Stručně: Dvoufázové ověření pro přístupy správců zajišťuje, že odcizené nebo uhodnuté heslo samo nestačí. Musí platit všude, kde může někdo měnit váš web nebo server: CMS, hosting, panel, SSH, doména, DNS a schránky správců. Stejně důležité jako nastavení jsou nouzové kódy a jasné pravidlo, kdo má pro co vlastní přístup.
Proč samotná hesla pro správce nestačí
Hesla se ztrácejí mnoha cestami: phishingovými e-maily, škodlivým softwarem na pracovním počítači, úniky dat u jiných služeb nebo prostě opakovaným použitím. Automatizované útoky zkoušejí odcizené přístupové údaje bez ustání proti známým přihlašovacím stránkám.
S druhým faktorem potřebuje útočník navíc něco, co vlastní jen oprávněný uživatel, například smartphone s aplikací Authenticator nebo bezpečnostní klíč. To výrazně zvyšuje překážku, zejména u účtů s rozsáhlými právy.
Pro vedení je důležité rozlišení: dvoufázové ověření chrání přístupy, nikoli software za nimi. Zranitelnost jako PHP2Shell, která umožňuje spuštění kódu bez přihlášení, se jím neuzavře. Obojí patří k sobě: aktuální software a dobře chráněné přístupy.
Které metody dvoufázového ověření se hodí
Metody se liší bezpečností a pohodlím obsluhy. Pro účty správců byste měli nasadit alespoň aplikace Authenticator, pro mimořádně kritické přístupy bezpečnostní klíče nebo passkeys.
| Metoda | Ochrana před phishingem | Vhodnost pro správce |
|---|---|---|
| Kód v SMS | nízká | jen jako přechod |
| Aplikace Authenticator (TOTP) | střední | dobrý standard |
| Potvrzení push | střední, náchylné k útokům únavou | vhodné s porovnáním čísla |
| Bezpečnostní klíč nebo passkey (FIDO2/WebAuthn) | vysoká | doporučeno pro kritické přístupy |
| Klíč SSH s passphrase | vysoká | standard pro přístupy na server |
Jednorázové kódy z aplikace lze zachytit na klamavě věrné phishingové stránce a okamžitě znovu použít. Metody FIDO2 naproti tomu kontrolují adresu stránky a na falešné stránce nefungují. To je důvod, proč jsou pro správce s přístupem k mnoha systémům nejlepší volbou.
Dvoufázové ověření pro přístupy správců: úplný seznam
Útočníci hledají nejslabší přístup. Projděte proto všechna místa, kde může někdo měnit váš web, server nebo doménu:
- CMS a backend e-shopu: WordPress, Shopware, TYPO3 a další nabízejí dvoufázové ověření v jádru nebo přes udržovaná rozšíření. Kterou variantu doporučit, uvádí dokumentace výrobce.
- Zákaznický účet u hostingu: Kdo se sem dostane, může často resetovat hesla, stahovat zálohy nebo server znovu nainstalovat.
- Panel serveru jako Plesk nebo cPanel, pokud existuje.
- SSH a SFTP: klíče místo hesla, viz další část.
- Registrátor domény a DNS: Změněné nastavení DNS přesměruje vaše návštěvníky i poštu, aniž by byl server dotčen.
- E-mailové schránky správců: Přes ně probíhá resetování hesel u téměř všech dalších služeb.
- Repozitář kódu a deployment: Kdo tam smí zapisovat, může nasadit škodlivý kód.
- CDN, WAF, Google Search Console a poskytovatelé plateb.
Pro každou položku si zaznamenejte, kdo má přístup, zda je druhý faktor aktivní a kde leží obnovovací kódy. Tento seznam je zároveň důležitou součástí vašeho nouzového plánu, protože po incidentu je nutné právě tyto přístupy v krátké době zkontrolovat a obnovit.
