Εν συντομία: Ο έλεγχος ταυτότητας δύο παραγόντων για προσβάσεις διαχειριστών φροντίζει ώστε ένας κλεμμένος ή μαντεμένος κωδικός μόνος του να μην αρκεί. Πρέπει να ισχύει παντού όπου κάποιος μπορεί να αλλάξει τον ιστότοπο ή τον διακομιστή σας: CMS, φιλοξενία, πάνελ, SSH, domain, DNS και τα γραμματοκιβώτια των διαχειριστών. Εξίσου σημαντικοί με τη ρύθμιση είναι οι κωδικοί έκτακτης ανάγκης και ένας σαφής κανόνας για το ποιος έχει δική του πρόσβαση για τι.
Γιατί οι κωδικοί μόνοι τους δεν αρκούν για διαχειριστές
Οι κωδικοί χάνονται με πολλούς τρόπους: μέσω emails phishing, κακόβουλου λογισμικού σε υπολογιστή εργασίας, διαρροών δεδομένων σε άλλες υπηρεσίες ή απλώς μέσω επαναχρησιμοποίησης. Αυτοματοποιημένες επιθέσεις δοκιμάζουν αδιάκοπα κλεμμένα διαπιστευτήρια σε γνωστές σελίδες σύνδεσης.
Με έναν δεύτερο παράγοντα, ο επιτιθέμενος χρειάζεται επιπλέον κάτι που κατέχει μόνο ο εξουσιοδοτημένος χρήστης, π.χ. ένα smartphone με εφαρμογή authenticator ή ένα κλειδί ασφαλείας. Αυτό ανεβάζει σημαντικά τον πήχη, ιδίως σε λογαριασμούς με εκτεταμένα δικαιώματα.
Για τη διοίκηση είναι σημαντικός ένας διαχωρισμός: η σύνδεση δύο παραγόντων προστατεύει προσβάσεις και όχι το λογισμικό πίσω από αυτές. Μια ευπάθεια όπως το PHP2Shell, που επιτρέπει εκτέλεση κώδικα χωρίς σύνδεση, δεν κλείνει έτσι. Τα δύο ανήκουν μαζί: επικαιροποιημένο λογισμικό και καλά προστατευμένες προσβάσεις.
Ποιες μέθοδοι δύο παραγόντων ταιριάζουν
Οι μέθοδοι διαφέρουν σε ασφάλεια και άνεση χρήσης. Για λογαριασμούς διαχειριστών πρέπει να χρησιμοποιείτε τουλάχιστον εφαρμογές authenticator, για ιδιαίτερα κρίσιμες προσβάσεις κλειδιά ασφαλείας ή passkeys.
| Μέθοδος | Προστασία από phishing | Καταλληλότητα για διαχειριστές |
|---|---|---|
| Κωδικός SMS | χαμηλή | μόνο ως μετάβαση |
| Εφαρμογή authenticator (TOTP) | μέτρια | καλό πρότυπο |
| Επιβεβαίωση push | μέτρια, ευάλωτη σε επιθέσεις κόπωσης | κατάλληλη με αντιπαραβολή αριθμού |
| Κλειδί ασφαλείας ή passkey (FIDO2/WebAuthn) | υψηλή | συνιστάται για κρίσιμες προσβάσεις |
| Κλειδί SSH με passphrase | υψηλή | πρότυπο για προσβάσεις διακομιστή |
Οι κωδικοί μιας χρήσης από μια εφαρμογή μπορούν να αναχαιτιστούν σε μια απατηλά αληθοφανή σελίδα phishing και να χρησιμοποιηθούν αμέσως. Οι μέθοδοι FIDO2 ελέγχουν αντίθετα τη διεύθυνση της σελίδας και δεν λειτουργούν σε πλαστή σελίδα. Αυτός είναι ο λόγος που αποτελούν την καλύτερη επιλογή για διαχειριστές με πρόσβαση σε πολλά συστήματα.
Έλεγχος ταυτότητας δύο παραγόντων για προσβάσεις διαχειριστών: η πλήρης λίστα
Οι επιτιθέμενοι αναζητούν την πιο αδύναμη πρόσβαση. Περάστε γι' αυτό από όλα τα σημεία όπου κάποιος μπορεί να αλλάξει τον ιστότοπο, τον διακομιστή ή το domain σας:
- CMS και backend καταστήματος: WordPress, Shopware, TYPO3 και άλλα προσφέρουν σύνδεση δύο παραγόντων στον πυρήνα ή μέσω συντηρούμενων επεκτάσεων. Ποια παραλλαγή συνιστάται, αναφέρεται στην τεκμηρίωση του κατασκευαστή.
