2018/08/14)このブログもWordPressです。パスワードの辞書攻撃、ブルートフォース攻撃を思われるアクセスが大量にあります。WordPressへの2要素認証導入はプラグインのインストールだけでできます。開発者向けの2要素認証導入もブログに書いています。開発者の方は早めに自分のサイト/サービスに2要素認証を導入することをお勧めします。呼ばれている)を導入するには、一時的なパスワードを生成するデバイスが必要です。「一時的なパスワードを生成するデバイス」というと難しく感じるかも知れませんが、スマホユーザーならGoogle認証アプリをインストールするだけです。Blackberryをサポートしています。インストールしていない方はインストールしてください。2要素認証に慣れていない方はGoogleのドキュメントが参考になります。2要素認証とは何か理解してから設定すると良いです。要するに固定のパスワードとは別に一時的に生成される別のパスワードを使ってログインできるようにする仕組みが2要素認証です。Googleアカウントの場合、SMSや電話を使った認証もできますが、WordPressのアカウントはGoogleアカウントとは無関係なので利用できません。Authenticatorなどがあります。WordPressを利用しています。どちらが良いかは評価していません。最初に試したプラグインがこちら※だったので使用しています。Authenticatorの方が良い場合、コメントを頂けると助かります。※WordPressのアップグレードは速いので、人気のプラグインでより最近メンテナンスされている物、という基準で選びました。WordPressの設定プラグインをインストールするだけでは2要素認証は有効になりません。2要素認証の設定は安全なネットワークから行います。安全でないネットワークから設定すると秘密情報が漏れる可能性があります。サイトの”設定”メニューからAuthenticatorを設定画面を表示します。Plugin”のyesチェックボックにチェックを付けて設定を保存したのち、ユーザー毎に設定が必要です。Name”には自分のサイトの名前を入れるとGoogle認証で見た時に、そのサイトの一時パスワードが分かり易くなります。”ユーザー”メニューからユーザー一覧を表示し、特定のユーザーを選択します。ユーザー名、パスワードなどの設定情報の下の方にプラグイン設定が追加されています。“Activate”チェックボタンにチェックします。先に進む前にここで設定を保存しておきましょう。Code”ボタンを押すとQRコードが表示されます。下のようなQRコード(このコードはダミーです)が表示されます。Google認証アプリを起動し、「設定」メニューから「アカウントを設定」を選択します。「バーコードをスキャン」を選んで、下のようなQRコードを読み取ります。読取に成功すると次の画面のように、新しく一時的なパスワードが表示されます。これで2要素認証が有効になります。Code”を取得し、どこか安全な場所に保存しておきましょう。携帯電話が壊れたり、無くした時に必要になります。動作確認2要素認証が正しく動作するか、必ず確認してください。動作確認の為に”別のブラウザ”を開き、管理ページの開きます。Authenticator”が追加されています。Authenticator”のフィールドに入力します。ログインボタンを押してログインできたら正しく動作しています。これで2要素認証がWordPressで使えるようになりました。パスワードのみの保護に比べ、格段に安全性が増します。ログインできなかったら何らかの問題があります。問題が解決しない場合、”Activate”のチェックボックスを外して2要素認証を無効にして設定を保存してください。しないとログインできなくなります。ログインできない原因は”サーバーの時計”がズレている事がほとんどです。使って正確に合わせましょう。NTPは時刻を合わせるプログラムです。WordPressの注意点このブログを書いている時点では秘密にしておくべき”Secret”キーがユーザー情報のページに表示されています。これはデフォルトでは表示されなくなるようですが、表示されている間は信頼できないネットワーク環境では十分に保護されません。2要素認証を有効にしても、WordPressにログインする場合は信頼できるネットワークでログインするようにしてください。自分のノートパソコンなどの場合、”ログイン状態を保存する”にチェックして、ログインした状態から仕様する方が安全です。信頼できないネットワークでログインするとパスワードが盗まれる可能性があります。Code)が漏洩します。パスワードも盗まれないように注意しなければなりません。さいごにWordPressに2要素認証を導入するのは簡単です。導入していない知り合いが居たら勧めてください。このブログはさっと書いたので解りずらい部分があるかも知れません。間違いの指摘、解りずらいなど、コメント歓迎します。Googleアカウントを持っている方でまだ2要素認証(2段階認証)を有効にしていない方はついでに有効化すると良いです。完全なSQLインジェクション対策インジェクション攻撃は3種類あるそもそもエスケープとは何なのか?セキュアコーディングを理解できていない例2要素認証のTOTPとHOTP、どちらがより安全か?紹介エレクトロニック・サービス・イニシアチブのWebシステムのコンサルタントのブログです。PHPの開発、PHP4.x/5.xレガシーPHPセキュリティパッチサービスなどを行っています。ブログのサブタイトルを「書かない日記」としているのは、ブログを始めた時にあまり書かないつもりで始めたのでこのサブタイトルになっています。yohgaki@ohgaki.net私が記述したブログ中のコードは記載が無い場合はMITライセンスです。その他のコードは参考リンクなどのライセンス情報を参照ください。