利用Google Authenticator增加WordPress帳戶安全性



利用Google Authenticator的兩步驟驗證除了可增加google帳戶本身的安全性外,也可以利用來強化許多應用程式帳戶的保安功能,包括Wordpress Blog、Gmail、DDNS等。此為了增加個人Wordpress Blog的帳戶安全,避免辛辛苦苦經營的部落格因資安漏洞遭人惡意破壞。作法是除了原本簡單的帳密把關外,再加上的兩步驟驗證(Google Authenticator code),讓網資更多一層保障。

在安裝Google Authenticator for WordPress插件(Plug-in)之前,我們要在智慧型手機上先安裝好 google Authenticator APP,方便後續作業的進行。

WordPress.org的網站上尋找Google Authenticator 的插件,可能會發現許多類似軟體名稱的插件。在此我們選擇Henrik Schack所發展的插件,找到後應該會是像是上圖的畫面。


登入Wordpress後台,在外掛選單上安裝並啟用Google Authenticator。

隨後我們點選帳號選單,就可以發現在細項畫面內多了Google Authenticator Setting等相關設定選單。選單設定簡單說明如下:

-Active(激活/啟動):勾選以啟動Google Authenticator。

-Relaxed Mode(寬容模式):寬容模式允許與你手機時間有正負4分鐘的寬容度。

-Description(敘述):會在手機端的Google Authenticator App上看見的敘述字樣。

-Secret(安全驗證碼):可使用畫面上亂數產生的十六位安全碼(ABCDEFGHIJKLMNOP為例),或是點按Create new secret重新產生一組安全碼。若想利用掃QR code傳送安全碼也可以,按下Show/Hide QR code即可呈現/關閉QR code安全碼,也可以達同樣的效果。

-Enable App password:內定不勾選。若啟動會降低整體登入的安全性。只不過若有離線編網軟體,如Open Live Writer,因登入Wordpress伺服器只能選填使用者名稱及密碼,無法增填安全驗證碼,因此Google Authenticator 專為此類App特別增設新的登入碼,按下Create new password會產生一組安全碼,我們得記一下,待與App連線一次後就可以不用再記了。但若是真的忘了登入碼也沒關係,重新再產生一組來與App連線即可。

以上,我們就完成了Google Authenticator 在Wordpress後台的設定,接下來記得存檔後登出,我們就可以得到下圖的畫面:


帳號與密碼維持原本該輸入的設定,此處多了一欄Google Authenticator code,以及驗證身份的算數題,在此我們先暫不輸入,因為要先完成手機上Authenticator 的連結設定。

 

Google Authenticator setting on Mobile phone 01
移至手機畫面,我們假設已經安裝好Authenticator App,點按開啟App。

再點按畫面中右下角的紅色+號,以新增想在Authenticator進行兩步驟驗證的應用程式軟體。

Google Authenticator setting on Mobile phone 02
下一頁回跳到輸入掃描條碼(QR code)或是輸入系統提供的金鑰,因為我們在Wordpress上面設定的是驗證碼,因此選擇下方的輸入系統提供的金鑰。

 
接下來會來到帳戶輸入畫面,請填入輸入帳戶名稱(可與Wordpress上的敘述Description一樣),並且輸入wordpress上的十六位安全碼(ABCDEFGHIJKLMNOP為例),最後安新增即可。

之後我們就可以從手機上隨時獲取即時的兩步驟驗證碼,一共是六位的數字,而這數字是有時間效性的,逾時就會重新變更一組。

接下來我們只要將六位數字的兩步驟驗證碼填入Wordpress登入畫面中的Google Authenticator code空格,按下登入應該就可進入管理後台了。

最後是要來解決離線編網軟體的認證問題,我習慣用Open Live Writer來撰寫網誌草稿,等到大致完成後再進Wordpress後台最終處理。因為我們已經設定了Google Authenticator for WordPress,所以在Open Live Writer連線會出現密碼錯誤的訊息。

前面文章提過,Google Authenticator 專為此類App特別增設新的登入碼,因此主要Enable App password的十六組密碼鍵入Open Live Writer就可以正常連線囉,並不需要手機上的Authenticator 數字安全碼,也或許是因為如此,說明才特別提到「若啟動會降低整體登入的安全性」,但為了編輯方便,也就只得如此了。

以上是自己對於Google Authenticator 兩步驟驗證強化Wordpress Blog的資安設定的一些經驗,或許可以讓有帳戶安全需求的朋友一些參考,也讓自己做些筆記,以備不時之需。



Facebook留言

則留言

2016年11月21日 | Posted in 筆記, 網誌 | 標籤:, , , No Comments » 

関連記事