Uwierzytelnianie dwuskładnikowe 2FA – co to jest, jak je włączyć na stronie logowania i dlaczego warto to zrobić?

Zastanawiasz się, jak zabezpieczyć firmowy profil w mediach społecznościowych przed nienadzorowanym dostępem? A może chcesz zwiększyć skuteczność ochrony podczas logowania do panelu e-commerce lub panelu Klienta do zarządzania serwerem? Pomoże Ci w tym uwierzytelnianie dwuskładnikowe 2FA! Dlaczego warto skorzystać z takiego rozwiązania i jak je wdrożyć na stronie logowania? O tym porozmawiamy w dzisiejszym wpisie. Zapraszamy do lektury!

Czym jest uwierzytelnianie dwuskładnikowe 2FA?

Uwierzytelnianie dwuskładnikowe, znane także jako uwierzytelnianie dwuetapowe lub logowanie wielopoziomowe, to sposób na jeszcze bardziej efektywne zabezpieczenie dostępu do kont na platformach społecznościowych, e-konta w banku czy też witryn lub systemów firmowych. Często zamiast pełnej nazwy wspomnianego wyżej rozwiązania używa się skrótu 2FA, który wywodzi się z języka angielskiego – two factor authentication.

Czym różni się uwierzytelnianie dwuskładnikowe od tradycyjnego logowania?

Większość z nas, kiedy loguje się na swoje konto WordPress czy też Panelu Klienta, wpisuje na stronie logowania nazwę użytkownika (login) i hasło, które w zależności od wymogów witryny, jest mniej lub bardziej skomplikowane. Problem w tym, że takie dane bardzo łatwo pozyskać. W efekcie każda osoba, która znajdzie się w posiadaniu Twojego loginu i hasła, będzie mogła bez przeszkód zalogować się np. na Twoje konto, zmieniać ustawienia Twoje zasoby czy publikować treści w Twoim imieniu. Niefajnie, prawda? Dużo gorzej, gdy nie jesteś przypadkowym Internautą, ale przedsiębiorcą, który musi dbać o wizerunek swojej firmy i wysoką jakość oferowanych usług. Nie możesz sobie pozwolić, by dane logowania np. do prowadzonego przez Ciebie sklepu internetowego znalazły się w niepowołanych rękach.

Metody logowania wielopoziomowego

Uwierzytelnianie dwuetapowe, jak sama nazwa wskazuje, wymaga dodatkowego potwierdzenia tożsamości w celu autoryzacji dostępu do danego konta/witryny/systemu. Polega to na tym, że oprócz standardowych danych logowania, witryna poprosi Cię również o wykonanie dodatkowego działania, takiego jak np.:

• podanie kodu weryfikacyjnego, który system wyśle w formie SMS-a lub e-maila,
• podanie kodu z aplikacji autoryzacyjnej (np. Google Authenticator lub Authy),
• podłączenie fizycznego klucza bezpieczeństwa do portu USB (np. YubiKey),
• potwierdzenie tożsamości poprzez zeskanowanie odcisku palca lub twarzy (biometria),
• potwierdzenie tożsamości przy pomocy innego urządzenia.

Wśród najlepszych metod uwierzytelniania dwuetapowego użytkownicy wymieniają biometrię oraz zastosowanie aplikacji autoryzacyjnych, takich jak Google Authenticator. Wspomniana aplikacja:

• generuje jednorazowe kody do logowania w trybie offline,
• umożliwia skuteczne zabezpieczenie dostępu do najróżniejszych kont i platform,
• utrudnia przechwycenie kodów autoryzacyjnych, co może się zdarzyć, jeśli używamy standardowej autoryzacji poprzez SMS czy e-mail.

Biometria ceniona jest przez Internautów ze względu na szybkość i łatwość uwierzytelniania oraz wysoką skuteczność, ponieważ nie da się podrobić odcisku palca drugiej osoby ani jego rysów twarzy.

Dlaczego warto stosować uwierzytelnianie dwuskładnikowe?

