6 nejlepších pluginů WordPressu pro dvoufázové ověřování

V počítačovém světě jsou faktickým standardem pro implementaci bezpečnosti hesla. Ta se však dají uhádnout, prolomit nebo zachytit, což je jejich hlavní nevýhoda. Abychom vykompenzovali tuto slabinu, můžeme zvolit dvoufázové ověřování.

Na rozdíl od hesel je dvoufázové ověření (two-factor authentication, 2FA) proces složený ze dvou kroků, kdy identitu prokazujete tak, že jste požádáni o dva ze tří možných údajů neboli faktorů: co jste zač, co máte, nebo co víte. Současné implementace dvoufázového ověření využívají něco, co znáte (hesla) a něco, co máte či vlastníte (jako třeba mobilní telefon, e-mailový účet, bezpečnostní token, atp.)

WordPress opravdu nabízí dvoufázové ověření přes zdarma dostupné pluginy, které umožňují realizovat různé způsoby dvoufázového ověření, mezi něž patří jednorázové heslo (one-time password, OTP) přes SMS, telefonní volání, jednorázové heslo přes e-mail, QR kód, aplikace typu autenticator, vtlačovaná oznámení (push notifications), a hardwarově založené bezpečnostní tokeny, jako jsou Yubikey, SolidPass, atd.

Přečtěte si také: Bezpečnost ve WordPressu: 25 nepostradatelných pluginů a tipy, jak na ně

Podívejme se na šest nejlepších autentizačních pluginů pro WordPress, jimiž budete moci na blogu nebo webu WordPressu zpevnit bezpečnost přihlašování a tvrdě postihovat útoky hrubou silou.

1. Dvoufázové ověření (podle miniOrange)

Dvoufázové ověření podle miniOrange je nejpokročilejší dvoufázový plugin WordPressu, který můžete používat zdarma. Podniká předběžná opatření proti potížím, které by se mohly vyskytnout, a poskytuje řešení vícenásobných záloh, aby pomohl uživatelům ocitnuvších se v zoufalé situaci.

S tímto pluginem mohou výbavu dvoufázového ověření při přihlašování využívat administrátoři i uživatelé, mohou nakonfigurovat své vlastní dvoufázové přihlašovací volby, a mohou se přihlašovat do svého WordPressu pomocí uživatelského jména a hesla a druhého faktoru, nebo pomocí uživatelského jména a druhého faktoru.

Důvody pro

• Dvoufázové ověření pomocí SMS, jednorázové heslo přes email, softwarový token, QR kód, vtlačované oznámení (push notification).
• Podporuje miniOrange Authenticator i Google Authenticator.
• K dispozici jsou zkratky (shortcodes) pro přizpůsobování front-endových přihlašovacích stránek.
• Identifikace zařízení zamezuje opakovaným výzvám týkajících se téhož zařízení.

Důvody proti

• Nepodporuje autentizační módy telefonním voláním a přes Yubikey (hardwarový).
• Nepodporuje funkci Multisite WordPressu.

2. Dvoufázové ověření s Duo

Dvoufázové ověření s Duo připravíte za pár minut bez jakýchkoli technických obtíží. Chcete-li používat Duo, stačí nainstalovat tento plugin a zapsat se k používání jeho služby, a pak se můžete začít přihlašovat bez hesla.

Dvoufázové ověření s Duo poskytuje úplnou kontrolu nad tím, pro jaké role se mohou uživatelé rozhodnout v rámci dvoufázové autentizace s Duo, a ostatní role jsou nastavené tak, že se musejí spokojit jen s heslem. Podporuje pro uživatele několik metod autentizace, jako jsou přihlášení jediným ťuknutím (one-tap) a jednorázové heslo s využitím mobilní apky Dua, jednorázové heslo přes SMS, telefonní volání a hardwarový token vyhovující iniciativě OATH (Open Authentication), jako jsou Yubikey, SolidPass, atd.

