Fil-qosor: Awtentikazzjoni b'żewġ fatturi għall-aċċessi tal-amministraturi tiżgura li password misruqa jew indovinata waħedha ma tkunx biżżejjed. Trid tgħodd kullimkien fejn xi ħadd jista' jibdel il-websajt jew is-server tagħkom: CMS, hosting, panel, SSH, domain, DNS u l-kaxxi postali tal-admins. Daqs l-istabbiliment importanti huma l-kodiċijiet ta' emerġenza u regola ċara dwar min għandu aċċess proprju għal xiex.
Għaliex il-passwords waħedhom mhumiex biżżejjed għall-admins
Il-passwords jintilfu b'ħafna modi: permezz ta' e-mails ta' phishing, softwer malizzjuż fuq kompjuter tax-xogħol, tnixxijiet ta' data għand servizzi oħra jew sempliċement permezz ta' użu mill-ġdid. Attakki awtomatizzati jippruvaw kredenzjali misruqa mingħajr waqfien kontra paġni tal-login magħrufa.
B'tieni fattur l-attakkant jeħtieġ addizzjonalment xi ħaġa li jippossjedi biss l-utent awtorizzat, pereżempju telefon b'app tal-awtentikazzjoni jew ċavetta tas-sigurtà. Dan jgħolli notevolment l-ostaklu, speċjalment f'kontijiet b'drittijiet wiesgħa.
Għall-maniġment hija importanti distinzjoni: awtentikazzjoni b'żewġ fatturi tipproteġi l-aċċessi, mhux is-softwer li hemm wara. Vulnerabbiltà bħal PHP2Shell, li tippermetti eżekuzzjoni ta' kodiċi mingħajr login, ma tingħalaqx b'dan. It-tnejn jappartjenu flimkien: softwer aġġornat u aċċessi protetti sew.
Liema metodi b'żewġ fatturi huma adattati
Il-metodi jvarjaw fis-sigurtà u fil-konvenjenza. Għal kontijiet ta' amministratur għandkom tużaw mill-inqas apps tal-awtentikazzjoni, għal aċċessi partikolarment kritiċi ċwievet tas-sigurtà jew passkeys.
| Metodu | Protezzjoni kontra phishing | Adattat għall-admins |
|---|---|---|
| Kodiċi SMS | baxxa | biss bħala tranżizzjoni |
| App tal-awtentikazzjoni (TOTP) | medja | standard tajjeb |
| Konferma push | medja, suxxettibbli għal attakki ta' għeja | adattat bi tqabbil tan-numri |
| Ċavetta tas-sigurtà jew passkey (FIDO2/WebAuthn) | għolja | rakkomandat għal aċċessi kritiċi |
| Ċavetta SSH b'passphrase | għolja | standard għall-aċċessi tas-servers |
Kodiċijiet darba biss minn app jistgħu jinqabdu fuq paġna ta' phishing li tidher awtentika u jiġu użati minnufih. Il-metodi FIDO2, min-naħa l-oħra, jivverifikaw l-indirizz tal-paġna u ma jaħdmux fuq paġna falza. Din hija r-raġuni għaliex huma l-aħjar għażla għall-admins b'aċċess għal ħafna sistemi.
Awtentikazzjoni b'żewġ fatturi għall-aċċessi tal-admin: il-lista sħiħa
L-attakkanti jfittxu l-aċċess l-aktar dgħajjef. Għalhekk għaddu mill-postijiet kollha fejn xi ħadd jista' jibdel il-websajt, is-server jew id-domain tagħkom:
- CMS u backend tal-ħanut: WordPress, Shopware, TYPO3 u oħrajn joffru awtentikazzjoni b'żewġ fatturi fil-qalba jew permezz ta' estensjonijiet miżmuma. Liema varjant huwa rakkomandat jinsab fid-dokumentazzjoni tal-manifattur.
- Kont tal-klijent tal-hosting: Min jidħol hawn spiss jista' jerġa' jissettja passwords, iniżżel backups jew jerġa' jinstalla s-server.
- Panel tas-server bħal Plesk jew cPanel, jekk hemm.
- SSH u SFTP: Ċavetta minflok password, ara t-taqsima li jmiss.
- Registrar tad-domain u DNS: Issettjar DNS mibdul jindirizza lill-viżitaturi u l-mails tagħkom lil post ieħor, mingħajr ma s-server ikun affettwat.
- Kaxxi postali tal-admins: Permezz tagħhom jgħaddu r-reset tal-passwords għal kważi s-servizzi l-oħra kollha.
- Repository tal-kodiċi u deployment: Min jista' jikteb hemm jista' jqassam kodiċi malizzjuż.
- CDN, WAF, Google Search Console u fornituri tal-ħlas.
Għal kull entrata iffissaw min għandu aċċess, jekk it-tieni fattur huwiex attiv u fejn jinsabu l-kodiċijiet ta' rkupru. Din il-lista hija fl-istess ħin parti importanti mill-pjan ta' emerġenza tagħkom, għax wara inċident eżattament dawn l-aċċessi jridu jiġu vverifikati u mġedda fi żmien qasir.
