Mida kaheastmeline autentimine tähendab?
Kaheastmeline autentimine lisab WordPressi sisselogimisele teise kontrolli. Ainult varastatud paroolist ei tohiks piisata, et halduspaneeli pääseda. See ongi asja mõte.
Kaheastmeline ehk kahefaktoriline autentimine, lühidalt 2FA, ühendab eri tüüpi tõendid. Midagi, mida tead, näiteks parooli, ja midagi, mis sul on, näiteks autentimisrakenduse või turvavõtme. Teiseks tõendiks võib olla ka sinu füüsiline tunnus, näiteks sõrmejälg. Tavaliselt sisestad WordPressi parooli ja seejärel kinnitad sisselogimise teise tõendiga. Veel üht parooli pole vaja meelde jätta.
Võid kohata ka väljendit „WordPress admin MFA”. Administraatori sisselogimise puhul tähendavad MFA ja 2FA praktiliselt sama asja: 2FA on mitmefaktorilise autentimise kahe teguriga variant.
Mida näitab WordPressis 2FA olek?
2FA olek näitab tavaliselt seda, kas kasutaja on plugina kaudu teise sisselogimiskontrolli seadistanud. „Saadaval” võib tähendada, et funktsioon on olemas. „Lubatud” tähendab, et kasutaja on selle oma kontol seadistanud. Sõnastus erineb pluginati, nii et vaata oma plugina selgitust, mitte ära eelda, et kõik kasutajad on kaitstud.
Miks administraatoril seda vaja on?
Administraator saab paigaldada pluginaid, muuta seadeid ja luua kasutajaid. Kui annad selle konto võõra kätte, annad talle sisuliselt kogu veebilehe. Ilma teise kontrollita võib piisata mujal kasutatud paroolist või usutavast võltsitud sisselogimislehest.
Vean Eestis väikest WordPressi turbe- ja hooldusettevõtet ning töötan ettevõtetega üle Euroopa Liidu. Minu soovitus: kaitse kõigepealt administraatoreid, seejärel kõiki, kes saavad muuta sisu, tooteid, broneeringuid või tellimusi. Meie WordPressi sisselogimise kaitse praktiline juhend selgitab teisi samme, mida kasutaksin koos 2FA-ga.
Milline 2FA meetod valida?
WordPressil pole sisseehitatud kaheastmelist autentimist. Selle lisad pluginaga ning pakutavad voimalused sõltuvad pluginast. Minu eelistuste järjekord on selline:
- Turvavõti või pääsuvõti: korraliku toe korral neist valikutest tugevaim. Kontrolli ühilduvust. Füüsilise turvavõtme tugi ei tähenda automaatselt, et iga pääsuvõtme lahendus töötab. Mõne meeskonna jaoks võib veel ühe seadme kaasaskandmine olla liiast.
- Autentimisrakendus: minu tavapärane valik väikeettevõttele. TOTP-koodid vahetuvad iga 30 sekundi järel ega sõltu SMS-i või e-kirja kohalejõudmisest. Näiteks Aegis, 2FAS, Google Authenticator ja Microsoft Authenticator.
- E-postiga saadetav kood: mugav, aga kaitse sõltub vastuvõtva postkasti turvalisusest. Kui keegi pääseb sinu postkasti, saab ta ka koodi kätte.
- SMS: parem kui ainult parool, kuid siinsetest valikutest nõrgim. SIM-kaardi ülevõtmisega võib sinu telefoninumber sattuda kellegi teise seadmesse.
Tasuta Two Factor pluginat haldavad WordPress.org-i kaasautorid. See toetab TOTP-d, e-posti, varukoode ja FIDO U2F turvavõtmeid. Kaaluda võib ka Wordfence Login Security ja WP 2FA pluginaid. Bearmor Security pakub administraatoritele samuti tasuta e-posti põhist 2FA-d. Valimise ja seadistamise juures aitab meie tasuta WordPressi kaheastmelise autentimise teenus.
WordPressi administraatori 2FA seadistamine sammhaaval
Autentimisrakenduse kasutamiseks vali TOTP-d toetav plugin. Ekraanivaated erinevad, aga seadistamise käik on üldiselt järgmine:
- Tee veebilehest varukoopia. Kontrolli, et pääsed majutuskontole ning saad kasutada failihaldurit või SFTP-d. Kui sisselogimine enam ei tööta, vajad teist ligipääsuteed.
- Paigalda ja aktiveeri plugin. Tee seda WordPressi pluginate menüüst. Aktiveerimine üksi ei tähenda, et sinu kontol oleks 2FA juba sisse lülitatud.
