Der ultimative Leitfaden zum Sichern Ihres WordPress-Logins mit biometrischer Authentifizierung – kostenlos!

Defender hatte bereits die Zwei-Faktor-Authentifizierung (2FA) in WordPress für erhöhte Sicherheit implementiert … jetzt haben wir auch Biometrie hinzugefügt!

Es hat sich zunehmend gezeigt, dass die strikte Verwendung von Benutzernamen und Passwörtern für die Anmeldung nicht mehr die höchste Sicherheitsstufe bietet.

Die Lösung von WPMU DEV, um dies anzugehen, besteht in der Verwendung des WebAuthn- Standards, der Schwachstellen umgeht, indem er ein Protokoll der Kryptografie mit öffentlichen Schlüsseln als Anmeldeauthentifizierungsmethode bereitstellt.

Unsere neueste Defender-Version – sowohl die kostenlose als auch die Pro-Version – markiert den Beginn unserer Odyssee in die Welt der biometrischen Authentifizierung; Bereitstellung der Möglichkeit, die Authentizität einer Benutzeranmeldung mittels eines Geräte-Fingerabdrucklesers oder einer Gesichtserkennungssoftware zu überprüfen.

Die Verwendung dieser neuen biometrischen Authentifizierung ähnelt den bestehenden 2FA-Methoden, die bereits in Defender vorhanden sind, und kann zusammen mit den bestehenden TOTP (Time-based One-Time Password), Backup-Codes und Fallback-E-Mail-Authentifizierungsmethoden verwendet werden.

In diesem Artikel werden wir uns ansehen, wie die biometrische Authentifizierungsfunktion als Teil unserer 2FA-WordPress-Plugin-Funktionen in Defender implementiert wird.

Lesen Sie weiter oder springen Sie mit diesen Links weiter:

• Der allumfassende Verteidiger
• Vollständige exemplarische Vorgehensweise zur biometrischen Authentifizierung
  • Aktivieren Sie Biometrie
  • Gerät registrieren
  • Gerät authentifizieren
  • Gerät umbenennen oder löschen
  • DSGVO-Konformität
  • Mehrere Methoden aktiviert
• Das Komplettpaket

Lassen Sie uns alles erkunden, was Defender in Form von Login-Schutz mit der coolen neuen 2FA-Biometrie-Funktion zu bieten hat.

Der allumfassende Verteidiger

Defender bietet Ihnen die beste WordPress-Plugin-Sicherheit, stoppt SQL-Injektionen, Cross-Site-Scripting-XSS, Brute-Force-Login-Angriffe – und andere Schwachstellen – mit einer Liste von Ein-Klick-Härtungstechniken, die Ihrer Website sofort Schutzschichten hinzufügen.

Es erleichtert auch die Sicherheit für Sie und Sie, indem es die neuesten biometrischen Sicherheitsmaßnahmen nutzt.

Als schnellen Überblick, hier ist, wie das in Defender funktioniert … der Benutzer gibt seinen Benutzernamen und sein Passwort ein, um sich anzumelden, und wenn die biometrische Authentifizierung für dieses Gerät konfiguriert wurde, kann der Benutzer seine Identität durch seinen Fingerabdruckscanner oder seine Gesichtserkennung überprüfen Software.

Da wir das WebAuthn- Protokoll verwenden, erhält Defender zu keinem Zeitpunkt biometrische Daten, sondern nur eine Bestätigung oder Ablehnung vom Gerät des Benutzers.

Ich möchte hier einen kurzen Punkt von Interesse einwerfen, der von einem unserer Techniker, Marcel Oudejans, geteilt (und von mir paraphrasiert) wurde…

Die Konvention, einen Hund „Fido“ zu nennen, wurde von Abraham Lincoln populär gemacht, obwohl seine Verwendung als Kosename für Hunde auf die alten Römer zurückgeht.

„ Fido “ bedeutet „treu“. FIDO steht für „ F ast ID entity O nline“. Die neue biometrische Authentifizierungsfunktion verwendet das WebAuthn- Protokoll von FIDO.

Durch die Verwendung des FIDO-Protokolls zur Implementierung dieser Funktion könnte man also auf schöne, umständliche Weise sagen, dass wir Defender mit „Treue“ ausstatten.

Weitere technische Informationen zu FIDO finden Sie in diesem Artikel.

Okay, jetzt werfen wir einen genaueren Blick auf diese fantastische neue biometrische Funktion.

Vollständige exemplarische Vorgehensweise zur biometrischen Authentifizierung

Stellen Sie zunächst sicher, dass Sie das Defender-Plug-in installiert und aktiviert haben, und aktualisieren Sie es auf die neueste Version (zum Zeitpunkt des Schreibens dieses Artikels ist das 3.0.1). Die Defender-Versionen 3.0 und höher sind vollständig kompatibel mit dem kürzlich veröffentlichten WordPress 6.0.

