Как защитить сайт и его посетителей с помощью двухфакторной аутентификации

Наверняка вам часто приходилось вводить код из СМС, чтобы зайти в соцсеть или электронную почту. Это называется двухфакторной аутентификацией — если вы хотите защитить личные данные, то ее нужно включить. Функция не только работает для аккаунтов в соцсетях, но и помогает защитить доступ к сайтам. Рассказываем, как работает эта система и как ее настроить.

Что такое двухфакторная аутентификация

Двухфакторная аутентификация — это второй уровень защиты вашего аккаунта. Обычно для входа в профиль нужно ввести лишь логин и пароль. Но злоумышленники могут узнать эти данные — например, пароли часто утекают в открытый доступ. Также их легко перехватить или банально подобрать нужную комбинацию.

Чтобы обезопасить вход в систему, используют двухфакторную аутентификацию — дополнительный способ подтверждения, что в аккаунт заходите именно вы, а не кто-то другой. Есть разные способы в этом убедиться. Вот самые популярные:

• СМС с кодами на телефонный номер. Наиболее распространенный вариант — вы вводите логин и пароль, а потом на ваш номер приходит код, который нужно ввести в специальное поле.
• Сгенерированные в специальном приложении коды. Для доступа нужно ввести не только логин и пароль, но и код, который приходит на сторонний сервис. Например, вы заходите в админпанель WordPress, а код получаете в приложении Google Authenticator — его и нужно указать, чтобы попасть в свой аккаунт.
• Защищенный USB-ключ. Вы вставляете специальный ключ в USB-порт компьютера, система считывает код и открывает доступ к аккаунту. В отличие от других методов, дополнительно нужна защищенная флешка — такие устройства производят компании вроде Yubico и другие.

Когда нужна двухфакторная аутентификация

Очевидно, если вы хотите сохранить в безопасности личные данные и снизить вероятность взлома аккаунта, вам нужна двухэтапная аутентификация. Особенно это важно для административных панелей, где к аккаунту привязаны не переписки и фотографии, а доступ к управлению сайтами. Поэтому двухфакторную аутентификацию можно использовать для защиты как личных профилей, так и сайтов.

Обычно возможностей сервиса хватает для включения второго уровня защиты. В большинстве CMS-систем несложно включить дополнительную аутентификацию.

Как настроить двухфакторную аутентификацию для защиты доступа к сайту

Разберем на примере RU-CENTER, WordPress, «Битрикс 24» и Joomla, как добавить двухфакторную аутентификацию. WordPress, «Битрикс 24» и Joomla — самые популярные CMS, так что с высокой долей вероятности ваш сайт сделан именно на одной из этих платформ. Если ваш сайт на другой CMS, посмотрите инструкции к ней, но общий принцип все равно останется тем же самым. Если вы зарегистрировали домен или пользуетесь хостингом от RU-CENTER, дополнительно защитить аккаунт просто необходимо — иначе есть риск потерять доступ к сайту.

RU-CENTER

Авторизуйтесь в разделе «Для клиентов», затем выберите строку «Настройки безопасности», после чего нажмите на «Двухфакторную аутентификацию». 

Вы можете настроить аутентификацию через «Яндекс Ключ». Для этого: 

1. Установите приложение «Яндекс Ключ».
2. Отсканируйте в приложении QR-код, который высветился в настройках RU-CENTER.
3. Введите код, который сгенерировал «Яндекс Ключ».

Двухфакторную аутентификацию можно включить как для административного пароля, так и для технического. Административный пароль позволяет полностью управлять аккаунтом, включая смену контактных данных и списание денег за услуги. Технический же — менять лишь ряд параметров.

WordPress

Чтобы обезопасить доступ к управляемым через WordPress сайтам, можно подключить второй уровень защиты вашего аккаунта. Для этого нажмите на иконку профиля, выберите вкладку «Безопасность» и щелкните на «Двухфакторную аутентификацию». 

Откроется два варианта: доступ через СМС или сгенерированный код.

Приложение Authenticator

1. Введите страну и номер телефона, нажмите «Проверка через приложение».
2. Наведите камеру на появившийся QR-код. Откроется приложение нотификации. Скопируйте оттуда код, вернитесь в поле WordPress, вставьте код и нажмите «Включить». 

СМС на ваш номер

1. Введите страну и номер телефона, нажмите «Проверка через СМС».
2. Через несколько секунд придет сообщение с 7-значным кодом. Введите его в поле настроек WordPress и нажмите «Включить».