Odpowiedź na to pytanie jest oczywista – ze względów bezpieczeństwa. Twoje dane logowania mogą zostać skradzione przez cyberprzestępców, którzy następnie wykorzystają je np. do wyczyszczenia Twojego konta w banku, resetowania haseł na innych kontach czy też pozyskania danych wrażliwych Twoich klientów po włamaniu się do panelu klienta czy panelu e-commerce. Nie tylko cyberprzestępcy stanowią zagrożenie. Zdarzają się sytuacje, które popychają ludzi do różnych nieetycznych zachowań, takich jak np. czytanie wiadomości na telefonie partnera czy przechwycenie konta na Instagramie. Nie musisz być przedsiębiorcą, by starannie chronić swoją prywatność. Stosując logowanie wielopoziomowe, zmniejszasz ryzyko nieautoryzowanego dostępu do swoich kont, nawet jeśli Twoje podstawowe dane logowania zostaną skradzione lub udostępnione. Drugi krok weryfikacji jest konieczny, by potwierdzić tożsamość i uzyskać zgodę na wstęp do serwisu/systemu. Podsumowując, 2FA:

• to dodatkowy segment ochrony na stronie logowania,
• chroni przed phishingiem,
• powiadomi Cię o próbie logowanie do Twojego konta z innego urządzenia lub nietypowej lokalizacji,
• zabezpieczy wrażliwe dane,
• jest dostępne za darmo lub za niewielką opłatą,
• pomoże zbudować zaufanie do Twojej marki/firmy w przypadku, gdy jesteś właścicielem witryny.

Jeżeli jeszcze nie włączyłeś uwierzytelniania dwuetapowego na stronach logowania, z których korzystasz najczęściej, to najwyższy czas to zmienić.

Jak skonfigurować uwierzytelnianie dwuskładnikowe?

Niektóre platformy internetowe (np. bankowość internetowa) domyślnie aktywują uwierzytelnianie dwuskładnikowe. Jednak większość serwisów online nie oferuje tego jako opcji domyślnej, co oznacza, że musisz ręcznie włączyć tę funkcję, aby zabezpieczyć należące do Ciebie konta online, takie jak e-mail, profile na mediach społecznościowych czy usługi przechowywania danych w chmurze. Aby to zrobić, musisz wejść w ustawienia zabezpieczeń konta i wybrać logowanie wielopoziomowe jako domyślną metodę logowania. Dowiedz się jak zabezpieczyć panel hostingowy DirectAdmin aktywując 2FA oraz jak włączyć 2FA w Panelu Klienta. Poniżej przedstawiamy sposób na włączenie 2FA na WordPressie, najpopularniejszym systemie CMS.

Jak włączyć logowanie 2FA w WordPress?

Zaloguj się do swojego Kokpitu WordPress i Dodaj nową wtyczkę WP 2FA - Two-factor authentication for WordPress. Aktywują ją, zostanie uruchomiony kreator ustawień.

Przejdź kreator ustawień instalacji wtyczki. Miej pod ręką swój smartfon. Kliknij „Let’s get started” aby rozpocząć.

Na pierwszym ekranie wybierasz którą metodę 2FA będziesz używał. TOTP – to metoda weryfikacji poprzez aplikację na smartfonie, którą się zajmiemy. Z kolei HOTP to metoda weryfikacji poprzez otrzymanie wiadomości email.

Zaznacz: One-time code via 2FA App (TOTP) oraz pozostaw aktywne Backup codes na drugim ekranie. Aby przechodzić dalej, klikasz w przycisk Continue Setup.

Kolejny ekran to możliwość ustawienia wymuszenia włączenia logowania 2FA dla użytkowników. W celu łagodnego przejścia na 2FA można pozostawić to w kwestii indywidualnej lub jeśli tylko Ty logujesz się do WordPress.

Zaznacz: Do not enforce on any users i kliknij ALL DONE.

Teraz weź swój smartfon i zainstaluj na nim aplikację Google Authenticator. Możesz również wybrać inną aplikację jak:

• Authy
• Microsoft Authenticator
• Duo Security
• Lastpass
• FreeOTP
• Okta Verify

Gdy zainstalujesz już aplikację, kliknij w kreatorze „Configure 2FA Now” aby przejść dalej.

Używając smartfona i wybranej aplikacji dodaj nową pozycję skanując smartfonem swój kod QR z ekranu swojego komputera lub przepisując KOD (jeśli nie możesz użyć kodu QR).

W Twojej aplikacji na smartfonie zostanie dołożona nowa pozycją z nazwą Twojej domeny, a obok niej wyświetlał się będzie 6-cyfrowy kod. Wpisz teraz ten kod w kreatorze i kliknij „Validate & Save” aby przetestować poprawność.

To wszystko jeśli chodzi o konfigurację. Wygeneruj sobie jeszcze tylko listę jednorazowych kodów zabezpieczających tzw. zdrapek, w przypadku jeśli nie mógłbyś znaleźć swojego telefonu.

Od teraz podczas logowania do WordPress oprócz standardowego login + hasło będziesz proszony o podanie 6-cyfrowego kodu z aplikacji na smartfonie lub użycie kodu zdrapki, zabezpieczającego z wygenerowanej listy kodów jeśli nie masz dostępu do aplikacji na smartfonie.