Двуфакторна автентикация за WordPress, хостинга и домейна

Изследване на Microsoft Research върху акаунти в Azure Active Directory с подозрителна активност установява, че двуфакторната автентикация намалява риска от превземане на профил с 99,22%, а при вече изтекли пароли с 98,56% (Microsoft Research). По наше изчисление по данни на Microsoft Research остатъчният риск е около 128 пъти по-малък, а при изтекла парола около 69 пъти по-малък. За малкия сайт изводът е ясен. Всеки вход, през който някой може да промени сайта, трябва да иска втори фактор.

Защо паролата сама не стига за админ панела

WordPress.org смята паролата за най-слабото място в онлайн сигурността и определя входа само с нея като едностъпков (WordPress.org). Вторият фактор е доказателство от друг вид. Това може да е нещо, което носите, например телефон, или нещо, което сте, например пръстов отпечатък (CISA). CISA приема, че всеки втори фактор е по-добър от никакъв, дори когато не е най-силният възможен.

Входът в WordPress обаче е само една от вратите. Хостинг панелът има собствена парола и собствена настройка за втори код (cPanel Documentation). Профилът при регистратора управлява DNS записите, а неразрешена промяна в тях може да прекъсне работата на сайта и да навреди на името на фирмата (NCSC (Великобритания)). Затова защитата трябва да обхване и трите профила, всеки поотделно.

Трите входа, които пазят един сайт

Разликата е в това кой държи ключа. В WordPress решението е изцяло ваше, а в cPanel хостинг доставчикът първо трябва да включи функцията на сървъра (cPanel Documentation). NCSC препоръчва регистраторите да предлагат многофакторен вход по подразбиране или поне да го позволяват на всеки, който го иска (NCSC (Великобритания)). Наш съвет е при избора на хостинг и регистратор да питате за втори фактор още преди да платите.

Двуфакторна автентикация в WordPress с плъгина Two Factor

Документацията на WordPress.org посочва няколко плъгина за двустъпкова проверка, сред тях Duo, Rublon, Wordfence и Two-Factor (WordPress.org). Two Factor има над 100 000 активни инсталации и поддържа кодове от приложение (TOTP), кодове по имейл и резервни кодове (WordPress.org). Вход с ключове за сигурност по стандарта WebAuthn се добавя с отделен допълнителен плъгин.

Настройката отнема няколко минути. След инсталирането отворете своя профил от менюто „Потребители“, намерете раздела с двуфакторните опции, включете поне един метод, изберете основния и запазете профила (WordPress.org). Администраторът може и да изключи определени методи за целия сайт от настройките на плъгина.

Честа грешка е защитата да остане само на собствения профил. Стар администраторски акаунт на бивш сътрудник или на фирмата, която е правила сайта, е същата врата без ключалка. Прегледайте списъка с потребители и или включете втори фактор, или понижете ролята им. Останалите мерки са описани в Сигурност на WordPress.

Кодът по имейл е толкова надежден, колкото самата пощенска кутия. NCSC поставя имейла на първо място сред профилите, за които да включите втори фактор (NCSC (Великобритания)). По наша преценка е така, защото писмата за нулиране на пароли от WordPress, от хостинга и от регистратора отиват точно там.

Хостинг панелът и часовникът на сървъра

В cPanel входът изисква парола и шестцифрен код от приложение на телефона, а документацията дава за пример Google Authenticator и Duo Mobile (cPanel Documentation). Ако хостингът не е разрешил функцията в WHM, бутонът за настройка няма да се появи. Самата настройка минава през сканиране на QR код или ръчно въвеждане на ключа, след което въвеждате кода, преди да изтече.

Приложенията за удостоверяване сменят кода на всеки 30 секунди (CISA). Затова разминаване в часовника има значение. Ако cPanel отхвърля верен код, документацията сочи като вероятна причина неточните дата и час на сървъра и съветва да се обърнете към хостинга (cPanel Documentation). Внимавайте и с повторната настройка, защото тя прави невалидни кодовете от старото свързване в приложението.

Профилът при регистратора на домейна

Тук рискът е най-голям, защото домейнът определя къде отиват и сайтът, и пощата. Насоките на NCSC искат регистраторите да прилагат по подразбиране статуса clientTransferProhibited, който блокира трансфера на домейна (NCSC (Великобритания)). Клиентите трябва да могат да получават известия при промяна на DNS настройките и да преглеждат дневник на промените. NCSC се позовава и на препоръки на ICANN, които поставят многофакторния вход и известията за промени сред приоритетите.

Има и една подробност, която малко хора забелязват. NCSC съветва известията да отиват на адрес в друг домейн, различен от управлявания (NCSC (Великобритания)). Ако цялата ви поща е на същия домейн, нападател, сменил DNS записите, получава и вашите предупреждения. За.bg имената влезте в профила при своя регистратор и проверете какви мерки за защита предлага (правилата за самата регистрация са описани в Регистрация на.bg домейн).

Кой втори фактор да изберете

SMS е лесен за включване, но WordPress.org го определя като канал, който не е сигурен (WordPress.org). Microsoft Research установява, че специализираните приложения за удостоверяване се справят по-добре от SMS, макар и двата метода да са много по-сигурни от липсата на втори фактор (Microsoft Research). CISA смята устойчивата на фишинг защита за целта, към която да се стремите, и посочва FIDO/WebAuthn като единствения широко достъпен вариант от този вид (CISA).

Нашата подредба за малък сайт е следната. Най-сигурен е ключ за сигурност или passkey, където профилът го поддържа, следва приложение с кодове, а имейлът и SMS остават резерва. При известия с потвърждение в приложението CISA препоръчва въвеждане на число, за да не одобрите по навик чужд опит за вход (CISA).

Резервни кодове и изгубен телефон

Двустъпковата проверка може да заключи и законния собственик, ако е забравил телефона си, предупреждава WordPress.org (WordPress.org). В cPanel без смартфона няма как да влезете (cPanel Documentation). Тогава остава поддръжката на хостинга, а това отнема време точно когато най-много ви трябва достъп.

Плъгинът Two Factor генерира резервни кодове (WordPress.org). Отпечатайте ги и ги пазете далеч от компютъра, както пазите резервен ключ от офиса. Когато сменяте телефона, прехвърлете приложението с кодовете, преди да изтриете стария. Добре е и втори човек от фирмата да има собствен администраторски профил със свой втори фактор, за да не зависи сайтът от един-единствен телефон.