Spis treści
1. Jak to działa
Przy zwykłym logowaniu wystarczy znać hasło. Przy dwuskładnikowym trzeba dodatkowo podać jednorazowy kod, który generuje aplikacja w Twoim telefonie albo który przychodzi w wiadomości. Atakujący, który zdobędzie hasło, nadal nie wejdzie do panelu, bo nie ma Twojego telefonu.
2. Dlaczego samo hasło nie wystarcza
Hasła wyciekają z serwisów, w których ludzie zakładają konta, a wiele osób używa tego samego hasła w kilku miejscach. Atakujący wypróbowują wtedy zdobyte dane na kolejnych stronach. Silne i unikalne hasło jest podstawą, ale dopiero drugi składnik sprawia, że przejęcie konta wymaga czegoś więcej niż jednej wpadki.
3. Gdzie włączyć je w pierwszej kolejności
- konta administratorów WordPressa i sklepu, bo dają kontrolę nad całą stroną,
- panel hostingu, bo daje dostęp do plików i bazy danych,
- poczta, bo przez nią można odzyskać hasła do pozostałych usług,
- rejestrator domeny, bo ktoś, kto przejmie domenę, przejmie całą firmę w sieci.
4. Jak włączyć je w WordPressie
WordPress nie ma tej funkcji w podstawowej wersji, więc potrzebna jest wtyczka. Wybierz taką, która jest regularnie aktualizowana, ma dużo aktywnych instalacji i dobre opinie. Sama wtyczka zabezpieczająca też musi być aktualna, bo luka w niej osłabiłaby ochronę, którą miała dawać.
Po włączeniu zeskanuj kod QR w aplikacji uwierzytelniającej, zapisz kody zapasowe i sprawdź logowanie w oknie prywatnym przeglądarki, zanim wylogujesz się z obecnej sesji.
5. Aplikacja czy SMS
SMS jest wygodny, ale gorzej chroniony: numer telefonu można w niektórych atakach przejąć, a wiadomość może trafić na ekran blokady. Aplikacja generująca kody jest bezpieczniejsza i działa bez zasięgu. Jeśli wybierasz SMS, to lepsze niż nic.
6. Na co uważać
- kody zapasowe zapisz w menedżerze haseł lub wydrukuj i schowaj, bo przy zgubionym telefonie bez nich stracisz dostęp,
- nie zostawiaj kont bez drugiego składnika „tylko na chwilę”,
- jeśli z panelu korzysta wykonawca, ustalcie, jak będzie dostawał kody, albo załóż mu osobne konto. Piszę o tym w artykule Jak bezpiecznie przekazać wykonawcy dostęp do strony.
Zabezpieczenie logowania jest częścią każdego audytu bezpieczeństwa strony lub sklepu.
