Jak na dvoufaktorové přihlašování do Drupalu snadno a rychle

Chcete-li zabezpečit Drupal tak, aby nehrozilo, že se do něj někdo dostane poté, co „uhodne“ jméno a heslo, použijte dvoufaktorové přihlašování. Každý vstup pak bude vyžadovat opsání kódu z ověřovací aplikace.

Drupal obsahuje základní mechanismus bránící přihlášení různých záškodníků. Při opakovaných pokusech dojde k zablokování uživatelského jména i IP adresy. Možná se vám to někdy stalo. Zadali jste pětkrát za sebou špatnou kombinaci jména a hesla. Drupal vás pak nepřihlásil ani poté, co jste už zadávali správné heslo k danému uživateli. Bylo nutné si na hodinku odpočinout a zkusit to znovu.

Jenže to je jen taková základní ochrana proti opakovaným pokusům robotů. Pokud by někdo z jakéhokoli důvodu znal či uhodl vaše přihlašovací údaje, do Drupalu se dostane a může se pustit do páchání škod.

Tip: Nepoužíváte stejné přihlašovací údaje na více webů, že ne? Vím, o čem mluvím. Po jednom úniku jsem nakrátko přišel o kontrolu nad svým Twitterovým účtem. Od té doby nedám dopustit na správce hesel 1Password.

Odposlechu hesla zamezíte použitím https. Na rozdíl od WordPressu, kdy je nutné změnit adresu webu v konfiguraci, je to v Drupalu obvykle záležitost lusknutí prstů. Co můžete udělat více? Například použít dvoufaktorové přihlašování.

Jistě jste se s ním už někdy setkali. Má jej například Google. Pro přihlášení vám tak nestačí kombinace e-mailové adresy a hesla, ještě musíte opsat kód z SMS, kterou vám při přihlašování doručí. 2FA přihlašování lze nastavit i na Facebooku a u řady dalších služeb.

Mám jej třeba na svém NAS od Synology. Zde neopisuji kód z SMS, ale při spárování jsem pomocí QR kódu napojil administrační rozhraní na aplikaci Google Authenticator. Ta je dostupná pro iOS i Android a na požádání vám vygeneruje pro spárované přihlašování kód s časově omezenou platností.

A přesně něco takového můžete mít relativně snadno i ve svém Drupalu. Na rovinu říkám, že když jsem se do implementace pustil poprvé, tak jsem brzy skončil. Když však už vím, jak přesně postupovat, není to až tak složité. Zkusím vám s tím na následujících řádcích pomoci.

Dvoufaktorové přihlašování (2FA) do Drupalu 8 krok za krokem

Podobný postup, jaký zde uvidíte, je možné aplikovat i na Drupal 7. Já se přidržím aktuální osmičky. Ke zprovoznění 2FA v Drupalu 8 budete potřebovat přístup na příkazový řádek a k nástroji Composer. Jako vždy doporučím provozovat Drupal na mém oblíbeném virtuálu u Linode nebo na hostingu s SSH a Composer od českého provozovatele, Snackhost.

Tím je zprovoznění dvoufaktorového přihlašování v Drupalu 8 za vámi. Přinejmenším ta administrátorská část. Zbytek je na uživatelích, aby jej začali používat. Za inspiraci děkuji Chris Haasovi a jeho článku Adding two-factor authentication to Drupal 8 using Google Authenticator. Oproti zmíněnému textu jsem doplnil instalaci podpory QR kódů přes Composer, bez které toto řešení nerozběhnete na uživatelské straně.

V předchozím nastavení jste si mohli všimnout, že lze také definovat počet přihlášení, která mohou uživatelé bez zapnutého 2FA ještě učinit. Myslete na to a pokud na webu nepracujete jenom sami, pak na to uživatele připravte, případně počet těchto nezabezpečených přihlášení zvedněte z výchozích tří na více. 2FA bude vyžadováno pro všechny uživatele ve zvolené uživatelské roli.

Dvoufaktorové přihlašování z pohledu uživatele

Když tedy máme dvoufaktorové přihlašování/ověřování zprovozněno, měli bychom se kouknout, jak se používá.

Tím je napojení hotovo a můžete si vše vyzkoušet. Přihlašovací formulář vypadá jako doposud, ale po zadání jména a hesla bude vyžadovat ještě zadání kódu z ověřovací aplikace ve vašem telefonu.

Buďme ve spojení, přihlaste se k newsletteru

Odesláním formuláře souhlasíte s podmínkami zpracováním osobních údajů. 
Více informací v Ochrana osobních údajů.

Autor článku: Jan Polzer

Tvůrce webů z Brna se specializací na Drupal, WordPress a Symfony. Acquia Certified Developer & Site Builder. Autor několika knih o Drupalu.
Web Development Director v Lesensky.cz. Ve volných chvílích podnikám výlety na souši i po vodě. Více se dozvíte na polzer.cz a mém LinkedIn profilu.

Komentáře k článku

Přidat komentář

Odesláním komentáře souhlasíte s podmínkami Ochrany osobních údajů

reklama
Moje kniha o CMS Drupal

 

Kniha 333 tipů a triků pro Drupal 9


Více na KnihyPolzer.cz

Sledujte Maxiorla na Facebooku

Maxiorel na Facebooku

Poslední komentáře
Hosting pro Drupal a WordPress

Hledáte český webhosting vhodný nejenom pro redakční systém Drupal? Tak vyzkoušejte Webhosting C4 za 1200 Kč na rok s doménou v ceně, 20 GB prostoru a automatické navyšováním o 2 GB každý rok. Podrobnosti zde.

@maxiorel na Twitteru

Maxiorel na Twitteru