Megbízható eszközök és helymeghatározás

A Megbízható eszközök modul az ellopott munkamenet-sütik (session cookie) elleni támadások ellen ad további védelmet. Értesít, ha egy fel nem ismert eszköz próbál hozzáférni a fiókhoz, és ezt e-mailben vagy az admin sávból jóváhagyhatod. A funkció része az ismeretlen bejelentkezésről szóló e-mail, az ismeretlen eszközön a jogosultságok korlátozása, a munkamenet-eltérítés elleni védelem, és a kétfaktoros hitelesítéssel való együttműködés (az eszköz megjegyzése).

Beállítások

A modul a Biztonság → Beállítások → Features → Login Security fülön a Megbízható eszközök kapcsolóval kapcsolható be. Bekapcsolás után két beállítás jelenik meg.

https://minta-bolt.hu/wp-admin/admin.php?page=itsec&path=%2Fsettings%2Fconfigure%2Flogin

A képen a lenyitott Megbízható eszközök Settings blokk látható a két jelölőnégyzettel.

Beállítás	Mit csinál
Jogosultságok korlátozása	Amikor egy felhasználó ismeretlen eszközön van bejelentkezve, a bővítmény korlátozza az adminisztrátori szintű jogosultságait, és megakadályozza, hogy módosítsa a bejelentkezési adatait. Az ismeretlen bejelentkezés e-mail-értesítést is be kell kapcsolni hozzá.
Munkamenet-eltérítés elleni védelem	Azt ellenőrzi, hogy a felhasználó eszköze nem változik-e a munkamenet közben. Ha változik, a bővítmény automatikusan kijelentkezteti a felhasználót, hogy ne történhessen jogosulatlan művelet (például e-mail-cím módosítása vagy rosszindulatú bővítmény feltöltése).

A munkamenet-eltérítés (cookie-eltérítés) azt jelenti, hogy a támadó átveszi a fiókodat, amíg abba be vagy lépve, és ezzel gyakorlatilag a fiók tulajdonosává válik.

Felhasználói csoportoknál

A modul bekapcsolása után a Biztonság → Beállítások → User Groups oldalon abban a csoportban, amelyre érvényesíteni akarod, kapcsold be a Megbízható eszközök engedélyezése beállítást.

Hogyan működik

A modul bekapcsolása után az adminisztrátorok az admin sávban egy Login Alerts fület látnak a jóváhagyásra váró, ismeretlen eszközökkel.

Ha ismeretlen eszközön vagy bejelentkezve, és a Jogosultságok korlátozása be van kapcsolva, a bővítmény értesítést mutat, hogy „Unrecognized Login Mode”-ban vagy. Ilyenkor két lehetőséged van: megerősíted az eszközt, vagy korlátozott hozzáféréssel folytatod a munkamenetet. Környezettől függően a Login Alerts fülön is kapsz tájékoztatást.

A Send confirmation email gombra vagy a confirm this device hivatkozásra kattintva a bővítmény elküldi az ismeretlen bejelentkezésről szóló e-mailt, benne egy gombbal az eszköz jóváhagyásához vagy elutasításához. Az eszköz megerősítése után újra be kell jelentkezned.

Ismeretlen bejelentkezés e-mail

A WordPress admin értesítése mellett (ajánlott) e-mailt is kérhetsz minden fel nem ismert eszközről történő belépésről. Ehhez előbb kapcsold be a Jogosultságok korlátozása beállítást, majd a Biztonság → Beállítások → Notifications oldalon az Unrecognized Login értesítést.

Eszközök kezelése a profilban

A saját megbízható eszközeid a WordPress-profiloldaladon kezelheted. A Pending (függőben) állapotú eszközöket átállíthatod Approved (jóváhagyott) vagy Denied (elutasított) állapotra; a már jóváhagyott vagy elutasított eszköz állapota később nem módosítható. A bővítmény automatikusan jóvá is hagyhat egy eszközt, ha eléggé hasonlít egy meglévő megbízható eszközre.

