WordPress でのパスワードレス認証

パスワードレス認証

パスワードレス認証を使用すると、ユーザーはパスワードを覚えなくてもログインできます。 従来のユーザー名とパスワードの代わりに、ユーザーは携帯電話番号または電子メール アドレスを入力すると、ワンタイム コード (ワンタイム パスワード) または電話番号または電子メール アドレス上のリンクを受け取り、それを使用してログインできます。

ユーザーが所持しているものや所有物とは異なり、ユーザーが知っているもの (パスワード、パスフレーズ、PIN コードなど) に基づく認証は、簡単に盗まれたり、ユーザーによって共有されたりする可能性があり、ユーザーによる継続的な管理と取り扱いも必要になります。 Webサーバーとして。 ワンタイム パスワード ジェネレーター、登録済みモバイル デバイス、ハードウェア トークン、および指紋、顔、網膜などの生体認証機能は、あなたらしさのあるタイプのパスワードの例です。

ほとんどのユーザーは、異なるシステムに対して同じ資格情報を使用する可能性があります。 これにより、資格情報が漏洩したり、不正なユーザーによって取得された場合、これらすべての Web サイトのセキュリティが大幅に弱まります。

パスワードレス認証の利点は何ですか?

• より良いセキュリティ

  ユーザーがパスワードを再利用し、他のユーザーとパスワードを共有できるため、ユーザー制御のパスワードは重大な脆弱性です。
  
  パスワードレス認証システムのセキュリティは、必要な ID の証明とその実装に依存します。
  
  たとえば、アカウント所有者のモバイル デバイスへの安全なプッシュ通知を使用することは、一般にパスワードよりも安全であると考えられています。 モバイル デバイス上の SMS 経由のワン タイム パスワードは、通常、従来のユーザー名とパスワードの組み合わせとは別に、認証の XNUMX 番目の要素として使用されます。




• より良いコントロール

  パスワードに依存する場合、フィッシング、再利用、共有が一般的な問題になります。パスワードなしでログインすると、ユーザーは自分のアカウントをより適切に制御できるようになり、フィッシングの影響を受けにくくなります。
  パスワードが不要になると、ユーザー エクスペリエンスとセキュリティの両方が向上します。

パスワードレスログインは何を妨げますか?

• パスワードスプレー

  パスワード スプレーとは、一般的に使用される少数のパスワードを使用して多数のアカウント (ユーザー名) にアクセスしようとする攻撃です。 従来のブルートフォース攻撃は、パスワードを推測することで単一のアカウントへの不正アクセスを試みます。
  
  パスワードスプレーでは、攻撃者は一般的に使用されるパスワードのリストからユーザー名とパスワードの組み合わせを試みます。




• 認証情報のスタッフィング

  クレデンシャル スタッフィングは、ユーザー名とそのパスワードのリストから構成される盗まれたクレデンシャルを使用する攻撃の一種です。 資格情報スタッフィングは、ユーザーの資格情報を推測しようとせず、漏洩した資格情報のリストを使用するという点でブルート フォース攻撃とは異なります。
  
  クレデンシャル スタッフィング攻撃が発生する可能性があるのは、多くのユーザーが同じユーザー名とパスワードの組み合わせを複数のサイトで再利用しているためです。ある調査によると、ユーザーの 81% が 25 つ以上のサイトでパスワードを再利用しており、ユーザーの XNUMX% が大多数のサイトで同じパスワードを使用しています。彼らのアカウント。




• ブルートフォース攻撃

  ブルートフォース攻撃とは、ユーザー名とパスワードの組み合わせを試行錯誤によって推測する攻撃の一種です。 これは、毎回異なる組み合わせでログイン試行を繰り返すことで構成されます。 短いパスワードの推測は比較的簡単ですが、長いパスワードや暗号化キーの場合は必ずしも当てはまりません。パスワードやキーが長ければ長いほど、ブルート フォース攻撃の難易度は指数関数的に高まります。

miniOrange 2 要素認証プラグインを使用した WordPress へのパスワードレスログイン

ログインは、ユーザー名と 2 要素、またはユーザーの役割に基づいて決定できるユーザー名のみで行うことができます。
ロールでパスワードなしのログインが許可されていない場合は、パスワードとユーザー名を使用してログインします。 パスワードなしのログインでは、SMS 経由の OTP、電子メール経由の OTP、Web 認証 (FIDO2) を含むすべての認証方法がサポートされています。

次の XNUMX つのオプションがあります。

• パスワード + 2 番目の要素でログイン:

  WordPress のユーザー名とパスワードを使用してログインし、その後 2 要素認証を行うことができます。




• 2 番目の要素のみでログインします。

  この 2 番目のオプションでは、ユーザー名 + パスワードとユーザー名 + XNUMX 要素認証のバリエーションが同じウィンドウに表示されます。

XNUMX 要素認証に関連するアドオンには何がありますか?

• ユーザー登録時に WordPress ユーザーに XNUMX 要素認証を強制する

  WordPress ログイン用の miniOrange 二要素プラグインを使用すると、WordPress ユーザーに、インライン登録中に Telegram 認証を設定するように通知し、WordPress アカウントに XNUMX 番目のセキュリティ層が追加されるようにすることができます。



• Woocommerce フォームと互換性のある XNUMX 要素認証

  この検証方法は、ほぼすべての WordPress ログイン フォームおよび WooCommerce フォームと互換性があります。



• XNUMX要素認証によるパスワードレスログイン

  簡単な手順で Telegram 認証を設定することで、安心して WordPress ログインにパスワードレス ログインを設定できます。



• セミオーダーサービス

  miniOrange ログイン セキュリティにはカスタマイズ オプションも用意されています。 WordPress Web サイトのデザインに応じて、XNUMX 要素プロンプトのユーザー インターフェイスをカスタマイズできます。



• バックアップ方法

  XNUMX 要素認証機能を失った場合に備えて、WordPress アカウントに戻るための代替の XNUMX 要素認証方法や追加のセキュリティ ソリューションなどのバックアップ方法も利用できます。