Zwei wichtige Dinge, die Sie vorab beachten sollten:

1. Die Konfiguration autorisierter Geräte ist auf Benutzerbasis erforderlich, da die Authentifizierung mit einzelnen Benutzerkonten verknüpft ist.
2. PHP 7.2 oder höher ist erforderlich, da es die Leistung und Sicherheit verbessert und gleichzeitig die neue biometrische Funktion unterstützt.

Aktivieren Sie Biometrie

Navigieren Sie zum WordPress -Dashboard > Defender . Wenn Sie gerade aktualisiert haben, erhalten Sie das Popup-Modal. Lesen Sie es kurz durch und klicken Sie dann auf die Schaltfläche Verstanden.

Sie befinden sich jetzt auf der Hauptseite von Defender. Klicken Sie in der linken Seitenleiste auf die Kopfzeile des 2FA- Menüs.

Ein weiteres Popup erscheint; klicken Sie auf die Schaltfläche Aktivieren .

Jetzt sehen Sie alle Abschnittsinformationen für die Zwei-Faktor-Authentifizierung und alle Optionen, die wir hier zur Verfügung haben.

Schalten Sie auf derselben Defender 2FA-Seite unter Benutzerrollen > Administrator die Schaltfläche Ein um. Stellen Sie sicher, dass Sie nach unten scrollen und auf Änderungen speichern klicken.

Gehen Sie im Seitenmenü des Dashboards zum Abschnitt Benutzer und klicken Sie auf Ihr Admin-Benutzerprofil .

Scrollen Sie nach unten zum Abschnitt Sicherheit und aktivieren Sie die Schaltfläche neben Biometrisch .

Sobald die biometrische Funktion aktiviert ist, sehen Sie einen Vorschlag zur Auswahl einer zusätzlichen Authentifizierungsmethode aus diesen Optionen: TOTP, Backup-Codes und Fallback-E-Mail .

Im folgenden Beispiel sehen Sie, dass ich Fallback-E-Mail ausgewählt habe, aber Sie können die Methode(n) auswählen, die Sie bevorzugen. Denken Sie daran, unten auf die Schaltfläche Profil aktualisieren zu klicken.

Die biometrische Authentifizierung ersetzt nicht Ihr herkömmliches WordPress-Login (d. h. Benutzername und Passwort), sondern fügt stattdessen eine zusätzliche sichere Ebene hinzu, wie die anderen oben genannten Authentifizierungsoptionen.

Während viele Browser und Betriebssysteme mit dem WebAuthn- Protokoll kompatibel sind, das zur Verwaltung des Authentifizierungsprozesses verwendet wird, sind einige dies derzeit nicht. Hier finden Sie die Browser- und Betriebssystem-Kompatibilitätsliste von WebAuthn .

Gerät registrieren

Wenn die biometrische Authentifizierung aktiviert ist, wird die Tabelle „ Registriertes Gerät “ mit den Optionen „ Gerät registrieren “ oder „Gerät authentifizieren “ angezeigt.

Durch Klicken auf die Schaltfläche „ Gerät registrieren “ wird die Eingabeaufforderung Ihres Browsers gestartet, um die Form der biometrischen Daten zu konfigurieren, die Sie verwenden möchten, je nachdem, welche auf Ihrem Gerät verfügbar sind.

Geben Sie einen beliebigen Namen in das Feld Authenticator Identifier ein und klicken Sie dann auf die Schaltfläche Registrierung starten .

Beachten Sie, dass der Registrierungsprozess je nach verwendetem Gerät unterschiedlich ist.

Beispiel 1:

Beim Registrieren eines Windows -Desktops oder -Laptops werden Sie aufgefordert, Ihre Windows Hello-PIN oder eine andere Authentifizierungsmethode einzugeben, die möglicherweise auf Ihrem Gerät aktiviert ist.

Beispiel 2:

Beim Registrieren eines Mobilgeräts werden Sie aufgefordert, den Fingerabdrucksensor oder eine andere Authentifizierungsmethode zu berühren, die möglicherweise auf Ihrem Gerät aktiviert ist.

Zurück auf Ihrer Benutzerprofilseite , wenn Sie unter Sicherheit > Registriertes Gerät nach unten scrollen, sehen Sie Ihr Gerät hier aufgelistet, zusammen mit einer Nachricht darunter, die bestätigt, dass es tatsächlich registriert wurde.

Der nächste Schritt besteht darin, das gerade registrierte Gerät zu authentifizieren.

Gerät authentifizieren

Klicken Sie nach der Registrierung des Geräts auf die Schaltfläche Gerät authentifizieren .

Dieselbe Authentifizierungsmethode, die zum Registrieren des Geräts verwendet wurde, fordert Sie auf, die Aktion zu bestätigen.

Sobald Sie fertig sind, wird eine Erfolgsmeldung angezeigt. Jetzt können Sie die registrierte biometrische Option als schnelle und sichere Methode verwenden, um sich bei Ihrer Website anzumelden.

