Stručne: Dvojfaktorová autentifikácia pre prístupy administrátorov zaisťuje, že ukradnuté alebo uhádnuté heslo samo nestačí. Musí platiť všade, kde môže niekto zmeniť váš web alebo server: CMS, hosting, panel, SSH, doména, DNS a schránky adminov. Rovnako dôležité ako zriadenie sú núdzové kódy a jasné pravidlo, kto má na čo vlastný prístup.
Prečo samotné heslá pre adminov nestačia
Heslá sa strácajú mnohými cestami: phishingovými e-mailmi, škodlivým softvérom na pracovnom počítači, únikmi údajov pri iných službách alebo jednoducho opakovaným použitím. Automatizované útoky neustále skúšajú ukradnuté prístupové údaje proti známym prihlasovacím stránkam.
S druhým faktorom potrebuje útočník navyše niečo, čo má iba oprávnený používateľ, napríklad smartfón s aplikáciou authenticator alebo bezpečnostný kľúč. To výrazne zvyšuje prekážku, najmä pri účtoch s rozsiahlymi právami.
Pre vedenie je dôležité vymedzenie: dvojfaktorové prihlásenie chráni prístupy, nie softvér za nimi. Zraniteľnosť ako PHP2Shell, ktorá umožňuje vykonanie kódu bez prihlásenia, sa tým neuzavrie. Oboje patrí k sebe: aktuálny softvér a dobre chránené prístupy.
Ktoré dvojfaktorové postupy sa hodia
Postupy sa líšia bezpečnosťou a pohodlím obsluhy. Pre administrátorské účty by ste mali použiť minimálne aplikácie authenticator, pre obzvlášť kritické prístupy bezpečnostné kľúče alebo passkeys.
| Postup | Ochrana pred phishingom | Vhodnosť pre adminov |
|---|---|---|
| Kód SMS | nízka | len ako prechod |
| Aplikácia authenticator (TOTP) | stredná | dobrý štandard |
| Potvrdenie push | stredná, náchylné na útoky vyčerpaním | vhodné s porovnaním čísla |
| Bezpečnostný kľúč alebo passkey (FIDO2/WebAuthn) | vysoká | odporúčané pre kritické prístupy |
| Kľúč SSH s passphrase | vysoká | štandard pre prístupy na server |
Jednorazové kódy z aplikácie možno zachytiť na zdanlivo pravej phishingovej stránke a okamžite znova použiť. Postupy FIDO2 naopak kontrolujú adresu stránky a na sfalšovanej stránke nefungujú. To je dôvod, prečo sú pre adminov s prístupom k mnohým systémom najlepšou voľbou.
Dvojfaktorová autentifikácia pre prístupy administrátorov: úplný zoznam
Útočníci si vyberú najslabší prístup. Preto prejdite všetky miesta, kde môže niekto zmeniť váš web, server alebo doménu:
- CMS a backend e-shopu: WordPress, Shopware, TYPO3 a ďalšie ponúkajú dvojfaktorové prihlásenie v jadre alebo cez udržiavané rozšírenia. Ktorý variant sa odporúča, je v dokumentácii výrobcu.
- Zákaznícky účet hostingu: Kto sa sem dostane, môže často obnoviť heslá, stiahnuť zálohy alebo server nainštalovať znova.
- Panel servera ako Plesk alebo cPanel, ak existuje.
- SSH a SFTP: kľúč namiesto hesla, pozri nasledujúci oddiel.
- Registrátor domény a DNS: Zmenené nastavenie DNS presmeruje vašich návštevníkov a poštu bez toho, aby bol dotknutý server.
- E-mailové schránky adminov: Cez ne prebiehajú obnovy hesiel takmer pre všetky ostatné služby.
- Repozitár kódu a deployment: Kto tam smie zapisovať, môže nasadiť škodlivý kód.
- CDN, WAF, Google Search Console a poskytovatelia platieb.
Pre každú položku určte, kto má prístup, či je druhý faktor aktívny a kde ležia obnovovacie kódy. Tento zoznam je zároveň dôležitou súčasťou vášho núdzového plánu, pretože po incidente sa musia práve tieto prístupy v krátkom čase skontrolovať a obnoviť.