Дополнительно можно включить подтверждение через защищенный USB-ключ. Для этого подключите один из двух ранее упомянутых вариантов двухфакторной аутентификации. Затем щелкните на «Зарегистрировать ключ». Вставьте ключ в USB-порт, нажмите на нем кнопку. Дождитесь, пока система зарегистрирует ключ. Теперь получить доступ к вашему аккаунту в WordPress можно только через защищенный ключ.

«Битрикс-24»

Чтобы включить дополнительную защиту в этой CMS, зайдите в свой профиль, затем нажмите на вкладку «Безопасность». Выберите кнопку «Подключить» напротив строки «Двухэтапная авторизация».

Вам останется скачать приложение Bitrix 24 OTP (ссылки будут прямо на странице), отсканировать QR-код с экрана и ввести код подтверждения в последнее поле.

Joomla

Чтобы включить двухфакторную аутентификацию, нажмите «Просмотр сообщений» после того, как зайдете на свой сервер. Затем щелкните по кнопке «Включить двухфакторную аутентификацию». 

У вас есть два способа усилить защиту: вход по сгенерированному коду или USB-ключу безопасности.

Приложение Authenticator

1. В настройках профиля найдите вкладку «Двухфакторная аутентификация», затем в меню выберите Google Authenticator. 
2. Скачайте Google Authenticator, щелкнув на одну из ссылок или отсканировав QR-код.
3. На ваш смартфон придет 6-значный код. Введите его в соответствующее поле.
4. Теперь ваш аккаунт защищен двухфакторной аутентификацией. При входе в систему вас попросят ввести не только логин и пароль, но и секретный ключ — код, который придет на ваш смартфон.

Защищенный USB-ключ

1. Зайдите в настройки профиля, в поле «Способ аутентификации» выберите «Yubikey».
2. Вставьте защищенный Yubikey-ключ в USB-порт, кликните по полю «Security Code» и нажмите кнопку на самом ключе.
3. Система сгенерирует код, который будет работать только при подключении ключа безопасности.

Как настроить двухфакторную аутентификацию на сайте для пользователей

Иногда встроенных возможностей CMS недостаточно, чтобы обезопасить аккаунты пользователей. При этом владельцам сайта хочется дать посетителям максимальную защиту — например, если у гостей к аккаунту привязана банковская карта или есть виртуальный кошелек с деньгами. В таком случае можно использовать стороннюю защитную систему. Один из вариантов — это E-NUM от WebMoney. Система идентифицирует пользователя посредством кодов, сгенерированных в самой E-NUM, — это безопаснее, чем СМС, которые можно перехватить.

Есть два способа интеграции E-NUM с сайтом: OAuth2 и Soap.

OAuth2 работает так:

1. Посетитель запрашивает вход в защищенную зону.
2. Сайт перенаправляет пользователя в E-NUM и просит там авторизоваться.
3. После авторизации пользователя E-NUM отправляет браузеру одноразовый код.
4. Сайт получает код от браузера и запрашивает у E-NUM токен доступа.
5. По этому токену E-NUM пускает пользователя в защищенную часть сайта.

Soap работает так:

1. Посетитель сайта вводит свою электронную почту. В ответ на это сайт отображает QR-код, а также число-вопрос и просит пользователя ввести число-ответ. 
2. Посетитель заходит в приложение E-NUM, сканирует оттуда QR-код и получает число-ответ — его и нужно ввести в поле на сайте.
3. После авторизации пользователя направляют на auth.enum.ru, где пользователь разрешает, чтобы E-NUM работал в связке с сайтом и аккаунтом пользователя.

Чтобы интегрировать E-NUM с вашим проектом, нужно иметь доступ к административной панели сайта и знать, как подключать API сторонних сервисов. Всю информацию можно посмотреть на странице E-NUM.

Коротко: что такое двухфакторная аутентификация и как ее включить

• Двухфакторная аутентификация — это дополнительный способ защитить ваш аккаунт. 
• Когда она включена, для доступа к аккаунту нужен не только пароль и логин, но и другие данные: например, код из СМС или сгенерированный в отдельном приложении код. Если хотите максимальный уровень защиты, нужно вставить в USB-порт защищенный ключ.
• Двухфакторная аутентификация есть почти на всех платформах, начиная от Google и соцсетей, заканчивая WordPress и Joomla. 
• В большинстве CMS легко подключить двухфакторную аутентификацию. Чаще всего достаточно смартфона или почтового ящика от Google, а также 5–10 минут времени. Но если вы решили защитить доступ через сторонние сервисы вроде E-NUM, то нужно знать, как подключать их API, — это требует серьезных технических навыков.