Joomla twee-factorauthenticatie is een van de verbeteringen aan het Joomla-project die de beveiliging kunnen en zullen verbeteren. Door twee-factorauthenticatie in te schakelen, is het voor een hacker praktisch onmogelijk om met brute-force-aanvallen de gegevens van je Joomla!-gebruikersnaam en -wachtwoord te achterhalen.
Dit is vooral belangrijk voor het beheerdersgedeelte van de website, omdat het ervoor zorgt dat aanvallen die proberen je wachtwoord te raden nooit succesvol kunnen zijn. Overigens, als je je Joomla-website sterk wilt beveiligen en tegelijkertijd sneller wilt maken, je zou dit moeten lezen.
Wat is Joomla twee-factor-authenticatie?
Twee-factorauthenticatie in Joomla 3 is een extra beveiligingslaag die een tijdelijk (tijdsgebonden) wachtwoord aanmaakt dat uniek is voor een specifieke gebruikersnaam en uw website. De sleutel wordt verwijderd (en is na letterlijk enkele seconden ongeldig). Als u geen toegang hebt tot dit tijdelijke wachtwoord of deze geheime sleutel, kunt u niet inloggen.
Wilt u uw website veiliger maken wat betreft inloggegevens, dan is 2FA de oplossing.
Twee-factorauthenticatie of de Joomla-geheime sleutel uitschakelen
We bespreken twee manieren om 2FA in Joomla uit te schakelen. De eerste is als je nog steeds toegang hebt tot een geheime sleutel of je authenticator en nog steeds geheime sleutels kunt genereren. De tweede is een manier om 2FA uit te schakelen, zelfs als je geen toegang meer hebt tot je geheime sleutelmechanisme.
Met toegang tot geheime sleutel
Als u tweefactorauthenticatie al hebt geactiveerd en u wilt deze verwijderen, moet u er eerst voor zorgen dat u toegang hebt tot de beheeromgeving (bijvoorbeeld met een geheime sleutel).
- Meld u aan bij de Joomla-beheerder met de geheime sleutel,
- Schakel de plug-in voor tweefactorauthenticatie uit Extensies > Plug-ins
- Zoek naar twee Factordan onbruikbaar maken de plug-in voor twee-factor-authenticatie die is ingeschakeld.
Geen toegang tot geheime sleutel
Als u GEEN toegang hebt tot het beheerders-/administratiepaneel van de website omdat u 2FA hebt ingeschakeld en u kunt nu niet inloggen, moet u dit uitschakelen via PHPMyAdmin
- Meld u vanuit uw hostingaccount aan bij PHPMyAdmin
- Zoek de tabel die eindigt op '_extensions' (de eerste paar cijfers/letters variëren per installatie)
- Zoek de plug-in met de naam plg_twofactorauth_totp en verander de status 'ingeschakeld' van '1' naar '0'
- Bespaar
Hiermee wordt de 2FA-plugin uitgeschakeld en is het inloggen met de geheime sleutel niet meer mogelijk.
Twee-factor-authenticatie inschakelen voor Joomla!
Laten we eens kijken hoe u twee-factor-authenticatie in Joomla inschakelt.
Houd er rekening mee dat dit wordt ondersteund als onderdeel van de kern en dat er geen extra software nodig is. Joomla!-extensieHieronder ziet u de normale beheerderslogin (links) en de Joomla-beheerderslogin met tweefactorauthenticatie (rechts).
Zoals u kunt zien is de geheime sleutel een nieuw veld waarin u de tijdelijke sleutel kunt invoeren.
Maar waar haal je eigenlijk zo’n tijdelijke sleutel vandaan?
De eerste stap die u moet doen, is tweefactorauthenticatie inschakelen door de plug-in in te schakelen via de Plugin Manager (Plugin Manager > Twee-factorauthenticatie - Yubikey of Google Authenticator (afhankelijk van welke sleutelgenerator u wilt gebruiken)).
U kunt selecteren of u dit wilt inschakelen voor
- Alleen de back-end (beheerder)
- Alleen de voorkant (front-end)
- Beiden
Zodra u de plug-in inschakelt, ziet u het veld voor de geheime sleutel.
Nu moet u de gebruiker configureren via Gebruikersbeheer.
Het idee is dat je de gebruiker nu moet koppelen aan een apparaat waartoe alleen die specifieke gebruiker toegang heeft. Een alomtegenwoordig apparaat waarmee je de geheime sleutels kunt genereren, is Google Authenticator.
Dit is een smartphone-app die beschikbaar is op de Google Play Store or Apple iTunes Deze wordt gebruikt om geheime sleutels te genereren voor toegang tot je Google-account. De Google Authenticator kan ook dienen als een geheime generator voor Joomla.
Om de Authenticator als uw Authenticatiemethode in te stellen, moet u de volgende stappen uitvoeren:
Joomla Google Authenticator instellen
- Ga naar Gebruikersbeheer en klik op de gebruiker die u wilt instellen (bijvoorbeeld de superbeheerder)
- Nadat u de plug-in Twee-factorauthenticatie hebt ingeschakeld zoals hierboven beschreven, vindt u een nieuw tabblad 'Twee-factorauthenticatie' zoals hieronder te zien is als onderdeel van de parameters van de gebruiker
- Selecteer in de vervolgkeuzelijst Authenticatiemethode de Google Authenticator (standaard beschikbaar in de Joomla Core-installatie).
