Übersicht

Per E-Mail versendete Links zum Zurücksetzen von Passwörtern sind eines der häufigsten Ziele von Cyberangriffen. Erlangt jemand Zugriff auf die E-Mails eines Benutzers, kann er problemlos Passwörter zurücksetzen und Konten übernehmen. Um sowohl die Sicherheit als auch das Benutzererlebnis zu verbessern, wünschte sich der Kunde eine schnellere und sicherere Möglichkeit für Benutzer, ihre Passwörter zurückzusetzen, ohne ausschließlich auf E-Mail-Links angewiesen zu sein.

Voraussetzungen:

Dieser Anwendungsfall wurde mithilfe der unten aufgeführten Plugins nahtlos umgesetzt. Dazu müssen Sie diese Plugins auf Ihrer Joomla-Instanz installieren.

miniOrange MFA-Erweiterung für Joomla

Validieren Sie Ihre Benutzer mit unserer leistungsstarken Joomla MFA/Zwei-Faktor-Authentifizierungserweiterung (TFA).

Erweiterung herunterladen

Herausforderung

Der standardmäßige Joomla-Passwort-Reset-Prozess erfordert, dass Benutzer auf einen Link klicken, der an ihre registrierte E-Mail-Adresse gesendet wird. Diese Methode funktioniert zwar, kann aber langsam und riskant sein. Ist die E-Mail-Adresse eines Benutzers kompromittiert, könnte ein Angreifer leicht dessen Joomla-Konto übernehmen. Der Kunde benötigte eine Lösung, die den Reset-Prozess beschleunigt und gleichzeitig eine starke Schutzebene bietet.

Die Lösung

Wir haben die Multi-Faktor-Authentifizierung (MFA) mithilfe der miniOrange MFA-Erweiterung in den Joomla-Passwort-Reset-Flow integriert. Dadurch wird sichergestellt, dass selbst wenn jemand die E-Mail-Adresse oder den Benutzernamen eines Benutzers kennt, das Passwort nicht ohne einen zweiten Verifizierungsschritt zurücksetzen kann.

Wenn Benutzer jetzt eine Kennwortzurücksetzung anfordern, müssen sie zunächst eine MFA-Herausforderung abschließen. Erst dann können sie ein neues Kennwort festlegen.

Umsetzung

Die standardmäßige Joomla-Passwort-Reset-Funktion wurde durch die Integration von MFA-Prüfungen in den Reset-Workflow verbessert. Wenn ein Benutzer ein Passwort-Reset initiiert, muss er eine zweite Authentifizierungsebene durchlaufen, bevor er sein Passwort ändern kann. Dies kann je nach Wahl des Administrators auf verschiedene Arten konfiguriert werden:

• OTP per E-Mail oder SMS
• TOTP von Authentifizierungs-Apps wie Google Authenticator oder Authy
• Sicherheitsfragen oder Backup-Codes (als Fallback-Optionen verwendet)

Beim Einleiten einer Anfrage zum Zurücksetzen des Passworts erhält der Benutzer eine Verifizierungsaufforderung über die konfigurierte MFA-Methode. Erst nach Abschluss der Herausforderung wird er zur Festlegung eines neuen Passworts weitergeleitet.

Dadurch wird sichergestellt, dass ein böswilliger Akteur, selbst wenn er Zugriff auf das Konto eines Benutzers hat, ohne die MFA nicht das Kennwort zurücksetzen kann.

Benefits

• Stärkere Kontosicherheit: Verhindert unbefugtes Zurücksetzen von Passwörtern – selbst wenn E-Mail-Adresse oder Benutzername offengelegt werden.
• Schnelleres Zurücksetzen von Passwörtern: Sie müssen weder Ihre E-Mail-Posteingänge überprüfen noch sich Gedanken über abgelaufene Reset-Links machen.
• Flexible Verifizierungsoptionen: Benutzer können die Methode wählen, die für sie am besten geeignet ist: SMS, E-Mail oder Authentifizierungs-Apps.
• Reduziertes Risiko einer Kontoübernahme: Fügt einem der anfälligsten Prozesse eine kritische Schutzebene hinzu.

Ergebnis

Durch die Integration der Multi-Faktor-Authentifizierung (MFA) in den Passwort-Reset-Prozess wurde die Standardfunktionalität von Joomla deutlich verbessert. Diese Verbesserung macht den Prozess effizienter und einfacher, während die Sicherheit erhalten bleibt oder sogar erhöht wird. Benutzer können ihre Passwörter nun mit nur wenigen Klicks zurücksetzen, ohne ihre Sicherheit zu gefährden.

Zusätzliche Ressourcen

1. Multi-Faktor-Authentifizierung für Joomla
2. OTP-Verifizierung für Joomla