iThemes Security Pro 功能聚焦 – 兩因素身份驗證

已發表: 2021-07-14

在 Feature Spotlight 帖子中，我們將重點介紹 iThemes Security Pro 中的一項功能，並分享一些有關我們開發該功能的原因、該功能適用於誰以及如何使用該功能的一些信息。

今天我們將介紹雙因素身份驗證，這是一種經過驗證的方法來保護您的 WordPress 網站。

為什麼我們開發兩因素身份驗證

根據 Verizon 數據洩露調查報告，超過 70% 的員工在工作中重複使用密碼。但報告中最重要的統計數據是“81% 的與黑客相關的違規行為利用了被盜密碼或弱密碼。”

在 Splash Data 編制的一份列表中，所有數據轉儲中最常見的密碼是 123456。儘管 91% 的人知道重複使用密碼是不好的做法，但仍有 59% 的人仍然在任何地方重複使用他們的密碼！這些人中的許多人仍在使用出現在數據庫中的密碼。

當黑客成功訪問用戶數據庫，然後將內容轉儲到在線某處時，就會發生數據庫轉儲。對我們來說不幸的是，這些轉儲包含大量敏感的登錄和帳戶信息。

MEGA 託管的“Collection #1”數據洩露包括 1,160,253,228 個電子郵件地址和密碼的獨特組合。這種分數將為惡意機器人提供超過 10 億組憑據以用於暴力攻擊。蠻力攻擊是指一種反複試驗的方法，用於發現用戶名和密碼組合以入侵網站。

所有這些以及更多原因都應該讓您想要為您的 WordPress 登錄添加另一層保護。

好的，所以你是那種使用像 LastPass 這樣的密碼管理器為你的每個帳戶創建強大而獨特的密碼的人。但。您網站上的其他管理員和編輯用戶呢？如果攻擊者能夠破壞他們的一個帳戶，他們仍然可以對您的網站造成大量損害。

如果只有一種方法可以保護您的 WordPress 用戶帳戶，Google 稱該方法可有效抵禦 100% 的自動機器人攻擊。

雙因素身份驗證是通過需要兩種不同的驗證方法來驗證個人身份的過程。谷歌在其博客上分享說，使用雙因素身份驗證可以阻止 100% 的自動機器人攻擊。我真的很喜歡這些賠率。

1. 你知道的事情。 您還記得在設置在線抵押賬戶時填寫安全問題嗎？比如你最喜歡的老師是誰？ 或者你母親的娘家姓是什麼？ 這些安全問題是一種雙因素身份驗證形式，要求您回答您只會知道的問題。

2. 你擁有的東西。 此類別要求您隨身攜帶一些物品（例如手機或 Yubikey）來證明您的身份。例如，某些雙因素身份驗證方法需要通過 2FA 應用程序將基於時間的代碼發送到特定設備。

3. 你是什麼。 你可能不知道這個名字，但如果你有一部智能手機，你可能已經使用生物識別身份驗證登錄到你的手機。生物特徵認證需要獨特的生物特徵來認證您的登錄。如果您的手機具有指紋掃描儀或面容 ID，則每次解鎖手機時都在使用生物識別身份驗證。

要求添加另一種身份驗證方法來登錄您的網站將阻止所有自動暴力攻擊，甚至在您的網站上存在已損壞的身份驗證漏洞時幫助保護您。 Broken Authentication 漏洞可允許攻擊者破壞用戶或用戶的密碼、密鑰或會話令牌以接管用戶的帳戶。

要開始使用雙因素身份驗證，導航到安全設置“功能菜單，並啟用雙因素。啟用雙因素後，單擊設置齒輪。

現在讓我們仔細看看雙因素設置。

用戶可用的身份驗證方法- 通過這些設置，您可以選擇允許人們使用的三種身份驗證方法中的哪一種。

iThemes Security Pro 提供的三種認證方式：

移動應用程序– 移動應用程序方法是 iThemes Security Pro 提供的最安全的兩因素身份驗證方法。此方法要求您使用像 Authy 這樣的免費雙因素移動應用程序。
電子郵件- 雙因素的電子郵件方法會將時間敏感代碼發送到您用戶的電子郵件地址。
備用代碼– 一組一次性使用代碼，可用於在主要兩因素方法丟失時登錄。

好的，讓我們繼續進行其餘的兩因素設置。

強制雙因素身份驗證- 此選項允許您要求特定用戶組中的用戶使用雙因素身份驗證。
禁用雙重身份驗證 - 此設置允許您為某些用戶禁用雙重身份驗證登錄。我們將在後面的帖子中更深入地介紹 2fa 入門。
易受攻擊的用戶保護– 啟用後，如果站點易受攻擊（例如運行過時或已知易受攻擊的軟件），則此設置將要求所有用戶在登錄時使用兩個因素。
首次登錄時禁用- 當您為特定用戶組啟用強制雙因素身份驗證功能時，他們將需要在下次登錄時輸入發送到其電子郵件地址的雙因素令牌。啟用此設置將簡化板載用戶首次登錄時的流程。
板載歡迎文本– 這允許您自定義人們在開始雙因素入職流程時看到的文本。