Ubuntu 14.04で2要素認証を使用してWordPressアカウントのログインを保護する方法

セキュリティは、WordPressサイトを運営する上で最も重要な側面の1つです。 私たちの多くは、ハッカーが私たちのウェブサイトを気にしないと思うように誘惑されますが、実際には、不正なログインの試みは、公共のインターネット上でサーバーを実行する一般的な部分です。

このチュートリアルでは、WordPressのログインプロセスに追加のセキュリティ層を追加する方法を学習します：二要素認証。 これは、サイバーセキュリティの分野で最も重要な開発の1つです。

2要素認証または「2FA」には、サイトまたはシステムにログインするときに2つの手順が組み込まれています。

OTPにアクセスできるさまざまな方法があります。

銀行や取引口座などのリスクの高いシステムは機密性の高いトランザクションにSMS配信を使用しますが、OTPを生成する_オフラインモード_を使用します。 モバイルアプリケーションの使用は無料で、高可用性、実装コスト、使いやすさの間で最適なバランスを取ります。

このステップでは、WordPressサイトにGoogle Authenticatorプラグインをインストールします。

image：https：//assets.digitalocean.com/articles/wordpress_2fa/1.png [WordPress用のGoogle認証システムプラグインをインストールしてアクティブ化する]

プラグインをインストールする最も簡単な方法は、WordPressダッシュボードを使用することです。 今すぐWordPressダッシュボードにログインします。

スムーズなインストールを行うには、次の手順に従ってください。

_ 注意：*このWordPressインスタンスのプラグインを初めてインストールする場合は、SSH資格情報を入力する必要があります。 * Linux sudoユーザー*ユーザー名とパスワードを入力し（またはセキュリティを強化するには、公開キーをアップロードし）、 SSH2 *オプションを選択します。 _

この手順では、モバイルデバイスに無料のOTPアプリをダウンロードしてインストールします。

FreeOTPは、ワンタイムパスワードプロトコルを備えたシステムの2要素認証をサポートするオープンソースアプリケーションです。 つまり、Google認証システムに代わるものです。 このアプリを使用して、ワンタイムパスワードを生成し、WordPressサイトにログインします。

image：https：//assets.digitalocean.com/articles/wordpress_2fa/2.png [Google PlayストアのFreeOTPアプリ]

FreeOTPはRedHatがスポンサーであり、AndroidおよびiOS用のアプリがあります。 アプリと公式プロジェクトを入手するためのリンクを以下に示します。

この手順では、管理者のWordPressプロファイルのWordPressプラグインをアクティブにし、FreeOTPアプリで動作するように設定します。

WordPressダッシュボードで、* Users> Your Profile の下にある Profile *ページに移動します。 * Google Authenticator Settings *というサブセクションを見つけます。

image：https：//assets.digitalocean.com/articles/wordpress_2fa/3.png [Google Authenticatorプラグインの設定]

プラグインのさまざまな設定オプションを見てみましょう。

image：https：//assets.digitalocean.com/articles/wordpress_2fa/4.png [freeotpアプリでqrコードをスキャン]

この手順では、2要素認証が有効になっていることを確認します。

WordPressサイトからログアウトし、再度ログインしてください。 同じログイン画面に加えて、* Google Authenticator code *入力ボックスが表示されます。

image：https：//assets.digitalocean.com/articles/wordpress_2fa/5.png [2fa対応のWordPressログインフォーム]

モバイルデバイスでFreeOTPアプリを起動します。 WordPressボタンをクリックして、新しいワンタイムパスワードを生成します。

その値を入力ボックスに入力します。 WordPressにログインできるはずです。

携帯電話を紛失した場合、WordPressサイトからロックアウトされます。 これは、2要素認証を実装することの大きな欠点です。 ありがたいことに、このような状況には*非常に簡単な修正*があります。

必要なのは、* Google Authenticator *プラグインを無効にすることだけです。

DigitalOcean Dropletのシェルを起動して、 `+ plugins +`ディレクトリに移動します。

`+ google-authenticator`フォルダーの名前を別の名前に変更します。

WordPressはプラグインの作業ディレクトリを見つけることができないため、これによりプラグインが無効になります。

次に、通常どおりWordPressアカウントにログインします。 今回は、追加のトークンを要求するのではなく、通常のパスワードを要求します。

WordPress管理者ダッシュボードにアクセスし、古いデバイスを復元するか、FreeOTPがインストールされた新しいデバイスを取得したら、プラグインゲインを有効にする必要があります。 ドロップレットのシェルから、次のコマンドを使用します。

+ mv 'google-authenticator' +

古いデバイスを使用している場合は、これで十分です。 ステップ4 *を再度実行して、ログインプロセスをテストできます。 または、 WP Dashboard> Plugins> Installed Plugins *に移動して、Google Authenticatorプラグインを再度アクティブにする必要がある場合があります。

今回新しいデバイスを使用している場合は、[新しいシークレットを作成]をクリックします。 新しいQRコードが生成され、古いコードは無効になります。 _new_デバイスで新しいQRコードをスキャンします。 これは、*ステップ3 *に示すように、2要素認証を有効にしてFreeOTPアプリケーションを接続したときに行ったものと同じです。

または、デバイスが見つかるまで2要素認証を無効にすることもできます。 適切なオプションを選択したら、[プロファイルの更新]ボタンをクリックして、変更を保存してください。