Le guide ultime pour sécuriser votre connexion WordPress avec l'authentification biométrique - gratuitement !
Publié: 2022-06-20Defender avait déjà implémenté l'authentification à deux facteurs (2FA) dans WordPress pour une sécurité renforcée… maintenant nous avons également ajouté la biométrie !
Il est devenu de plus en plus évident que se fier strictement aux noms d'utilisateur et aux mots de passe pour les connexions n'offre plus les niveaux de sécurité les plus élevés.
La solution de WPMU DEV pour résoudre ce problème consiste à utiliser la norme WebAuthn , qui contourne les vulnérabilités en fournissant un protocole de cryptographie à clé publique comme méthode d'authentification de connexion.
Notre dernière version de Defender, les versions Free et Pro, marque le début de notre odyssée dans le monde de l'authentification biométrique ; offre la possibilité de vérifier l'authenticité d'une connexion d'utilisateur au moyen d'un lecteur d'empreintes digitales ou d'un logiciel de reconnaissance faciale.
L'utilisation de cette nouvelle authentification biométrique est similaire aux méthodes 2FA existantes déjà présentes dans Defender et peut être utilisée avec le TOTP (Time-based One-Time Password), les codes de sauvegarde et les méthodes d'authentification de secours par e-mail.
Dans cet article, nous allons voir comment implémenter la fonctionnalité d'authentification biométrique, dans le cadre de nos fonctionnalités de plugin WordPress 2FA dans Defender.
Continuez à lire ou avancez en utilisant ces liens :
- Le défenseur universel
- Procédure pas à pas complète sur l'authentification biométrique
- Activer la biométrie
- Enregistrer l'appareil
- Authentifier l'appareil
- Renommer ou supprimer un appareil
- Conformité RGPD
- Plusieurs méthodes activées
- Le forfait complet
Explorons tout ce que Defender a à offrir sous forme de protection de connexion avec la nouvelle fonctionnalité biométrique 2FA.
Le défenseur universel
Defender vous offre le meilleur de la sécurité des plugins WordPress, en arrêtant les injections SQL, les scripts intersites XSS, les attaques de connexion par force brute et d'autres vulnérabilités, avec une liste de techniques de renforcement en un clic qui ajouteront instantanément des couches de protection à votre site.
Il facilite également la sécurité pour vous et pour vous, en profitant des dernières mesures de sécurité biométriques.
En guise d'aperçu rapide, voici comment cela fonctionne dans Defender… l'utilisateur entrera son nom d'utilisateur et son mot de passe pour se connecter, et si l'authentification biométrique a été configurée pour cet appareil, ledit utilisateur peut vérifier son identité via son lecteur d'empreintes digitales ou sa reconnaissance faciale Logiciel.
Parce que nous utilisons le protocole WebAuthn , Defender ne reçoit à aucun moment des données biométriques, seulement une confirmation ou un rejet de l'appareil de l'utilisateur.
Je veux intervenir ici avec un point d'intérêt rapide, partagé par l'un de nos techniciens, Marcel Oudejans (et paraphrasé par moi)…
La convention de nommer un chien "Fido" a été popularisée par Abraham Lincoln, bien que son utilisation comme nom d'animal de compagnie canin remonte aux anciens Romains.
« Fido » signifie « fidèle ». FIDO signifie « Fast ID entity Online ». La nouvelle fonctionnalité d'authentification biométrique utilise le protocole WebAuthn de FIDO.
Donc, d'une manière charmante et détournée, en utilisant le protocole FIDO pour implémenter cette fonctionnalité, on pourrait dire que nous insufflons de la "fidélité" dans Defender.
Pour plus d'informations techniques sur FIDO, consultez cet article.
Ok, examinons maintenant en profondeur cette nouvelle fonctionnalité biométrique impressionnante.
Procédure pas à pas complète sur l'authentification biométrique
Tout d'abord, assurez-vous que le plugin Defender est installé et activé, et mettez-le à jour vers la dernière version (au moment d'écrire ces lignes, c'est la 3.0.1). Les versions 3.0 et supérieures de Defender sont entièrement compatibles avec le WordPress 6.0 récemment publié.
