Защита входа на сайт (безопасный пароль)

Защита входа на сайт (безопасный пароль)

X

Вам понравился материал? Вы можете угостить автора чашечкой ароматного кофе и оставить ему доброе пожелание 🙂

Ваше угощение будет обязательно доставлено до автора. Чашка кофе - это не много, но она согревает и придает силы творить дальше. Вы можете выбрать, чем угостить автора.

Чашка кофе из ПитСтопа за 60 руб.

Крепкий эспрессо за 110 руб.

Восхитительное Латте за 175 руб.

Правила пользования

Разработан командой socpravo.ru

Для пользователей введена добровольная двухфакторная авторизация на сайте.

Для защиты паролей при входе на сайт используется собственная система шифрования, что исключает воровство паролей из базы данных. Однако, многие пользователи используют простые пароли при регистрации. Для защиты доступа на сайте дополнительно введена двухфакторная авторизация.

В настоящий момент на сайте можно регистрироваться:

• простым паролем

• через внешний аккаунт

• пароль + двухфакторная авторизация

Простой пароль

Это самый простой способ защиты входа на сайт. Если Вы использует сложный пароль. например ODmn89hpj*9!lkFj98f что-нибудь вроде такого 🙂 когда много разных и букв и цифр и заглавные/прописные и знаки, то дополнительную защиту можете не использовать – своровать пароль нельзя, а подобрать подобный пароль шанс 1 на многомиллиардов. Подключение происходит по следующей схеме:

• плагин входа открывает форму и просит ввести пароль
• пользователь вводит пароль
• плагин сверяет цифровой отпечаток пароля с имеющимся в базе (не сам пароль, он не сохраняется в базе, а именно его цифровой отпечаток)
• подтверждает пароль и разрешает вход.

Подделать шифрованный цифровой отпечаток пароля не возможно – для этого надо знать точный пароль. Однако, если Вы используете более простые пароли, то есть смысл использовать иные степени защиты входа.

Вход через внешний аккаунт — аккаунт соцсети

Это удобный способ входа на сайта с использованием входа через внешний аккаунт какой-нибудь социальной сети. У нас настроен доступ на вход через соцсети: Facebook, Google (он же Google+), Instagram, Mail.Ru, Одноклассники, ВКонтакте. За авторизацию на нашем сайте отвечаем не мы, а та сеть, через которую Вы входите. Т.к. сайт использует безопасное подключение по протоколу https, т.е. с использованием шифрования и прямое подключение (не взламывается), то утечки данных нет. Подключение происходит по следующей схеме:

• плагин входа открывает форму и просит ввести пароль
• пользователь нажимает вход через соцсеть
• соцсеть проверяет данные пользователя по защищенному шифрованному каналу и выдает разрешение
• плагин получает подтверждение и разрешает вход.

Как видите ответственность за правильность подтверждения возложена на соцсеть и если уж их система безопасности не сможет сохранить пароль, то под ударом окажутся миллионы пользователей.

Это основной способ входа пользователей на сайт, т.к. позволяет не запоминать сложные пароли. использовать службу безопасности своего сайта и быстро проходить авторизацию.

Однако, для тех кто не использует социальные сети данный способ не приемлем. Поэтому мы подключили систему двухфакторной авторизации.

Пароль + двухфакторная авторизация

Этот способ входа на сайт реализуется двумя степенями защиты:

• во-первых используется Ваш личный пароль
• во-вторых используется Ваш телефон как средство дополнительной проверки

Таким образом, злоумышленнику потребуется не только подобрать Ваш пароль, но и завладеть Вашим телефоном. Для двухфакторной авторизации используются различные сторонние приложения. Мы проверяли работу входа на самых распространенных – Google Authenticator и Яндекс.Ключ. Принцип работы подобных приложений следующий: каждый 30 секунд меняется пароль, данные о новом пароле доступны по зашифрованному адресу который связывается с Вашим телефоном при регистрации аккаунта.

Подключение происходит по следующей схеме:

• плагин входа открывает форму и просит ввести пароль
• пользователь вводит пароль
• плагин сверяет цифровой отпечаток пароля с имеющимся в базе (не сам пароль, он не сохраняется в базе, а именно его цифровой отпечаток)
• подтверждает пароль и дополнительно требует код подтверждения с телефона
• пользователь открывает приложение в телефоне и в своем аккаунте видит код, который действует в эти конкретные 30 секунд и его надо ввести в поле плагина
• плагин проверяет верность кода и разрешает вход.

Для подключения двухфакторной авторизации Вам необходимо следующее:

3. Скачать и установить приложение для двухфакторной авторизации. Например, Google Authenticator или Яндекс.Ключ. Однако, перечень не ограничен именно этими приложениями и возможно использование любых иных использующих метод TOTP.
4. Перейти по ссылке в консоль https://socpravo.ru/wp-admin/admin.php?page=two-factor-auth-user

Зарегистрировать код в программе одним из трех способов:

1) Самый простой способ регистрации – это использовать QR-code – открыли в приложении, навели на экран, зарегистрировали;

2) Можно использовать текстовый код для программ Google Authenticator и Authy

3) Для иных программ также есть свой текстовый код

4) Также Вы можете сбросить ранее используемый секретный код.

5) И не забудьте включить двухфакторную авторизацию и сохранить изменения.

Помните, что если вдруг у Вас возникли какие-то проблемы с входом по двухфакторной авторизации, то способ входа через внешний аккаунт остается включенным всегда. Поэтому, при возникновении каких-то сложностей, всегда можно войти через соцсеть и сбросить секретный ключ.

Обо всех замечаниях просим сообщать в комментариях к данному материалу.