Sikker login i WordPress med YubiKey (2FA)

598

YubiKey er en liten nøkkel som krever fysisk berøring. Det er ingenting å laste ned, ingen batterier, den kan ikke hackes og er støt- og vannsikker. YubiKey er nøkkelen til den raskeste og sikreste måten å logge inn i WordPress.

De fleste er nok allerede kjent med en eller annen form for to-faktor autentisering som til eksempel BankID eller BankID for mobil. Det handler altså om å legge til et ekstra lag med sikkerhet, et brukernavn og passord alene er ikke sikkert i dagens nettsamfunn.

Tidligere har vi skrevet om hvordan du kan aktivere to-faktor autentisering i WordPress, men alle disse er basert på at autentiseringen styres av en utvidelse, en app eller at du mottar en kode på e-post.

Hva er en YubiKey

YubiKey er en sikkerhetsnøkkel eller maskinvareautentiseringsenhet som kan beskytte tilgangen til datamaskiner, nettverk og nettbaserte tjenester som støtter engangspassord, nøkkelkryptografi og brukerautentisering i tillegg til det universal to-faktor autentisering (2FA) og FIDO2 protokoller.

Det tillater brukere å logge seg sikkert inn på digitale kontoer ved å sende ut engangspassord eller bruke et FIDO-basert offentlig- og privat nøkkelpar skapt av enheten.

YubiKey tillater også lagring av statiske passord for bruk på nettsteder som ikke støtter engangspassord.

Autentiseringsutfordringen

Internett ble designet for å dele informasjon, ikke sikkerhet. Siden den gang har Internett blitt mer avansert og skalert seg til å være en kritisk del av hverdagen vår. Ulempen er at svindlerne har også tilpasset seg endringen.

I følge Yubico blir 18 millioner brukernavn og passord lekket hver eneste dag.

Passord øker i antall og kompleksitet

Når vi blir tvunget til å huske flere, komplekse passord, er det unngåelig at vi glemmer noen av dem. Dessverre gjør dette av mange brukere tar «snarveier» ved å forenkle passord eller bruke dem om og om igjen på flere tjenester.

Mobil autentisering stopper ikke phising

For å øke sikkerheten oppfordrer flere kjente tjenester to-faktor autentisering (2FA). En ofte brukt metode er mobile apper eller tekstmeldinger (SMS) med midlertidige koder.

Disse tjenestene er ofte tungvinte, langsomme og forhindrer ikke moderne phishing-angrep. Nylig kunne du lese at svindlere forsøker nå å lure til seg BankID-en din.

YubiKey løser utfordringen

Millioner av brukere over hele verden bruker allerede YubiKey for å forenkle og sikre tilgang til datamaskiner, tjenester på Internett og mobile apper.

Den første YubiKey ble lansert i 2008, inspirert av ordet «ubiquity» og visjonen om en sikkerhetsnøkkel som holder alle elektroniske og digitale kontoer trygge. For å få det til, laget de en ny global sikkerhetsstandard støttes av alle pattformer og nettlesere.

Hvor kan du bruke YubiKey

Det er raskt å registrere en YubiKey med alle dine personlige kontoer for digitale tjenester. YubiKey kan brukes til nesten alt.

Du kan bruke den til å logge inn på datamaskinen, og for nesten alle digitale tjenesten som e-post, sosiale medier, skytjenester, passordbehandlere, spilltjenester, utviklerverktøy osv.

Les hele listen over støttede tjenester hos Yubico.

Finn din YubiKey

YubiKey kommer i flere utgaver og fasonger, med funksjoner som passer de fleste behov. For å finne ut hvilken nøkkel som passer dine behov best, kan du teste denne veiviseren hos Yubico.

Du kan kjøpe alle utgaver av YubiKey hos ComputerSalg i Norge.

På bildet ovenfor ser du alle utgaver av sikkerhetslåsene fra Yubico. Disse er fra venstre til høyre:

• YubiKey 5 NFC (USB + NFC)
• YubiKey 5C NFC (USB-C + NFC)
• YubiKey 5Ci (USB-C + Lightning)
• YubiKey 5C (USB-C)
• YubiKey Nano FIPS (USB)
• YubiKey C Nano FIPS (USB-C)

De to øverst på listen er de mest allsidige, og kan enkelt brukes på alle datamaskiner med USB og mobiltelefoner med NFC (nærfeltskommunikasjon).

Slik sikrer du login i WordPress med YubiKey

Når du har en YubiKey tilgjengelig, er det enkelt å konfigurere den til å sikre login i WordPress.

Ettersom WordPress ikke har innebygd støtte for to-faktor autentisering, må du først installere utvidelsen Two-Factor. Les hvordan installere en utvidelse i WordPress for mer informasjon.

Når du har installert utvidelsen, går du til Brukere > Profil i WordPress kontrollpanel. Bla ned på siden du til finner «Sikkerhetsnøkler». Klikk på «Registrer ny nøkkel».

Koble til sikkerhetsnøkkelen fra YubiKey, og følg veiviseren som kommer opp på skjermen. I eksempelet nedenfor bruker vi en YubiKey 5 NFC, dersom du bruker en annen utgave kan meldingen du får opp være en annen.

Når sikkerhetsnøkkelen er registrert vil den vises i listen over nøkler som «Ny sikkerhetsnøkkel». Du kan gi den et annet navn ved å klikke på «Omdøp».

Nå som nøkkelen din er registrert på brukerprofilen din i WordPress, gjenstår det bare å aktivere to-faktor autentisering. Det gjør du fra samme sted (Brukere > Profil) hvor det står «Alternativer for tofaktor».

Aktiver de to alternativene «Aktivert» og «Primær» for «FIDO U2F-sikkerhetsnøkler» som illustrert i skjermbildet nedenfor.

Til slutt må du lagre endringene ved å trykke på «Oppdater profil» nederst på siden.

Neste gang du forsøker å logge inn i WordPress, vil du bli bedt om å koble til eller berøre sikkerhetsnøkkelen. Hvis du logger inn fra mobilen, berør eller tap sikkerhetsnøkkelen i nærheten av NFC-området for å identifisere deg.

Hvordan deaktivere to-faktor autentisering

Hvis uhellet er ute og du mister sikkerhetsnøkkelen din fra YubiKey, er eneste utvei å slette utvidelsen Two-Factor fra WordPress.

Ettersom du mest trolig ikke har tilgang og kan gjøre dette fra kontrollpanelet i WordPress, må du bruke FTP, SSH eller filbehandleren til webhotellet.

For mer informasjon les hvordan deaktivere utvidelser i WordPress.