CMS TYPO3 prężnie się rozwija. W najnowszej wersji 11.1. wprowadzona została funkcjonalność uwierzytelniania wieloskładnikowego, z ang. Multi Factor Authentication (MFA).
Co to jest, jak działa i dlaczego warto z niego korzystać? Przeczytajcie uważnie nasz artykuł.
Być może niektórzy wiedzą już, czym jest MFA, bo używają go w codziennym życiu np. do zalogowania się do aplikacji. Zazwyczaj logując się do różnych miejsc, wystarczy wpisanie loginu i hasła, ale niekiedy wymagane jest spełnienie dodatkowych warunków (np. użycie tokena bezpieczeństwa] i odcisku palca) – wtedy mamy do czynienia z uwierzytelnianiem wieloskładnikowym.
Istotą uwierzytelniania wieoskładnikowego są 3 elementy:
Mało kto zmienia regularnie hasła i we wszystkich miejscach używa innych. Bądźmy szczerzy, większość z nas ponownie używa haseł lub ma takie, które mogą być łatwe do zhakowania. Oczywiście zdarzają się wyjątki w postaci osób, które korzystają np. z menedżerów haseł, ale wciąż jest to mały procent ogółu. Jeśli komuś przytrafiło się zhakowanie hasła, to z pewnością dobrze wie, z jakimi zagrożeniami się to łączy. Załóżmy, że jesteś redaktorem strony firmowej i pewnego dnia tracisz dostęp do swojego konta, bo ktoś je nielegalnie przejął. Na stronie zaczynają pojawiać się niepokojące treści, dezinformacje, albo jeszcze gorsze rzeczy. Brzmi dość ponuro, prawda?
Dlatego też warto zadbać, aby ogromna zawartość, do której masz dostęp logując się do backendu TYPO3, była należycie chroniona, tak abyś tylko Ty miał do niej dostęp. Można to zrobić dzięki wielowarstwowym zabezpieczeniom np. uwierzytelnianie wieloskładnikowe z loginem, hasłem, tokenem i odciskiem palca, bo nawet jeśli w jakiś sposób ktoś zdobyłby Twój login i hasło, to musiałby mieć również dostęp do Twojego tokena i odcisku palca, aby się zalogować.
Dzięki Oliverowi Bartschowi i wielu innym osobom, mamy możliwość korzystania z MFA po wyjęciu z pudełka w TYPO3 v.11.1. Wcześniej konieczne było korzystanie z dodatkowych rozszerzeń, ale teraz rdzeń przygotowany jest do MFA w bezpieczny sposób. Dzięki temu wpisowi poznacie, jakie są możliwości i jak łatwo można skonfigurować uwierzytelnianie wieloskładnikowe dla danego użytkownika.
Dzięki tej funkcji otrzymujemy dwa dodatkowe sposoby uwierzytelniania, nazwijmy je dostawcami MFA. Oprócz nich można oczywiście tworzyć własnych dostawców.
Dwóch dostawców usługi MFA dostarczanych przez rdzeń to: jednorazowe hasła oparte na czasie (Time-based one-time passwords - TOTP) i kody odzyskiwania.
Dostawca kodów odzyskiwania może być używany jedynie jako awaryjny w stosunku do innych dostawców MFA, więc jeśli nie instalujesz dodatkowych dostawców MFA, zawsze musisz włączyć dostawcę haseł jednorazowych opartych na czasie. Umożliwia to korzystanie z aplikacji uwierzytelniającej, takiej jak Google Authenticator, Microsoft Authenticator lub 1Password.
Warto dodać, że prócz dostawców, których oferuje rdzeń, istnieje już też kilku innych (np. "mfa_yubikey" autorstwa Torbena Hansena, “mfa_hotp" Olivera Bartscha i "mfa_webauthn" Benjamina Franzke). Da to zdecydowanie więcej możliwości dodatkowego uwierzytelniania, np. za pomocą odcisku palca, rozpoznawania twarzy itd.
Aby włączyć uwierzytelnianie wieloskładnikowe dla swojego konta backend TYPO3, wystarczy wykonać kilka prostych kroków:
Po skonfigurowaniu hasła jednorazowego opartego na czasie nadszedł czas, aby się wylogować i zalogować ponownie, aby sprawdzić, czy działa.
Po raz kolejny widać, jakie to proste, a przy okazji bardzo bezpieczne! Od teraz jesteś chroniony zarówno hasłem, jak i tokenem bezpieczeństwa.
Ten wpis powstał po to, aby użytkownicy CMS TYPO3 byli świadomi nowej funkcji uwierzytelniania wieloskładnikowego dostępnej w TYPO3 v.11.1., bo zdecydowanie podnosi ona bezpieczeństwo korzystania z TYPO3. Dzięki niemu, gdyby ktoś próbował włamać się na Twoje konto, teraz będzie miał o wiele trudniejsze zadanie, a Ty większą pewność, że mu się nie uda.