- Zodra je Google Authenticator kiest, krijg je gedetailleerde stappen om dit in te stellen. Als je al eerder tweefactorauthenticatie hebt gebruikt, weet je dat dit een vrij eenvoudige stap is. Meestal scan je een QR-code met de Authenticator-app zelf (zie hieronder).
- Zodra u de code scant, begint Google Authenticator codes te genereren die specifiek zijn voor die gebruikersnaam
- Om de installatie te voltooien, moet u na de installatie een correcte geheime code van de Authenticator invoeren
Zodra al deze stappen zijn voltooid, is twee-factorauthenticatie ingeschakeld voor deze gebruiker. Wanneer u bij het inlogscherm komt, in de front-end of in de back-end (afhankelijk van uw keuze), moet u de geheime code van uw Authenticator invoeren. Anders kunt u niet inloggen.
Hoe genereer je een geheime Joomla-sleutel?
U kunt geen geheime Joomla-sleutel genereren zonder het bovenstaande proces te doorlopen, waarbij u een gebruikersnaam koppelt aan een specifiek Joomla Google Authenticator-account.
Zodra je dit proces hebt doorlopen, is het genereren van een geheime sleutel eenvoudig. Je kunt de Authenticator vanaf je telefoon openen en de gegenereerde geheime sleutel voor het account uitlezen.
Houd er rekening mee dat elke sleutel slechts 30 seconden geldig is, daarna wordt er een nieuwe gegenereerd.
Laatste stap: genereer een batch eenmalige wachtwoorden
Wat gebeurt er als je Android-telefoon niet beschikbaar is en je de toegang tot de Authenticator verliest? Raak je dan buitengesloten van je Joomla-website?
Niet als je de volgende stappen uitvoert.
De installatie van Google Authenticator raadt aan om een reeks eenmalige wachtwoorden aan te maken. Dit zijn geheime sleutels die slechts één keer gebruikt kunnen worden.
U dient deze te genereren en op een veilige plaats te bewaren, ze af te drukken en in uw portemonnee en op uw bureau te leggen. Als u dan geen toegang meer hebt tot uw telefoon, kunt u deze eenmalige geheime sleutels gebruiken om in te loggen, totdat u weer toegang hebt tot de Authenticator.
Twee-factorauthenticatie instellen met de Joomla YubiKey
Als u toegang hebt tot of een YubiKey hebt gekocht voor tweefactorauthenticatie, kunt u deze ook gebruiken voor uw Joomla-website. Dit zijn de stappen om YubiKey tweefactorauthenticatie in te schakelen met Joomla.
- Registreer gratis om uw Yubico Web Service API-ID en geheime sleutel te verkrijgen (die u later nodig zult hebben)
- Download de YubiKey-plug-in van de Google Code YubiKey-project en het YubiKey-authenticatiecomponent
- Installeer de authenticatieplug-in via Joomla-beheer: Extensies > Extensiebeheer > Pakketbestand uploaden
- Zoek de Yubikey-authenticatieplug-in in de Extensies > Plug-ins > Authenticatie - YubikeyU moet uw Yubico Web Service API-ID en geheime sleutel opgeven in de plug-ininstellingen en de instellingen opslaan.
- Installeer het Joomla Yubikey Authenticatie-component via de Extension Manager
- Open het YubiKey-authenticatiecomponent en voeg een nieuwe Yubikey-gebruiker toe met de component.
- Schakel de Authenticatie - Yubikey plugin in de Plugin Manager. Je geheime sleutel hierboven wordt nu gegenereerd door de YubiKey. Je zou nu verbinding moeten kunnen maken met behulp van YubiKey Two Factor Authentication.
- U moet ook de standaard Joomla-authenticatieplug-in uitschakelen. Deze is standaard ingeschakeld wanneer u Joomla installeert. Anders werkt de normale Joomla-aanmelding nog steeds.
Veelgestelde Vragen / FAQ
Wat is twee-factor-authenticatie of 2FA?
Twee-factorauthenticatie is een beveiligingsmechanisme dat een extra variabele toevoegt aan een gebruikersnaam en wachtwoord, een derde veld dat wordt gegenereerd door een apparaat en alleen beschikbaar is voor een specifieke gebruiker. Met Joomla kunt u bijvoorbeeld Google Authenticator gebruiken om de geheime sleutel te genereren die alleen aan uw gebruiker is gekoppeld. Mogelijk heeft u 3FA ook al gebruikt bij uw online bankieren of om VISA-transacties te ondertekenen/verifiëren.
Waarom wordt tweefactorauthenticatie gebruikt?
De combinatie van gebruikersnaam en wachtwoord kan worden geraden met behulp van verschillende technieken, zoals phishing, het gebruik van bekende gebruikersnamen en wachtwoorden, social engineering, brute force of een combinatie van bovenstaande. Door gebruik te maken van tweefactorauthenticatie introduceert u een derde parameter waartoe alleen de gebruiker toegang heeft. Dus zelfs als de gebruikersnaam en het wachtwoord beschikbaar zijn, is de geheime sleutel alleen beschikbaar voor de gebruiker van het account die de geheime sleutelgenerator heeft.
Is tweefactorauthenticatie veilig?
Hoewel geen enkel beveiligingsmechanisme 100% waterdicht is en hackers manieren hebben gevonden om 2FA te omzeilen, is het veel veiliger om het te gebruiken en in te schakelen dan het niet te gebruiken.
Ik hoop dat het nuttig is. Als je het leuk vindt, deel het dan :)