SSH: klíče místo hesla
Pro přístupy na server je obvyklou silnou ochranou přihlášení klíčem SSH. Soukromý klíč leží na zařízení správce a je chráněn passphrase; u zvlášť chráněných serverů může ležet na hardwarovém klíči. Jakmile je přihlášení klíčem nastaveno a vyzkoušeno u všech správců, vypněte přihlášení heslem:
# /etc/ssh/sshd_config (výňatek)
PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
AuthenticationMethods publickey
# Zkontrolovat konfiguraci dříve, než se služba znovu načte
sshd -t && systemctl reload ssh # v systémech RHEL: sshd
Při přechodu nechte stávající relaci otevřenou a přihlášení vyzkoušejte ve druhém okně. Při chybě se tak nevyřadíte. Každý správce dostane vlastní klíč; společné klíče pro celý tým nelze při odchodu jednotlivých osob čistě odebrat. Další základy popisuje článek Jak zabezpečit root server a vServer.
Nouzový přístup a obnovovací kódy
Dobré zavedení počítá s výpadkem. Smartphony se ztrácejí, zaměstnanci opouštějí firmu, bezpečnostní klíče se rozbijí. Bez plánu pak ve špatnou chvíli nikdo nemá přístup.
Pro každý kritický účet zaregistrujte dva faktory, například bezpečnostní klíč v kanceláři a aplikaci Authenticator, a obnovovací kódy uschovejte odděleně od hesla.
Další osvědčená pravidla:
- Osobní účty místo sdílených přihlášení správců, aby byly změny dohledatelné.
- Zdokumentovaný nouzový přístup s odděleně uloženými přístupovými údaji, jehož použití je nápadné a protokolované.
- Při odchodu zaměstnanců nebo dodavatelů odebrat všechny přístupy a klíče téhož dne.
- Po bezpečnostním incidentu zkontrolovat nejen hesla, ale i registrované faktory a aktivní relace.
Při zavedení v týmu se osvědčil jasný postup. Začněte u účtů, které mohou způsobit největší škodu: hosting, doména, DNS a e-mailové schránky správců. Poté následují servery, CMS a služby. Stanovte den, od kterého už nebude přihlášení bez druhého faktoru možné, a předem zajistěte, aby měli všichni zúčastnění vše nastaveno.
Krátce týmu vysvětlete, proč je změna nutná a jak funguje v běžném provozu. Jednostránkový návod se snímky obrazovky výrazně snižuje počet dotazů. Externí dodavatelé a agentury by měli dostat vlastní osobní přístupy s druhým faktorem místo společného přihlášení, aby zůstaly přístupy přiřaditelné a po konci projektu se daly čistě odebrat.
Jak přihlašovací stránky dále chránit před automatizovanými pokusy, popisuje příručka Ochrana přihlášení správců před brute force.
Jak konkrétně pomáhá PHP SOS?
- Společně s vámi sestavíme úplný seznam všech přístupů správců a ukážeme, kde druhý faktor chybí.
- Přístupy na server převedeme na klíče SSH a přihlášení heslem řízeně vypneme v rámci zabezpečení serveru.
- Nouzové přístupy a cesty obnovy zdokumentujeme tak, aby v kritickém případě fungovaly.
- V rámci bezpečnostní servisní smlouvy přístupy pravidelně kontrolujeme a odstraňujeme osiřelé účty.
Časté dotazy
Která metoda dvoufázového ověření je nejbezpečnější?
Hardwarové bezpečnostní klíče a passkeys podle standardu FIDO2 jsou považovány za mimořádně odolné vůči phishingu, protože jsou vázány na skutečnou adresu. Aplikace Authenticator s jednorázovými kódy jsou dobrým standardem. SMS je lepší než nic, ale nejslabší varianta.
Co se stane, když se ztratí smartphone s aplikací Authenticator?
Pro tento případ existují obnovovací kódy, které se zobrazí při nastavení. Patří je bezpečně uschovat, například v trezoru nebo v chráněném správci hesel. Navíc by měl alespoň jeden druhý správce umět přístup resetovat.
Chrání dvoufázové ověření i před PHP2Shell?
Ne. PHP2Shell umožňuje spuštění kódu bez přihlášení, přihlášení se přitom vůbec nepoužívá. Proti PHP2Shell pomáhá jen aktualizace na opravenou verzi PHP s restartem všech workerů. Dvoufázové ověření chrání před odcizenými nebo uhodnutými hesly.
Stačí dvoufázové ověření v CMS?
Ne, útočník si vybere nejslabší přístup. Hostingový účet, panel serveru, SSH, správa domény, DNS a e-mailové schránky správců musí být chráněny stejně, jinak lze ochranu CMS obejít.