二段階認証

WordPressのようなCMSが、更新が容易であるというのは、ブラウザ上から更新できるからというのが大きい。更新の際は、IDとパスワードを入力して管理画面に入るわけだが、これらが他人に知られてしまうと、好き放題にサイトを改ざんされ、ウイルスを仕込むなどやられ放題となる。

まずはニックネームを必ず設定すること

現在のバージョンのWordpressの場合、IDは管理者が考えたものを任意に設定できるわけだが、デフォルトでは、このIDが記事の投稿者の名前としてサイトに表示されてしまう。これを避けるにはIDとは別に「ニックネーム」を設定すればよい。「ニックネーム」を設定すれば投稿者の名前が、そのニックネームに置き換わる。
ニックネームの設定をしたとしても、もしIDが知られ、パスワードが何らかの方法で突破されれば、どうしようもない。ブルートフォースアタック(総当たり攻撃)といって、力づくで突破する攻撃が知られていて、被害例が多数ある。 そしてこの度のロリポップの改ざん事件のようにサーバー側にも不備があると一人のユーザーが突破されただけで、他の極めて多数のユーザーまで被害をうけることが起こりうる。

さらに二段階認証(ワンタイムパスワード)を設定、これはかなり強力

これを防ぐには、推測されにくい文字列を使用することは基本として、様々な対策が考えられるが、Google二段階認証を導入するという手がある。Google二段階認証とはPCとは別にスマートフォン(か携帯電話)などが必須で、スマートフォンにいわゆるワンタイムパスワードを通知して、それを入力しない限りログインできなくするものである。
スマートフォンにGoogle認証アプリを導入すれば、スマートフォンがオフラインでも画面上に認証コード(ワンタイムパスワード)を表示させることができる。

これを行う大前提をして、まずGoogle自体の、二段階認証の設定を行う必要がある。もしGoogleアカウントを持っていない人であれば、作るところから始めることになるが、みなgoogle analyticsは導入しているだろうから、Googleアカウントはもっているであろう。
そして次に、Wordpressの方にgoogle二段階認証のプラグイン(Google Authenticator for WordPress)を導入し設定を行うのが簡単だ。具体的にはPC画面に表示されるバーコードをスマホに読み取らせて設定するのが便利だろう。

試しに、いくつかのサイトを見てみたが、この二段階認証を導入しているところはまだまだ少ない。しかし、Wordpressに対するアタック攻撃は増加している。セキュリティに気を使いすぎるということはない。Wordpressを運用しているなら、この二段階認証の導入は必須であろう。
(画像はプラグイン作者のページからお借りしました。)

コメントを残す

メールアドレスが公開されることはありません。 が付いている欄は必須項目です