Deux choses importantes à noter dès le départ :
- La configuration des appareils autorisés est requise pour chaque utilisateur, car l'authentification est liée à des comptes d'utilisateurs individuels.
- PHP 7.2 ou supérieur est requis, car il améliore les performances et la sécurité, tout en prenant en charge la nouvelle fonctionnalité biométrique.
Activer la biométrie
Accédez au tableau de bord WordPress > Defender . Si vous venez de mettre à jour, vous obtiendrez le modal contextuel. Lisez-le rapidement, puis cliquez sur le bouton Compris .
Vous serez maintenant sur la page principale de Defender. Dans la barre latérale gauche, cliquez sur l'en-tête du menu 2FA .
Une autre fenêtre contextuelle apparaîtra ; cliquez sur le bouton Activer .
Vous verrez maintenant toutes les informations de la section sur l'authentification à deux facteurs et toutes les options disponibles ici.
À partir de la même page Defender 2FA, sous Rôles d'utilisateur > Administrateur , activez le bouton Activé. Assurez-vous de faire défiler vers le bas et cliquez sur Enregistrer les modifications .
Dans le menu latéral du tableau de bord, accédez à la section Utilisateurs et cliquez sur votre profil d'utilisateur administrateur .
Faites défiler jusqu'à la section Sécurité et activez le bouton à côté de Biométrique .
Une fois la fonction biométrique activée, vous verrez une suggestion pour choisir une méthode d'authentification supplémentaire parmi ces options : TOTP, codes de sauvegarde et e- mail de secours.
Dans l'exemple ci-dessous, vous verrez que j'ai sélectionné Fallback Email , mais vous pouvez choisir la ou les méthodes que vous préférez. N'oubliez pas de cliquer sur le bouton Mettre à jour le profil en bas.
L'authentification biométrique ne remplace pas votre connexion WordPress traditionnelle (c'est-à-dire, nom d'utilisateur et mot de passe), mais ajoute une couche sécurisée supplémentaire, comme les autres options d'authentification ci-dessus.
Alors que de nombreux navigateurs et systèmes d'exploitation sont compatibles avec le protocole WebAuthn utilisé pour gérer le processus d'authentification, certains ne le sont pas actuellement. Vérifiez ici pour voir la liste de compatibilité du navigateur et du système d'exploitation de WebAuthn .
Enregistrer l'appareil
Lorsque l'authentification biométrique est activée, le tableau Appareil enregistré s'affiche, avec des options pour Enregistrer l'appareil ou Authentifier l'appareil .
Cliquer sur le bouton Enregistrer l'appareil lancera l'invite de votre navigateur pour configurer la forme de données biométriques que vous souhaitez utiliser, en fonction de celles qui sont disponibles sur votre appareil.
Entrez un nom dans le champ Authenticator Identifier , puis cliquez sur le bouton Start Registration .
Notez que selon l'appareil que vous utilisez, le processus d'enregistrement sera différent.
Exemple 1:
L'enregistrement d'un ordinateur de bureau ou d'un ordinateur portable Windows vous invitera à entrer votre code PIN Windows Hello, ou toute autre méthode d'authentification pouvant être activée sur votre appareil.
Exemple 2 :
L'enregistrement d'un appareil mobile vous invitera à toucher le capteur d'empreintes digitales ou toute autre méthode d'authentification pouvant être activée sur votre appareil.
De retour sur votre page de profil d'utilisateurs , si vous faites défiler vers le bas sous Sécurité > Appareil enregistré , vous verrez votre appareil répertorié ici, ainsi qu'un message en dessous confirmant qu'il a bien été enregistré.
L'étape suivante consiste à authentifier l'appareil que vous venez d'enregistrer.
Authentifier l'appareil
Une fois l'appareil enregistré, cliquez sur le bouton Authentifier l'appareil .
La même méthode d'authentification utilisée pour enregistrer l'appareil vous demandera de confirmer l'action.
Une fois cela fait, vous verrez un message de réussite apparaître. Vous pourrez désormais utiliser l'option biométrique enregistrée comme moyen rapide et sécurisé de vous connecter à votre site.
Renommer ou supprimer un appareil
Si vous le souhaitez, vous pouvez renommer ou supprimer tout appareil authentifié.