Důvody pro

• Dvoufázové ověření jediným ťuknutím, jednorázová hesla přes SMS a mobilní apku, telefonní volání, zařízení vyhovující iniciativě OATH.
• Podporuje SMS a telefonní volání, což jsou věci, která už má většina uživatelů k dispozici.
• Podporuje více hardwarových tokenových generátorů, jako jsou Yubikey, FortiToken, SolidPass, atd.

Důvody proti

• Nepodporuje (oblíbený) Google Authenticator.
• Dvoufázové ověření nepodporuje pro autentizaci QR Code.
• Nenabízí zkratky (shortcodes), jimiž by se dala snadno vložit dvoufázová funkcionalita do nějaké stránky či widgetu.
• Nepodporuje funkci Multisite WordPressu.

3. Two Factor Autentication

Plugin s tímto názvem umožňuje dvoufázové ověřování (2FA) podle uživatelských rolí, každý uživatel je může zapnout či vypnout a zobrazuje dvoufázové ověření na přihlašovací stránce jen oprávněným uživatelům. Umožňuje také front-endovou editaci nastavení přes zkratku (shortcode) a pomáhá vám zobrazit svá nastavení, aniž by uživatelům povolil přístup k nástěnce (dashboardu).

Plugin s názvem Two Factor Authentication podporuje přihlašovací formulář WooCommerce i plugin „Theme My Login“, což umožňuje pro uživatele přizpůsobovat dvoufázové přihlašovací stránky. Jeho prémiová verze nabízí další funkce, jako vlastní layouty, pohotovostní zálohovací kódy, lepší administrátorskou kontrolu nad uživatelskými dvoufázovými kódy a přihlašovací funkcionalitou, a další věci.

Důvody pro

• Dvoufázové ověření autentikátorů využívajících algoritmy jednorázových hesel TOTP + HOTP (Hmac-based One-Time Password a Time-based One-Time Password) a QR kód.
• Podporuje Google Authenticator, Authy, a řadu dalších.
• Podporuje instalace Multisite WordPressu.

Důvody proti

• Nepodporuje SMS, telefonní volání, jednorázové heslo přes email, ani Yubikey.
• Špatná volba, pokud uživatel nevlastní nějaký smartphone.
• Není žádná zkratka (shortcode), kterou by šlo vložit dvoufázové ověření do nějaké stránky nebo widgetu.
• Nepodporuje hardwarové generátory klíčů, jako jsou Yubikey, FortiToken, atd.

4. Dvoufázové ověření systémem Clef

Systém Clef Two-Factor Authentication je jedinečný systém pro dvoufázové ověření, který prověřuje uživatelovu identitu při přihlašování pomocí „Clef Wave“. Tento plugin naprosto mění způsob, jakým se přihlašujete do WordPressu – už se nepožadují ani uživatelská jména, ani hesla. Když používáte tento plugin, stačí, abyste měli na svém smartphonu nainstalovanou apku Clef, a přihlašování bude tak snadné jako držet telefon.

Clef Two-Factor Authentication učiní váš WordPress vysoce bezpečným a chrání ho proti pokusům o prolomení hesla. Nahradí hesla bezpečným dvoufázovým přihlášením pomocí svity kryptografických algoritmů RSA veřejného klíče. S jeho jedinou přihlašovací funkcionalitou se můžete těšit na to, že se budete přihlašovat ke všem webům a odhlašovat se od nich jediným kliknutím. Můžete také pro web WordPressu nastavit Clef jako povinnou přihlašovací metodu pro všechny uživatelské role.

Důvody pro

• Dvoufázové ověření pomocí „Clef Wave“.
• Volba vypnout hesla pro uživatele i pro různá API.
• K dispozici jsou zkratky (shortcodes) pro iniciaci přihlašování Clef na jakékoli stránce nebo widgetu.
• Podporuje Multisite WordPressu.

Důvody proti

• Nepodporuje (oblíbený) Google Authenticator.
• Dvoufázové ověření nepodporuje SMS, telefonní volání, jednorázové heslo přes email, QR kód, ani Yubikey.
• Špatná volba, pokud uživatelé nevlastní smartphony.

