Nota de lançamento: Criptografia adicionada a códigos de dois fatores no iThemes Security Pro
Publicados: 2022-10-21Com a versão mais recente do iThemes Security Pro, adicionamos criptografia para proteger os códigos de autenticação de dois fatores (2FA) usados para autenticação de login multifator. Para garantir que seu site esteja usando essa nova funcionalidade, atualize para o iThemes Security Pro versão 7.2.2 no painel do plug-in wp-admin.
Como acontece com qualquer novo recurso, temos certeza de que deve haver dúvidas sobre o novo recurso e por que o adicionamos. Neste post, detalhamos as alterações que fizemos, por que escolhemos adicionar recursos de segurança adicionais à autenticação de dois fatores e algumas reflexões sobre o estado atual da segurança de login do WordPress como um todo.
O que essa mudança no armazenamento de código de autenticação de dois fatores implica?
O iThemes Security suporta três tipos de métodos de autenticação de dois fatores: aplicativos móveis, e-mail e códigos de backup. Cada um deles funciona um pouco diferente.
Quando você usa o Email 2FA, o iThemes Security gera um código aleatório de oito dígitos e o envia por e-mail para você. Armazenamos o que chamamos de “hash” desse código aleatório no banco de dados do WordPress. Um hash nos permite verificar se você nos forneceu o mesmo código de oito dígitos que armazenamos no banco de dados.
No entanto, o iThemes Security não pode “decodificar” o hash de volta ao código aleatório original de oito dígitos. É por isso que, se você pedir à iThemes Security para “reenviar” o e-mail 2FA, geramos um novo código aleatório em vez de reenviar o mesmo código 2FA que enviamos no primeiro e-mail.
Isso é semelhante a como o WordPress pode verificar se sua senha está correta. Mas se você esquecer sua senha, terá que criar uma nova, o WordPress não poderá enviar sua senha atual.
Mobile Two-Factor é diferente. Um novo código aparece em seu aplicativo móvel a cada 30 segundos. Isso significa que o iThemes Security está salvando cada novo código no banco de dados? Não, em vez disso, o iThemes Security usa o conceito de “segredo compartilhado”.
Quando você configura o Mobile Two-Factor no iThemes Security, mostramos um código QR que contém uma chave secreta exclusiva para sua conta. A digitalização do código QR em seu aplicativo Two-Factor copia a chave secreta para o seu telefone.
Quando você faz login usando seu aplicativo móvel, o iThemes Security e seu telefone geram um código de seis dígitos com base na chave “segredo compartilhado”. Se os códigos corresponderem, você está dentro!
Ao contrário do Two-Factor baseado em e-mail, onde só precisamos armazenar um hash, isso significa que devemos armazenar a chave secreta do aplicativo móvel de uma maneira que nos dê acesso ao texto simples.
A grande maioria dos plugins e serviços de autenticação de dois fatores para WordPress armazena chaves secretas de dois fatores no banco de dados do WordPress, e o iThemes Security não é diferente. Esses códigos devem ser armazenados para que, quando um usuário inserir seus códigos 2FA em seu aplicativo de autenticação em seu telefone ou dispositivo, o plug-in de segurança possa corresponder a esses códigos para autenticar o usuário que está tentando fazer login.
Armazenar esses códigos no banco de dados tem sido a forma mais segura de fazê-lo, pois qualquer informação armazenada no banco de dados só pode ser acessada por um usuário do banco de dados e sua senha. Essas credenciais são armazenadas em seu arquivo wp-config.php do WordPress, e isso permite que seu site WordPress acesse informações nesse banco de dados.
Embora existam alguns serviços que usam uma abordagem baseada em sistema de arquivos para códigos 2FA, o iThemes Security e a maioria dos outros principais serviços de autenticação de dois fatores optaram pelo método de armazenamento de banco de dados mais seguro.
