Обзор функций iThemes Security Pro - Двухфакторная аутентификация

В сообщениях Feature Spotlight мы собираемся выделить функцию в iThemes Security Pro и немного рассказать о том, почему мы разработали эту функцию, для кого эта функция предназначена и как ее использовать.

Сегодня мы рассмотрим двухфакторную аутентификацию, проверенный метод защиты вашего сайта WordPress.

Почему мы разработали двухфакторную аутентификацию

Согласно отчету Verizon Data Breach Investigations Report, более 70% сотрудников повторно используют пароли на работе. Но наиболее важным показателем из отчета является то, что «81% взломов, связанных с взломом, были связаны либо с украденными, либо с ненадежными паролями».

В списке, составленном Splash Data, наиболее распространенным паролем, включенным во все дампы данных, было 123456. Хотя 91% людей знают, что повторное использование паролей - плохая практика, ошеломляющие 59% людей по-прежнему повторно используют свои пароли повсюду! Многие из этих людей до сих пор используют пароли, которые появились в тупой базе данных.

Дамп базы данных происходит, когда хакер успешно получает доступ к пользовательской базе данных, а затем сбрасывает ее содержимое где-нибудь в сети. К сожалению для нас, эти дампы содержат массу конфиденциальной информации для входа в систему и учетной записи.

«Сборник №1» утечки данных, который был размещен на хостинге MEGA, включал 1 160 253 228 уникальных комбинаций адресов электронной почты и паролей. Такая оценка предоставит злонамеренному боту более миллиарда наборов учетных данных для использования в атаках методом грубой силы. Под атаками методом грубой силы понимается метод проб и ошибок, используемый для обнаружения комбинаций имени пользователя и пароля для взлома веб-сайта.

Все эти и другие причины должны побудить вас добавить еще один уровень защиты для входа в WordPress.

Итак, вы относитесь к тому типу людей, которые используют диспетчер паролей, такой как LastPass, для создания надежных и уникальных паролей для каждой из ваших учетных записей. Но. А как насчет других пользователей-администраторов и редакторов на вашем сайте? Если злоумышленник смог взломать одну из своих учетных записей, он все равно может нанести серьезный ущерб вашему веб-сайту.

Если бы существовал только способ защиты ваших учетных записей пользователей WordPress, который, по словам Google, эффективен против 100% автоматических атак ботов.

Что такое двухфакторная аутентификация

Двухфакторная аутентификация - это процесс проверки личности человека, требующий двух отдельных методов проверки. Google поделился в своем блоге, что использование двухфакторной аутентификации может остановить 100% автоматических атак ботов. Мне очень нравятся эти шансы.

Есть 3 категории проверки личности

1. То, что вы знаете. Вы помните, как заполняли контрольные вопросы при создании ипотечного онлайн-счета? Что-то вроде Кто твой любимый учитель? или Как девичья фамилия вашей матери? Эти контрольные вопросы представляют собой форму двухфакторной аутентификации, требующей ответов, которые могут быть известны только вам.

2. То, что у вас есть. Эта категория требует, чтобы у вас было что-то физически в вашем распоряжении - например, ваш телефон или Yubikey - для подтверждения вашей личности. Например, для некоторых методов двухфакторной аутентификации требуется временный код, отправляемый на определенное устройство через приложение 2FA.

3. То, что вы есть. Возможно, вы не знаете имя, но если у вас есть смартфон, вы, вероятно, использовали биометрическую аутентификацию для входа в свой телефон. Биометрическая аутентификация требует уникальных биологических характеристик для аутентификации вашего логина. Если в вашем телефоне есть сканер отпечатков пальцев или Face ID, вы используете биометрическую аутентификацию каждый раз, когда разблокируете свой телефон.

Требование добавить еще один метод проверки личности для входа на ваш веб-сайт заблокирует все автоматические атаки методом грубой силы и даже поможет защитить вас, если на вашем веб-сайте есть уязвимость, связанная с нарушением аутентификации. Уязвимость Broken Authentication может позволить злоумышленнику скомпрометировать пользователя или его пароли, ключи или токены сеанса, чтобы захватить учетные записи пользователя.

Как использовать двухфакторную аутентификацию в iThemes Security Pro

Для того, чтобы начать работу с двухфакторной аутентификацией, перейдите к настройкам безопасности меню Функции и включить двухфакторную. После включения двухфакторной настройки щелкните шестеренку настроек.

Теперь давайте подробнее рассмотрим настройки двухфакторной настройки.

Доступные для пользователей методы аутентификации - настройки позволяют вам выбрать, какой из трех методов аутентификации вы разрешите людям использовать.