Az adminisztrátorok a többi felhasználó megbízható eszközeit is látják, és jóváhagyhatják vagy elutasíthatják őket. Ez akkor hasznos, ha te magad nem tudsz teljes körűen hozzáférni a webhelyhez, mert a modul közbelépett, és az ismeretlen bejelentkezés e-mailt valamiért nem tudod megerősíteni: egy másik adminisztrátor jóváhagyhatja helyetted az eszközödet.

A felhasználóknak az ismeretlen bejelentkezés e-mailből érdemes jóváhagyniuk vagy elutasítaniuk az eszközöket. A profilban lévő lista elsősorban támogatási eszköz az adminisztrátoroknak arra az esetre, ha egy felhasználó véletlenül kizárja magát.

Együttműködés a kétfaktoros hitelesítéssel

A Megbízható eszközök adja a kétfaktoros hitelesítés „Eszköz megjegyzése” funkcióját. Ha az eszköz nem tűnik ugyanannak, a felhasználónak újra meg kell adnia a kódot ahelyett, hogy átugorhatná. Ahhoz, hogy a bejelentkezéskor megjelenjen a megjegyzés lehetősége, a Biztonság → Beállítások → User Groups oldalon be kell kapcsolni a csoportnál az eszköz megjegyzésének engedélyezését. A kényelem mellett biztonságosabb, ha minden bejelentkezéskor új kódot kell megadni.

Helymeghatározás

A Biztonság → Beállítások → Features → Utilities fülön a Helymeghatározás modul a Megbízható eszközöket bővíti: megmutatja, hol van földrajzilag a bejelentkező felhasználó.

https://minta-bolt.hu/wp-admin/admin.php?page=itsec&path=%2Fsettings%2Fconfigure%2Futility

A képen a Hely és a Térképszolgáltatás szakasz látható a MaxMind és a térkép API-kulcsokkal.

A bővítmény külső szolgáltatásokat használ az IP-címek helyének meghatározásához:

• A MaxMind GeoLite2 a download.maxmind.com címről tölti le az IP-cím és hely adatbázist, hetente egyszer, a WordPress ütemezett feladatán keresztül.
• A Mapbox a helyeket mutató térképképeket adja az api.mapbox.com címről.

Hely

Alapértelmezés szerint a bővítmény több ingyenes GeoIP-szolgáltatást használ, de a nagyobb pontossághoz javasolja valamelyik MaxMind API engedélyezését. A MaxMind GeoLite2 ingyenes adatbázis, amely külső API-hívás nélkül, helyben hasonlítja össze az IP-címeket. A pontosabb eredményhez a fizetős MaxMind GeoIP2 Precision: City szolgáltatás is használható a MaxMind API szakaszban az API-felhasználó és az API-kulcs megadásával.

A MaxMind GeoLite2 beállítása:

1. Regisztrálj egy ingyenes fiókot a MaxMind oldalán.
2. Fogadd el a felhasználási feltételeket, és kattints a Continue gombra.
3. A regisztráció után a képernyőn megerősítést látsz.
4. Ellenőrizd az e-mailjeidet: a levélben lévő hivatkozással állítsd be a jelszavadat, és lépj be.
5. A fiókban a bal oldali menüben válaszd a Manage License Keys pontot, és kattints a Generate new license key gombra.
6. Adj nevet a kulcsnak, a kérdésnél válaszd a No lehetőséget, majd kattints a Confirm gombra.
7. Másold ki a licenckulcsot, és tárold biztonságos helyen.
8. A webhelyen a Helymeghatározás beállításainál a MaxMind GeoLite2 résznél illeszd be a kulcsot az API-kulcs mezőbe, és kattints a Download DB gombra.
9. Mentsd a beállításokat.