Accédez au tableau de bord WordPress > Utilisateurs et cliquez sur votre nom d' utilisateur .
A renommer :
Dans Profil > Sécurité > Appareil enregistré , cliquez sur le texte Renommer dans la colonne Action . Tapez le nouveau nom et cliquez sur Enregistrer .
Supprimer:
Même processus que ci-dessus, mais cliquez sur le texte Supprimer dans la colonne Action , puis cliquez sur OK dans la fenêtre contextuelle suivante.
Sachez que l'action Supprimer n'enregistre pas les paramètres. Par conséquent, si vous décidez de réutiliser la fonction biométrique de cet appareil, vous devrez suivre le processus de configuration complet.
De même, si vous désactivez une fonctionnalité biométrique sur votre appareil, la connexion ne fonctionnera plus et vous devrez répéter le processus sur votre appareil pour restaurer la fonctionnalité de la fonctionnalité.
Conformité RGPD
Les normes de l'Alliance FIDO ont été créées dès le départ avec une approche de « confidentialité dès la conception » et sont parfaitement adaptées à la conformité au RGPD.
Étant donné que FIDO fournit une authentification sans implication de tiers ni suivi entre les comptes et les services, l'authentification biométrique avec les appareils compatibles FIDO2 est entièrement conforme au RGPD.
Avec FIDO, aucune information d'identification personnelle ne quitte jamais votre appareil.
Pour plus d'informations, consultez l'article suivant sur le site Web FIDO : Authentification FIDO et RGPD.
Activation de plusieurs méthodes 2FA
Si vous activez plusieurs méthodes d'authentification supplémentaires dans votre profil, chacune s'affichera sous la forme d'options alternatives sous la méthode que vous avez définie par défaut. Dans l'exemple ci-dessous, l'authentification TOTP est ma méthode préférée.
Vous pouvez cliquer sur n'importe quelle option disponible dans la liste, et cela affichera la méthode d'authentification alternative sélectionnée.
Une dernière note… L'authentification biométrique nécessite que les extensions PHP suivantes soient activées sur votre serveur : mbstring, GMP et Sodium . Ces extensions sont activées par défaut sur tous les sites hébergés par WPMU DEV.
Si vous hébergez ailleurs et que l'un d'entre eux n'est pas activé sur votre serveur, vous verrez une alerte comme celle ci-dessous. Contactez votre fournisseur d'hébergement pour qu'il active les extensions pour vous afin que vous puissiez utiliser cette fonctionnalité.
Cliquez ici pour la documentation complète de WPMU DEV sur la fonction d'authentification biométrique de Defender.
Le forfait complet
Comme les mesures de protection vont dans WordPress, il est difficile de battre Defender.
Defender dispose de puissants protocoles de sécurité, y compris l'analyse des logiciels malveillants, les analyses antivirus, le blocage IP, le pare-feu, le journal d'activité, le journal de sécurité et l'authentification à deux facteurs (2FA), y compris la nouvelle authentification biométrique.
La dernière version de Defender est également venue avec une amélioration supplémentaire et utile de la commande "scan" WP-CLI de Defender. En utilisant cette commande et cette option WP-CLI, si des problèmes sont détectés, Defender créera un tableau avec les résultats.
Auparavant, vous ne pouviez voir les résultats d'une analyse de logiciels malveillants qu'à partir du back-end du site (dans WP Admin > Defender Pro > Analyse de logiciels malveillants), mais vous pourrez désormais voir les résultats de l'analyse terminée directement dans la console.
Prochainement pour Defender… nous développerons notre utilisation de WebAuthn , nos développeurs travaillant actuellement sur la possibilité d'utiliser des dispositifs d'authentification matériels. Des plans sont également en cours pour mettre en œuvre des connexions « sans mot de passe » de la meilleure façon possible, en utilisant le protocole WebAuthn .
Vous pouvez en savoir plus sur les fonctionnalités à venir pour l'un de nos outils et services à tout moment dans notre feuille de route produit.
Si 2FA est la question, Defender est la réponse. La gestion de la sécurité dans vos sites WordPress peut être aussi simple, mais complète, que l'activation de Defender.