Три метода аутентификации, предоставляемые iThemes Security Pro :

1. Мобильное приложение. Метод мобильного приложения - самый безопасный метод двухфакторной аутентификации, предоставляемый iThemes Security Pro. Этот метод требует, чтобы вы использовали бесплатное двухфакторное мобильное приложение, такое как Authy.
2. Электронная почта - двухфакторный метод электронной почты отправляет чувствительные ко времени коды на адрес электронной почты вашего пользователя.
3. Резервные коды - набор одноразовых кодов, которые можно использовать для входа в систему в случае утери основного двухфакторного метода.

Хорошо, перейдем к остальным двухфакторным настройкам.

• Принудительная двухфакторная аутентификация - этот параметр позволяет потребовать от пользователей определенной группы пользователей использовать двухфакторную аутентификацию.
• Отключить двухфакторную аутентификацию - этот параметр позволяет отключить двухфакторную аутентификацию для определенных пользователей. Мы рассмотрим адаптацию 2fa более подробно позже в этом посте.
• Защита уязвимых пользователей - если этот параметр включен, все пользователи должны использовать двухфакторную систему при входе в систему, если сайт уязвим, например, работает устаревшее программное обеспечение или заведомо уязвимое программное обеспечение.
• Отключить при первом входе в систему - при включении функции принудительной двухфакторной аутентификации для определенных групп пользователей им потребуется ввести двухфакторный токен, отправленный на их адрес электронной почты, при следующем входе в систему. Включение этого параметра упростит внутреннюю поток при первом входе пользователя в систему.
• Встроенный приветственный текст - это позволяет вам настроить текст, который видят люди, когда они запускают двухфакторный процесс адаптации.

Двухфакторная адаптация

Мы создали двухфакторную адаптацию, чтобы создать удобный способ для людей настроить двухфакторную аутентификацию для своих учетных записей при входе в систему. После того, как вы включите двухфакторную аутентификацию, каждый пользователь будет проходить процесс адаптации. Вы можете отключить двухфакторную адаптацию для определенных групп пользователей в двухфакторных настройках.

Хорошо, давайте шаг за шагом рассмотрим процесс входа в систему и двухфакторной адаптации.

Как обычно, первое, что вы увидите, - это форма входа в систему. Введите свои учетные данные и нажмите кнопку « Войти» .

Если вы следовали нашим рекомендациям и включили требования force 2fa для привилегированных пользователей, следующее, что вы увидите, это место для ввода двухфакторного токена, отправленного на ваш адрес электронной почты. Откройте электронное письмо, скопируйте и вставьте токен, а затем нажмите кнопку « Войти» .

На следующем экране вам будет представлен текст приветствия. Имейте в виду, что вы можете настроить это в двухфакторных настройках. Нажмите кнопку « Продолжить» , чтобы перейти к следующему шагу.

Следующим шагом является выбор двухфакторных методов, которые вы хотите включить для своей учетной записи. Щелкните стрелку « Коды резервных копий», чтобы создать список кодов резервных копий, которые будут использоваться в случае сбоя основного метода проверки подлинности.

Теперь нажмите кнопку « Загрузить» , чтобы загрузить текстовый файл с резервными кодами. Обязательно храните эти коды в надежном месте.

Теперь щелкните ссылку « Назад», чтобы вернуться к предыдущему экрану. Теперь давайте щелкнем стрелку мобильного приложения, чтобы включить и настроить этот метод аутентификации для нашего пользователя.

Теперь выберите свою мобильную ОС и откройте мобильное двухфакторное приложение на телефоне.

Со своего телефона отсканируйте QR-код, чтобы продолжить связывание секрета с вашим мобильным приложением.

Теперь введите шестизначный код со своего телефона в веб-браузер и нажмите « Подтвердить», чтобы завершить настройку мобильного приложения.

Хорошо, теперь, когда у вас есть двухфакторная настройка, нажмите кнопку « Продолжить» , чтобы завершить вход в свою панель управления WordPress.

Двухфакторные настройки профиля пользователя

Вы всегда можете внести изменения в свои двухфакторные настройки, посетив страницу своего профиля пользователя.

Отсюда вы можете создать новый секретный ключ, включить / отключить методы 2fa и обновить основной метод аутентификации.

Заключение

Подводя итог, вы ничего не можете сделать так просто, как добавить 2fa в ваш логин WordPress, который сделает больше для защиты вашего сайта. Если вы в настоящее время не используете двухфакторный коэффициент, добавьте его на свой сайт прямо сейчас.

Майкл Мур

Каждую неделю Майкл составляет отчет об уязвимостях WordPress, чтобы обеспечить безопасность ваших сайтов. Как менеджер по продукту в iThemes, он помогает нам продолжать улучшать линейку продуктов iThemes. Он большой ботаник и любит узнавать обо всем, что есть в технологиях, старом и новом. Вы можете увидеть, как Майкл гуляет с женой и дочерью, читает или слушает музыку, когда не работает.