- Λογαριασμός πελάτη στον πάροχο φιλοξενίας: Όποιος μπαίνει εδώ μπορεί συχνά να επαναφέρει κωδικούς, να κατεβάσει αντίγραφα ασφαλείας ή να εγκαταστήσει ξανά τον διακομιστή.
- Πάνελ διακομιστή όπως το Plesk ή το cPanel, εφόσον υπάρχει.
- SSH και SFTP: Κλειδιά αντί για κωδικό, βλ. την επόμενη ενότητα.
- Registrar domain και DNS: Μια αλλαγμένη ρύθμιση DNS ανακατευθύνει τους επισκέπτες και τα email σας, χωρίς να επηρεάζεται ο διακομιστής.
- Γραμματοκιβώτια email των διαχειριστών: Μέσω αυτών περνούν οι επαναφορές κωδικών σχεδόν όλων των άλλων υπηρεσιών.
- Αποθετήριο κώδικα και deployment: Όποιος επιτρέπεται να γράφει εκεί, μπορεί να διανείμει κακόβουλο κώδικα.
- CDN, WAF, Google Search Console και πάροχοι πληρωμών.
Καταγράψτε για κάθε εγγραφή ποιος έχει πρόσβαση, αν ο δεύτερος παράγοντας είναι ενεργός και πού βρίσκονται οι κωδικοί ανάκτησης. Αυτή η λίστα αποτελεί ταυτόχρονα σημαντικό μέρος του σχεδίου έκτακτης ανάγκης σας, επειδή μετά από ένα περιστατικό ακριβώς αυτές οι προσβάσεις πρέπει να ελεγχθούν και να ανανεωθούν σε σύντομο χρόνο.
SSH: κλειδιά αντί για κωδικό
Για προσβάσεις διακομιστή, η σύνδεση με κλειδί SSH είναι η συνηθισμένη ισχυρή προστασία. Το ιδιωτικό κλειδί βρίσκεται στη συσκευή του διαχειριστή και προστατεύεται με passphrase· σε διακομιστές που χρήζουν ιδιαίτερης προστασίας μπορεί να βρίσκεται σε φυσικό κλειδί. Αφού η σύνδεση με κλειδί έχει ρυθμιστεί και δοκιμαστεί για όλους τους διαχειριστές, απενεργοποιήστε τη σύνδεση με κωδικό:
# /etc/ssh/sshd_config (απόσπασμα)
PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
AuthenticationMethods publickey
# Έλεγχος της διαμόρφωσης προτού ξαναφορτωθεί η υπηρεσία
sshd -t && systemctl reload ssh # σε συστήματα RHEL: sshd
Κατά την αλλαγή αφήστε μια υπάρχουσα συνεδρία ανοιχτή και δοκιμάστε τη σύνδεση σε δεύτερο παράθυρο. Έτσι δεν αποκλείεστε σε περίπτωση σφάλματος. Κάθε διαχειριστής παίρνει δικό του κλειδί· κοινά κλειδιά για ολόκληρη ομάδα δεν μπορούν να ανακληθούν καθαρά όταν αποχωρεί ένα μεμονωμένο πρόσωπο. Περαιτέρω βασικά στοιχεία περιγράφει η σελίδα Ασφάλεια root servers και vServers από εσάς τους ίδιους.
Πρόσβαση έκτακτης ανάγκης και κωδικοί ανάκτησης
Μια καλή εισαγωγή προβλέπει και την αποτυχία. Τα smartphones χάνονται, οι εργαζόμενοι αποχωρούν από την εταιρεία, τα κλειδιά ασφαλείας χαλούν. Χωρίς σχέδιο, στη λάθος στιγμή δεν υπάρχει κανείς με πρόσβαση.
Καταχωρίστε για κάθε κρίσιμο λογαριασμό δύο παράγοντες, π.χ. ένα κλειδί ασφαλείας στο γραφείο και μια εφαρμογή authenticator, και φυλάξτε τους κωδικούς ανάκτησης χωριστά από τον κωδικό πρόσβασης.
Περαιτέρω κανόνες που έχουν αποδειχθεί αποτελεσματικοί:
- Προσωπικοί λογαριασμοί αντί για κοινόχρηστα logins διαχειριστή, ώστε οι αλλαγές να είναι ανιχνεύσιμες.
- Μια τεκμηριωμένη πρόσβαση έκτακτης ανάγκης με διαπιστευτήρια που φυλάσσονται χωριστά, η χρήση της οποίας γίνεται αντιληπτή και καταγράφεται.
- Όταν αποχωρούν εργαζόμενοι ή πάροχοι υπηρεσιών, ανάκληση όλων των προσβάσεων και κλειδιών την ίδια ημέρα.