- Leia oma konto 2FA seaded. Need võivad asuda kasutajaprofiilis või plugina seadete lehel. Vali autentimisrakenduse meetod.
- Skanni QR-kood. Lisa see oma autentimisrakendusse. Pane kirjele veebilehe nimi, et sa seda teise kontoga segamini ei ajaks.
- Kinnita kood. Sisesta rakenduse kuuekohaline kood küsitud väljale. Kui kood hakkab kohe aeguma, oota järgmist.
- Salvesta taastekoodid. Kui plugin seda toetab, loo koodid ja salvesta need paroolihaldurisse või prindi välja. Hoia need turvalisess kohas. Mitte ainult telefonis.
- Katseta uut sisselogimist. Jäta praegune seanss avatuks ja logi sisse brauseri privaatses aknas. Enne algse seansi sulgemist veendu, et nii parool kui ka kood töötavad.
- Korda teiste kasutajatega. Alusta administraatoritest, toimetajatest ja poe halduritest. Katseta nende ligipääsu enne, kui teed 2FA kohustuslikuks.
Ära jäta uut sisselogimisnõuet inimesele avastamiseks hetkel, kui tal on vaja e-poes tooteandmeid parandada. Kõigepealt proovi läbi.
Võta 2FA kasutusele ja kontrolli iga kasutaja olekut
Sinu kaitstud konto ei kaitse teist administraatorit. Anna igaühele oma kasutajakonto, aita seadistus lõpetada ja kontrolli siis kõigi 2FA olekut. Ühist administraatorikontot ärge kasutage. Sellega on keerulisem nii tegevuste eest vastutajat leida kui ka ligipääsu taastada.
Kui plugin võimaldab 2FA-d kasutajarolli järgi kohustuslikuks teha, lülita see sisse alles pärast seda, kui kõik on ligipääsu katsetanud ja taastekoodid salvestanud. Muidu kasuta uue töötaja lisamisel kontrollnimekirja ning vaata kontod töötajate vahetumisel üle. Lahkuja ligipääs eemalda. 2FA pole põhjus vana kontot alles hoida.
Telefon kadus? Alusta taastekoodidest
Kui telefon kaob on salvestatud taastekoodid sinu esimene võimalus. Kasuta üht koodi, seadista autentimisrakendus asendusseadmes ja vajaduse korral loo uued taastekoodid. Kasutatud varu koodid üldjuhul teist korda ei tööta.
Koode pole? Teine usaldusväärne administraator võib saada sinu 2FA plugina kaudu lähtestada. Kui seda võimalust pole, saab serverile ligi pääsev administraator kasutada SFTP-d või majutuse failihaldurit ning nimetada vastava plugina kausta asukohas wp-content/plugins ümber. Tavaliselt lülitab see plugina välja, sealhulgas selle pakutava 2FA kaitse teistele kasutajatele.
See on ajutine ligipääsu taastamine, mitte probleemi lahendus. Lähtesta konto plugina taastamisjuhendi järgi, taasta kausta algne nimi ja lülita kaitse uuesti sisse. Seejärel kontrolli üle ka 2FA kohustuslikkus. Tee juba enne probleemi selgeks, kellel on majutusele ligipääs.
Kiired küsimused enne lõpetamist
Kas 2FA kaitseb ka API-ühendusi?
Mitte automaatselt. WordPressi rakenduseparoolid võimaldavad API kaudu ligi pääseda ilma interaktiivse 2FA-küsimiseta. Pärast seadistamist tee WordPressi rakenduseparoolide 10 minuti kontroll ja tühista kasutamata paroolid. Ka XML-RPC käsitlemine erineb pluginati. Enne millegi väljalülitamist kontrolli, kas kasutad seda ning mida sinu plugin kaitseb.
Kas sisselülitatud 2FA-ga saab ikka kontole sisse murda?
Jah. Varastatud aktiivne seanss või seansiküpsis võib võimaldada ligipääsu ilma uue sisselogimiseta. Haavatavad pluginad ja nõrgad majutuskonto paroolid on samuti eraldi probleemid. Hoia tarkvara uuendatud, kaitse majutusele ligipääsu ja piira sisselogimiskatseid. Meie WordPressi sisselogimise kaitse teenus aitab piirata korduvaid paroolikatsetusi. See täiendab 2FA-d, mitte ei asenda seda.
Mida peaksin täna esimesena kontrollima?
Ava kasutajate nimekiri ja kontrolli iga administraatori 2FA olekut. Seejärel katseta enda sisselogimist privaatses aknas ning veendu, et leiad taastekoodid ka ilma telefoni haaramata.