Passord videreutviklet

Beskrivelse

Målet til denne utvidelsen er å forbedre autentiseringen i WordPress gjennom anbefalinger fra moderne sikkerhetspraksis. På nåværende tidspunkt forbedrer utvidelsen autentisering ved å gjøre følgende:

Håndhever uavslørte passord

Utvidelsen forhindrer enhver fra å bruke passord som har dukket opp etter datainnbrudd. Hver gang noen logger inn på et WordPress-nettsted vil den verifisere passordet ved hjelp av Have I been pwned? API-et. Hvis deres passord har dukket opp etter et datainnbrudd vil utvidelsen forhindre innlogging inntil de har tilbakestilt sitt passord.

Som standard vil dette nivået av håndhevelse skje for en konto med rollen «administrator». Du kan endre hvilke roller som skal få sine passord håndhevet på siden for innstillinger. For brukere som har en rolle uten håndheving av slike passord vil få en advarsel om de logger inn med et kompromittert passord.

Håndhevelsen av ukompromitterte passord skjer også når noen tilbakestiller eller endrer sitt passord. I de situasjonene er bruk av et ukompromittert passord påkrevet. Ingen vil kunne tilbaestille eller endre sitt passord til ett som har dukket opp etter sikkerhetsbrudd. (Så sant utvidelsen er i stand til å kontakte APIet.)

Bruker sterkere passord-avtrykk

Utvidelsen krypterer også passord med enten bcrypt eller Argon2 avtrykksfunksjoner. Dette er de sterkeste avtrykksfunksjonene tilgjengelig i PHP. Argon2 er tilgjengelig opprinnelig fra PHP 7.2, men utvidelsen kan også kryptere passord på eldre PHP-versjoner ved hjelp av kompatibilitetslaget fra libsodium, introdusert i WordPress 5.2.

Du trenger ikke gjøre noe for å konvertere ditt passordavtrykk til sterkere krypteringsstandard. Utvidelsen vil ta seg av å konvertere neste gang du logger inn etter at du har installert utvidelsen. Om du bestemmer deg for å fjerne utvidelsen vil ditt passord fortsette å virke og forbli kryptert inntil du tilbakestiller det.

Det er også verdt å merke seg at å bruke en sterkere avtrykksfunksjon bare er viktig i tilfelle et datainnbrudd. En sterkere passordavtrykksfuksjon gjør det mye vanskeligere å dekryptere et passord etter et innbrudd. Dette kombinert med håndhevelse av ukompromitterte passord vil hjelpe til å sørge for at slike passord aldri blir dekryptert. (Eller i det minste ikke uten betydelig innsats.)