Autenticación sin contraseña con WebAuthn | WordPress

Autenticación sin contraseña con WebAuthn

La autenticación sin contraseña permite a los usuarios iniciar sesión sin necesidad de recordar una contraseña. En lugar del nombre de usuario y contraseña convencionales, WebAuthn le permite utilizar los métodos de inicio de sesión ya configurados en su dispositivo. Entonces, al usar la autenticación web, podrá usar el sensor de huellas digitales en su teléfono, o Windows Hello en su PC, o incluso podría usar su ID de Apple para iniciar sesión en cualquier sitio web.

Los métodos admitidos incluyen, entre otros:

• Windows Hello
• Sensores de huellas dactilares tanto en portátiles como en móviles
• PIN de Windows
• Yubikey
• Autenticación facial

La mayoría de los usuarios pueden utilizar las mismas credenciales para diferentes sistemas. Esto debilita sustancialmente la seguridad de todos esos sitios web si las credenciales son filtradas u obtenidas por un usuario no autorizado. La autenticación web es una especificación bastante nueva, creada para la nueva era de Internet y las nuevas tecnologías que contiene. Dándonos los recursos y la infraestructura para utilizar varios métodos de autenticación.

A diferencia de su predecesor, WebAuthn debería llegar para quedarse. Aunque los detalles de la especificación son complejos, la autenticación web ha sido bastante fácil de implementar en la práctica. Al momento de escribir esto, tanto Chrome como Firefox tienen los tipos de datos necesarios para WebAuthn, y Nightly Build de Firefox puede crear y solicitar credenciales. Hablaremos un poco más adelante sobre lo que este nuevo estándar podría significar para el futuro de las contraseñas (lo siento, probablemente no desaparecerán mañana), pero primero, un poco más sobre los componentes principales de la API WebAuthn.

Autenticación web frente a métodos de autenticación convencionales

Lo más importante que WebAuthn quiere ofrecer es la autenticación biométrica multifactor basada en "Algo que es un usuario". Un usuario (en la mayoría de los casos) tiene una voz, una huella digital o una retina que es exclusiva de él. Algo que la mayoría de los usuarios también tienen hoy en día es un dispositivo biométrico, como un teléfono inteligente, que puede usar estos datos para crear y administrar credenciales a las que solo el usuario puede acceder a través de estos rasgos únicos.
Para ver implementaciones de WebAUthn en la vida real, puede ir a Github, que admite de forma nativa la autenticación web como método de inicio de sesión. Para una demostración web, puede ver la implementación completa aquí. https://webauthn.io/

Habilitando WebAuthn para su sitio web de WordPress

miniOrange actualmente es la única forma de hacer que WebAUthn funcione de manera confiable en su sitio web de WordPress. Con nuestro complemento de autenticación de dos factores, podrá utilizar la autenticación web como segundo factor. miniOrage proporciona un complemento de mecanismo de autenticación seguro de dos factores para múltiples plataformas (WordPress, Atlassian, Drupal, Magento y Moodle) que agrega una capa adicional de seguridad a las bases de datos y al sitio web de su empresa. A través de estos complementos, obtendrá acceso a varios métodos de autenticación que pueden restringir que las credenciales del usuario se compartan con cualquier persona, a propósito o por accidente. Cuando el usuario ingresa su nombre de usuario y contraseña correctos, se le solicita una página de autenticación de segundo factor para poder iniciar sesión correctamente. Ofrecemos más de 15 métodos de autenticación que incluyen OTP por correo electrónico, OTP por SMS, token de hardware, autenticación de código QR, autenticador de Google, etc.

¿Cuáles son los beneficios de la autenticación sin contraseña con WebAuthn?

• Mejor seguridad

  Las contraseñas controladas por el usuario son una vulnerabilidad importante porque los usuarios reutilizan las contraseñas y pueden compartirlas con otros.
  
  La seguridad de los sistemas de autenticación sin contraseña depende de la prueba de identidad requerida y de su implementación.
  
  Por ejemplo, el uso de notificaciones push seguras en el dispositivo móvil del titular de la cuenta generalmente se considera más seguro que las contraseñas. One Time Password sobre SMS en dispositivos móviles se utiliza generalmente como un segundo factor de autenticación además de la combinación tradicional de nombre de usuario y contraseña.