- Μετά από ένα περιστατικό ασφαλείας, έλεγχος όχι μόνο των κωδικών, αλλά και των καταχωρισμένων παραγόντων και των ενεργών συνεδριών.
Στην εισαγωγή στην ομάδα έχει αποδειχθεί αποτελεσματική μια σαφής διαδικασία. Ξεκινήστε με τους λογαριασμούς που μπορούν να προκαλέσουν τη μεγαλύτερη ζημιά: φιλοξενία, domain, DNS και τα γραμματοκιβώτια email των διαχειριστών. Ακολουθούν διακομιστές, CMS και υπηρεσίες. Ορίστε μια ημερομηνία κατά την οποία οι συνδέσεις χωρίς δεύτερο παράγοντα δεν θα είναι πλέον δυνατές και βεβαιωθείτε προηγουμένως ότι όλοι οι εμπλεκόμενοι έχουν ρυθμιστεί.
Εξηγήστε στην ομάδα σύντομα γιατί είναι απαραίτητη η αλλαγή και πώς λειτουργεί στην καθημερινότητα. Ένας οδηγός μιας σελίδας με στιγμιότυπα οθόνης μειώνει σημαντικά τις ερωτήσεις. Εξωτερικοί πάροχοι υπηρεσιών και πρακτορεία πρέπει να λάβουν δικές τους, προσωπικές προσβάσεις με δεύτερο παράγοντα αντί για κοινό login, ώστε οι προσβάσεις να παραμένουν αντιστοιχίσιμες και να ανακαλούνται καθαρά μετά το τέλος του έργου.
Πώς προστατεύετε επιπλέον τις σελίδες σύνδεσης από αυτοματοποιημένες προσπάθειες, αναφέρεται στον οδηγό Προστασία των logins διαχειριστή από brute force.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Καταρτίζουμε μαζί σας μια πλήρη λίστα όλων των προσβάσεων διαχειριστών και δείχνουμε πού λείπει ο δεύτερος παράγοντας.
- Μεταβαίνουμε τις προσβάσεις διακομιστή σε κλειδιά SSH και απενεργοποιούμε ελεγχόμενα τις συνδέσεις με κωδικό στο πλαίσιο της θωράκισης διακομιστή.
- Τεκμηριώνουμε προσβάσεις έκτακτης ανάγκης και διαδρομές ανάκτησης έτσι ώστε να λειτουργούν σε πραγματική ανάγκη.
- Στη σύμβαση συντήρησης ασφάλειας ελέγχουμε τακτικά τις προσβάσεις και αφαιρούμε ορφανούς λογαριασμούς.
Συχνές ερωτήσεις
Ποια μέθοδος δύο παραγόντων είναι η ασφαλέστερη;
Τα φυσικά κλειδιά ασφαλείας και τα passkeys κατά το πρότυπο FIDO2 θεωρούνται ιδιαίτερα ανθεκτικά στο phishing, επειδή είναι δεμένα με την πραγματική διεύθυνση. Οι εφαρμογές authenticator με κωδικούς μιας χρήσης αποτελούν καλό πρότυπο. Το SMS είναι καλύτερο από το τίποτα, αλλά η πιο αδύναμη παραλλαγή.
Τι συμβαίνει αν χαθεί το smartphone με την εφαρμογή authenticator;
Γι' αυτό υπάρχουν κωδικοί ανάκτησης, που εμφανίζονται κατά τη ρύθμιση. Πρέπει να φυλάσσονται με ασφάλεια, π.χ. σε χρηματοκιβώτιο ή σε προστατευμένο διαχειριστή κωδικών. Επιπλέον, τουλάχιστον ένας δεύτερος διαχειριστής πρέπει να μπορεί να επαναφέρει την πρόσβαση.
Προστατεύει η σύνδεση δύο παραγόντων και από το PHP2Shell;
Όχι. Το PHP2Shell επιτρέπει εκτέλεση κώδικα χωρίς σύνδεση, ενώ το login δεν χρησιμοποιείται καν. Απέναντι στο PHP2Shell βοηθά μόνο η ενημέρωση σε διορθωμένη έκδοση PHP με επανεκκίνηση όλων των workers. Η σύνδεση δύο παραγόντων προστατεύει από κλεμμένους ή μαντεμένους κωδικούς.
Αρκεί η σύνδεση δύο παραγόντων στο CMS;
Όχι, ένας επιτιθέμενος επιλέγει την πιο αδύναμη πρόσβαση. Ο λογαριασμός φιλοξενίας, το πάνελ διακομιστή, το SSH, η διαχείριση domain, το DNS και τα γραμματοκιβώτια email των διαχειριστών πρέπει να προστατεύονται εξίσου, διαφορετικά η προστασία του CMS μπορεί να παρακαμφθεί.