WordPress'e iki adımlı doğrulama (2FA) nasıl eklenir?

Neden önemli

Parolalar sızar. İhlale uğrayan başka bir sitede de kullanılmış olurlar, sahte bir giriş sayfasına yazılırlar ya da tahmin edilirler. Biri parolanı ele geçirdiğinde WordPress onu senden ayırt edemez.

İki adımlı doğrulama (2FA), yalnızca sende olan bir şeyi ekler: telefonundaki bir uygulamadan gelen ve her 30 saniyede bir değişen altı haneli bir kod. İçeri girmek için bir saldırganın aynı anda hem parolana hem telefonuna sahip olması gerekir. Bir yönetici hesabı için bu tek değişiklik, sitelerin ele geçirilmesinin en yaygın yolunu ortadan kaldırır.

Bu kodların arkasındaki standart TOTP'dir (zamana dayalı tek kullanımlık parolalar). Açık bir standarttır, çevrimdışı çalışır ve tüm büyük authenticator uygulamaları destekler; tek bir sağlayıcıya bağlı kalmazsın.

Sık yapılan hatalar

• Kurtarma kodlarını kaydetmemek. Kurtarma kodu olmadan telefonu kaybetmek, 2FA'yı açtıktan sonra insanların kendini dışarıda bırakmasının en yaygın yoludur. Kodları yazdır ya da aynı telefonda olmayan bir parola yöneticisinde sakla.
• Her şey için tek telefon kullanmak. Kodlar ve kurtarma kodları aynı cihazdaysa onu kaybettiğinde ikisini birden kaybedersin.
• 2FA'nın her kapıyı kapattığını sanmak. xmlrpc.php hâlâ parola kabul ediyorsa ya da başarısız kodlar sayılmıyorsa saldırganlar tahmine devam edebilir. XML-RPC girişini kapat ve 2FA hatalarının giriş sınırına sayıldığından emin ol.
• Üçüncü taraf bir servisin ürettiği QR kodlar. Bazı kurulumlar QR kodu harici bir görsel servisiyle çizer; bu da gizli anahtarının internet üzerinden gönderilmesi demektir. Kendi sunucunda üretilen bir QR kodu tercih et.
• Güvenlik salt'larını plansız değiştirmek. Bazı kurulumlarda 2FA gizli anahtarları WordPress salt'larına bağlıdır. Salt'lar değişirse eklentinin ne yaptığını bil.

Eklentisiz

WordPress'e kod yazmadan TOTP 2FA eklemenin dürüst bir yolu yok. Bir WordPress eklentisi dışındaki seçenekler şunlar:

• Barındırma firmanın giriş koruması. Bazı yönetilen hosting firmaları wp-admin önüne bir 2FA katmanı koyar. Varsa kullanışlıdır ama firma değiştirdiğinde seninle gelmez.
• Tek oturum açma (SSO). Büyük ekipler WordPress girişlerini 2FA'yı zorunlu kılan bir kimlik sağlayıcısı üzerinden yönlendirebilir. Güçlüdür ama çoğu küçük sitenin ihtiyacından fazla kurulum ister.
• wp-admin'de HTTP basic auth. Bu ikinci bir adım değil, ikinci bir parola ekler. Botları yavaşlatır ama sızan bir parola listesi ikisini birden içerebilir.

Kendin yazarsan her kullanıcının gizli anahtarını şifreli saklaman, kodları küçük bir saat kaymasına izin vererek doğrulaman, kod adımına hız sınırı koyman, kurtarma kodları üretmen ve yöneticilere sıfırlama imkânı vermen gerekir. Bu, tek başına bakımı yapılacak çok fazla güvenlik açısından kritik kod demektir.

Bir şeyler ters giderse

• Kod hep "geçersiz" çıkıyor. Telefonundaki saati kontrol et. TOTP saate dayanır; telefonunun ayarlarında otomatik saati aç.

• Telefonunu kaybettin. Kod ekranında bir kurtarma kodu kullan. Her kod bir kez çalışır.

• Hiç kurtarma kodun kalmadı. wp-config.php dosyasına şu satırı ekle:

  define( 'GATEKEEPER_2FA_DISABLE', true );
  

  Giriş yap, yeni telefonunda 2FA'yı yeniden kur, yeni kodları kaydet ve sonra satırı kaldır.

• Başka bir yönetici yardım edebilir. Bir yönetici, kullanıcı profilinden senin hesabın için 2FA'yı sıfırlayabilir.

Rehberin tamamı Giriş adresini değiştirdikten sonra dışarıda kaldıysan sayfasında.

Hushfort ile

İki Adımlı Doğrulama, ücretsiz WordPress güvenlik eklentisi Hushfort Security'nin üzerine kurulan ücretli eklenti Hushfort Pro'nun parçasıdır.

Hushfort'un İki Adımlı Doğrulama katmanı TOTP kullanır; bu yüzden herhangi bir authenticator uygulamasıyla çalışır.

• QR kod yerelde üretilir. Gizli anahtarın sunucundan hiç çıkmaz.
• Her kullanıcı 2FA'yı kendi profil ekranından kurar; yöneticiler sıfırlayabilir.
• Kurtarma kodları indirilebilir ya da yazdırılabilir.
• Gizli anahtarlar şifreli saklanır (HMAC kontrollü AES-256).
• WordPress güvenlik salt'ların değişirse 2FA sessizce kapanmaz. Etkilenen kullanıcılar bir kurtarma koduyla giriş yapar ve 2FA'yı yeniden kurmaları istenir. Salt'ların önemi kalmasın diye wp-config.php içinde ayrı bir anahtar da (GATEKEEPER_2FA_KEY, 32 karakter veya daha uzun) belirleyebilirsin.
• Başarısız kodlar Deneme Sınırı'na sayılır.