Gerät umbenennen oder löschen

Bei Bedarf können Sie jedes authentifizierte Gerät umbenennen oder löschen.

Navigieren Sie zum WordPress -Dashboard > Benutzer und klicken Sie auf Ihren Benutzernamen .

Zum Umbenennen :

Klicken Sie unter Profil > Sicherheit > Registriertes Gerät auf den Text Umbenennen in der Spalte Aktion . Geben Sie den neuen Namen ein und klicken Sie auf Speichern .

Löschen:

Gleicher Vorgang wie oben, aber klicken Sie auf den Text Löschen in der Spalte Aktion und dann im nächsten Popup auf OK .

Beachten Sie, dass die Löschaktion keine Einstellungen speichert. Wenn Sie also entscheiden, dass Sie die biometrische Funktion von diesem Gerät wieder verwenden möchten, müssen Sie den vollständigen Einrichtungsprozess durchlaufen.

Ebenso funktioniert die Anmeldung nicht mehr, wenn Sie eine biometrische Funktion auf Ihrem Gerät deaktivieren, und Sie müssten den Vorgang auf Ihrem Gerät wiederholen, um die Funktionalität der Funktion wiederherzustellen.

DSGVO-Konformität

Die Standards der FIDO Alliance wurden von Anfang an mit einem „Privacy by Design“-Ansatz erstellt und eignen sich hervorragend für die Einhaltung der DSGVO.

Da FIDO Authentifizierung ohne Beteiligung Dritter oder Nachverfolgung zwischen Konten und Diensten bereitstellt, ist die biometrische Authentifizierung mit FIDO2-kompatiblen Geräten vollständig DSGVO-konform.

Mit FIDO verlassen niemals personenbezogene Daten Ihr Gerät.

Weitere Informationen finden Sie im folgenden Artikel auf der FIDO-Website: FIDO-Authentifizierung und DSGVO.

Aktivieren mehrerer 2FA-Methoden

Wenn Sie mehr als eine zusätzliche Authentifizierungsmethode in Ihrem Profil aktivieren, wird jede als alternative Option neben der Methode angezeigt, die Sie als Standard festgelegt haben. Im folgenden Beispiel ist die TOTP-Authentifizierung meine bevorzugte Methode.

Sie können auf jede verfügbare Option in der Liste klicken und die ausgewählte alternative Authentifizierungsmethode wird angezeigt.

Ein letzter Hinweis… Die biometrische Authentifizierung erfordert, dass die folgenden PHP-Erweiterungen auf Ihrem Server aktiviert sind: mbstring, GMP und Sodium . Diese Erweiterungen sind standardmäßig auf allen von WPMU DEV gehosteten Websites aktiviert.

Wenn Sie woanders hosten und einer davon auf Ihrem Server nicht aktiviert ist, sehen Sie eine Warnung wie die untenstehende. Wenden Sie sich an Ihren Hosting-Provider, damit er die Erweiterungen für Sie aktiviert, damit Sie diese Funktion nutzen können.

Klicken Sie hier, um die vollständige Dokumentation von WPMU DEV zur biometrischen Authentifizierungsfunktion von Defender anzuzeigen.

Das Komplettpaket

Wenn es um Schutzmaßnahmen in WordPress geht, ist Defender schwer zu schlagen.

Defender verfügt über leistungsstarke Sicherheitsprotokolle, darunter Malware-Scans, Antivirus-Scans, IP-Blockierung, Firewall, Aktivitätsprotokoll, Sicherheitsprotokoll und Zwei-Faktor-Authentifizierung (2FA), einschließlich der neu hinzugefügten biometrischen Authentifizierung.

Die neueste Version von Defender kam auch mit einer zusätzlichen, nützlichen Verbesserung des WP-CLI-Befehls „Scan“ von Defender. Durch die Verwendung dieses WP-CLI-Befehls und dieser Option erstellt Defender eine Tabelle mit Ergebnissen, wenn Probleme gefunden werden.

Bisher konnten Sie die Ergebnisse eines Malware-Scans nur vom Back-End der Website aus sehen (unter WP Admin > Defender Pro > Malware-Scan), aber jetzt können Sie die Ergebnisse des abgeschlossenen Scans direkt in der Konsole sehen.

Demnächst für Defender … wir werden unsere Verwendung von WebAuthn erweitern , wobei unsere Entwickler derzeit an der Möglichkeit arbeiten, Hardware-Authentifizierungsgeräte zu verwenden. Es ist auch geplant, „passwortfreie“ Anmeldungen mithilfe des WebAuthn- Protokolls so gut wie möglich zu implementieren.

In unserer Produkt-Roadmap können Sie sich jederzeit über kommende Funktionen für alle unsere Tools und Services informieren.

Wenn 2FA die Frage ist, ist Defender die Antwort. Die Handhabung der Sicherheit auf Ihren WordPress-Sites kann so einfach – und doch vollständig – sein wie die Aktivierung von Defender.