SSH: kľúč namiesto hesla
Pre prístupy na server je prihlásenie pomocou kľúča SSH obvyklou silnou ochranou. Súkromný kľúč leží na zariadení admina a je chránený passphrase; pri obzvlášť chránených serveroch môže ležať na hardvérovom kľúči. Ak je prihlásenie kľúčom zriadené a otestované pre všetkých adminov, vypnite prihlásenie heslom:
# /etc/ssh/sshd_config (výťah)
PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
AuthenticationMethods publickey
# Skontrolovať konfiguráciu skôr, než sa služba znova načíta
sshd -t && systemctl reload ssh # na systémoch RHEL: sshd
Pri prestavbe nechajte otvorenú existujúcu reláciu a prihlásenie otestujte v druhom okne. Tak sa pri chybe nevyradíte. Každý admin dostane vlastný kľúč; spoločné kľúče pre celý tím sa pri odchode jednotlivých osôb nedajú čisto odobrať. Ďalšie základy popisuje stránka Zabezpečiť root server a vServer vlastnými silami.
Núdzový prístup a obnovovacie kódy
Dobré zavedenie počíta s výpadkom. Smartfóny sa strácajú, zamestnanci opúšťajú podnik, bezpečnostné kľúče sa pokazia. Bez plánu potom v nesprávnom okamihu nestojí nikto s prístupom.
Pre každý kritický účet zaregistrujte dva faktory, napríklad bezpečnostný kľúč v kancelárii a aplikáciu authenticator, a obnovovacie kódy uschovajte oddelene od hesla.
Ďalšie pravidlá, ktoré sa osvedčili:
- Osobné účty namiesto spoločne používaných administrátorských prihlásení, aby boli zmeny dohľadateľné.
- Zdokumentovaný núdzový prístup s oddelene uschovanými prístupovými údajmi, ktorého použitie je nápadné a zaznamenáva sa.
- Pri odchode zamestnancov alebo dodávateľov odobrať všetky prístupy a kľúče v ten istý deň.
- Po bezpečnostnom incidente skontrolovať nielen heslá, ale aj registrované faktory a aktívne relácie.
Pri zavedení v tíme sa osvedčil jasný postup. Začnite účtami, ktoré môžu spôsobiť najväčšiu škodu: hosting, doména, DNS a e-mailové schránky adminov. Potom nasledujú servery, CMS a služby. Určite rozhodný deň, od ktorého už nie sú prihlásenia bez druhého faktora možné, a vopred zabezpečte, aby boli všetci zúčastnení nastavení.
Tímu krátko vysvetlite, prečo je prechod potrebný a ako funguje v bežnej prevádzke. Jednostranový návod so snímkami obrazovky výrazne znižuje počet otázok. Externí dodávatelia a agentúry by mali dostať vlastné, osobné prístupy s druhým faktorom namiesto spoločného prihlásenia, aby zostali prístupy priraditeľné a dali sa po skončení projektu čisto odobrať.
Ako prihlasovacie stránky navyše chrániť pred automatizovanými pokusmi, je v príručke Chrániť prihlásenia administrátorov pred brute force.
Ako konkrétne pomáha PHP SOS?
- S vami zostavíme úplný zoznam všetkých administrátorských prístupov a ukážeme, kde chýba druhý faktor.
- Prístupy na server prestavíme na kľúče SSH a prihlásenia heslom kontrolovane vypneme v rámci spevnenia servera.
- Núdzové prístupy a cesty obnovy zdokumentujeme tak, aby fungovali v krízovej situácii.
- V zmluve o bezpečnostnej údržbe prístupy pravidelne kontrolujeme a odstraňujeme osirotené účty.
Časté otázky
Ktorý dvojfaktorový postup je najbezpečnejší?
Hardvérové bezpečnostné kľúče a passkeys podľa štandardu FIDO2 sa považujú za obzvlášť odolné voči phishingu, pretože sú viazané na skutočnú adresu. Aplikácie authenticator s jednorazovými kódmi sú dobrým štandardom. SMS je lepšia než nič, ale je to najslabší variant.
Čo sa stane, ak sa stratí smartfón s aplikáciou authenticator?
Na to existujú obnovovacie kódy, ktoré sa zobrazia pri zriaďovaní. Patrí sa ich bezpečne uschovať, napríklad v trezore alebo v chránenom správcovi hesiel. Navyše by mal mať aspoň druhý admin možnosť prístup obnoviť.
Chráni dvojfaktorové prihlásenie aj pred PHP2Shell?
Nie. PHP2Shell umožňuje vykonanie kódu bez prihlásenia, prihlásenie sa pritom vôbec nepoužíva. Proti PHP2Shell pomáha iba aktualizácia na opravenú verziu PHP s reštartom všetkých workerov. Dvojfaktorové prihlásenie chráni pred ukradnutými alebo uhádnutými heslami.
Stačí dvojfaktorové prihlásenie v CMS?
Nie, útočník si vyberie najslabší prístup. Hostingový účet, panel servera, SSH, správa domény, DNS a e-mailové schránky adminov musia byť chránené rovnako, inak sa ochrana CMS dá obísť.