenti interessati ricevano un'email con il link per reimpostare la password.

Nota

Se si sceglie di reimpostare le seguenti opzioni, è necessario riprogrammare tutti i telefoni IP o le app registrate su tali estensioni.

• ID SIP e password di autenticazione
• PIN della segreteria telefonica
• Password web del telefono IP
• Rigenerazione del file di provisioning e del codice QR per le app 3CX

Se hai solo bisogno di reimpostare le credenziali per la console di gestione/web client per i tuoi utenti, l'unica opzione da selezionare è "Password web client".

Chiedere agli utenti di modificare le proprie credenziali

Esiste anche la possibilità di far reimpostare agli utenti le proprie credenziali dai loro web client. Per farlo:

1. Assicurarsi di aver abilitato questa opzione dalla console di gestione.
2. Accedere alla console di gestione utilizzando le credenziali di root o come proprietario del sistema.
3. Navigare in "Impostazioni > Opzioni" e assicurarsi di disabilitare l'opzione "Nascondi la modifica delle password per le app 3CX".
4. Disabilitando questa opzione, si permette a ogni utente di reimpostare le proprie credenziali nel web client.
5. Ora informare i tuoi utenti di accedere al loro web client e di navigare in "Impostazioni > Generale" e cliccare su "Cambia password".
6. Nella finestra di dialogo successiva, nel campo Vecchia password, digitare la tua password attuale.
7. Digitare la nuova password nei campi Nuova password e conferma nuova password e fare clic su "Salva". Si noti che la password deve essere lunga almeno 10 caratteri senza spazi e contenere una lettera minuscola, una lettera maiuscola e un numero.
8. In questo modo la password verrà modificata e l'utente sarà costretto a disconnettersi e dovrà effettuare nuovamente il login utilizzando le nuove credenziali.

Azione 5: Utilizzare SSO - Google o Microsoft 365

Un ottimo modo per proteggere il centralino è quello di abilitare l'SSO in modo che gli utenti possano usare il loro account Google o Microsoft 365 per autenticarsi con il PBX. Ciò consente agli utenti, non solo di riutilizzare la stessa password, ma anche di attivare l'autenticazione a due fattori se è stata configurata.

Segui queste guide per saperne di più su come configurare l'SSO con il 3CX.

• Configurazione di SSO per Google
• Configurazione di SSO per Microsoft 365