Para segurança adicional, adicionamos criptografia a esses códigos armazenados no banco de dados WordPress de um site. Caso o banco de dados seja de alguma forma comprometido por outra vulnerabilidade, essa criptografia adicionada adiciona outra camada de segurança para proteger o site WordPress de qualquer número de ataques baseados em login que podem ser combinados com outras vulnerabilidades.
Por que escolhemos adicionar esse recurso
Se um site WordPress estiver adequadamente protegido, a probabilidade de os códigos de autenticação de dois fatores serem expostos é baixa. No entanto, no caso de haver uma vulnerabilidade de nível de serviço do provedor de hospedagem em que o acesso ao banco de dados seja comprometido ou se houver uma vulnerabilidade de dia zero explorada ativamente em um plug-in ou tema, códigos de autenticação de dois fatores não criptografados podem ser usados em combinação com outra vulnerabilidade .
Na iThemes, a segurança dos sites WordPress de nossos clientes é de importância crítica para nossos negócios. Assim, quando até mesmo um cenário de vulnerabilidade de caso extremo chega ao nosso conhecimento, nossa primeira resposta e prioridade é a segurança desses sites.
Nosso objetivo é tornar seu site WordPress seguro em todos os momentos, para que qualquer aspecto do seu site, desde seus arquivos e banco de dados até seus procedimentos de login, esteja protegido contra invasores maliciosos. A defesa eficaz contra ataques requer que todos os aspectos do WordPress sejam adequadamente protegidos.
O que é autenticação de dois fatores?
A autenticação de dois fatores (2FA) é um tipo de autenticação multifator (MFA) que fortalece a segurança de acesso exigindo dois métodos de verificação para autenticar sua identidade em um sistema, neste caso um site WordPress. Esses fatores podem incluir algo que você conhece, como seu nome de usuário ou e-mail e sua senha, além de algo que você possui, como acesso ao seu dispositivo com um aplicativo de autenticação para autenticá-lo ou determinar que você é quem você é. Aplicativos de autenticação, como o Google Authenticator, geram uma senha única baseada em tempo que muda minuto a minuto.
As senhas não são suficientes
A autenticação de dois fatores é cada vez mais importante, pois ataques de phishing, ataques de engenharia social, ataques de força bruta de senha e problemas de reutilização de senha significam que a autenticação apenas com senha simplesmente não é mais suficiente.
É devido a problemas como esse que inovadores como o iThemes Security adicionaram chaves de acesso para logins verdadeiramente sem senha usando autenticação biométrica e criptografia de chave privada/pública para criar protocolos de autenticação mais sofisticados para proteger sistemas de missão crítica. As senhas são quebradas, então o iThemes Security Pro foi o primeiro plugin de segurança do WordPress a permitir autenticação sem senha com chaves de acesso.
Com as chaves de acesso, o armazenamento de códigos de autenticação de dois fatores não é um problema, pois a criptografia de chave pública/privada torna as senhas e o 2FA obsoletos.
Se o seu site WordPress é realmente de missão crítica para sua empresa ou organização, usar o iThemes Security demonstra seu compromisso em proteger esse ativo. Certifique-se de oferecer logins sem senha sem atrito e recursos de autenticação de dois fatores criptografados para demonstrar aos seus stakeholders o compromisso de sua organização com implementações de sites conscientes da segurança.
Se você ainda não estiver usando o iThemes Security Pro, poderá obter a versão Pro do melhor plug-in de segurança do WordPress disponível comprando no link abaixo.
O melhor plug-in de segurança do WordPress para proteger e proteger o WordPress
Atualmente, o WordPress alimenta mais de 40% de todos os sites, por isso se tornou um alvo fácil para hackers com intenções maliciosas. O plug-in iThemes Security Pro elimina as suposições da segurança do WordPress para facilitar a segurança e a proteção do seu site WordPress. É como ter um especialista em segurança em tempo integral na equipe que monitora e protege constantemente seu site WordPress para você.
Obrigado a Calvin Alkan por divulgar o problema com responsabilidade para nós .