Az adatbázisok frissítési gyakorisága:

• A GeoIP2 Anonymous IP adatbázis naponta frissül.
• A GeoIP2 Country, City, ISP, Connection Type és Enterprise adatbázisok hetente frissülnek, keddenként.
• A GeoIP2 Domain Name adatbázis havonta, minden hónap első keddjén frissül.
• A GeoLite2 Country, City és ASN adatbázisok hetente frissülnek, keddenként.

Térképszolgáltatás

A fel nem ismert bejelentkezések hozzávetőleges helyét statikus térképképen jelenítheti meg a bővítmény. Ehhez egy Mapbox API-kulcs (a Mapbox API-kulcs mezőbe a „Default public token”) vagy egy MapQuest API (Consumer) kulcs kell (a MapQuest API (Consumer)-kulcs mezőbe). MapQuest-nél a kulcsot a MapQuest-profilodon a My Keys szakaszban találod; ha nincs ott kulcs, a Manage Keys gombbal hozz létre egy új alkalmazást, a Create a New Key gombbal kulcsot, és az App Name mezőbe írd be a webhelyed nevét, a Callback URL mezőt hagyd üresen.

Kimenő forgalom engedélyezése

A MaxMind és a Mapbox felhő- és CDN-hálózaton fut, ezért az IP-címeik rendszeresen változnak. A bővítmény ezért állandó IP helyett gazdanevekhez csatlakozik. Ha a tűzfalad vagy a szervered korlátozza a kimenő forgalmat, engedélyezd a kimenő HTTPS (443-as port) forgalmat a download.maxmind.com és az api.mapbox.com felé, és a tűzfalnaplókban ellenőrizd, hogy ezek a kapcsolatok létrejönnek-e.

Földrajzi tiltás: miért nincs a bővítményben

A bővítmény nem kínál GeoIP-alapú országtiltást. Az érvek:

1. Egy ország blokkolása nem blokkolja az ottani támadókat. A támadók világszerte elosztott, feltört rendszereket, proxykat, VPN-eket és felhőszolgáltatásokat használnak, így a származásuk elfedhető. Néhány gyenge, automatikus keresést megállíthat, de a célzott vagy automatizált támadásokat nem.
2. Ha csak egy országot engedsz, még mindig nagy a támadási felület. A VPN-ek, adatközpontok és CDN-ek miatt a támadók könnyen megkerülik a korlátozást.
3. Az erősebb hitelesítés többet ér. Erős jelszó, kétfaktoros hitelesítés vagy hozzáférési kulcs jóval nagyobb védelmet ad, mint az országtiltás. A kérések korlátozása, a CAPTCHA és az ideiglenes zárolás szintén jobban működik, kevesebb mellékhatással.
4. Ország alatti szintű korlátozás megbízhatatlan. A MaxMind országszinten kb. 99%-os pontosságot ad, városszinten ez 80% alá csökkenhet, mobilhálózatnál és IPv6-nál még lejjebb. Jogos felhasználók is kizárhatók, mert a mobilszolgáltatók gyakran több száz kilométerre lévő átjárón vezetik a forgalmat.
5. Plusz terhelést jelent. Minden GeoIP-keresés kis feldolgozási többletet ad, amely erős jelszótalálgatás alatt összeadódhat. A földrajzi szűrést érdemes tűzfalra (WAF) vagy CDN-re bízni.

Helyette ajánlott: erős, egyedi jelszavak, hozzáférési kulcsok és 2FA; kérésszám-korlátozás és zárolás a bejelentkezési végpontokon; a földrajzi hely mint kiegészítő jelzés gyanús eseményeknél (extra ellenőrzés szokatlan országból érkező belépéskor); és ha mindenképpen kell, földrajzi korlátozás csak a hálózat szélén (WAF/CDN), a téves tiltások figyelésével. A korlátozott, csak adminisztrátorokra vonatkozó változatot lásd az Adminisztrátori hozzáférés országok szerint fejezetben.