• Mejor control

  El phishing, la reutilización y el uso compartido son problemas comunes cuando se depende de contraseñas, ya que los usuarios que inician sesión sin contraseña tienen un mejor control sobre su cuenta y son menos susceptibles al phishing.
  Con las contraseñas fuera de escena, tanto la experiencia del usuario como la seguridad mejoran.

¿Qué impide el inicio de sesión sin contraseña con WebAuthn?

• Pulverización de contraseña

  La pulverización de contraseñas es un ataque que intenta acceder a una gran cantidad de cuentas (nombres de usuario) con algunas contraseñas de uso común. Los ataques tradicionales de fuerza bruta intentan obtener acceso no autorizado a una sola cuenta adivinando la contraseña.
  
  Al rociar contraseñas, un atacante intenta combinaciones de nombre de usuario y contraseñas de la lista de contraseñas de uso común.




• Relleno de credenciales

  El relleno de credenciales es un tipo de ataque en el que se utilizan credenciales robadas que consisten en una lista de nombres de usuario junto con sus contraseñas. El relleno de credenciales se diferencia del ataque de fuerza bruta en el sentido de que no intenta adivinar las credenciales de un usuario, sino que utiliza una lista de credenciales filtradas.
  
  Los ataques de relleno de credenciales son posibles porque muchos usuarios reutilizan la misma combinación de nombre de usuario y contraseña en varios sitios; una encuesta informó que el 81 % de los usuarios ha reutilizado una contraseña en dos o más sitios y el 25 % de los usuarios usa las mismas contraseñas en la mayoría de los sitios. sus cuentas.




• Ataque de fuerza bruta

  El ataque de fuerza bruta es un tipo de ataque en el que se adivina una combinación de nombre de usuario y contraseña mediante prueba y error. Consiste en repetidos intentos de inicio de sesión realizados con diferentes combinaciones cada vez. Adivinar una contraseña corta puede ser relativamente simple, pero ese no es necesariamente el caso para contraseñas o claves de cifrado más largas; la dificultad de los ataques de fuerza bruta crece exponencialmente cuanto más larga es la contraseña o clave.

Inicio de sesión sin contraseña en WordPress usando el complemento de autenticación de 2 factores miniOrange con WebAuthn

El inicio de sesión se puede realizar mediante nombre de usuario y nombre de usuario de 2 factores o solo, que se puede decidir en función de la función del usuario. Si una función no está permitida para el inicio de sesión sin contraseña, iniciarán sesión con una contraseña y un nombre de usuario.

Hay dos opciones:

• Iniciar sesión con Contraseña + 2do Factor:

  Puede iniciar sesión con el nombre de usuario + contraseña de WordPress y luego la autenticación de segundo factor.




• Inicie sesión solo con 2nd Factor:

  En esta segunda opción obtienes variaciones de Nombre de usuario + Contraseña y Nombre de usuario + Autenticación de 2 factores en la misma ventana.

¿Cuáles son los complementos relacionados con el inicio de sesión de WordPress?

• Aplicar la verificación de dos factores a los usuarios de WordPress durante la inscripción del usuario

  Con el complemento de dos factores miniOrange para iniciar sesión en WordPress, puede notificar a los usuarios de WordPress que configuren la verificación de Telegram durante el registro en línea para que se agregue la segunda capa de seguridad a su cuenta de WordPress.



• Verificación de dos factores compatible con formularios de WooCommerce.

  Este método de verificación es compatible con casi todos los formularios de inicio de sesión de WordPress y también con el formulario de WooCommerce.



• Inicio de sesión sin contraseña con verificación de dos factores

  Puede configurar el inicio de sesión sin contraseña en su inicio de sesión de WordPress sin preocupaciones configurando la verificación de Telegram con solo unos sencillos pasos.



• Personalización

  La seguridad de inicio de sesión de miniOrange también ofrece opciones de personalización. Puede personalizar la interfaz de usuario de dos factores según el diseño de su sitio web de WordPress.



• Métodos de copia de seguridad

  En caso de que pierda su capacidad de autenticación de dos factores, también obtendrá métodos de respaldo como un método alternativo de dos factores o una solución de seguridad adicional alternativa para volver a su cuenta de WordPress.