SSH: ċavetta minflok password
Għall-aċċessi tas-servers, il-login b'ċavetta SSH huwa l-protezzjoni b'saħħitha tas-soltu. Iċ-ċavetta privata tinsab fuq l-apparat tal-admin u hija protetta b'passphrase; għal servers partikolarment tal-protezzjoni tista' tinsab fuq ċavetta tal-hardware. Meta l-login b'ċavetta jkun stabbilit u ttestjat għall-admins kollha, itfu l-login bil-password:
# /etc/ssh/sshd_config (silta)
PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
AuthenticationMethods publickey
# Ivverifikaw il-konfigurazzjoni qabel ma terġa' titgħabba s-servizz
sshd -t && systemctl reload ssh # fuq sistemi RHEL: sshd
Waqt il-bidla ħallu sessjoni eżistenti miftuħa u ittestjaw il-login f'tieqa oħra. Hekk f'każ ta' żball ma tagħlqux lilkom infuskom barra. Kull admin jirċievi ċavetta proprja; ċwievet maqsuma għal tim sħiħ ma jistgħux jinġibdu b'mod nadif meta persuni individwali jitilqu. Aktar bażijiet tiddeskrivi Kif tassiguraw waħedkom root server u vServer.
Aċċess ta' emerġenza u kodiċijiet ta' rkupru
Introduzzjoni tajba tippjana wkoll l-għeja. Telefons jintilfu, impjegati jitilqu mill-kumpanija, ċwievet tas-sigurtà jinkisru. Mingħajr pjan, fil-mument ħażin ħadd ma jkollu aċċess lest.
Irreġistraw għal kull kont kritiku żewġ fatturi, pereżempju ċavetta tas-sigurtà fl-uffiċċju u app tal-awtentikazzjoni, u żommu l-kodiċijiet ta' rkupru separati mill-password.
Regoli oħra li ppruvaw ruħhom:
- Kontijiet personali minflok logins ta' amministratur maqsuma, biex il-bidliet ikunu traċċabbli.
- Aċċess ta' emerġenza dokumentat b'kredenzjali miżmuma separatament, li l-użu tiegħu jidher u jiġi rreġistrat.
- Meta impjegati jew fornituri tas-servizzi jitilqu, neħħu l-aċċessi u ċ-ċwievet kollha fl-istess jum.
- Wara inċident tas-sigurtà ivverifikaw mhux biss il-passwords, imma wkoll il-fatturi rreġistrati u s-sessions attivi.
Għall-introduzzjoni fit-tim proċess ċar ippruva ruħu. Ibdew bil-kontijiet li jistgħu jikkawżaw l-akbar ħsara: hosting, domain, DNS u l-kaxxi postali tal-admins. Imbagħad jiġu s-servers, is-CMS u s-servizzi. Iffissaw data limitu minn meta ma jibqgħux possibbli logins mingħajr it-tieni fattur, u qabel żgurawlkom li l-parteċipanti kollha huma ssettjati.
Spjegaw lit-tim fil-qosor għaliex il-bidla hija meħtieġa u kif taħdem fil-ħajja ta' kuljum. Gwida ta' paġna waħda b'screenshots tnaqqas b'mod ċar il-mistoqsijiet. Fornituri esterni u aġenziji għandhom jirċievu aċċessi proprji u personali bit-tieni fattur minflok login maqsum, biex l-aċċessi jibqgħu assenjabbli u jkunu jistgħu jitneħħew b'mod nadif wara tmiem il-proġett.
Kif tipproteġu l-paġni tal-login addizzjonalment minn tentattivi awtomatizzati tinsab fil-gwida Kif tipproteġu l-logins tal-amministraturi minn brute force.
Kif tgħin PHP SOS b'mod konkret?
- Nistabbilixxu magħkom lista kompluta tal-aċċessi kollha tal-admin u nuru fejn jonqos it-tieni fattur.
- Nibdlu l-aċċessi tas-servers għal ċwievet SSH u nitfu b'mod ikkontrollat il-logins bil-password fil-qafas tat-Tisħiħ tas-server.
- Niddokumentaw l-aċċessi ta' emerġenza u t-toroq ta' rkupru b'mod li jaħdmu fil-każ ta' bżonn.
- Fil-Kuntratt ta' manutenzjoni tas-sigurtà nivverifikaw l-aċċessi regolarment u neħħu kontijiet abbandunati.
Mistoqsijiet frekwenti
Liema metodu b'żewġ fatturi huwa l-aktar sikur?
Ċwievet tas-sigurtà tal-hardware u passkeys skont l-istandard FIDO2 jitqiesu partikolarment reżistenti kontra l-phishing, għax huma marbutin mal-indirizz veru. Apps tal-awtentikazzjoni b'kodiċijiet darba biss huma standard tajjeb. SMS huwa aħjar minn xejn, imma l-aktar varjant dgħajjef.
X'jiġri jekk it-telefon bl-app tal-awtentikazzjoni jintilef?
Għal dan hemm kodiċijiet ta' rkupru li jintwerew waqt l-issettjar. Iridu jinżammu b'mod sikur, pereżempju fil-kassaforti jew f'maniġer protett tal-passwords. Barra minn hekk mill-inqas amministratur ieħor għandu jkun jista' jerġa' jissettja l-aċċess.
Awtentikazzjoni b'żewġ fatturi tipproteġi wkoll minn PHP2Shell?
Le. PHP2Shell jippermetti eżekuzzjoni ta' kodiċi mingħajr login, il-login ma jintużax xejn f'dan. Kontra PHP2Shell jgħin biss l-aġġornament għal verżjoni rranġata ta' PHP bir-restart tal-workers kollha. Awtentikazzjoni b'żewġ fatturi tipproteġi minn passwords misruqa jew indovinata.
Hija biżżejjed awtentikazzjoni b'żewġ fatturi fis-CMS?
Le, attakkant jagħżel l-aċċess l-aktar dgħajjef. Il-kont tal-hosting, il-panel tas-server, SSH, l-amministrazzjoni tad-domain, DNS u l-kaxxi postali tal-admins iridu jkunu protetti bl-istess mod, inkella l-protezzjoni tas-CMS tista' tiġi evitata.