5. WP Simple Firewall

WP Simple Firewall nabízí jednoduché, rovnou použitelné dvoufázové přihlašovací ověřování založené na dvou autentizačních módech: založené na emailu a založené na Yubikey. Jeho ověřování založené na emailu nabízí dvě metody (IP adresa a cookie), což uživatelům umožňuje zvolit metodu, která lépe vyhovuje jejich požadavkům.

Někdo například může dát přednost verifikaci založené na IP adrese, pokud se jeho IP adresa často nemění a přitom chce vytvářet více přihlašovacích relací WordPressu z jediné síťové lokace nebo z několika prohlížečů na témže počítači.

Důvody pro

• Dvoufázové ověření použitím jednorázového hesla přes email a Yubikey.
• Podporuje dvě metody autentizace založené na emailu: IP adresa a cookie.
• Nabízí různé další bezpečnostní funkce, jimiž můžete chránit svůj WordPress.

Důvody proti

• Nepodporuje (oblíbený) Google Authenticator.
• Dvoufázové ověření nepodporuje SMS, telefonní volání, vtlačovaná oznámení (push notifications), ani QR kód.
• Přibaleno je víc bezpečnostních funkcí, než ve skutečnosti potřebujete, zejména pokud hledáte pouze dvoufázové ověřování.

6. Rublon Account Security: Two-Factor Auth+

Rublon Account Security: Two-Factor Auth+ poskytuje stažení jediným kliknutím i aktivační proces jediným kliknutím, takže na svém blogu nebo webu WordPressu připravíte dvoufázové ověřování vskutku rychle. Pro jediného uživatele je zdarma, pro podporu více uživatelů je nutné pořídit obchodní vydání (Business Edition).

Dvoufázové ověřování + Rublonu podporuje email a jeho smartphonová apka slouží pro verifikaci přihlašujících se uživatelů. Chcete-li zařadit nebo používat tuto dvoufázovou ověřovací funkcionalitu, nepotřebujete k tomu žádné znalosti. Navíc, jeho emailový postup je jednodušší než ostatní – nemusíte kopírovat jednorázové heslo (OTP, one time password) ze své doručené pošty a vkládat někam, stačí kliknout na odkazu v doručeném emailu, čímž potvrdíte, že jste ten správný držitel účtu.

Důvody pro

• Dvoufázové ověření pomocí elektronické pošty nebo apky Rublonu.
• Identifikace zařízení zamezuje, abyste museli opakovaně prokazovat svou totožnost ze stejného zařízení.
• Vzdálené odhlášení tím, že odstraníte důvěryhodné zařízení ze seznamu zařízení.

Důvody proti

• Zdarma je jen pro jednoho uživatele na jeden web.
• Nepodporuje (oblíbený) Google Authenticator.
• Dvoufázové ověření nepodporuje SMS, telefonní volání, vtlačovaná oznámení (push notifications), ani hardwarové tokeny.
• Nejsou k dispozici zkratky (shortcodes), jimiž by šlo vkládat dvoufázové ověření do nějaké stránky nebo widgetu.

Shrnutí

Ať už provozujete samotářský blog, pracujete s týmem editorů a textařů, nebo budujete blogy a weby založené na WordPressu pro někoho jiného, dvoufázové ověřování pomáhá lépe chránit vaše weby.

Mým osobním favoritem je kvůli rozsahu schopností plugin dvoufázového ověřování podle miniOrange, možná se vám ale bude víc líbit jiný. Dejte nám vědět, který z nich to je, a také o jakémkoli jiném vynikajícím pluginu dvoufázového ověřování pro WordPress, na který jste narazili.

Přečtěte si také: Devět pluginů WordPressu k detekci škodlivého kódu ve vašem webu

O autorovi:

Ashutosh KS

Ashutosh je odborně zdatný nadšenec zajímající se o softwarové technologie. Je fanoušek open source softwaru. Kromě odborných záležitostí miluje filmy a čtení románů.

Článek byl původně zveřejněn na serveru www.hongkiat.com. Celý článek v originálním znění najdete na 6 Best Two-Factor Authentication WordPress Plugins [Reviewed]

Přeložil: RNDr. Jan Pokorný